Zamlžování provozu pro dVPN uzly odolné vůči cenzuře

Boj proti automatizované internetové cenzuře

Máte někdy pocit, že vás při běžném prohlížení webu někdo sleduje? Není to jen vaše představivost – moderní cenzoři vyměnili jednoduché „seznamy zakázaných stránek“ za pokročilé, automatizované systémy, které skenují každý jednotlivý bit dat, který odešlete.

Dříve stačilo schovat provoz za VPN a měli jste klid. Tyto časy jsou však z velké části pryč kvůli dvěma zásadním technologickým posunům:

• Hloubková inspekce paketů (DPI): Cenzoři už nesledují jen to, kam vaše data směřují; dívají se přímo dovnitř paketů. I když je provoz šifrovaný, dokážou rozpoznat „tvar“ a charakteristiku dat.
• Detekce pomocí strojového učení (ML): Jak uvádí studie vědců z Lisabonské univerzity z roku 2018, modely strojového učení, jako je například XGBoost, dokážou identifikovat provoz VPN s děsivou přesností – někdy odhalí až 90 % maskovaných toků, přičemž u „běžného“ provozu chybují jen minimálně.
• Whitelisting protokolů: V zemích, jako je Čína, platí přísná pravidla – pokud firewall přesně nerozpozná, o jaký protokol se jedná (například HTTPS), jednoduše jej zahodí. (Čínský Velký firewall například zablokoval veškerý provoz na běžném portu HTTPS pro...)

Představte si to jako ochranku na maškarním plese. I když máte masku, pokud jste jediní, kdo má místo společenské obuvi tenisky, ochranka si vás okamžitě odvede stranou.

V současnosti sledujeme posun směrem k „multimediálnímu tunelování protokolů“. Nástroje jako DeltaShaper nebo Protozoa data pouze nešifrují, ale maskují váš internetový provoz uvnitř reálného videohovoru přes Skype nebo WebRTC. Vzhledem k tomu, že tyto aplikace jsou nezbytné pro byznys – od lékařských konzultací až po firemní porady – cenzoři váhají s jejich úplným zablokováním. Tomu říkáme „kolaterální poškození“ – vláda se bojí zničit nástroje, které udržují její vlastní ekonomiku v chodu.

Ani toto řešení však není stoprocentní. Pokud s někým „telefonujete“ 24 hodin v kuse každý den ve tři ráno, automatizovaný systém to vyhodnotí jako podezřelé. Abychom zůstali pod radarem, musíme zajistit, aby naše digitální stopa vypadala co nejvíce chaoticky a lidsky.

V další části se podíváme na to, jak tyto techniky obcházení cenzury v praxi fungují a jak dokážou oklamat i ty nejmodernější firewally.

Tunelování multimediálních protokolů: Ukrytí přímo před očima

Představte si, že se pokoušíte propašovat tajný dopis tak, že jeho obsah vpletete do vzoru pleteného svetru. Pro kohokoli zvenčí prostě jen pletete oblečení, ale pro člověka, který zná kód, jsou data přímo tam. Přesně tak funguje tunelování multimediálních protokolů s vaším internetovým provozem.

Namísto odesílání surových šifrovaných paketů, které do světa křičí „jsem VPN!“, nástroje jako DeltaShaper nebo Facet vezmou vaše data a skryjí je uvnitř video nebo audio streamu legitimní aplikace. Zatímco standardní HTTPS lze snadno omezit (throttle), protokoly jako WebRTC a video streamy se blokují mnohem hůře. Využívají totiž dynamické porty a jsou naprosto nezbytné pro moderní svět práce z domova. Pokud by cenzor zablokoval WebRTC, ochromil by veškerá firemní jednání v celé zemi.

Kouzlo spočívá v „parazitování“ na způsobu, jakým se kóduje video. Zde je stručný přehled toho, jak tyto nástroje fungují:

• Kódování do streamů: Nástroje jako CovertCast vezmou webový obsah a přemění jej na barevné maticové obrázky – v podstatě digitální mozaiku – která se následně vysílá přes platformy pro živé streamování, jako je YouTube.
• Manipulace s rámci (frames): V systémech jako DeltaShaper je malá část video hovoru přes Skype (tzv. payload frame) nahrazena těmito pixely nesoucími data. Zbytek obrazovky zobrazuje běžné video mluvící osoby, takže pro náhodného pozorovatele vypadá přenos naprosto přirozeně.
• Zachování časování: Skutečným trikem je udržení konzistentního „tvaru“ provozu. Nahrazením video bitů datovými bity, aniž by se změnila celková velikost paketů nebo frekvence jejich odesílání, si stream zachovává „normální“ rytmus (heartbeat).

Má to však jeden háček – to, že něco vypadá jako video, ještě neznamená, že je to neviditelné. Jak uvádí výzkumná práce o obfuskaci síťového provozu, cenzoři se stále lépe učí tyto „steganografické“ triky odhalovat.

