Forgalomálcázás cenzúramentes dVPN csomópontokhoz

Harc az automatizált internetes cenzúra ellen

Érezte már úgy böngészés közben, mintha minden lépését figyelnék? Ez nem csupán a képzelete szüleménye – a modern cenzúra eszközei a kezdetleges „tiltólistákat” mára fejlett, automatizált megfigyelőrendszerekre cserélték, amelyek az Ön által küldött minden egyes adatbitet tüzetesen átvizsgálnak.

Régebben elegendő volt a forgalmat egy egyszerű VPN mögé rejteni, és kész is voltunk. Azonban ez a korszak véget ért két jelentős technológiai változás miatt:

• Mély csomagelemzés (DPI - Deep Packet Inspection): A cenzorok már nemcsak azt nézik, hová tartanak az adatai, hanem belepillantanak a csomagok belsejébe is. Még ha az adatok titkosítottak is, képesek felismerni az adatforgalom „mintázatát”.
• Gépi tanuláson (ML) alapuló detekció: Ahogy azt a Lisszaboni Egyetem kutatóinak 2018-as tanulmánya is rögzítette, az olyan gépi tanulási modellek, mint az XGBoost, félelmetes pontossággal szúrják ki a VPN-forgalmat – olykor az álcázott adatfolyamok 90%-át azonosítják, miközben alig hibáznak a „normál” forgalom elemzésekor.
• Protokoll-engedélyezőlisták (Whitelisting): Az olyan országokban, mint Kína, ha a tűzfal nem ismeri fel pontosan az adott protokollt (például a HTTPS-t), egyszerűen megszakítja a kapcsolatot. (A kínai „Nagy Tűzfal” például blokkolt minden forgalmat egy általánosan használt HTTPS porton keresztül...)

Képzelje el ezt úgy, mint egy biztonsági őrt egy álarcosbálon. Hiába visel maszkot, ha Ön az egyetlen, aki elegáns cipő helyett edzőcipőt húzott, az őr azonnal félre fogja állítani.

Napjainkban a hangsúly a „multimédiás protokoll-alagutazás” (multimedia protocol tunneling) felé tolódik el. Ahelyett, hogy csak titkosítanák az adatokat, az olyan eszközök, mint a DeltaShaper vagy a Protozoa, az internetes forgalmat egy valódi Skype- vagy WebRTC-videohívásba rejtik. Mivel ezek az alkalmazások létfontosságúak az üzleti életben – legyen szó orvosi konzultációkról vagy kereskedelmi egyeztetésekről –, a cenzorok nem szívesen blokkolják őket teljesen. Ezt nevezzük „járulékos veszteségnek” – a kormányok tartanak attól, hogy tönkretegyék azokat az eszközöket, amelyek a saját gazdaságukat működtetik.

Azonban még ez sem tökéletes megoldás. Ha minden nap hajnali 3-kor 24 órán keresztül „hív” valakit, egy automatizált rendszer ezt gyanúsnak fogja találni. Ahhoz, hogy a radar alatt maradjunk, digitális lábnyomunkat a lehető legtermészetesebbnek és „emberien kaotikusnak” kell mutatnunk.

A következőkben azt vizsgáljuk meg, hogyan működnek a gyakorlatban ezek a kijátszási technikák a tűzfalak megtévesztésére.

Multimédia protokoll-alagutazás: Rejtőzködés szem előtt

Képzelje el, hogy egy titkos levelet úgy próbál kijuttatni, hogy az üzenetet beleköti egy pulóver mintájába. Egy külső szemlélő számára Ön csak egy ruhadarabot készít, de aki ismeri a kódot, annak az adatok ott vannak a szeme előtt. Lényegében pontosan ezt teszi a multimédia protokoll-alagutazás (multimedia protocol tunneling) az Ön internetes forgalmával.

Ahelyett, hogy nyers, titkosított adatcsomagokat küldene, amelyekről messziről lerí, hogy „VPN vagyok!”, az olyan eszközök, mint a DeltaShaper és a Facet, fogják az adatait, és elrejtik azokat egy legális alkalmazás video- vagy audiofolyamába. Míg a szabványos HTTPS-forgalom könnyen korlátozható, a WebRTC-t és a videostream-eket sokkal nehezebb blokkolni, mivel dinamikus portokat használnak, és elengedhetetlenek a modern, távmunkára épülő világban. Ha egy cenzúrázó hatóság leállítja a WebRTC-t, azzal az ország összes üzleti megbeszélését is tönkreteszi.

