La inspección profunda de paquetes (DPI) es un método para examinar los paquetes de datos que pasan a través de una red, de modo que se pueda identificar el tipo de tráfico. Esta información luego se puede utilizar para bloquear el tráfico no deseado.
La técnica se utiliza comúnmente en cortafuegos, sistemas de detección de intrusiones y otros sistemas de seguridad de red.
Lamentablemente, las mismas técnicas de análisis que se utilizan para proteger las redes privadas también pueden ser utilizadas por los gobiernos y otras organizaciones para monitorear el tráfico de internet y censurar la disidencia en línea.
Al utilizar la DPI, las organizaciones pueden examinar los paquetes a medida que pasan por una red para comprender su propósito. Esto les permite bloquear o restringir el acceso a ciertos sitios web, aplicaciones y servicios.
El uso de una VPN evita este tipo de análisis, ya que los paquetes están cifrados. Sin embargo, el propio protocolo de la VPN a menudo puede ser identificado por la DPI. Esto permite que los gobiernos represivos (y, en ocasiones, otras organizaciones, como oficinas y campus universitarios) bloqueen de manera efectiva el acceso a los servicios de VPN, incluso cuando se intenta ocultar (ofuscar) el hecho de que se está utilizando una VPN.
En este artículo, analizamos cómo funciona la inspección profunda de paquetes, centrándonos en cómo la utilizan los gobiernos represivos para imponer restricciones de censura. También veremos cómo la DPI afecta a las redes privadas virtuales (VPN), como Proton VPN, que están diseñadas para superar dichas restricciones.
- ¿Qué es un paquete de datos?
- Cómo funciona el análisis de paquetes
- Análisis simple de paquetes
- Inspección profunda de paquetes
- La DPI y la censura gubernamental
- Cómo funcionan las VPN
- Bloqueos simples de VPN
- Tácticas simples de las VPN contra la censura
- Cómo se utiliza la DPI para detectar VPN
- Ofuscación de VPN
¿Qué es un paquete de datos?
Cuando los datos se envían a través de una red (como internet), se dividen en pequeñas porciones. Estas pequeñas porciones se denominan paquetes de datos (o simplemente paquetes).
El Protocolo de Internet(nueva ventana) utiliza paquetes de datos para ayudar a garantizar que la información enviada a través de la web llegue al destino correcto. Cuando todos los paquetes que componen un conjunto de datos (como una imagen o el contenido de un correo electrónico) llegan a su destino, se vuelven a ensamblar.
Los datos reales que contiene un paquete se denominan su «carga útil». Cada paquete también tiene un encabezado que contiene metadatos que explican aspectos como hacia dónde se dirige y de dónde proviene.
Todos los datos que se transmiten a través de internet se envían en paquetes.
Cómo funciona el análisis de paquetes
Una organización que realice cualquier tipo de análisis de paquetes primero debe obtener los paquetes que va a analizar. Esto se puede hacer de muchas maneras, pero el reflejo de puertos(nueva ventana), las derivaciones físicas de red(nueva ventana) y el rastreo de WiFi(nueva ventana) son tácticas comunes. Una vez que una organización tiene acceso a los paquetes, puede analizarlos de varias maneras.
Análisis simple de paquetes
La forma más sencilla (y económica) para que una organización implemente bloqueos en el tráfico de red es examinar la información contenida en los encabezados de los paquetes. Esto permite a estas organizaciones bloquear paquetes en función de los puertos que utilizan o de su dirección IP de destino.
Inspección profunda de paquetes
El problema del análisis simple de paquetes para las organizaciones que desean censurar internet es que es fácil de evadir simplemente cambiando la dirección IP de destino o los números de puerto utilizados. Esto se debe a que el análisis simple de paquetes no examina los datos (la carga útil). La inspección profunda de paquetes analiza todo el paquete, incluida la carga útil.
¿Cómo funciona la inspección profunda de paquetes?
