- Great Firewall (GFW) ของจีนได้นำเทคนิคการเซ็นเซอร์แบบใหม่มาใช้งานตั้งแต่ต้นเดือนพฤศจิกายน 2021 เพื่อ ตรวจจับและบล็อกทราฟฟิกหลบเลี่ยงที่เข้ารหัส بالكامل แบบพาสซีฟและแบบเรียลไทม์
- โปรโตคอลแบบ looks like nothing ที่ทำให้เพย์โหลดทั้งหมดดูเหมือนข้อมูลสุ่ม เช่น Shadowsocks, VMess และ Obfs4 ก็กลายเป็นเป้าหมายการบล็อกด้วย
- โดยที่ GFW ไม่ได้ถอดรหัสทราฟฟิกเข้ารหัสโดยตรง แต่ใช้ exception heuristics เช่น ลายนิ้วมือของโปรโตคอลทั่วไป, อัตราส่วนบิต, อัตราส่วนและตำแหน่งของอักขระ ASCII เพื่อคัดการเชื่อมต่อที่ดูเป็นปกติออกไปก่อน
- เมื่อนำอัลกอริทึมตรวจจับที่อนุมานได้ไปใช้กับทราฟฟิกจริง พบว่าการเชื่อมต่อปกติราว 0.6% อาจถูกบล็อกได้ ดังนั้น GFW จึงดูเหมือนลดผลกระทบข้างเคียงด้วยการเฝ้าดูเพียง 26% ของการเชื่อมต่อทั้งหมด และจำกัดการตรวจสอบไว้ที่ช่วง IP ของดาต้าเซ็นเตอร์บางแห่ง
- กลยุทธ์การหลบเลี่ยงที่พัฒนาจากการวิเคราะห์นี้ถูกแชร์ให้เครื่องมือหลบเลี่ยงการเซ็นเซอร์หลัก ๆ และถูกเผยแพร่อย่างกว้างขวางตั้งแต่เดือนมกราคม 2022 โดยยังคงใช้ได้ผลในจีน ณ เดือนกุมภาพันธ์ 2023
การบล็อกผ่านการตรวจจับแบบพาสซีฟที่เริ่มขึ้นในเดือนพฤศจิกายน 2021
- โปรโตคอลหลบเลี่ยงที่เข้ารหัสทั้งหมดจะไม่เริ่มต้นด้วยแฮนด์เชกแบบข้อความชัดเจนเหมือน TLS แต่ถูกออกแบบให้ทุกไบต์ของการเชื่อมต่อแยกไม่ออกจากข้อมูลสุ่ม
- VMess, Shadowsocks และ Obfs4 เป็นโปรโตคอลตัวแทนที่ใช้แนวทาง looks like nothing นี้
- เมื่อวันที่ 6 พฤศจิกายน 2021 ผู้ใช้อินเทอร์เน็ตในจีนเริ่มรายงานการบล็อกเซิร์ฟเวอร์ Shadowsocks และ VMess และในวันที่ 8 พฤศจิกายน นักพัฒนา Outline ก็ยืนยันว่าปริมาณการใช้งานจากจีนลดลงอย่างรวดเร็ว
- ช่วงเวลาที่เริ่มบล็อกตรงกับการประชุมเต็มคณะครั้งที่ 6 ของคณะกรรมการกลางพรรคคอมมิวนิสต์จีนชุดที่ 19 ซึ่งจัดขึ้นระหว่างวันที่ 8–11 พฤศจิกายน 2021
- แม้จีนจะใช้ทั้งการวิเคราะห์ทราฟฟิกแบบพาสซีฟและการตรวจจับเชิงรุกเพื่อระบุเซิร์ฟเวอร์ Shadowsocks มาตั้งแต่เดือนพฤษภาคม 2019 แต่กรณีนี้นับเป็นครั้งแรกที่มีการ บล็อกพร็อกซีที่เข้ารหัสทั้งหมดแบบเรียลไทม์ในวงกว้างด้วยการวิเคราะห์ทราฟฟิกแบบพาสซีฟเพียงอย่างเดียว
วิธีการตรวจจับของ GFW