A varázslat a videókódolási folyamat „megszállásával” történik. Íme egy rövid áttekintés arról, hogyan valósítják meg ezt ezek az eszközök:

• Kódolás adatfolyamokba: Az olyan eszközök, mint a CovertCast, a webes tartalmakat színes mátrixképekké – lényegében digitális mozaikokká – alakítják, amelyeket aztán élő streaming platformokon, például a YouTube-on keresztül közvetítenek.
• Képkocka-manipuláció: Olyan rendszerekben, mint a DeltaShaper, egy Skype-videohívás egy kis részét (úgynevezett payload frame) ezekkel az adathordozó pixelekkel helyettesítik. A képernyő többi része egy normál beszélgetést mutat, így egy felületes szemlélő számára teljesen természetesnek tűnik.
• Időzítés megőrzése: Az igazi trükk a forgalom „alakjának” (traffic shape) megőrzése. Azáltal, hogy a videóbiteket adatbitekre cserélik anélkül, hogy megváltoztatnák a csomagok teljes méretét vagy küldési gyakoriságát, az adatfolyam megőrzi a „normális” ritmusát.

Azonban van egy bökkenő: attól, hogy valami videónak tűnik, még nem lesz teljesen láthatatlan. Ahogy azt egy hálózati forgalom elrejtéséről szóló tanulmány is kiemeli, a cenzorok egyre ügyesebben szúrják ki ezeket a „szteganográfiai” trükköket.

Ezeket a technikákat már számos érzékeny területen alkalmazzák:

• Egészségügy: Egy korlátozásokkal sújtott régióban dolgozó orvos egy Protozoa-alapú eszközt használ az orvosi szaklapok eléréséhez, a lekérést pedig egy konzultációs hívásba rejti.
• Pénzügy: Egy elemző egy kis adatbázist szinkronizál úgy, hogy „megnéz” egy privát, adatokkal kódolt streamet egy videoplatformon.

Bár a szem előtt való rejtőzködés zseniális megoldás, azt látjuk, hogy még ezek a „láthatatlan” alagutak is hagynak nyomokat. Ahhoz, hogy megértsük, miért, meg kell vizsgálnunk, hogyan teljesítenek a különböző protokollok a „DPI-teszten” (mély csomagvizsgálat).

Fejlett WebRTC rejtett csatornák a dVPN ökoszisztémákban

Gondolkozott már azon, miért működik tökéletesen a kedvenc videóhívó alkalmazása, miközben más oldalakat blokkolnak? Ez azért van, mert a cenzorok rettegnek a korábban említett járulékos károktól. A WebRTC alapvetően a modern, böngészőalapú kommunikáció motorja, a tűzfalak számára pedig kész rémálom a szűrése.

逐步 távolodunk a régi vágású proxyktól, mert azokat túl könnyű kiszúrni. Egy izgalmas projekt, a SquirrelVPN már nevet szerzett magának azzal, hogy szorosan követi a legújabb VPN-funkciókat, de az igazi nehézsúlyú versenyző a színtéren a WebRTC. Ez a technológia kiváló a P2P sávszélesség-megosztáshoz, mivel közvetlenül a böngészőbe van építve, és profi módon kezeli a titkosított videófolyamokat.

A WebRTC dVPN-ekben való alkalmazásának szépsége, hogy a hálózat eleve nagy adatforgalomra számít. Ahogy azt Diogo Barradas és Nuno Santos 2020-as tanulmánya is tárgyalja, építhetünk olyan cenzúramentes fedőhálózatokat (CRON), amelyek ezeket a „rejtett áramköröket” használják arra, hogy a forgalmat egy szabványos videóhívásnak látszó adatfolyamba rejtsék.

• Magas teljesítmény: Ellentétben a korábbi, csigalassú alagútkezelési módszerekkel, az olyan eszközök, mint a Protozoa, akár az 1,4 Mbps sebességet is elérhetik.
• Természetes ujjlenyomat: Mivel a WebRTC természeténél fogva peer-to-peer alapú, tökéletesen illeszkedik a dVPN modellbe, anélkül, hogy központi irányításra lenne szükség a szerverek menedzseléséhez.
• Böngészőalapú: Nem kell mindig gyanús szoftvereket telepíteni; néha az „alagút” közvetlenül a böngészőfülben fut.

