La inspección profunda de paquetes (DPI) es un método para examinar los paquetes de datos que pasan por una red para poder identificar el tipo de tráfico. Esta información se puede usar luego para bloquear el tráfico no deseado.
Esta técnica se usa habitualmente en cortafuegos, sistemas de detección de intrusos y otros sistemas de seguridad de red.
Por desgracia, las mismas técnicas de análisis que se usan para proteger las redes privadas también las pueden utilizar los gobiernos y otras organizaciones para vigilar el tráfico de internet y censurar la disidencia online.
Al utilizar DPI, las organizaciones pueden examinar los paquetes a medida que pasan por una red para comprender su propósito. Esto les permite bloquear o restringir el acceso a determinados sitios web, aplicaciones y servicios.
El uso de una VPN evita este tipo de análisis, ya que los paquetes están cifrados. Sin embargo, el propio protocolo de la VPN suele poder identificarse mediante DPI. Esto permite a los gobiernos represivos (y, en ocasiones, a otras organizaciones, como oficinas y campus universitarios) bloquear eficazmente el acceso a los servicios de VPN, incluso cuando se intenta ocultar (ofuscar) el hecho de que se está utilizando una VPN.
En este artículo, analizamos cómo funciona la inspección profunda de paquetes, centrándonos en cómo la utilizan los gobiernos represivos para imponer restricciones de censura. También veremos cómo afecta la DPI a las redes privadas virtuales (VPN) como Proton VPN, que están diseñadas para superar dichas restricciones.
- ¿Qué es un paquete de datos?
- Cómo funciona el análisis de paquetes
- Análisis de paquetes sencillo
- Inspección profunda de paquetes
- La DPI y la censura gubernamental
- Cómo funcionan las VPN
- Bloqueos de VPN sencillos
- Tácticas anticensura sencillas para VPN
- Cómo se usa la DPI para detectar VPN
- Ofuscación de VPN
¿Qué es un paquete de datos?
Cuando se envían datos a través de una red (como internet), estos se dividen en porciones pequeñas. Estas porciones pequeñas se denominan paquetes de datos (o simplemente paquetes).
El Protocolo de Internet(ventana nueva) utiliza paquetes de datos para ayudar a garantizar que la información enviada a través de la web llegue al destino correcto. Cuando todos los paquetes que componen un conjunto de datos (como una imagen o el contenido de un correo electrónico) llegan a su destino, se vuelven a ensamblar.
Los datos reales que contiene un paquete se denominan su «carga útil». Cada paquete tiene también un encabezado que contiene metadatos que explican aspectos como de dónde viene y a dónde va.
Todos los datos que se transmiten por internet se envían en paquetes.
Cómo funciona el análisis de paquetes
Cualquier organización que realice algún tipo de análisis de paquetes debe obtener primero los paquetes que va a analizar. Esto se puede hacer de muchas maneras, pero la duplicación de puertos(ventana nueva), los taps de red(ventana nueva) físicos y el sniffing de WiFi(ventana nueva) son tácticas habituales. Una vez que una organización tiene acceso a los paquetes, puede analizarlos de diversas formas.
Análisis de paquetes sencillo
La forma más fácil (y barata) que tiene una organización de implementar bloqueos en el tráfico de red es examinar la información contenida en los encabezados de los paquetes. Esto permite a estas organizaciones bloquear paquetes en función de los puertos que utilizan o de su dirección IP de destino.
Inspección profunda de paquetes
El problema del análisis de paquetes sencillo para las organizaciones que desean censurar internet es que resulta fácil de esquivar con tan solo cambiar la dirección IP de destino o los números de puerto utilizados. Esto se debe a que el análisis de paquetes sencillo no examina los datos (la carga útil). La inspección profunda de paquetes analiza el paquete completo, incluida la carga útil.
¿Cómo funciona la inspección profunda de paquetes?
Entre las técnicas de DPI se incluyen:
- Detección basada en firmas — Compara los paquetes con una base de datos de patrones de tráfico maliciosos o no deseados conocidos
- Detección basada en anomalías — Busca patrones o comportamientos que se desvían del tráfico de red normal
- Análisis de protocolos — Examina la estructura y el formato de los paquetes para identificar qué protocolo se está utilizando
- Inspección de contenido — Examina los datos reales contenidos en la carga útil, como el texto de un correo electrónico, para identificar y bloquear palabras clave o frases específicas
- Análisis de comportamiento — Examina el comportamiento del tráfico de red a lo largo del tiempo, como la frecuencia de las conexiones a un servidor concreto o la cantidad de datos transferidos, para identificar y bloquear patrones de actividad inusuales
La DPI y la censura gubernamental
Los gobiernos represivos de todo el mundo quieren limitar el acceso de sus ciudadanos a información independiente, su capacidad para interactuar con la comunidad internacional y su facultad para expresar puntos de vista críticos con el régimen.
Esta es parte de la razón por la que los apagones de internet siguen siendo cada vez más comunes(ventana nueva). Sin embargo, estos apagones resultan increíblemente costosos para cualquier país que dependa habitualmente de internet (básicamente, todos los países excepto Corea del Norte). Los bloqueos de internet de 2022 le costaron a la economía mundial unos 24 mil millones de dólares(ventana nueva).
La solución a este dilema en lugares como Rusia, China, Irán y Egipto es permitir el acceso a internet, pero bloquear los sitios web y las aplicaciones a los que no quieren que accedan sus ciudadanos. A nivel básico, esto es bastante sencillo de lograr. Lo único que tienen que hacer los gobiernos es ordenar a sus proveedores de servicios de internet (ISP) nacionales que bloqueen las conexiones a determinadas direcciones IP.