- GFW ไม่ได้ให้นิยามของ “ทราฟฟิกที่เข้ารหัสทั้งหมด” โดยตรง แต่จะตัดการเชื่อมต่อที่มีโอกาสสูงว่าไม่ใช่ทราฟฟิกเข้ารหัสทั้งหมดออกไปก่อน
- มีการใช้ exception heuristics อย่างหยาบแต่มีประสิทธิภาพอย่างน้อย 5 กลุ่ม
- ลายนิ้วมือ ของโปรโตคอลทั่วไป
- การทดสอบเอนโทรปีแบบคร่าว ๆ โดยใช้อัตราส่วนบิตที่กำหนดไว้
- สัดส่วนของอักขระ ASCII ที่พิมพ์ได้ใน TCP payload แรก
- ตำแหน่งของอักขระ ASCII
- จำนวนสูงสุดของอักขระ ASCII ที่ต่อเนื่องกัน
- ทราฟฟิกที่ไม่เข้ากฎข้อยกเว้นเหล่านี้จะกลายเป็นเป้าหมายการบล็อก
- เนื่องจาก GFW เป็นระบบกล่องดำ กฎที่อนุมานได้จึงอาจไม่สมบูรณ์ทั้งหมด
ผลการวัดและความเป็นไปได้ของผลกระทบข้างเคียง
- นักวิจัยใช้การสแกนอินเทอร์เน็ตเพื่อตรวจสอบว่า GFW ตรวจสอบทราฟฟิกแบบใดและที่อยู่ IP ใดบ้าง
- พวกเขานำอัลกอริทึมตรวจจับของ GFW ที่อนุมานได้ไปใช้กับทราฟฟิกจริงที่เก็บจาก network tap ของ CU Boulder เพื่อประเมินทั้งความครอบคลุมและความเป็นไปได้ของ false positive
- ผลลัพธ์ชี้ว่ากฎที่อนุมานได้มีความสอดคล้องกับกฎที่ GFW ใช้งานจริงอยู่มาก
- หากใช้อัลกอริทึมตรวจจับนี้อย่างกว้างขวาง จะมีการเชื่อมต่อราว 0.6% ของทั้งหมดใน network tap ที่อาจถูกบล็อก ทั้งที่เป็นทราฟฟิกอินเทอร์เน็ตปกติ
- เพื่อจำกัดการบล็อกเกินจำเป็นจาก false positive GFW จึงดูเหมือนใช้กลยุทธ์เฝ้าดูเพียง 26% ของการเชื่อมต่อทั้งหมด และเลือกเฉพาะช่วง IP ของดาต้าเซ็นเตอร์ยอดนิยมบางแห่งเท่านั้น
การตรวจจับเชิงรุกและกลยุทธ์การหลบเลี่ยง
- วิธีการเซ็นเซอร์แบบพาสซีฟใหม่นี้ทำงานควบคู่ไปกับระบบ active probing ที่ GFW ใช้อยู่เดิม
- ระบบ active probing เองก็พึ่งพาอัลกอริทึมวิเคราะห์ทราฟฟิกนี้เช่นกัน และเพิ่มกฎบนฐานของความยาวแพ็กเก็ตเข้าไปอีก
- กลยุทธ์การหลบเลี่ยงใหม่ที่ใช้หลีกเลี่ยงการบล็อกนี้ยังสามารถป้องกันขั้นตอนที่ GFW ใช้ระบุพร็อกซีเซิร์ฟเวอร์และตรวจสอบเชิงรุกต่อจากนั้นได้ด้วย
- นักวิจัยได้แบ่งปันผลการศึกษาและข้อเสนอการหลบเลี่ยงอย่างรับผิดชอบกับนักพัฒนาเครื่องมือหลบเลี่ยงการเซ็นเซอร์หลายราย เช่น Shadowsocks, V2Ray, Outline, Lantern, Psiphon และ Conjure
