Çin'in Büyük Güvenlik Duvarı'nın tamamen şifrelenmiş trafiği algılayıp engelleme yöntemi [pdf]
(gfw.report)- Çin'in Great Firewall'u (GFW), Kasım 2021'in başından itibaren tamamen şifrelenmiş aşma trafiğini gerçek zamanlı olarak pasif biçimde tespit edip engelleyen yeni bir sansür tekniğini devreye aldı
- Shadowsocks, VMess, Obfs4 gibi, tüm payload'un rastgele görünecek şekilde tasarlandığı looks like nothing protokolleri de engelleme kapsamına girdi
- GFW, şifreli trafiğin kendisini çözmeden; yaygın protokol parmak izleri, bit oranları, ASCII karakter oranı ve konumu gibi istisna sezgiselleri ile önce normal görünen bağlantıları ayıklıyor
- Çıkarılan tespit algoritması gerçek trafiğe uygulandığında normal bağlantıların yaklaşık %0,6'sı engellenebilir; bu da GFW'nin yan etkileri azaltmak için tüm bağlantıların %26'sını ve yalnızca belirli veri merkezi IP aralıklarını izlediğini gösteriyor
- Bu analize dayanan aşma stratejileri başlıca sansürden kaçınma araçlarıyla paylaşıldı, Ocak 2022'den sonra yaygın biçimde dağıtıldı ve Şubat 2023 itibarıyla Çin'de hâlâ etkiliydi
Kasım 2021'de ortaya çıkan pasif tespit ve engelleme
- Tamamen şifrelenmiş aşma protokolleri, TLS gibi düz metin bir handshake ile başlamaz; bağlantının tüm baytları rastgele veriden ayırt edilemeyecek şekilde tasarlanır
- VMess, Shadowsocks ve Obfs4, bu looks like nothing yaklaşımını kullanan başlıca protokollerdir
- 6 Kasım 2021'de Çin'deki internet kullanıcıları Shadowsocks ve VMess sunucularının engellendiğini bildirdi, 8 Kasım'da ise Outline geliştiricileri Çin kaynaklı kullanımda keskin bir düşüş gördü
- Engelleme dönemi, 8-11 Kasım 2021'de düzenlenen Çin Komünist Partisi 19. Merkez Komitesi 6. Genel Kurulu ile çakıştı
- Çin, Mayıs 2019'dan beri Shadowsocks sunucularını belirlemek için pasif trafik analizi ile aktif yoklamayı birlikte kullanıyordu; ancak bu olay, tamamen şifrelenmiş proxy'lerin yalnızca pasif trafik analiziyle büyük ölçekte gerçek zamanlı engellendiği ilk örnek oldu
GFW'nin tespit yöntemi
- GFW, “tamamen şifrelenmiş trafik”i doğrudan tanımlamak yerine, tamamen şifrelenmiş trafik olma ihtimali düşük bağlantıları önce eliyor
- En az 5 gruptan oluşan kaba ama verimli istisna sezgiselleri kullanılıyor
- Yaygın protokollerin parmak izleri
- Belirlenmiş bit oranlarını kullanan kaba bir entropi testi
- İlk TCP payload'u içindeki yazdırılabilir ASCII karakter oranı
- ASCII karakterlerin konumu
- Ardışık ASCII karakterlerin azami sayısı
- İstisna kurallarına takılmayan kalan trafik engelleme hedefi oluyor
- GFW bir kara kutu sistem olduğu için çıkarılan kurallar eksiksiz olmayabilir
Ölçüm sonuçları ve yan etki olasılığı
- Araştırmacılar, internet taramasıyla GFW'nin hangi trafiği ve hangi IP adreslerini incelediğini doğruladı
- Çıkarılan GFW tespit algoritması, CU Boulder'ın network tap'inden toplanan gerçek trafiğe uygulanarak kapsam ve yanlış pozitif olasılığı değerlendirildi