Tekintsen a „szteganográfiai áramkörre” úgy, mint egy kettős vak átadásra. Ahelyett, hogy nyers adatokat küldenének, amik „zajnak” tűnhetnek, ha a cenzor dekódolja a videót, ezek a rendszerek valódi videóképkockákat használnak hordozóként.

Őszintén szólva a legnehezebb rész nem a technológia, hanem a bizalom. Ha Ön pénzügyi elemzőként egy adatbázist próbál szinkronizálni, tudnia kell, hogy a „proxyja” nem egy kormányzati Sybil-csomópont. Ezért mozdulnak el ezek az ökoszisztémák a „közösségi körök” irányába, ahol csak olyanokkal oszt meg sávszélességet, akiket valóban ismer, vagy akik „ismerősök ismerősei”.

Forgalomelemzés-védelem és a csomópontok ösztönzése

Ha megosztod a kihasználatlan sávszélességedet némi kriptovalutáért cserébe, valószínűleg úgy gondolsz magadra, mint egy segítőkész, láthatatlan szereplőre a hálózatban. Van azonban egy bökkenő: ha egy cenzúra-mechanizmus rájön, hogy csomópontként (node) működsz, a „passzív jövedelmed” könnyen egy óriási digitális célkeresztté válhat a hátadon. Ez a DePIN (Decentralizált Fizikai Infrastruktúra-hálózatok) világa, ahol a felhasználók tokeneket kapnak olyan valós szolgáltatások nyújtásáért, mint a sávszélesség-bányászat.

Egy dVPN csomópont üzemeltetése általában jutalmakkal jár, de ez nyomot hagy a blokkláncon.

• A láthatósági csapda: A legtöbb DePIN projekt nyilvános blokkláncot használ a kifizetések nyomon követésére. A cenzoroknak még a titkosítást sem kell feltörniük; elég, ha ránéznek a nyilvános főkönyvre. Ha azt látják, hogy a tárcád rendszeresen „Node Rewards” (csomópont-jutalom) tranzakciókat fogad, azonnal tudják, hogy proxyt üzemeltetsz. Ezután összekapcsolhatják a tárcádat az IP-címeddel, és blokkolhatnak, vagy akár komolyabb retorziókat is alkalmazhatnak.
• Emberközpontú szteganográfia: A csomópontok biztonsága érdekében videó-szteganográfiát alkalmazunk. Ez nem csupán titkosítás; szó szerint adatbiteket rejtünk el egy videóhívás képpontjai közé. Így a streamet figyelő ellenőr csak egy kissé szemcsés, unalmas üzleti beszélgetést lát a raktárkészletről.
• Megfigyelhetetlen csomópontok: A cél az, hogy a csomópont „észrevehetetlenné” váljon. Ha a cenzor nem tudja megkülönböztetni a te node-odat egy átlagos tinédzsertől, aki épp videókat néz, nem tudja igazolni a blokkolást anélkül, hogy hatalmas járulékos károkat okozna a helyi internethasználatban.

Őszintén szólva, a kockázat valós, különösen az olyan területeken, mint a pénzügyi szektor, ahol a magas szintű biztonság az alapkövetelmény. Ha a „videóhívásod” minden egyes nap 10 órán át tart, még a legjobb szteganográfia sem ment meg egy alapvető, mesterséges intelligenciával támogatott forgalomelemzéstől. Láttam már olyan fejlesztőt, aki mindenféle álcázás nélkül próbált node-ot futtatni az otthoni gépén; két napon belül az internetszolgáltatója a minimumra korlátozta a sebességét, mert a forgalmának „mintázata” egyértelműen VPN-re utalt.

Cenzúrarezisztens Overlay Hálózat (CRON) kiépítése

Már beszéltünk arról, hogyan rejthetünk adatokat videofolyamokba, de hogyan kapcsoljuk össze a felhasználókat anélkül, hogy egy központi szervert a cenzúra egyszerűen kiiktatna? Itt lép be a képbe a Cenzúrarezisztens Overlay Hálózat (CRON), amely a társadalmi kapcsolatok kusza hálóját alakítja át egyfajta privát internetes szupersztrádává.