- กลยุทธ์การหลบเลี่ยงเหล่านี้ถูกนำไปใช้และเผยแพร่อย่างกว้างขวางตั้งแต่เดือนมกราคม 2022 ช่วยผู้ใช้นับล้านคนหลบเลี่ยงวิธีการเซ็นเซอร์แบบใหม่ได้ และ ณ เดือนกุมภาพันธ์ 2023 กลยุทธ์ที่ถูกนำไปใช้แล้วยังคงมีประสิทธิภาพในจีน
2 ความคิดเห็น
ดูเหมือนว่าบทความหลักกับคอมเมนต์สรุปจะเป็นคนละเรื่องกันนะ
ความเห็นจาก Hacker News
ในบทความไม่ได้พูดถึง VPN เลย ทำให้รู้สึกว่าแค่ใช้ VPN ก็พอหรือเปล่า แต่พอไปดูหัวข้อ GFW ใน Wikipedia ก็เห็นว่าการใช้ VPN ในจีนแม้จะทำให้เข้าถึงอินเทอร์เน็ตต่างประเทศได้ แต่ก็อาจมีความเสี่ยงทางกฎหมาย
ในปี 2017 รัฐบาลจีนประกาศให้บริการ VPN ที่ไม่ได้รับอนุญาตทั้งหมดเป็นสิ่งผิดกฎหมาย และยกตัวอย่างนักศึกษามหาวิทยาลัยวอชิงตัน Vera Zhou ซึ่งตอนกลับไปเยี่ยมพ่อแม่ชาวหุยในซินเจียง ได้ใช้ VPN เพื่อเข้าถึงงานของมหาวิทยาลัย ก่อนจะถูกส่งไปค่ายกักกันในซินเจียงตั้งแต่เดือนตุลาคม 2017 ถึงมีนาคม 2018 และหลังจากนั้นยังถูกกักบริเวณในบ้าน จนไม่สามารถกลับสหรัฐฯ ได้จนถึงกันยายน 2019
周月明(Vera Yueming Zhou) ดูเหมือนจะถูกส่งเข้าค่ายกักกันในจีนไม่ใช่เพราะพยายามใช้ VPN เพื่อเข้าเว็บไซต์ของ University of Washington โดยตรง แต่เพราะเธอเป็นชนกลุ่มน้อยทางศาสนา
ตอนนั้นตำรวจ Kuytun ตรวจพบจากเครื่องมือเฝ้าระวังดิจิทัลว่า Vera ใช้ VPN เพื่อพยายามเข้าเว็บไซต์อย่างบัญชี Gmail ของมหาวิทยาลัย และด้วยสถานะที่เธอเป็นสมาชิกของชนกลุ่มน้อยมุสลิม สิ่งนี้จึงอาจถูกมองว่าเป็น “สัญญาณของลัทธิหัวรุนแรงทางศาสนา”
ตลอด 1 ปีที่อยู่เวียดนาม ตำรวจเก็บหนังสือเดินทางของฉันไว้ จึงพยายามระวังตัว แต่ไม่กี่วันต่อมาก็ลองเปิด NYT แค่ไม่กี่นาที แล้วอินเทอร์เน็ตก็ดับไปราว 3 ชั่วโมง ครั้งถัดมาก็ดับ 24 ชั่วโมง ทำให้รู้ว่าไม่ใช่เหตุขัดข้องโดยบังเอิญ
มันไม่ได้ถูกตัดทันที แต่ใช้เวลาหลายนาที และฉันค่อนข้างมั่นใจว่ามีเจ้าหน้าที่ด้านการต่อต้านที่ได้รับมอบหมายให้เฝ้าดูทราฟฟิกของฉัน
ตอนนั้นไม่ได้ใช้ VPN และตั้งใจให้ทราฟฟิกมองเห็นได้ แต่ก็รู้ว่าถ้าเชื่อมผ่าน VPN จะยิ่งน่าสงสัยกว่าเดิม หลังจากนั้นเลยใช้ VPN เช็กอีเมลแบบสั้น ๆ เฉพาะตอนอยู่ในคาเฟ่
บางคนใช้เพื่อลด latency เวลาเล่นเกมต่างประเทศ ปัญหาคือการเชื่อมต่อ VPN ถูกบล็อกได้ง่าย ไม่ใช่ว่าผู้คนจะกังวลเรื่องกฎหมายกันมากนัก
