06.08 // Система Telex: как власти одних стран могут нейтрализовать интернет-цензуру в других

Свободный обмен идеями, новостями и другой информацией в интернете может способствовать различным социальным изменениям. Разработчики системы Telex обосновывают это традиционной риторикой, включающей термины “арабская весна 2011 года” и “репрессивные режимы”. Отбросив в сторону морально-политические аспекты (а данный проект потенциально способен поставить их достаточно радикальным образом), интересно рассмотреть техническую сторону вопроса.

Предположим, что в некоторой стране существует жёсткая интернет-цензура. Под предлогом борьбы с различными опасными и нежелательными для общества явлениями власти блокируют доступ к определённым веб-сайтам и другим сетевым сервисам. Также они регулярно следят за разного рода прокси-сервисами, виртуальными частными сетями, сетями анонимного доступа (наподобие Tor, Freedom или I2P). Все узлы, через которые может быть предоставлен анонимный доступ, также регулярно отыскиваются, вносятся в чёрный список и блокируются.

Пусть блокирование и отслеживание производится не только по IP-адресам, но и на основе т.н. глубокой инспекции пакетов – анализа содержимого трафика. Даже если пользователь смог пробиться через незаблокированный ресурс, его гипотетически могут вызвать на допрос позднее, когда факт использования ресурса выявится на основе анализа предыдущих перехваченных данных, после чего могут задать вопросы вида: “зачем вы использовали шифрованный туннель с сервером, на котором вы не являетесь администратором хостинга?” и т.д. Сам факт привлечения внимания попытками обойти цензуру может быть критически компрометирующим для пользователя, например в случае участия в секретных организациях, занимающихся деятельностью, преследуемой государством.

Можно ли обойти жёсткую интернет-цензуру такого рода и при таких ограничениях? Не считая конечно самых крайних вариантов – полное отключение интернета или превращение его в интранет, ограниченный пределами одной страны (на данный момент такой вариант существует в Северной Корее – содержимое общедоступного интернета частично “копируется” во внутреннюю ограниченную изолированную сеть практически ручной работой цензоров).

Авторы проекта Telex отвечают утвердительно при некоторых дополнительных допущениях:

1. Трафик за пределы страны должен быть разрешён.
2. Должен допускаться трафик, шифрованный https, хотя бы к одному произвольному адресу. Это допущение считается разумным в рамках необходимости доступа к интернет-коммерции, сайтам с безопасным вводом паролей и др. Такой адрес не является прокси-сервером и его владельцы не будут подозревать, что он используется для прикрытия.
3. Противоцензурная система Telex разворачивается не поверх интернета, а путём внедрения в его инфраструктуру. Это практически исключает участие добровольцев и требует усилий госслужб противоборствующих государств.
4. Противник системы (цензор) не является глобально контролирующим систему интернета (глобальным цензором) и не может контролировать весь путь прохождения пакетов в сети.

Остальные ограничения, преимущества, возможности и необычные особенности противоцензурной системы Telex можно понять из описания принципов её работы.

У пользователя на компьютере должна быть установлена клиентская программа. Он может скрытно получить её даже на флэшке (“из рук-в-руки”). Кроме самого факта наличия программы ему не потребуется что-либо скрывать или иметь какие-то долгосрочные секреты от цензоров (типа секретных прокси-серверов).

Во все современные браузеры встроен протокол шифрованного соединения https и всё больше сервисов в интернете его поддерживают для ввода паролей и другого типа безопасного обмена данными. Пользователю достаточно сделать такой запрос к любому безобидно выглядещяму сервису, находящемуся зарубежом. Клиентская программа на компьютере пользователя перехватит этот запрос и модифицирует определённым образом, используя сочетание криптографии с открытым ключом и простейших элементов сетевой стеганографии.

Https запрос к серверу включает в себя поле ClientHello. В нём содержится метка времени и случайные данные (т.н. nonce, “соль”). Это необходимо в протоколе для защиты от атак подмены (“человека посредине”) – сервер должен вернуть правильный ответ на такой случайный запрос, а любое вмешательство в протокол покажет несоответствие.

Клиент системы Telex под видом случайного запроса внедрит в это поле неотличимый от случайного тэг (метку). Эта метка будет сгенерирована на основе запроса с использованием коротких ключей, используемых в криптографии на эллиптических кривых. Противник-цензор или другой наблюдатель не смогут выявить факт такого запроса, или его отличие от случайной строки, так как у них нет закрытого ключа. Этот ключ будет только у системы Telex.