- Çıkarılan kuralların, GFW'nin gerçekte kullandığı kurallarla büyük ölçüde örtüştüğü görüldü
- Bu tespit algoritması geniş ölçekte uygulanırsa, network tap'teki tüm bağlantıların yaklaşık %0,6'sı normal internet trafiği olmasına rağmen engellenebilir
- Muhtemelen yanlış pozitiflerden kaynaklanan aşırı engellemeyi azaltmak için GFW, stratejik olarak tüm bağlantıların yalnızca %26'sını izliyor ve popüler veri merkezlerinin belirli IP aralıklarını hedef alıyor
Aktif yoklama ve aşma stratejileri
- Yeni pasif sansür yöntemi, GFW'nin mevcut aktif yoklama (active probing) sistemiyle paralel çalışıyor
- Aktif yoklama sistemi de bu trafik analizi algoritmasına dayanıyor ve ek olarak paket uzunluğuna dayalı kurallar uyguluyor
- Yeni engellemeyi atlatabilen aşma stratejileri, GFW'nin proxy sunucularını tanımlama ve ardından aktif yoklama yapma sürecini de engelleyebiliyor
- Araştırmacılar, sonuçları ve aşma önerilerini Shadowsocks, V2Ray, Outline, Lantern, Psiphon ve Conjure gibi çeşitli sansürden kaçınma aracı geliştiricileriyle sorumlu biçimde paylaştı
- Bu aşma stratejileri Ocak 2022'den sonra yaygın olarak benimsendi ve dağıtıldı; yüz binlerce değil, milyonlarca kullanıcıya yeni sansür yöntemini aşmada yardımcı oldu ve Şubat 2023 itibarıyla benimsenen stratejiler Çin'de hâlâ etkiliydi
2 yorum
Görünüşe göre metinle yorum için özetlenen makale farklı.
Hacker News görüşleri
Makalede VPN'lerden hiç bahsedilmemiş; bu yüzden ilk bakışta sadece VPN kullanmak yeterli olmaz mı diye düşündüm. Ancak Wikipedia'daki GFW maddesinde, Çin'de VPN kullanımının uluslararası internete erişim sağlasa da hukuki risk oluşturabileceği yazıyor.
2017'de Çin hükümeti izin verilmemiş tüm VPN hizmetlerini yasa dışı ilan etti. Örnek olarak, University of Washington öğrencisi Vera Zhou'nun, Sincan'daki Hui ebeveynlerini ziyareti sırasında okul ödevlerine VPN üzerinden eriştiği için 2017 Ekim'den 2018 Mart'a kadar Sincan'daki bir gözaltı kampına gönderildiği, ardından ev hapsinde tutulduğu ve 2019 Eylül'e kadar ABD'ye dönemediği belirtiliyor.
周月明(Vera Yueming Zhou)'nun Çin'deki kamplara gönderilmesinin nedeni, University of Washington web sitesine erişmek için VPN kullanmasından çok, dini bir azınlığa mensup olması gibi görünüyor.
Buna göre, o sırada Kuytun polisi dijital gözetim araçlarıyla Vera'nın üniversite Gmail hesabı gibi sitelere erişmek için VPN kullandığını tespit etti ve Müslüman azınlık grubunun bir üyesi olması nedeniyle bu durum “dini aşırılığın işareti” olarak değerlendirilebildi.
Vietnam'da bulunduğum bir yıl boyunca polis pasaportumu elinde tuttuğu için dikkatliydim; ama birkaç gün sonra sadece birkaç dakikalığına NYT'yi açtığımda internetim yaklaşık 3 saat kesildi, bir sonrakinde ise 24 saat kesildi; bunun tesadüfi bir arıza olmadığını anladım.
Kesinti anında olmadı, birkaç dakika sürdü; ayrıca trafiğimi izleyen özel bir sansür görevlisinin bana atanmış olduğundan oldukça emindim.