แต่ช่วง “การประท้วงกระดาษขาว” ดูเหมือนว่าตำรวจในบางพื้นที่เคยไปตามบ้านคนเพื่อตรวจดูว่ามี VPN อยู่ในมือถือหรือไม่
คนหนุ่มสาวที่เชี่ยวชาญเทคโนโลยีส่วนใหญ่ดูเหมือนจะมี VPN กันอยู่แล้ว และมันก็เป็นเรื่องธรรมดาเบา ๆ คล้ายขับรถเร็วเกินจำกัดสัก 10mph บนทางด่วน
คนส่วนใหญ่ไม่ได้ถูกกดขี่เพียงเพราะใช้ VPN แต่ดูเหมือนมันจะถูกใช้เป็นข้ออ้างเวลาเจ้าหน้าที่ต้องการควบคุมตัวคนที่รัฐบาลอยากเล่นงานอยู่แล้วมากกว่า
กรณีนี้จึงดูไม่ใช่ตัวอย่างของความเสี่ยงทางกฎหมายจากการใช้ VPN โดยตรง แต่เป็นตัวอย่างของการลงโทษคนที่ถูกเพ่งเล็งอยู่แล้วด้วยเหตุผลอื่น
พูดอีกอย่างคือ ต่อให้ยกเลิกกฎหมายแบน VPN ทั้งหมด ในทางปฏิบัติก็อาจไม่มีอะไรเปลี่ยนเลย
ก่อนเกิดโรคระบาดฉันเคยอยู่จีนเป็นเวลานานและทดลองกับ GFW ค่อนข้างมาก และก็แปลกใจเสมอว่ามันตามเจอ shadowsocks หรือ SSH tunnel แบบสุ่มได้เร็วแค่ไหน
ปกติจะต้องเปลี่ยน IP ภายใน 48 ชั่วโมง แต่รายงานนี้ทำให้ดูเหมือนว่าตอนนี้มันจับได้แทบจะทันที
วิธีที่เสถียรที่สุดคือเกาะไปกับวงจรสื่อสารจริงจาก Shenzhen เข้าสู่ Hong Kong แล้วระหว่างเดินทางภายในจีนก็ค่อย VPN กลับเข้าไปที่เกตเวย์ใน Shenzhen นั้น
เท่าที่จำได้มันใช้งานได้ตลอด ทำให้ฉันเคยคิดว่าการวิเคราะห์และบล็อกทราฟฟิก VPN ส่วนใหญ่เกิดขึ้นที่ขอบเขตของ GFW และมีน้อยกว่าภายในประเทศ แต่ข้อมูลนี้อาจล้าสมัยไปแล้ว
มันถูกบล็อกทันทีจนไคลเอนต์เชื่อมต่อไม่ได้ และก่อนเริ่มลองก็มีหลาย IP ไม่ทราบที่มาพยายามเชื่อมต่ออยู่แล้ว
ฉันประหลาดใจกับความแน่นหนาของ GFW มาก และน่าเสียดายจริง ๆ ที่มันทำให้การอยากไปทำงานและท่องเที่ยวในจีนพร้อมมีอินเทอร์เน็ตที่เสถียรเป็นเรื่องยาก
ทราฟฟิกโรมมิงจะถูก tunnel กลับไปยังผู้ให้บริการเครือข่ายของประเทศต้นทาง และไม่ว่าด้วยเหตุผลอะไร tunnel นั้นกลับไม่ถูกตรวจสอบเลย
พอมี eSIM แล้ว ก็ยิ่งซื้อซิมโรมมิงและใช้งานบนมือถือได้ภายในไม่กี่นาที
มันดูเหมือนมีการแทรกแซงจากภายในประเทศ ไม่ใช่ที่ชายแดน แต่ก็ไม่รู้แน่ชัดว่าเกิดขึ้นอย่างไร
เมื่อคิดถึงขีดความสามารถทางเทคนิคของ Hangzhou ก็เป็นไปได้ว่า ISP ในพื้นที่นั้นมีความสามารถสูงกว่าและใช้มาตรการรับมือที่ใหม่กว่า
จำได้ว่าประมาณ 20 ปีก่อน ตอนทำงานที่บริษัทซึ่งมีพนักงานอยู่หน้างานใน Shanghai ต้องรับมือกับ GFW ยุคแรกๆ