Tyto techniky se již dnes uplatňují v různých citlivých odvětvích:

• Zdravotnictví: Lékař v regionu s omezeným přístupem používá nástroj založený na protokolu Protozoa k přístupu k odborným lékařským žurnálům, přičemž požadavek skrývá uvnitř konzultačního hovoru.
• Finance: Analytik synchronizuje malou databázi tím, že „sleduje“ soukromý, datově kódovaný stream na video platformě.

Ačkoli je skrývání se přímo před očima chytré, zjišťujeme, že i tyto „neviditelné“ tunely zanechávají stopy. Abychom pochopili proč, musíme se podívat na to, jak různé protokoly obstojí v testu hloubkové inspekce paketů (DPI test).

Pokročilé skryté kanály WebRTC v ekosystémech dVPN

Napadlo vás někdy, proč vaše oblíbená aplikace pro videohovory funguje bezchybně, zatímco jiné stránky jsou blokovány? Je to proto, že cenzoři mají panickou hrůzu z vedlejších škod, o kterých jsme se zmínili dříve. WebRTC je v podstatě motorem moderní komunikace v prohlížeči a pro firewally představuje noční můru, kterou lze jen stěží filtrovat.

Postupně upouštíme od zastaralých proxy serverů, protože jsou příliš snadno odhalitelné. Zajímavý projekt s názvem SquirrelVPN si získal pozornost díky pečlivému sledování nejnovějších funkcí VPN, ale skutečným hráčem, který mění pravidla hry, je WebRTC. Tato technologie je ideální pro P2P sdílení šířky pásma, protože je integrována přímo v prohlížeči a bravurně zvládá šifrovaný přenos videa.

Kouzlo využití WebRTC pro dVPN spočívá v tom, že se u něj automaticky očekává přenos velkého objemu dat. Jak uvádí odborná práce Dioga Barradase a Nuna Santose z roku 2020, můžeme vytvořit překryvnou síť odolnou vůči cenzuře (CRON), která využívá tyto „skryté okruhy“ k maskování vašeho provozu uvnitř něčeho, co vypadá jako standardní videohovor.

• Vysoký výkon: Na rozdíl od starších metod tunelování, které byly pomalé jako šnek, dokážou nástroje jako Protozoa dosahovat rychlostí kolem 1,4 Mb/s.
• Přirozená stopa: Protože je WebRTC ze své podstaty peer-to-peer technologií, dokonale zapadá do modelu dVPN, aniž by vyžadovala centrální autoritu pro správu serverů.
• Běh v prohlížeči: Nemusíte vždy instalovat podezřelý software; někdy „tunel“ existuje přímo v kartě vašeho prohlížeče.

Představte si „steganografický okruh“ jako předávku naslepo. Místo pouhého odesílání surových dat, která by při pokusu cenzora o dekódování videa mohla vypadat jako „šum“, využívají tyto systémy jako nosič přímo jednotlivé snímky videa.

Upřímně řečeno, nejtěžší částí není technologie, ale důvěra. Pokud jste finanční analytik, který potřebuje synchronizovat databázi, musíte mít jistotu, že vaše „proxy“ není vládní Sybil uzel. Proto se tyto ekosystémy posouvají směrem k „sociálním kruhům“, kde sdílíte šířku pásma pouze s lidmi, které skutečně znáte, nebo s „přáteli vašich přátel“.

Odolnost vůči analýze provozu a motivace uzlů

Pokud sdílíte svou přebytečnou šířku pásma, abyste si vydělali nějaké kryptoměny, pravděpodobně si myslíte, že jste jen nenápadným článkem v celém systému. Ale pozor: pokud cenzor zjistí, že fungujete jako uzel, může se tento „pasivní příjem“ rychle změnit v obrovský digitální terč na vašich zádech. Vítejte ve světě DePIN (Decentralizované sítě fyzické infrastruktury), kde lidé dostávají odměny v tokenech za poskytování reálných služeb, jako je těžení šířky pásma (bandwidth mining).

Provozování uzlu decentralizované VPN (dVPN) obvykle zahrnuje určitou formu odměny, což ale na blockchainu zanechává digitální stopu.

• Past viditelnosti: Většina DePIN projektů využívá veřejné blockchainy ke sledování plateb. Cenzoři ani nemusí prolamovat vaše šifrování; stačí jim nahlédnout do veřejné účetní knihy. Pokud uvidí, že vaše peněženka pravidelně přijímá „odměny pro uzly“ (Node Rewards), vědí, že provozujete proxy server. Následně si mohou dohledat vaši IP adresu a zablokovat vás, nebo v horším případě podniknout další kroky.
• Steganografie zaměřená na člověka: Abychom udrželi uzly v bezpečí, využíváme video steganografii. Nejde jen o prosté šifrování; jde o doslovné skrývání datových bitů v pixelech videohovoru. Lidský dozorce sledující stream uvidí jen mírně zrnitý obraz hovoru o skladových zásobách v obchodě.
• Nepozorovatelné uzly: Cílem je učinit uzel „nepozorovatelným“. Pokud cenzor nedokáže rozlišit váš uzel od běžného teenagera sledujícího YouTube, nemůže si obhájit vaše zablokování, aniž by způsobil masivní vedlejší škody místnímu internetovému provozu.