VPN kullanmıyordum ve trafiğimin görünür olmasını bilerek kabul etmiştim; ancak VPN ile bağlanmanın yalnızca şüpheyi artıracağını bildiğim için daha sonra e-postalarımı kontrol etmek için VPN'i sadece kafelerde kısa süreli kullandım.
Yurt dışı oyunlarda gecikmeyi düşürmek için kullananlar da var; asıl sorun hukuki riskten çok VPN bağlantılarının kolayca engellenebilmesi gibi görünüyor.
Yine de “beyaz kâğıt protestoları” sırasında bazı bölgelerde polisin insanların evlerine gidip telefonlarında VPN olup olmadığını kontrol ettiği olmuş gibi hatırlıyorum.
Genç ve teknolojiye yatkın insanların çoğunda bir VPN varmış gibi gelmişti; otoyolda hız sınırının 10 mph kadar üstünde gitmek kadar yaygın ve hafif bir şeydi.
Çoğu insan yalnızca VPN kullandığı için baskı görmüyor; daha çok, hükümetin zaten hedef almak istediği birini gözaltına almak için bahaneye ihtiyaç duyduğunda kullanılan bir unsur gibi duruyor.
Bu olay, VPN kullanımına ilişkin hukuki riskten çok, başka sebeplerle hedef alınmış birine ceza verilmesinin örneği gibi görünüyor.
Yani VPN yasağını tamamen kaldırsanız bile pratikte muhtemelen hiçbir şey değişmezdi.
Pandemi öncesinde uzun süre Çin'de kalıp GFW'ye karşı epey deneme yaptım; shadowsocks ya da rastgele SSH tünellerini ne kadar hızlı yakaladıklarına sürekli şaşırıyordum.
Genelde 48 saat içinde IP değiştirmem gerekiyordu; bu rapor ise artık bunun anında tespit edildiği anlamına geliyor gibi görünüyor.
En istikrarlı yöntem, Shenzhen'den Hong Kong'a giren fiziksel hat üzerinden çıkış almak ve Çin içinde hareket halindeyken VPN ile o Shenzhen geçidine bağlanmaktı.
Hatırladığım kadarıyla bu her zaman çalışıyordu; bu yüzden VPN trafiğinin analizi ve engellenmesinin çoğunun GFW sınırında yapıldığını, içeride ise daha az uygulandığını düşünüyordum, ama bu artık eski bilgi olabilir.
Hemen engellendi ve istemci bağlanamadı; denemeden önce bile çeşitli bilinmeyen IP'lerden bağlantı girişimleri olmuştu.
GFW'nin ne kadar eksiksiz çalıştığına şaşırdım; Çin'de çalışıp gezerken güvenilir internet bağlantısına ihtiyaç duyan biri için bunun ne kadar zor olması gerçekten üzücü.
Dolaşım trafiği kullanıcının kendi ülkesindeki operatöre tünelleniyor ve her nedense bu tünel hiç denetlenmiyor.
eSIM'lerle birlikte artık birkaç dakika içinde dolaşımlı bir SIM satın alıp doğrudan telefonda kullanabiliyorsunuz.
Bu, sınırda değil içeride müdahale ediliyormuş gibi görünüyordu; ama bunun gerçekte nasıl yapıldığını bilmiyorum.
Hangzhou'nun teknik kapasitesi düşünülünce, bölgesel ISP'nin daha yetkin olması ve daha güncel karşı önlemler uygulaması mümkün olabilir.