ทุกเช้าพอเพื่อนร่วมงานชาวจีนเปิดเมลไคลเอนต์ มันจะเชื่อมต่อไปยังเซิร์ฟเวอร์ของเราที่อยู่ต่างประเทศ โดยปกติคนแรกมักไม่มีปัญหา แต่คนถัดๆ ไปจะเชื่อมต่อไม่สำเร็จ
ตอนนั้นแทบไม่มีใครรู้อะไรเกี่ยวกับ GFW และมันก็ยังไม่ฉลาดเท่าทุกวันนี้ แต่เราสังเกตว่า POP connection จะถูกบล็อกอย่างรวดเร็วหลังผ่านไปไม่กี่นาที ดูเหมือนมีกฎไฟร์วอลล์ที่ทำงานช้าแล้วค่อยเริ่มบังคับกลางทาง และค่อนข้างสุ่ม จึงเดาว่าการตั้งค่าไฟร์วอลล์ยังไม่เหมือนกันทั้งหมด
พอย้ายไปใช้ POPS/SMTPS ก็ช่วยได้อยู่พักหนึ่งแต่ก็ยังโดนบล็อกแบบสุ่ม สุดท้ายเมื่อให้เซิร์ฟเวอร์รับการเชื่อมต่อ POP/SMTP ผ่านพอร์ตสุ่มหลายพอร์ตแทนพอร์ตที่รู้จักกันทั่วไป ปัญหาก็หายไปจนกระทั่งเปลี่ยนระบบในอีกหลายปีถัดมา
ไม่ได้ขุดลึกนัก แต่เดาว่าการเชื่อมต่อถูกอ้อมไปเพื่อตรวจสอบ และถ้าจริงก็คงไม่น่าแปลกใจถ้าจะมีการจารกรรมทางอุตสาหกรรมผ่านข้อมูลที่กำลังเข้าถึงอยู่ด้วย
น่าสนใจที่มีการกวาดล้าง Shadowsocks ที่ติด obfuscation plugin
ตอนที่ไปจีนช่วง 2017~2019 การใช้ SS ร่วมกับ v2ray แทบจะเป็นมาตรฐานโดยพฤตินัย
ช่วงนั้นจะมีการกวาดล้าง VPN ในบางเวลา เช่น ต้นเดือนมิถุนายนหรือช่วงประชุมรัฐบาลใหญ่ๆ และแม้จะยากที่จะบล็อกให้แม่นยำตามขั้นตอน แต่ดูเหมือนพวกเขาจะใช้การบล็อกวงกว้างแบบคร่าวๆ กับทุกอย่างที่ดูคล้าย VPN
โดยทั่วไปยังเชื่อมต่อได้ แต่ถูกจำกัดความเร็วจนแทบทำอะไรไม่ได้จริง
รู้สึกเหมือน VPN ที่ซับซ้อนถึงระดับหนึ่งถูกยอมให้มีแบบไม่เป็นทางการ และดูเหมือนพวกเขาสนใจจะบล็อกเป้าหมายง่ายๆ ที่คนทั่วไปใช้งานได้สะดวกมากกว่า
ส่วนพวกสายเทคนิคไม่กี่คนที่ใช้เครื่องมือซับซ้อนกว่านั้น น่าจะรู้อยู่แล้วว่าใครใช้ และถ้าเรื่องลุกลามก็คงเลือกไปหาตัวโดยตรงมากกว่า
ดูเหมือนจีนจะไม่รู้ว่าตัวเองติดหล่มแค่ไหนจากการทุ่มเวลาและความเชี่ยวชาญไปกับเรื่องแบบนี้
สัดส่วน GDP ที่ใช้กับกลไกกดขี่ภายในประเทศแทบพอๆ กับที่สหรัฐใช้กับงบประมาณทางทหาร
การเผาผลาญบุคลากรเก่งๆ และความมั่งคั่งจำนวนมากเพื่อเพิ่มความไร้ประสิทธิภาพให้กับการแลกเปลี่ยนข้อมูลภายใน อาจเป็นเรื่องดีต่อโลกก็ได้
ตั้งแต่แรก เหตุผลที่ PRC มีระบบนิเวศข้อมูลภายในประเทศ ก็เพราะคัดกรองเนื้อหาจากภายนอกอย่างมองการณ์ไกล และระบบนั้นก็คืนทุนไปแล้วหลายครั้ง
