Deep Packet Inspection (DPI) ist eine Methode zur Untersuchung von Datenpaketen, die ein Netzwerk durchlaufen, um die Art des Datenverkehrs zu identifizieren. Diese Informationen können dann verwendet werden, um unerwünschten Datenverkehr zu blockieren.

Die Technik wird häufig in Firewalls, Systemen zur Angriffserkennung und anderen Netzwerksicherheitssystemen eingesetzt.

Leider können dieselben Analysetechniken, die zum Schutz privater Netzwerke eingesetzt werden, von Regierungen und anderen Organisationen auch dazu verwendet werden, den Internetverkehr zu überwachen und Online-Dissens zu zensieren.

Mithilfe von DPI können Organisationen Pakete untersuchen, während sie ein Netzwerk durchlaufen, um deren Zweck zu verstehen. Dadurch können sie den Zugriff auf bestimmte Websites, Anwendungen und Dienste blockieren oder einschränken.

Die Verwendung eines VPN verhindert diese Art der Analyse, da die Pakete verschlüsselt sind. Das VPN-Protokoll selbst kann jedoch häufig durch DPI identifiziert werden. Dies ermöglicht es repressiven Regierungen (und gelegentlich anderen Organisationen wie Büros und Universitätsgeländen), den Zugriff auf VPN-Dienste effektiv zu blockieren, selbst wenn versucht wird, die Tatsache zu verbergen (verschleiern), dass ein VPN genutzt wird.

In diesem Artikel befassen wir uns mit der Funktionsweise der Deep Packet Inspection und legen dabei den Schwerpunkt darauf, wie repressive Regierungen sie einsetzen, um Zensurbeschränkungen aufzuerlegen. Wir sehen uns auch an, wie sich DPI auf virtuelle private Netzwerke (VPNs) wie Proton VPN auswirkt, die darauf ausgelegt sind, solche Einschränkungen zu überwinden.

Was ist ein Datenpaket?

Wenn Daten über ein Netzwerk (wie das Internet) gesendet werden, werden sie in kleine Teile aufgeteilt. Diese kleinen Teile werden Datenpakete (oder einfach Pakete) genannt.

Das Internet Protocol(neues Fenster) verwendet Datenpakete, um sicherzustellen, dass über das Web gesendete Informationen ihr richtiges Ziel erreichen. Wenn alle Pakete, die einen Datensatz bilden (wie ein Bild oder der Inhalt einer E-Mail), ihr Ziel erreichen, werden sie wieder zusammengesetzt.

Die eigentlichen Daten, die in einem Paket enthalten sind, werden als „Payload“ (Nutzdaten) bezeichnet. Jedes Paket hat außerdem eine Kopfzeile, die Metadaten enthält, die beispielsweise Aufschluss darüber geben, wohin es gesendet wird und woher es stammt.

IP-Paketstruktur

Alle über das Internet übertragenen Daten werden in Paketen gesendet.

Wie die Paketanalyse funktioniert

Eine Organisation, die eine Paketanalyse durchführt, muss zunächst Pakete zur Analyse erhalten. Dies kann auf viele Arten geschehen, aber Port-Spiegelung(neues Fenster), physische Netzwerk-Taps(neues Fenster) und WLAN-Sniffing(neues Fenster) sind gängige Taktiken. Sobald eine Organisation Zugriff auf Pakete hat, kann sie diese auf verschiedene Weise analysieren.

Einfache Paketanalyse

Der einfachste (und günstigste) Weg für eine Organisation, Sperren für den Netzwerkverkehr einzurichten, besteht darin, die in den Paket-Kopfzeilen enthaltenen Informationen zu untersuchen. Dies ermöglicht es diesen Organisationen, Pakete basierend auf den von ihnen verwendeten Ports oder ihrer Ziel-IP-Adresse zu blockieren.

Deep Packet Inspection

Das Problem bei der einfachen Paketanalyse für Organisationen, die das Internet zensieren wollen, besteht darin, dass sie sich leicht umgehen lässt, indem man einfach die Ziel-IP-Adresse oder die verwendeten Portnummern ändert. Das liegt daran, dass die einfache Paketanalyse die Daten (die Nutzlast) nicht berücksichtigt. Deep Packet Inspection analysiert das gesamte Paket, einschließlich der Nutzdaten.

Wie funktioniert Deep Packet Inspection?