Yaklaşık 20 yıl önce Shanghai’da sahada çalışanı olan bir şirkette çalışırken ilk dönem GFW ile uğraşmak zorunda kaldığımı hatırlıyorum
Her sabah Çinli meslektaşlarım e-posta istemcilerini açtıklarında yurtdışındaki sunucumuza bağlanıyorlardı; ilk kişi genelde sorun yaşamıyordu ama ondan sonrakilerin bağlantısı başarısız oluyordu
O zamanlar GFW hakkında neredeyse hiçbir şey bilinmiyordu ve bugünkü kadar da akıllı değildi; ama POP bağlantılarının birkaç dakika sonra hızla engellendiğini fark ettik, sanki yavaş bir güvenlik duvarı kuralı sonradan devreye giriyordu ve biraz rastgele göründüğü için güvenlik duvarı yapılandırmasının tutarlı olmadığını tahmin etmiştik
POPS/SMTPS’ye geçince bir süre daha iyi oldu ama hâlâ rastgele engelleniyordu; sonunda sunucunun iyi bilinen portlar yerine birkaç rastgele portta POP/SMTP bağlantısı kabul etmesini sağlayınca, yıllar sonra sistemi değiştirene kadar sorun ortadan kalktı
Çok derine inmedim ama inceleme için bağlantının yönlendirildiğini tahmin ettim; eğer doğruysa, erişilen veriler üzerinden endüstriyel casusluk bile yapmaları şaşırtıcı olmaz
Obfuscation eklentili Shadowsocks’a karşı işlem yapmaları ilginç
2017~2019 arasında Çin’e gittiğimde SS ve v2ray kombinasyonu fiilen standart sayılacak kadar yaygındı
O dönemde haziran başı ya da büyük devlet toplantıları gibi belirli zamanlarda VPN baskınları olurdu; usulen tam isabetli engellemek zordu ama VPN’e benzeyen şeylere kabaca geniş kapsamlı engel uyguluyorlardı gibi görünüyordu
Bağlantı genelde kuruluyordu ama hız sınırlaması konduğu için fiilen hiçbir şey yapılamıyordu
Belirli bir karmaşıklık seviyesinin üzerindeki VPN’lerin gayriresmî olarak tolere edildiği hissi vardı ve sanki halkın kolayca kullanabileceği kolay hedefleri engellemeye daha çok önem veriyorlardı
Daha gelişmiş araçlar kullanan az sayıdaki teknoloji meraklısı için ise, kimlerin kullandığını zaten biliyorlar ve mesele büyürse doğrudan kapılarına gitmeyi tercih ederlerdi gibi duruyordu
Çin, bunun gibi şeylere ne kadar anlamsız zaman ve uzmanlık yatırarak kendini kösteklediğinin farkında değil gibi görünüyor
İç baskı aygıtına ayırdığı GSYİH oranı, ABD’nin askeriyeye ayırdığı orana neredeyse eşit
İç bilgi alışverişine verimsizlik eklemek için bu kadar çok yetenek ve servet yakmaları, belki de dünyanın geri kalanı için iyi bir şey olabilir
Zaten PRC’nin bir iç bilgi ekosistemine sahip olmasının nedeni de dış içeriği öngörülü biçimde filtrelemiş olması ve bu sistem maliyetini zaten defalarca çıkardı
Ayrıca PRC’nin askeriyeye GSYİH’ye oranla o kadar da çok harcama yapmadığını da görmek lazım
Eğer israftan söz edilecekse, PRC’nin iç güvenliğe ABD kadar harcaması israftır; ABD polisinin ne kadar askerileştiği düşünülürse bu da iyi değil
Buna karşılık PRC’nin savunma harcaması %2’nin altında, ABD’ninki yaklaşık %3,5; gölge bütçe tahminleri eklense bile yaklaşık %3’e karşı %6 gibi bir tablo çıkıyor
Sosyal medyanın dünya çapında demokrasileri nasıl bozduğuna bakmak yeterli
ABD demokrasisi bir bakıma ölüm sarmalına girmiş durumda: https://www.theatlantic.com/ideas/archive/2021/04/how-stop-m...