Las técnicas de DPI incluyen:
- Detección basada en firmas — Compara los paquetes con una base de datos de patrones de tráfico maliciosos o no deseados conocidos
- Detección basada en anomalías — Busca patrones o comportamientos que se desvíen del tráfico de red normal
- Análisis de protocolos — Examina la estructura y el formato de los paquetes para identificar qué protocolo se está utilizando
- Inspección de contenido — Examina los datos reales contenidos en la carga útil, como el texto de un correo electrónico, para identificar y bloquear palabras clave o frases específicas
- Análisis de comportamiento — Examina el comportamiento del tráfico de red a lo largo del tiempo, como la frecuencia de las conexiones a un servidor en particular o la cantidad de datos transferidos, para identificar y bloquear patrones de actividad inusuales
La DPI y la censura gubernamental
Los gobiernos represivos de todo el mundo quieren limitar el acceso de sus ciudadanos a información independiente, su capacidad para interactuar con la comunidad internacional y su aptitud para expresar puntos de vista críticos con el régimen.
Esta es parte de la razón por la que los apagones de internet siguen siendo cada vez más comunes(nueva ventana). Sin embargo, estos apagones son increíblemente costosos para cualquier país que dependa regularmente de internet (es decir, básicamente todos los países excepto Corea del Norte). Los cortes de internet de 2022 costaron a la economía mundial aproximadamente 24 000 millones de dólares(nueva ventana).
La solución a este dilema en lugares como Rusia, China, Irán y Egipto es poner internet a disposición, pero bloquear los sitios web y las aplicaciones a los que no quieren que sus ciudadanos accedan. Con un nivel básico, esto es bastante sencillo de lograr. Todo lo que los gobiernos tienen que hacer es indicar a sus proveedores de servicios de internet (ISP) nacionales que bloqueen las conexiones a ciertas direcciones IP.
El problema con este enfoque es que las tecnologías como las redes privadas virtuales (VPN) facilitan que los ciudadanos con más conocimientos tecnológicos evadan estos bloqueos, por lo que los gobiernos despliegan la DPI para detectar (and bloquear) el uso de VPN.
Lea más sobre la censura en internet
Cómo funcionan las VPN
Una VPN crea una conexión cifrada entre su dispositivo y un servidor VPN operado por un servicio de VPN como Proton VPN. Luego, la aplicación de VPN enruta todas las conexiones de su dispositivo a través de este «túnel VPN». Esto incluye las consultas DNS, que resuelve su proveedor de VPN en lugar de su PSI (como suele ocurrir).
Dado que los datos enviados a través del túnel VPN se cifran de forma segura, su PSI (y, por extensión, su gobierno) no puede ver el contenido de sus datos ni los sitios web que visita. Lo único que puede ver es la dirección IP del servidor VPN al que se conectó.
Obtenga más información sobre cómo funciona una VPN
Lo que un PSI no puede ver, no lo puede bloquear, razón por la cual las VPN son herramientas eficaces contra la censura. Los gobiernos represivos, por supuesto, lo saben, por lo que su respuesta habitual es intentar bloquear el acceso a las VPN.
Bloqueos simples de VPN
La forma más sencilla de hacerlo es bloquear el acceso a los sitios web de los servicios de VPN. Estos bloqueos suelen ser fáciles de evadir; por ejemplo, distribuyendo el archivo APK de Android de Proton VPN a través de un servicio de mensajería cifrado o canales de redes sociales.
También es posible realizar un análisis simple de paquetes en los encabezados de los paquetes mediante los siguientes métodos:
Análisis de la dirección IP de destino
Las autoridades pueden examinar la dirección IP de destino de los paquetes y contrastarla con una lista de direcciones IP de servidores VPN conocidos. Con una lista de este tipo, resulta fácil para un PSI bloquear el acceso a todos los servidores de un servicio de VPN.