Zu den DPI-Techniken gehören:

  1. Signaturbasierte Erkennung — Vergleicht Pakete mit einer Datenbank bekannter schädlicher oder unerwünschter Verkehrsmuster
  2. Anomaliebasierte Erkennung — Sucht nach Mustern oder Verhaltensweisen, die vom normalen Netzwerkverkehr abweichen
  3. Protokollanalyse — Untersucht die Struktur und das Format von Paketen, um festzustellen, welches Protokoll verwendet wird
  4. Inhaltsprüfung — Untersucht die eigentlichen Daten in den Nutzdaten, wie z. B. den Text einer E-Mail, um bestimmte Schlüsselwörter oder Sätze zu identifizieren und zu blockieren
  5. Verhaltensanalyse — Untersucht das Verhalten des Netzwerkverkehrs im Laufe der Zeit, wie z. B. die Häufigkeit von Verbindungen zu einem bestimmten Server oder die Menge der übertragenen Daten, um ungewöhnliche Aktivitätsmuster zu identifizieren und zu blockieren

DPI und staatliche Zensur

Repressive Regierungen auf der ganzen Welt wollen den Zugriff ihrer Bürger auf unabhängige Informationen, ihre Fähigkeit zur Interaktion mit der internationalen Gemeinschaft und ihre Möglichkeit, regimekritische Ansichten zu äußern, einschränken.

Dies ist einer der Gründe dafür, dass Internet-Sperren immer häufiger vorkommen(neues Fenster). Diese Sperren sind jedoch unglaublich kostspielig für jedes Land, das regelmäßig auf das Internet angewiesen ist (also im Grunde jedes Land außer Nordkorea). Die Internet-Abschaltungen im Jahr 2022 haben die globale Wirtschaft schätzungsweise 24 Milliarden US-Dollar gekostet(neues Fenster).

Die Lösung für dieses Dilemma in Ländern wie Russland, China, dem Iran und Ägypten besteht darin, das Internet zwar bereitzustellen, aber Websites und Apps zu blockieren, auf die die Bürger nicht zugreifen sollen. Auf einer grundlegenden Ebene ist dies recht einfach zu erreichen. Die Regierungen müssen lediglich ihre inländischen Internetdienstanbieter (ISPs) anweisen, Verbindungen zu bestimmten IP-Adressen zu blockieren.

Das Problem bei diesem Ansatz ist, dass Technologien wie virtuelle private Netzwerke (VPN) es technisch versierteren Bürgern leicht machen, diese Sperren zu umgehen. Daher setzen Regierungen DPI ein, um die VPN-Nutzung zu erkennen (und zu blockieren).


Erfahre mehr über Internetzensur

Wie VPNs funktionieren

Ein VPN stellt eine verschlüsselte Verbindung zwischen deinem Gerät und einem VPN-Server her, der von einem VPN-Dienst wie Proton VPN betrieben wird. Die VPN-App leitet dann alle Verbindungen von deinem Gerät durch diesen „VPN-Tunnel“. Dies schließt DNS-Abfragen ein, die dein VPN-Anbieter auflöst, anstatt dein ISP (wie es normalerweise der Fall ist).

Da die durch den VPN-Tunnel gesendeten Daten sicher verschlüsselt sind, kann dein ISP (und damit auch deine Regierung) weder den Inhalt deiner Daten noch die von dir besuchten Websites sehen. Er kann nur die IP-Adresse des VPN-Servers sehen, mit dem du dich verbunden hast.

Wie ein VPN funktioniert

Erfahre mehr darüber, wie ein VPN funktioniert

Was ein ISP nicht sehen kann, kann er auch nicht blockieren. Deshalb sind VPNs wirksame Instrumente gegen Zensur. Repressive Regierungen wissen das natürlich, weshalb ihre übliche Reaktion darin besteht, den Zugriff auf VPNs zu blockieren.

Einfache VPN-Sperren

Der einfachste Weg hierfür besteht darin, den Zugriff auf die Websites von VPN-Diensten zu blockieren. Solche Sperren lassen sich in der Regel leicht umgehen – beispielsweise indem man VPN-Software wie die Android-APK-Datei von Proton VPN über einen verschlüsselten Messenger oder Social-Media-Kanäle verbreitet.

Es ist auch möglich, mithilfe der folgenden Methoden eine einfache Paketanalyse von Paket-Kopfzeilen durchzuführen:

Analyse der Ziel-IP-Adresse

Behörden können die Ziel-IP-Adresse von Paketen untersuchen und sie mit einer Liste bekannter IP-Adressen von VPN-Servern abgleichen. Mit einer solchen Liste ist es für einen ISP ein Leichtes, den Zugriff auf alle Server eines VPN-Dienstes zu blockieren.

Mit den Ressourcen, die den meisten Regierungen zur Verfügung stehen, ist es für sie nicht schwer, diese Listen selbst zu erstellen. Aber sie müssen es eigentlich gar nicht, da viele kommerzielle Dienste ein gutes Geschäft damit machen, solche Listen zu erstellen und zu verkaufen.