A dVPN-ek (decentralizált VPN-ek) legnagyobb kihívása a felfedezhetőség – hogyan találjunk proxy szervert anélkül, hogy létezne egy nyilvános lista, amit a cenzorok bármikor blokkolhatnak? A CRON ezt a problémát a valós életbeli ismeretségi körünk kiaknázásával oldja meg.

• Bizalmi körök (Trust Rings): Nem csatlakozol akárkihez; a rendszer „belátás alapú bizalmi” modellt használ. Az első szintű bizalmi körbe azok tartoznak, akiket valóban ismersz, míg a második szintet a „barátok barátai” alkotják, akik közvetítő csomópontként (relay) funkcionálnak.
• n-ugrásos áramkörök (n-hop Circuits): A végcél elrejtése érdekében az adatforgalom több csomóponton keresztül halad. Még ha az első csomópont megfigyelés alatt is áll, a megfigyelő csak egy baráti videohívást lát, nem pedig az utolsó ugrást a nyílt internet felé.
• Passzív vs. Aktív mód: Ez a kedvenc részem. „Passzív módban” a rendszer megvárja, amíg ténylegesen elindítasz egy valós videóbeszélgetést, és abba rejti bele az adatforgalmat. Ezt rendkívül nehéz kiszűrni, mivel az időzítés és az időtartam 100%-ban emberi viselkedést tükröz.

Ha hirtelen napi 12 órán át videóhívásokat folytatsz egy idegennel egy távoli országban, a forgalomelemző mesterséges intelligencia azonnal riasztani fog. Ahogy azt Diogo Barradas és Nuno Santos 2020-as tanulmányukban kifejtették, az „Aktív módot” óvatosan kell alkalmazni: véletlenszerű zajt és változó hívásidőtartamokat kell beiktatni, hogy a forgalom ne tűnjön automatizált folyamatnak.

A decentralizált internet-hozzáférés jövője

Adja magát a kérdés: hol tartunk most ebben az örökös macska-egér játékban? Őszintén szólva, a decentralizált web jövője már nem csupán az erősebb titkosításról szól, hanem a teljes észlelhetetlenségről. Egy olyan világ felé tartunk, ahol az Ön által futtatott csomópont (node) egyáltalán nem tűnik hálózati végpontnak – csupán egy átlagos felhasználónak, aki éppen a hírfolyamát görgeti.

• Ösztönzők és láthatatlanság ötvözése: Tanúi vagyunk egy szemléletváltásnak, ahol a DePIN jutalmakat (például a sávszélesség-megosztásért járó tokeneket) közvetlenül olyan protokollokba építik be, amelyek forgalom-álcázást (traffic morphing) alkalmaznak. Ez életben tartja a hálózatot anélkül, hogy a felhasználót a cenzúra célpontjává tenné.
• Blokklánc a magánszféra szolgálatában: Ahogy korábban említettük, a jutalmak nyilvános főkönyvben való rögzítése kockázatos, mivel bárki számára azonosíthatóvá teszi a node-üzemeltetőket. A következő lépcsőfok a zéró tudású bizonyítások (zero-knowledge proofs) alkalmazása: így Ön anélkül kaphat díjazást a sávszélességéért, hogy publikus digitális nyomokat hagyna maga után a hatóságok számára.
• Az emberi tényező: Az igazi „titkos összetevő” az emberi viselkedés kiszámíthatatlanságának imitálása. Az új eszközök véletlenszerű késleltetéseket és jelidőingadozást (jitter) adnak a forgalomhoz, így egy mesterséges intelligencia számára lehetetlenné válik megkülönböztetni a dVPN-forgalmat egy akadozó videóhívástól.

Ez egy folyamatos fegyverkezési verseny, de a P2P hálózatok egyre intelligensebbek. Legyen Ön akár egy korlátozásokkal sújtott övezetben dolgozó orvos, vagy egyszerűen valaki, aki fontosnak tartja adatai védelmét, ezek az eszközök végre visszaadják az irányítást a kezünkbe. Vigyázzanak magukra, és tartsák rejtve a csomópontjaikat!