Con los recursos de los que disponen la mayoría de los gobiernos, no les resulta difícil compilar estas listas por sí mismos. Pero en realidad no lo necesitan, porque muchos servicios comerciales hacen un buen negocio compilando y vendiendo dichas listas.
Análisis de puertos
La DPI puede examinar el número de puerto de destino de los paquetes y contrastarlos con una lista de números de puertos de VPN conocidos.
Por ejemplo, por defecto, OpenVPN utiliza el puerto UDP 1194, mientras que WireGuard® utiliza el puerto UDP 51820.
Análisis de certificados SSL/TLS
Al examinar los certificados SSL/TLS(nueva ventana) de los paquetes, las autoridades pueden contrastarlos con una lista de certificados SSL/TLS de VPN conocidos y detectar si las personas están utilizando una VPN.
Tácticas sencillas de anticensura de VPN
El análisis simple de paquetes es una táctica de censura común porque es fácil y económico. También es bastante fácil para un servicio de VPN evadirlo utilizando los siguientes métodos:
VPN sobre TCP
HTTPS(nueva ventana) es el estándar de cifrado que protege la web, lo que hace posible mucho de lo que damos por sentado que podemos hacer en internet. Esto incluye asegurar todas las transacciones financieras en línea, como las compras en línea y la gestión de su cuenta bancaria en línea.
HTTPS utiliza el puerto TCP 443, por lo que los servicios de VPN a menudo también ejecutan sus protocolos de VPN a través del puerto TCP 443. Esto dificulta el simple bloqueo de este puerto sin interrumpir de manera efectiva todo internet.
OpenVPN tiene soporte integrado para TCP, lo que lo convierte en una opción popular entre los servicios de VPN que utilizan esta táctica. WireGuard generalmente se ejecuta sobre UDP, pero Proton VPN también ha desarrollado una forma de ejecutar WireGuard sobre TCP.
Obtenga más información sobre la diferencia entre UDP y TCP
VPN sobre TCP puede evadir de manera efectiva el análisis de protocolo simple, pero las técnicas de DPI más avanzadas pueden detectar fácilmente la diferencia entre los paquetes HTTPS y de VPN.
Cambio de números de puerto
Aunque los protocolos de VPN utilizan puertos esperados por defecto, la mayoría se puede ejecutar sobre casi cualquier puerto (excepto los puertos reservados para funciones específicas). Por lo tanto, una técnica anticensura simple (pero a menudo efectiva) es ejecutar protocolos de VPN sobre puertos no estándar.
La función Smart Protocol de Proton VPN detecta cuándo se bloquea una conexión y cambia automáticamente entre protocolos de VPN y números de puerto para encontrar combinaciones que no estén bloqueadas.
Enrutamiento alternativo
Una táctica anticensura inusual utilizada por Proton VPN es el enrutamiento alternativo(nueva ventana). Si el acceso a cualquier servicio de Proton está bloqueado (incluido el sitio web de Proton VPN), intentamos enrutar la conexión a través de redes de servidores de terceros que es poco probable que estén bloqueadas (como AWS).
Puentes de VPN
El análisis de direcciones IP de destino es un vector de ataque difícil de superar, pero algunos servicios de VPN mitigan el problema con puentes de VPN. Estos les permiten evadir la censura al proporcionar puntos de entrada alternativos a la red de VPN que no figuran públicamente ni están bloqueados por los censores.
Los servicios de VPN pueden lograr esto mediante el uso de una técnica llamada “retransmisión de puente” o “modo puente”. Esto ocurre cuando un proveedor de VPN ejecuta unos pocos “repetidores puente” que no incluye en las listas públicas y que solo proporciona a las personas que necesitan superar la censura. Estos repetidores puente actúan como un punto de entrada secreto a la red de VPN y se pueden utilizar para evadir los bloqueos del tráfico de VPN.