Portanalyse

DPI kann die Zielportnummer von Paketen untersuchen und sie mit einer Liste bekannter VPN-Portnummern abgleichen.

Standardmäßig verwendet OpenVPN beispielsweise den UDP-Port 1194, während WireGuard® den UDP-Port 51820 nutzt.

SSL/TLS-Zertifikatsanalyse

Durch die Untersuchung der SSL/TLS-Zertifikate(neues Fenster) von Paketen können Behörden diese mit einer Liste bekannter VPN-SSL/TLS-Zertifikate abgleichen und erkennen, ob Menschen ein VPN nutzen.

Proton VPN holen!

Einfache VPN-Taktiken gegen Zensur

Die einfache Paketanalyse ist eine gängige Zensurtaktik, weil sie einfach und billig ist. Für einen VPN-Dienst ist es zudem recht einfach, sie mit folgenden Methoden zu umgehen:

VPN über TCP

HTTPS(neues Fenster) ist der Verschlüsselungsstandard, der das Web sichert und einen Großteil dessen ermöglicht, was wir im Internet als selbstverständlich ansehen. Dazu gehört auch die Absicherung aller Online-Finanztransaktionen, wie Online-Einkäufe und die Online-Verwaltung deines Bankkontos.

HTTPS verwendet den TCP-Port 443, weshalb VPN-Dienste ihre VPN-Protokolle oft ebenfalls über den TCP-Port 443 laufen lassen. Dies macht es schwierig, diesen Port einfach zu sperren, ohne praktisch das gesamte Internet lahmzulegen.

OpenVPN verfügt über eine integrierte Unterstützung für TCP, was es zu einer beliebten Wahl bei VPN-Diensten macht, die diese Taktik anwenden. WireGuard wird normalerweise über UDP betrieben, aber Proton VPN hat auch eine Möglichkeit entwickelt, WireGuard über TCP laufen zu lassen.

Erfahre mehr über den Unterschied zwischen UDP und TCP

VPN über TCP kann einfache Protokollanalysen effektiv umgehen, aber fortschrittlichere DPI-Techniken können den Unterschied zwischen HTTPS- und VPN-Paketen leicht erkennen.

Portnummern ändern

Obwohl VPN-Protokolle standardmäßig die erwarteten Ports verwenden, können die meisten über fast jeden beliebigen Port laufen (außer über Ports, die für bestimmte Funktionen reserviert sind). Eine einfache (aber oft effektive) Methode zur Umgehung von Zensur besteht also darin, VPN-Protokolle über Nicht-Standard-Ports laufen zu lassen.

Die Funktion Smart Protocol von Proton VPN erkennt, wenn eine Verbindung blockiert ist, und wechselt automatisch zwischen VPN-Protokollen und Portnummern, um Kombinationen zu finden, die nicht blockiert sind.

Alternatives Routing

Eine ungewöhnliche Taktik von Proton VPN zur Umgehung von Zensur ist das alternative Routing(neues Fenster). Wenn der Zugriff auf einen Proton-Dienst blockiert ist (einschließlich der Proton VPN-Website), versuchen wir, die Verbindung über Servernetzwerke von Drittanbietern zu leiten, die wahrscheinlich nicht blockiert sind (wie AWS).

VPN-Bridges

Die Analyse der Ziel-IP-Adresse ist ein schwer zu überwindender Angriffsvektor, aber einige VPN-Dienste mildern das Problem mit VPN-Bridges ab. Diese ermöglichen es ihnen, die Zensur zu umgehen, indem sie alternative Zugangspunkte zum VPN-Netzwerk bereitstellen, die nicht öffentlich gelistet oder von Zensoren blockiert sind.

VPN-Dienste können dies erreichen, indem sie eine Technik namens „Bridge-Weiterleitung“ oder „Bridge-Modus“ verwenden. Dabei betreibt ein VPN-Anbieter einige „Bridge-Relays“, die er nicht öffentlich auflistet und nur Personen zur Verfügung stellt, die Zensur umgehen müssen. Diese Bridge-Relays fungieren als geheimer Zugangspunkt zum VPN-Netzwerk und können verwendet werden, um Sperren des VPN-Verkehrs zu umgehen.

Eine weitere Möglichkeit, wie VPNs Bridges nutzen, besteht darin, Menschen die Verbindung zum VPN-Netzwerk über ein „Bridge-VPN“ zu ermöglichen. Dabei wird eine VPN-Verbindung zwischen deinem Gerät und einem VPN-Server hergestellt, den Zensoren nicht blockiert haben. Du kannst dieses Bridge-VPN dann verwenden, um dich mit dem Haupt-VPN-Netzwerk zu verbinden und auf blockierte Inhalte zuzugreifen.