Baskıyı sevmiyorum ama Çin bunu binlerce yıldır yapıyor ve artık bizim daha iyi bir şeye sahip olduğumuzdan emin olmak zor. Citizens United, Roe v. Wade, affirmative action gibi örnekler var; ayrıca Çin’de beklenen yaşam süresi az önce ABD’yi geçti
Kullanım alanı sınırlı ama, bu tür bir sistemin içine ya da dışına bilgi taşırken chaffing and winnowing kullanılabilir gibi görünüyor: https://en.m.wikipedia.org/wiki/Chaffing_and_winnowing
Kısıtlı ülkelere hiç gitmemiş gibi görünen tepkiler epey komik
Muhtemelen onaylı gölge hizmetlere yakın olan bazı VPN sağlayıcıları çalışıyordur ama bunun GFW’den daha akıllı oldukları için olduğuna inanmak zor
Yaptırıma uğramadıklarından, izinli ve gözetim altında olduklarından eminim
Devletle hiçbir sorunun yoksa sorun olmayabilir, ama sorun yaşayıp yaşamadığını gerçekten yaşamadan anlayamazsın
socks5, shadowsocks, WireGuard gibi şeyler çok uzun zamandır işe yaramaz durumda
Bu, evin içindeyken kimseye görünmeden dışarı çıkmaya çalışmaya benziyor; ne kadar iyi denersen dene, denemenin kendisi görünür olur ve yakalanırsın
GFW’den kaçış da aynı; bu yüzden onaylı VPN’ler ya da sınırlamaya uğramadan uzun süre ayakta kalan RDP en iyi seçenek
GFW’den daha akıllı olup olmadığımı bilmiyorum ama kendi yaptığım sansür aşma araçları her seferinde gayet iyi çalıştı ve en tembel yöntemler bile işe yaradı
Hiç VPN sağlayıcısı kullanmadım
Bu arada değiştirilmemiş WireGuard da hâlâ çalışıyor ama bunu tespit eden bir çevrimdışı trafik analizi var gibi; haftada yaklaşık bir kez uyandığımda VPN bağlantısının kesildiğini görüyorum ve sunucudaki ListenPort’u değiştirmem gerekiyor
Kişisel olarak en sinir bozucu şey AWS’nin giden trafik ücretlerinin aşırı pahalı olması
VPN kullandığını anlayabilirler ama trafiğin içeriğini izleyemezler gibi geliyor bana
Bu makale iyi, ama oldukça ayrıntılı teknik konulara giriyor
GFW’nin kendisiyle ilgili değil, ancak https://github.com/salesforce/ja3 gibi projeler tamamen şifrelenmiş trafiğin (TLS/HTTPS) nasıl parmak iziyle tanımlanabildiğini ele alıyor
README’deki “How it works” bölümü bunu iyi açıklıyor
Açık kaynak güvenlik duvarlarının bile yaptığı bir şeyse, GFW’nin bunu yapmıyor olması daha şaşırtıcı olurdu
Yine de sırayı yok sayıp ortak ilan edilen TLS parametreleriyle parmak izi oluşturmak mümkün
Bağlantı verilen makale, şifre takımı listesiyle Tor-obfs bağlantılarının tespit edildiği olaya atıfta bulunuyor[2][3]
[1] https://www.fastly.com/blog/a-first-look-at-chromes-tls-clie...
[2] https://gitlab.torproject.org/legacy/trac/-/issues/4744
[3] https://blog.torproject.org/ethiopia-introduces-deep-packet-...