Otra forma en que las VPN utilizan puentes es al permitir que las personas se conecten a la red de VPN a través de una “VPN puente”, que es cuando se establece una conexión VPN entre su dispositivo y un servidor VPN que los censores no han bloqueado. Luego, usted puede utilizar esta VPN puente para conectarse a la red VPN principal y acceder al contenido bloqueado.
Cómo se utiliza la DPI para detectar VPN
Los censores en línea y los usuarios de internet han estado atrapados en una carrera armamentista desde los inicios de la web. Los ISP comenzaron a bloquear puertos, por lo que la gente comenzó a utilizar puertos no estándar. Los gobiernos represivos respondieron utilizando la DPI para determinar qué hacía el tráfico en los puertos abiertos, lo que alentó a las personas a utilizar VPN para derrotar la DPI. A su vez, los gobiernos desarrollaron técnicas de DPI más sofisticadas, y así sucesivamente.
La DPI es difícil de evadir porque examina el paquete completo para identificar el tráfico de VPN de diversas maneras. Estas incluyen:
Análisis de protocolos
Esto examina la estructura y el formato de los paquetes para identificar qué protocolo está en uso y detectar si los paquetes utilizan un protocolo de VPN como OpenVPN, PPTP, L2TP o IKEv2.
Análisis del tamaño de los paquetes
Los tamaños de paquetes inusuales pueden indicar el uso de una VPN.
Análisis de comportamiento
La DPI puede examinar el comportamiento del tráfico de red a lo largo del tiempo para identificar patrones que puedan indicar el uso de una VPN. Por ejemplo, si hay un aumento inusual en el tráfico hacia un servidor específico o un cambio repentino en la ubicación de las direcciones IP, podría indicar que se está utilizando una VPN.
Ofuscación de VPN
Como siguiente paso en la carrera armamentista por un internet sin censura, some servicios de VPN han desarrollado protocolos de VPN personalizados resistentes a las técnicas de DPI. Por ejemplo, desarrollamos el protocolo Stealth para Proton VPN.
Este nuevo protocolo combina varias tecnologías de código abierto, en particular el uso de un túnel TLS ofuscado sobre TCP para parecerse a HTTPS de una manera más resistente a la censura que simplemente ejecutar una VPN sobre el puerto TCP 443.
Stealth ha ayudado a millones de personas a superar los bloqueos de VPN en lugares como Irán y Rusia, pero no podemos garantizar su efectividad contra técnicas avanzadas de DPI.
Pensamientos finales
La inspección profunda de paquetes puede ser sofisticada y representa un desafío constante para nuestro trabajo de llevar un internet abierto a todas las personas. Sin embargo, fundamos Proton VPN para enfrentar desafíos exactamente como este, y nuestros ingenieros siempre están desarrollando nuevas herramientas y funciones anticensura.
Estamos atrapados en una carrera armamentista con algunos de los gobiernos más represivos del mundo, y lo que está en juego no podría ser más importante. Los gobiernos represivos dependen de mantener un control estricto sobre la información a la que sus ciudadanos pueden acceder, con quién pueden hablar y qué pueden decir a sus conciudadanos y al resto del mundo.
Sin embargo, creemos que todo el mundo tiene derecho a acceder a reportajes independientes, asociarse con quien queramos y criticar las injusticias y los abusos de poder. Estamos luchando para garantizar que todas las personas tengan acceso a estos derechos humanos fundamentales.
Proton VPN se fundó para ayudar a luchar por un mundo sin censura, razón por la cual ofrecemos un servicio de VPN gratuita al 100%. Con Proton VPN, cualquier persona puede acceder a un internet libre y abierto. Nos enorgullece que activistas, periodistas y personas comunes de todo el mundo recurran a Proton VPN en tiempos de agitación.
Si usted vive en un país represivo, nuestro servicio está aquí para ayudarle. Si no es así, puede apoyar nuestra misión de hacer que el internet sin censura esté disponible para todos registrándose en un plan Proton VPN Plus.