ควรดูด้วยว่า PRC ไม่ได้ใช้งบกลาโหมคิดเป็นสัดส่วน GDP สูงขนาดนั้น
ถ้าจะเรียกว่าสิ้นเปลือง ก็เป็นการที่ PRC ใช้กับความมั่นคงภายในประเทศพอๆ กับสหรัฐ และเมื่อคิดว่าสหรัฐทำให้ตำรวจมีลักษณะเป็นทหารมากแค่ไหน มันก็ไม่ใช่เรื่องดี
ในทางกลับกัน งบกลาโหมของ PRC ต่ำกว่า 2% ขณะที่สหรัฐอยู่ราว 3.5% และแม้รวมตัวเลขประมาณการของงบเงา ก็ประมาณ 3% เทียบกับ 6%
ดูแค่ว่าโซเชียลมีเดียทำลายประชาธิปไตยทั่วโลกอย่างไร
ประชาธิปไตยของสหรัฐติดอยู่ในวงจรเสื่อมถอยแบบหนึ่งในระดับหนึ่ง: https://www.theatlantic.com/ideas/archive/2021/04/how-stop-m...
ผมไม่ชอบการกดขี่ แต่จีนทำแบบนี้มานับพันปีแล้ว และตอนนี้ก็ยากจะมั่นใจว่าเรามีอะไรที่ดีกว่าจริงๆ เมื่อดูกรณีอย่าง Citizens United, Roe v. Wade, affirmative action และอายุขัยเฉลี่ยของจีนก็เพิ่งแซงสหรัฐไปด้วย
แม้การใช้งานจะค่อนข้างจำกัด แต่เวลาจะย้ายข้อมูลเข้าออกระบบแบบนี้ อาจใช้ chaffing and winnowing ได้: https://en.m.wikipedia.org/wiki/Chaffing_and_winnowing
ปฏิกิริยาหลายอันดูตลกดี เหมือนคนที่ไม่เคยไปประเทศที่มีข้อจำกัดแบบนี้มาก่อน
น่าจะมี ผู้ให้บริการ VPN บางรายที่ทำงานได้ ซึ่งใกล้เคียงกับการเป็นบริการเงาที่ได้รับอนุมัติ แต่ผมไม่เชื่อว่ามันทำได้เพราะพวกเขาฉลาดกว่า GFW
ผมมั่นใจว่าพวกเขาได้รับอนุญาต ไม่ถูกลงโทษ และถูกเฝ้าดูอยู่
ถ้าคุณไม่มีปัญหากับรัฐบาลเลยก็อาจไม่เป็นไร แต่คุณจะไม่รู้หรอกว่ามีปัญหาหรือไม่ จนกว่ามันจะเกิดขึ้นจริง
พวก socks5, shadowsocks, WireGuard ใช้การไม่ได้มานานแล้ว
มันเหมือนอยู่ในบ้าน มองไม่เห็นจากใคร แต่พยายามจะออกไปข้างนอก ต่อให้พยายามดีแค่ไหน ตัวความพยายามนั้นก็ถูกเห็นและทำให้โดนจับได้
การหนี GFW ก็เหมือนกัน ดังนั้นทางเลือกที่ดีที่สุดคือ VPN ที่ได้รับอนุมัติ หรือ RDP ที่อยู่ได้นานโดยไม่ต้องพรางตัว
ผมไม่รู้ว่าตัวเองฉลาดกว่า GFW หรือเปล่า แต่เครื่องมือหลบเลี่ยงการเซ็นเซอร์ที่ทำเองใช้ได้ผลทุกครั้ง และแม้แต่วิธีที่ขี้เกียจที่สุดก็ยังเวิร์ก
ผมไม่เคยใช้ผู้ให้บริการ VPN เลย
อนึ่ง WireGuard แบบไม่ดัดแปลงก็ยังใช้งานได้อยู่ แต่ดูเหมือนจะมีการวิเคราะห์ทราฟฟิกแบบออฟไลน์เพื่อหา จนประมาณสัปดาห์ละครั้งตื่นมาจะพบว่า VPN หลุดและต้องเปลี่ยน ListenPort ของเซิร์ฟเวอร์