Ortaya çıkarılan algoritma sezgiye o kadar aykırı ki, bunu yapay zekanın bulmuş olabileceğini düşündürüyor
Sanki istemcinin gönderdiği ilk TCP yükü istisna koşullarından birini sağlıyorsa bağlantıya devam izni veriliyor, aksi halde engelleniyor gibi
İstisnalar şunlar: popcount/uzunluk oranının belirli bir aralığın dışında olması, ilk 6 veya daha fazla baytın [0x20,0x7e] aralığında olması, baytların %50’den fazlasının bu aralıkta olması, 20 bayttan uzun ardışık bir kısmın bu aralıkta olması ya da TLS/HTTP protokol parmak iziyle eşleşmesi
Amaç sıra dışı şifreli trafiği ayıklamak
İlk kural çoğunlukla şifrelemenin IND-CPA özelliğinden yararlanarak, bayt başına yaklaşık 4 bitin 1 olduğu, yani “rastgele görünümlü” trafiği öldürmeye çalışıyor
Sonraki kurallar ise izin verilebilir şifreli veya sıkıştırılmış trafik için istisnalar
Sıkıştırma IND-CPA değildir, ama yüksek entropi ürettiği için ilk kurala takılabilir
Bu yaklaşım oldukça iyi çalışabilir ve makaledeki araştırmacılar da bunu doğruluyor
CCP ise, bunu temel istatistiksel analiz ile üretmiş ve yan etkileriyle ikincil hasarı kabul edilebilir eşiklerin altına indirecek şekilde ayarlamış olmaları muhtemel
Dünya çapındaki trafiğin yaklaşık %0,6’sı yanlışlıkla engelleniyor gibi görünüyor
Araştırmacılarsa, makale bu kuralları bulmak için kullanılan temel istatistiksel analizi ayrıntılı olarak anlatıyor
Yüksek entropili veride 1 ve 0 dağılımı ortalamaya yakınsar ve şifrelenmiş veri yüksek entropili gibi görünür
Bu kaba bir yöntem, ama gömülü donanım için hesaplaması çok verimli
Ex2~4, IMAP’te kullanılan ASCII metni gibi birçok şifrelenmemiş protokolü istisna tutuyor; çünkü bu tür metinler de yeterince yüksek entropiye sahip olduğundan ilk testi istatistiksel olarak sık sık geçemeyebilir
Ex5, TLS özünde şifreli olduğu ve dolayısıyla yüksek entropili olduğu için gerekli; HTTP de sıkıştırılmış yüklemelerin, örneğin görsellerin ya da videoların, takılmaması için istisna tutulmuş gibi görünüyor
GFW’yi aşmanın anahtarının “düşük entropi” olması hiç şaşırtıcı değil. Yüksek entropi çoğu şifreleme yönteminin neredeyse zorunlu bir özelliği
Teorik olarak şifreleme bilgi eklemediği için, şifrelemeden önce sıkıştırma yapmıyorsanız çeşitli nesnel ölçütlerde entropiyi koruyan sanal bir şifreleme şeması da mümkün olabilir; ama şifreleme öncesi sıkıştırma ve ardından şifreli metni steganografi benzeri biçimde dolduran bir meta şema dışında bildiğim bir şey yok
Elbette bu, iletinin negentropisi kadar bilgi sızdırır; ama genelde bu, bağlamdan çıkarılamayacak türden bir bilgi olur, örneğin iletinin HTML+metin olduğu gibi
O zaman TLS’yi base64 ile kodlamak mı gerekir?
Bunun 10~12 yıl önce de açık olduğu kesindi
Çin’de okurken okul VPN’i yalnızca birkaç gün dayanıyordu
Ama ortalıkta dolaşan çok küçük bir VPN yazılımı vardı ve doğru mu bilmiyorum ama Falun Gong’un CIA ile birlikte yaptığı bir şey olduğunu hatırlıyorum
O zamanlar tespitten kaçabiliyordu; muhtemelen IP’leri sürekli döndürme gibi bir şey yapıyordu
O aracın yurtdışından gelen öğrenciler arasında “çevrimdışı” olarak ne kadar hızlı yayıldığı ilginçti
Çinlilerde de vardı ama kendi aralarında daha az biliniyordu
Hâlâ çalışıyor mu bilmiyorum: https://en.m.wikipedia.org/wiki/Freegate
[Düzenleme] Çalışmadığını söyleyen eski bir HN yorumu ve yine zor başka seçenekler: https://news.ycombinator.com/item?id=10101965