Wie DPI zur Erkennung von VPNs eingesetzt wird

Online-Zensoren und Internetnutzer befinden sich seit den Anfängen des Webs in einem Wettrüsten. ISPs begannen damit, Ports zu sperren, woraufhin die Menschen Nicht-Standard-Ports nutzten. Repressive Regierungen reagierten darauf, indem sie DPI einsetzten, um festzustellen, was der Datenverkehr auf offenen Ports tat, was die Menschen dazu ermutigte, VPNs zu nutzen, um die DPI zu umgehen. Im Gegenzug entwickelten die Regierungen ausgefeiltere DPI-Techniken und so weiter.

DPI is schwer zu umgehen, da es das gesamte Paket untersucht, um den VPN-Verkehr auf verschiedene Weise zu identifizieren. Dazu gehören:

Protokollanalyse

Dies untersucht die Struktur und das Format von Paketen, um festzustellen, welches Protokoll verwendet wird, und zu erkennen, ob die Pakete ein VPN-Protokoll wie OpenVPN, PPTP, L2TP oder IKEv2 nutzen.

Paketgrößenanalyse

Ungewöhnliche Paketgrößen können auf die Nutzung eines VPN hinweisen.

Verhaltensanalyse

DPI kann das Verhalten des Netzwerkverkehrs im Laufe der Zeit untersuchen, um Muster zu erkennen, die auf die Nutzung eines VPN hindeuten könnten. Wenn es beispielsweise zu einem ungewöhnlichen Anstieg des Datenverkehrs zu einem bestimmten Server oder einer plötzlichen Änderung des Standorts von IP-Adressen kommt, könnte dies darauf hindeuten, dass ein VPN verwendet wird.

VPN-Verschleierung

Als nächsten Schritt im Wettrüsten um ein unzensiertes Internet haben einige VPN-Dienste benutzerdefinierte VPN-Protokolle entwickelt, die gegen DPI-Techniken resistent sind. Wir haben beispielsweise das Stealth-Protokoll für Proton VPN entwickelt.

Dieses neue Protokoll kombiniert verschiedene Open-Source-Technologien, insbesondere durch die Verwendung von verschleiertem TLS-Tunneling über TCP, um wie HTTPS auszusehen – und zwar auf eine zensurresistentere Weise, als VPN einfach über den TCP-Port 443 laufen zu lassen.

Mehr über Stealth erfahren

Stealth hat Millionen von Menschen geholfen, VPN-Sperren in Ländern wie dem Iran und Russland zu umgehen, aber wir können seine Wirksamkeit gegen fortschrittliche DPI-Techniken nicht garantieren.

Abschließende Gedanken

Deep Packet Inspection kann hochentwickelt sein und stellt eine ständige Herausforderung für unsere Arbeit dar, allen Menschen das freie Internet zugänglich zu machen. Aber wir haben Proton VPN gegründet, um uns genau solchen Herausforderungen zu stellen, und unsere Ingenieure entwickeln ständig neue Tools und Funktionen zur Umgehung von Zensur.

Wir befinden uns in einem Wettrüsten mit einigen der repressivsten Regierungen der Welt, und es könnte nicht mehr auf dem Spiel stehen. Repressive Regierungen sind darauf angewiesen, die Informationen, auf die ihre Bürger zugreifen können, mit wem sie sprechen und was sie ihren Mitbürgern und dem Rest der Welt sagen können, streng zu kontrollieren.

Wir glauben jedoch, dass jeder das Recht hat, auf unabhängige Berichterstattung zuzugreifen, sich mit wem auch immer zu vereinigen und Ungerechtigkeiten sowie Machtmissbrauch zu kritisieren. Wir kämpfen dafür, dass jeder Zugang zu diesen grundlegenden Menschenrechten hat.

Proton VPN wurde gegründet, um für eine Welt ohne Zensur zu kämpfen, weshalb wir einen zu 100 % kostenlosen VPN-Dienst anbieten. Mit Proton VPN kann jeder auf das freie und offene Internet zugreifen. Wir sind stolz darauf, dass Aktivisten, Journalisten und ganz normale Menschen auf der ganzen Welt in Zeiten des Umbruchs auf Proton VPN vertrauen.

Wenn du in einem repressiven Land lebst, ist unser Dienst da, um dir zu helfen. Wenn nicht, kannst du unsere Mission unterstützen, das unzensierte Internet für alle zugänglich zu machen, indem du dich für ein Proton VPN Plus-Abonnement registrierst.

Proton VPN holen