สำหรับผม เรื่องที่น่ารำคาญที่สุดคือค่าใช้จ่ายทราฟฟิกขาออกของ AWS แพงเกินไป
พวกเขาอาจรู้ว่ามีการใช้ VPN แต่คงเฝ้าดูเนื้อหาของทราฟฟิกไม่ได้
บทความนี้ดี แต่ค่อนข้างลงรายละเอียดเชิงเทคนิคมาก
แม้จะไม่ได้พูดถึง GFW โดยตรง แต่โปรเจ็กต์อย่าง https://github.com/salesforce/ja3 อธิบายว่าทราฟฟิกที่เข้ารหัสทั้งหมดอย่าง TLS/HTTPS สามารถถูกทำฟิงเกอร์พรินต์ได้อย่างไร
ส่วน “How it works” ใน README อธิบายไว้ได้ดี
ถ้าไฟร์วอลล์โอเพนซอร์สยังทำแบบนี้ได้ ก็คงน่าแปลกมากถ้า GFW ไม่ทำ
ถึงอย่างนั้นก็ยังสร้างฟิงเกอร์พรินต์ได้จากพารามิเตอร์ TLS ที่ประกาศร่วมกันโดยไม่สนลำดับ
งานวิจัยที่ลิงก์ไว้ยกกรณีการตรวจจับการเชื่อมต่อ Tor-obfs ด้วยรายการ cipher suite มาอ้างอิง[2][3]
[1] https://www.fastly.com/blog/a-first-look-at-chromes-tls-clie...
[2] https://gitlab.torproject.org/legacy/trac/-/issues/4744
[3] https://blog.torproject.org/ethiopia-introduces-deep-packet-...
อัลกอริทึมที่ค้นพบมันขัดกับสัญชาตญาณมากจนทำให้นึกว่า AI เป็นคนหาเจอหรือเปล่า
ประมาณว่าถ้า TCP payload แรกที่ไคลเอนต์ส่งมาตรงกับหนึ่งในเงื่อนไขยกเว้น ก็ปล่อยให้การเชื่อมต่อดำเนินต่อได้ ไม่อย่างนั้นก็บล็อก
ข้อยกเว้นคือ อัตราส่วน popcount/ความยาวอยู่นอกช่วงที่กำหนด, หรือ 6 ไบต์แรกขึ้นไปอยู่ในช่วง [0x20,0x7e], หรือมากกว่า 50% ของไบต์อยู่ในช่วงนั้น, หรือมีช่วงต่อเนื่องเกิน 20 ไบต์ที่อยู่ในช่วงนั้น, หรือมีลักษณะตรงกับฟิงเกอร์พรินต์ของโปรโตคอล TLS/HTTP
เป้าหมายคือคัดกรองทราฟฟิกเข้ารหัสที่ดูผิดปกติ
กฎแรกอาศัยคุณสมบัติ IND-CPA ของการเข้ารหัสเป็นส่วนใหญ่ คือพยายามฆ่าทราฟฟิกที่ “ดูเหมือนสุ่ม” ซึ่งโดยเฉลี่ยมีประมาณ 4 บิตต่อไบต์ที่ถูกตั้งค่าเป็น 1
ส่วนกฎถัด ๆ มาเป็นข้อยกเว้นสำหรับทราฟฟิกเข้ารหัสหรือทราฟฟิกบีบอัดที่ยอมรับได้
การบีบอัดไม่ใช่ IND-CPA แต่สร้างเอนโทรปีสูง จึงอาจติดกฎแรกได้
วิธีนี้อาจใช้ได้ผลค่อนข้างดี และนักวิจัยในบทความก็ยืนยันเช่นนั้น
ถ้าเป็นฝั่ง CCP ก็น่าจะสร้างกฎนี้ขึ้นมาจากการวิเคราะห์เชิงสถิติพื้นฐาน แล้วปรับแต่งให้ผลข้างเคียงและความเสียหายต่อผู้ใช้ทั่วไปต่ำกว่าเกณฑ์ที่ยอมรับได้