Система Telex будет развёрнута на точках прохождения трафика у крупнейших телекоммуникационных операторов противоборствующих стран при поддержке со стороны их правительств. Они будут прослушивать сетевой трафик (примерно так же как это делает система Эшелон и на основе такой же глубокой инспекции пакетов, которую применяют сами цензоры). Если в ходе пассивного прослушивания https-трафика в нём выявится метка-запрос, то система Telex внедрит в https-соединение свой трафик и установит скрытый контакт с пользователем. Она будет имитировать соединения пользователя с тем безобидным сервером, который он выбрал для отвлечения внимания, а на самом деле откроет ему туннель для связи с заблокированным сайтом, внедряя всю информацию в этот же https-сеанс, так, как будто она исходит от безобидного сервера.

Таким образом, цензор будет наблюдать лишь факт связи с безобидным https-сайтом. Сам сайт не является прокси и ничего не подозревает о том, что играет роль прикрытия. Если его заблокируют, то пользователь может попытаться выбрать другой https-сайт. Главное, чтобы маршрут до него прошёл через узлы сети интернет, на которых установлена система перехвата https-трафика Telex.

Авторы, которые изобрели систему Telex – Ян Голдберг (Школа компьютерных наук Черитона, Университет Ватерлоо – Канада), Джей Алекс Хальдерман, Эрик Вастроу и Скот Волчок – кафедра компьютерных наук Мичиганского Университета. В своей работе они рассматривают различные атаки, которые может предпринять противник, начиная от DoS-атак и до атак подмены маршрута следования пакетов в сети и запуска противником собственных узлов сети Telex. Исследователи приводят аргументы в пользу того, что противник не сможет эффективно блокировать сеть, а в тех случаях, когда он сможет затруднить её использование и ухудшить связь для пользователя, он не сможет определить факт использования такой сети. По определению, кроме атак “глобального цензора” сеть не является стойкой к атакам с подменой сертификатов и использования недостатков глобальной системы инфраструктуры открытых ключей (PKI). Однако, такие атаки могут быть выявлены опытным пользователям до установления соединения. Расширение поддержки различных протоколов и противодействие статистическим атакам планируется авторами в будущем.

Авторами было написано простейшее ПО для клиентов и узлов сети и было выявлено, что накладные расходы на пользование такой сетью крайне незначительны как для пользователей, так и для узлов. Они испробовали работу сети из Китая и смогли получить доступ ко всем ста заблокированным адресам из списка. Хотя это нельзя считать чистым экспериментом – ведь пока цензоры мало знают об этой сети. Также они долгое время пользовались своим узлом в США и не заметили никаких замедлений работы или неудобств.

Пока что сеть Telex не развёрнута по-настояещму. Есть лишь один демо-узел, принадлежащий авторам. Поскольку авторы не устанавливали никакого ПО у т.н. “дружественных провайдеров” – точек перехвата и противоцензурной обработки трафика, то работа “сети” и программы носит чисто демонстрационный характер и в настоящее время легко выявляется любым, кто может выступить в роли цензора.

Интересна концепция сети – она не может быть развёрнута независимыми добровольцами, а лишь крупнейшими телекоммуникационными узлами под влиянием правительств и секретных агентств. При этом трафик пользователя не является анонимным или секретным для владельцев сети – они открыто предупреждают, что могут (и по протоколу должны) его прослушивать. На первый взгляд, такое положение дел может подойти шпионам или прочим агентам влияния иностранных держав, но оттолкнёт от пользования сетью обычных пользователей. Но, на самом деле такое неоправданное доверие своих секретов к сети нежелательно даже для "секретных агентов" – ведь в случае взлома или предательства изнутри они будут скомпрометированы. Поэтому авторы предусмотрели в своём программном обеспечении совместную работу с сетью Tor: через Telex-узлы пользователь сможет тайно соединяться не с заблокированными цензурой сайтами, а бридж-узлами сети Tor. Для этого в ПО предусмотрен специальный публичный ключ для внесения запросов на соединение с сетью Tor и совместная работа с Tor Browser Bundle.

Пока ни сеть, ни ПО не могут осуществлять никакой реальной защиты, но демоверсия полностью показывает реальность её развёртывания. Доклад о сети представлен на конференции USENIX security 2011, проходящей 8 — 12 августа 2011 года.

Источник: Telex — проект противоцензурной сетевой инфраструктуры