دیوار آتش چین
دیوار آتش چین
بنظرم این فایروال یک شاهکار در مهندسی شبکه هست و میشه کلی چیز ازش یاد گرفت و حالا خارجکیا بهش میگن the great firewall of china یا همون gfw.
حالا بذار بهت بگم که این gfw چطو کار میکنه و از لحاظ فنی یه بررسی بکنیم ببینیم برادران چینی چه گلی به سر خودشون زدن 🇨🇳
فرض بگیر که شما رفتی شانگهای و آدرس یه سایت خارجکی رو میزنی تو مرورگرت و حالا فرض هم میگیریم که سرور های اون سایت داخل سرزمین کاپیتالیست های خونخوار واقع شده و برادران چینی هم میخوان بکشن زیر کانکشن و ارتباط شمارو قطع کنن.
در درجه اول میدونی که مرورگر از طریق dns باید ip اون دامین رو پیدا کنه و gfw همینجا وارد میشه و یه جواب جعلی برمیگردونه و در نتیجه، زارت! اصلا درخواست شما داخل همون چک پوینت gfw به چوخ رفت و تمام.
حالا فرض کنیم dns هم مشکلی نداره و بعدش مرورگر شما میخواد یه کانکشن https با سرور برقرار کنه و اینجا میرسیم به tls و ما هم میدونیم که وقتی مرورگر میخواد یه اتصال امن برقرار کنه، اول از همه یه پیام ClientHello برای سرور میفرسته و این پیام شامل یک سری پکت و اطلاعات مهمی هست که برای اتصال رمزنگاری شده واجبه، و در حالت معمول، اسم دامین مقصد هم از طریق فیلدی به اسم sni داخل همین پیام فرستاده میشه
منم از طریق این sni قبلا چند تا asset پیدا کردم که به بانتی منجر شده و درباره این تکنیک هم قبلا داخل بلاگم نوشتم و اونجا کامل توضیح دادم که این sni چیه و اینا و شما هم برید همونو بخونید و من اینجا دیگه حال ندارم دوباره توضیح بدم، بوس بوس. ❤️
خلاصه که شما داری یه بسته ای میفرستی که رمزنگاری شده اس و اسم گیرنده روی بسته هست و آقای پستچی میتونه اسم گیرنده رو بخونه.
و اینکه خب https از محتوای بسته میتونه محافظت کنه ولی اسم سایتی که داری بهش وصل میشی رو که نمیتونه مخفی کنه؟ ( شایدم بتونه 😈 )
حالا یه تکنیکی هست به اسم dpi که احتمالا به گوش شما خورده و این dpi به سیستم اجازه میده که پکت هارو با جزییات خیلی بیشتر بررسی کنه و این dpi با اینکه نمیتونه انکریپشن رو بشکونه ولی میتونه ترافیک رو آنالیز کنه و الگوی پکت ها، زمان بندی، سایز پکت، فینگرپرینت پروتکل رو آنالیز کنه و یک سری نتیجه گیری ها انجام بده.
مثلا ممکنه که دوتا کانکشن رمزنگاری شده داشته باشی ولی یکیشون الگوی رفتاری یک مرورگر رو داشته باشه و اون یکی الگوی رفتاری یه پروتکل خاص رو داشته باشه که برای دور زدن فیلترینگ هست!
حالا درسته محتوای هردو اتصال قابل خوندن نیست ولی باز هم از روی الگوی رفتاریشون میشه به یک نتایجی رسید!
و اینجا باز موضوع باحال تر میشه!
این چینی ها میان برای دور زدن فیلترینگ از شدوساکس و vmess و اینا استفاده میکنن و خود این ارتباطات هم قابل شناسی هستن و لپ کلام اینکه gfw میتونه ترافیک های صد در صد رمزنگاری شده رو صرفا بر اساس ویژگی های آماری و الگوی بایت ها شناسایی و مسدود کنه
حالا ازینم میشه باز جلوتر رفت و اینکه gfw اصلا قبل ازینکه شما بخوای به سرور وصل بشی بیاد و ببینه شما در آینده به کجا میخوای وصل بشی و اونجارو مسدود کنه.
یعنی چی؟ خب یه راه اینه که شما بیای یه از تونل رمزنگاری شده استفاده کنی و به جای اینکه مستقیم به سایت های بی تربیتی وصل بشی، بیای به یه سرور خارج از چین وصل بشی و ترافیکت هم ازون سرور به مقصد میره و برای شبکه داخلی، فقط اتصال به سرور واسط دیده میشه و مقصد نهایی اون درخواست برای gfw گنگ هست.
ولی برادران چینی به اینم فکر کردن!
چجوری؟ این میشه active probing و اینم بذار بازش کنم :)))
فرض کن شما به سرور ناشناس وصل میشی و الگوی اتصال یکم مشکوک هست ولی gfw میگه اوکی حالا دوشواری نداریم و فعلا رد شو برو :)))
شما هم خوشحال و خندان به سرور کاپیتالیست های ستمگر وصل میشی و در یوتیوب گشت و گذار میکنی و شب میری میخوابی
حالا شب که شما خوابی، gfw خودش شروع میکنه به probing و به سرور ناشناس درخواست های آزمایشی میفرسته تا ببینه سرور چطور جواب میده و آیا متعلق به ابزار های دور زدن فیلترینگه یا نه؟
اینجاس که سرور رو شناسایی میکنه و میکشه زیرش و صبح که شما بیدار میشی دیگه اتصال دیشبیه کار نمیکنه!
خب پس چینی ها چطور این سیستم رو دور میزنن؟
اینو دیگه حسش نیست بنویسم و لپ کلام اینکه سعی میکنن که الگوی ترافیک رو شبیه اینترنت عادی کنن و اینجا دیگه تکنیک های obfuscation و اینا هست که از حوصله این مطلب خارجه.
یه سری روش های دیگه هم هست که میتونه اطلاعات داخل ClientHello و sni رو رمزنگاری کنه و این یه سری وابستگی ها به زیرساخت های ارتباطی و مرورگر و اینا داره و به تنهایی تضمین نمیکنه که اتصال به چوخ نره.
خلاصه که این قضیه gfw و مردم چین هم یه بازی موش و گربه بامزه هست که باهاش آدم میتونه کلی اطلاعات شبکه خودش رو لول آپ کنه!