อยู่ที่ประมาณ 0.6% ของทราฟฟิกทั่วโลกที่ถูกบล็อกโดยไม่ตั้งใจ
ถ้าเป็นฝั่งนักวิจัย ตัวบทความอธิบายอย่างละเอียดถึงการวิเคราะห์เชิงสถิติพื้นฐานที่ใช้ค้นพบกฎเหล่านี้
ในข้อมูลเอนโทรปีสูง การกระจายของ 1 และ 0 จะลู่เข้าหาค่าเฉลี่ย และข้อมูลที่เข้ารหัสจะดูเหมือนข้อมูลเอนโทรปีสูง
มันหยาบแต่มีประสิทธิภาพมากสำหรับฮาร์ดแวร์ฝังตัวในการคำนวณ
Ex2~4 เป็นการยกเว้นโปรโตคอลที่ไม่เข้ารหัสจำนวนมาก เช่น ASCII text ที่ใช้ใน IMAP ซึ่งข้อความแบบนี้ก็มีเอนโทรปีสูงพอที่จะไม่ผ่านการทดสอบแรกในเชิงสถิติได้บ่อย
Ex5 จำเป็นเพราะ TLS โดยธรรมชาติแล้วเป็นข้อมูลเข้ารหัสจึงมีเอนโทรปีสูง และดูเหมือน HTTP ก็ถูกยกเว้นไว้เพื่อไม่ให้อัปโหลดแบบบีบอัด เช่น รูปภาพหรือวิดีโอ โดนไปด้วย
ที่แก่นของการหลบเลี่ยง GFW คือ “เอนโทรปีต่ำ” นั้นไม่น่าแปลกใจเลย เพราะเอนโทรปีสูงแทบเป็นคุณสมบัติจำเป็นของระบบเข้ารหัสส่วนใหญ่
ในทางทฤษฎี การเข้ารหัสไม่ได้เพิ่มข้อมูล ดังนั้นถ้าไม่บีบอัดก่อนเข้ารหัส ก็อาจมีไซเฟอร์เชิงอุดมคติที่รักษาเอนโทรปีไว้ตามตัวชี้วัดเชิงวัตถุหลายแบบได้ แต่ผมนึกออกแค่วิธีระดับเมตาที่บีบอัดก่อนเข้ารหัส แล้วแพด ciphertext แบบสเตกาโนกราฟี
แน่นอนว่าวิธีนั้นรั่วข้อมูลออกมาตามปริมาณ negative entropy ของข้อความ แต่โดยมากก็คงเป็นแค่ข้อมูลที่เดาจากบริบทไม่ได้ เช่น อย่างมากก็รู้ว่าข้อความนั้นเป็น HTML+text
งั้นก็เข้ารหัส TLS แล้ว encode เป็น base64 ได้ไหม?
เรื่องนี้ชัดเจนมาตั้งแต่เมื่อ 10~12 ปีก่อนแล้ว
ตอนผมเรียนอยู่จีน VPN ของมหาวิทยาลัยใช้ได้แค่ไม่กี่วัน
แต่มีซอฟต์แวร์ VPN ตัวเล็กมากตัวหนึ่งแพร่กันอยู่ และผมจำได้ว่าไม่รู้จริงไหมแต่มีคนบอกว่า Falun Gong ร่วมมือกับ CIA ทำมันขึ้นมา
ตอนนั้นมันหลบการตรวจจับได้ และน่าจะเป็นแนวหมุน IP ไปเรื่อย ๆ
สิ่งที่น่าสนใจคือเครื่องมือนั้นแพร่แบบ “ออฟไลน์” ในหมู่นักศึกษาต่างชาติเร็วมากแค่ไหน
คนจีนก็มีเหมือนกัน แต่ในหมู่พวกเขาดูจะไม่ค่อยเป็นที่รู้จักเท่าไร
ไม่รู้ว่ายังใช้ได้อยู่ไหม: https://en.m.wikipedia.org/wiki/Freegate
[Edit] มีคอมเมนต์ HN เก่าที่บอกว่าใช้ไม่ได้แล้ว และยังมีตัวเลือกอื่นที่ยากพอ ๆ กัน: https://news.ycombinator.com/item?id=10101965