Upřímně řečeno, riziko je reálné zejména pro lidi v odvětvích, jako jsou finance, kde je vysoká úroveň zabezpečení normou. Pokud váš „videohovor“ trvá 10 hodin každý den, ani ta nejlepší steganografie vás nezachrání před základní analýzou provozu pomocí umělé inteligence. Jednou jsem viděl vývojáře, který se pokusil spustit uzel na domácím PC bez jakéhokoli maskování (obfuskace); během dvou dnů mu jeho poskytovatel internetu (ISP) omezil připojení na minimum, protože „tvar“ jeho provozu jasně vykazoval znaky VPN.

Budování překryvné sítě odolné vůči cenzuře (CRON)

Už jsme probrali, jak skrýt data přímo ve videu, ale jak propojit uživatele, aniž by centrální server zlikvidoval cenzor? Právě zde přichází na scénu překryvná síť odolná vůči cenzuře (CRON – Censorship-Resistant Overlay Network). Ta v podstatě přeměňuje nepřehlednou síť sociálních kontaktů na soukromou internetovou dálnici.

Největším problémem pro decentralizované VPN (dVPN) je proces objevování (discovery) – tedy jak najít proxy server, aniž by existoval veřejný seznam, který může cenzor jednoduše zablokovat? CRON tento problém řeší využitím vašich skutečných sociálních vazeb.

• Kruhy důvěry (Trust Rings): Nepřipojujete se jen tak k někomu; využíváte systém „diskreční důvěry“. Vaši důvěřníci prvního stupně jsou lidé, které osobně znáte, zatímco druhý stupeň tvoří „přátelé vašich přátel“, kteří mohou fungovat jako přenosové uzly (relays).
• Okruhy s n-skoky (n-hop Circuits): Aby cílová destinace zůstala v tajnosti, váš provoz prochází přes několik uzlů. I když je první uzel sledován, pozorovatel vidí pouze videohovor s kamarádem, nikoliv finální skok do otevřeného webu.
• Pasivní vs. aktivní režim: Tohle je moje nejoblíbenější část. V „pasivním režimu“ systém čeká, až budete skutečně mít reálnou videokonferenci, aby skrze ni nenápadně protlačil data. Je mnohem těžší to odhalit, protože načasování a délka trvání jsou stoprocentně lidské.

Pokud najednou začnete vést dvanáctihodinové videohovory s cizím člověkem v jiné zemi, algoritmy umělé inteligence na straně cenzora okamžitě spustí poplach. Jak uvádějí Diogo Barradas a Nuno Santos ve své studii z roku 2020, „aktivní režim“ musíme používat opatrně a přidávat do délek hovorů náhodný šum, aby celá aktivita nevypadala, že ji řídí robot.

Budoucnost decentralizovaného přístupu k internetu

Kam nás tedy tato hra na kočku a myš posouvá? Upřímně řečeno, budoucnost decentralizovaného webu není jen o lepším šifrování, ale o tom, aby se stal zcela nepozorovatelným. Směřujeme ke světu, kde váš uzel (node) nebude vůbec vypadat jako uzel, ale prostě jako další běžný uživatel prohlížející si sociální sítě.

• Propojení motivace a anonymity: Sledujeme posun, kdy jsou odměny v rámci DePIN (jako je získávání tokenů za sdílení šířky pásma) přímo integrovány do protokolů využívajících „traffic morphing“ (maskování provozu). To udržuje síť v chodu, aniž by se z vás stal snadný terč pro cenzory.
• Blockchain pro ochranu soukromí: Jak již bylo zmíněno, udržování veřejné knihy odměn je riskantní, protože identifikuje provozovatele uzlů komukoliv s připojením k internetu. Dalším krokem je využití důkazů s nulovým rozšířením znalostí (zero-knowledge proofs). Díky nim můžete dostávat zaplaceno za svou šířku pásma, aniž byste za sebou zanechali veřejnou stopu, kterou by mohl cenzor sledovat.
• Lidský faktor: Skutečným „tajným receptem“ je napodobování lidské nepředvídatelnosti. Nástroje začínají do datového provozu přidávat náhodná zpoždění a kolísání (jitter), což znemožňuje umělé inteligenci rozeznat dVPN od trhaného videohovoru.

Je to neustálý závod ve zbrojení, ale tyto P2P sítě jsou stále chytřejší. Ať už jste lékař v zóně s omezeným přístupem, nebo jen někdo, komu záleží na jeho soukromí, tyto nástroje konečně vrací moc do našich rukou. Zůstaňte v bezpečí a udržujte své uzly skryté.