El problema de este enfoque es que tecnologías como las redes privadas virtuales (VPN) facilitan que los ciudadanos con más conocimientos tecnológicos esquiven estos bloqueos, por lo que los gobiernos despliegan la DPI para detectar (and bloquear) el uso de las VPN.
Lee más sobre la censura en internet
Cómo funcionan las VPN
Una VPN crea una conexión cifrada entre tu dispositivo y un servidor VPN gestionado por un servicio de VPN como Proton VPN. A continuación, la aplicación de la VPN enruta todas las conexiones de tu dispositivo a través de este «túnel VPN». Esto incluye las consultas de DNS, que resuelve tu proveedor de VPN en lugar de tu proveedor de servicios de internet (como suele ocurrir).
Dado que los datos enviados a través del túnel VPN están cifrados de forma segura, tu proveedor de servicios de internet (y, por extensión, tu gobierno) no puede ver el contenido de tus datos ni los sitios web que visitas. Lo único que puede ver es la dirección IP del servidor VPN al que te has conectado.
Más información sobre cómo funciona una VPN
Lo que un ISP no puede ver, no lo puede bloquear, razón por la cual las VPN son herramientas eficaces contra la censura. Por supuesto, los gobiernos represivos lo saben, por lo que su respuesta habitual es intentar bloquear el acceso a las VPN.
Bloqueos de VPN sencillos
La forma más sencilla de hacerlo es bloquear el acceso a los sitios web de los servicios de VPN. Estos bloqueos suelen ser fáciles de eludir; por ejemplo, distribuyendo el software de la VPN, como el archivo APK para Android de Proton VPN, a través de una aplicación de mensajería cifrada o de canales de redes sociales.
También es posible realizar un análisis de paquetes sencillo en los encabezados de los paquetes mediante los siguientes métodos:
Análisis de la dirección IP de destino
Las autoridades pueden examinar la dirección IP de destino de los paquetes y contrastarla con una lista de direcciones IP de servidores de VPN conocidos. Con una lista de este tipo, resulta fácil para un ISP bloquear el acceso a todos los servidores de un servicio de VPN.
Con los recursos de los que disponen la mayoría de los gobiernos, no les resulta difícil recopilar estas listas ellos mismos. Sin embargo, no lo necesitan realmente, ya que muchos servicios comerciales hacen un buen negocio recopilando y vendiendo este tipo de listas.
Análisis de puertos
La DPI puede examinar el número de puerto de destino de los paquetes y contrastarlos con una lista de números de puerto de VPN conocidos.
Por ejemplo, por defecto, OpenVPN utiliza el puerto UDP 1194, mientras que WireGuard® utiliza el puerto UDP 51820.
Análisis de certificados SSL/TLS
Al examinar los certificados SSL/TLS(ventana nueva) de los paquetes, las autoridades pueden contrastarlos con una lista de certificados SSL/TLS de VPN conocidos y detectar si la gente está utilizando una VPN.
Tácticas sencillas anticensura de VPN
El análisis sencillo de paquetes es una táctica de censura habitual porque es fácil y barato. También es bastante fácil de eludir para un servicio de VPN utilizando los siguientes métodos:
VPN sobre TCP
HTTPS(ventana nueva) es el estándar de cifrado que protege la web, lo que hace posible mucho de lo que damos por sentado que podemos hacer en internet. Esto incluye asegurar todas las transacciones financieras online, como las compras online y administrar tu cuenta bancaria online.
HTTPS utiliza el puerto TCP 443, por lo que los servicios de VPN a menudo también ejecutan sus protocolos de VPN a través del puerto TCP 443. Esto hace que sea difícil bloquear simplemente este puerto sin apagar de forma efectiva todo internet.
OpenVPN tiene soporte integrado para TCP, lo que lo convierte en una opción popular entre los servicios de VPN que utilizan esta táctica. WireGuard normalmente se ejecuta sobre UDP, pero Proton VPN también ha desarrollado una forma de ejecutar WireGuard sobre TCP.
Obtén más información sobre la diferencia entre UDP y TCP
La VPN sobre TCP puede evadir de forma eficaz el análisis de protocolo sencillo, pero las técnicas de DPI más avanzadas pueden detectar fácilmente la diferencia entre los paquetes HTTPS y de VPN.
Cambiar los números de puerto
Aunque los protocolos de VPN utilizan por defecto los puertos esperados, la mayoría se pueden ejecutar a través de casi cualquier puerto (excepto los puertos reservados para funciones específicas). Así que una técnica anticensura sencilla (pero a menudo eficaz) consiste en ejecutar los protocolos de VPN a través de puertos no estándar.
La función Smart Protocol de Proton VPN detecta cuándo se bloquea una conexión y cambia automáticamente entre protocolos de VPN y números de puerto para encontrar combinaciones que no estén bloqueadas.
Enrutamiento alternativo
Una táctica anticensura inusual utilizada por Proton VPN es el enrutamiento alternativo(ventana nueva). Si el acceso a cualquier servicio de Proton está bloqueado (incluido el sitio web de Proton VPN), intentamos enrutar la conexión a través de redes de servidores de terceras partes que sea poco probable que estén bloqueadas (como AWS).
Puentes de VPN
El análisis de la dirección IP de destino es un vector de ataque difícil de superar, pero algunos servicios de VPN mitigan el problema con puentes de VPN. Estos les permiten evadir la censura al proporcionar puntos de entrada alternativos a la red de VPN que no figuran públicamente ni están bloqueados por los censores.
Los servicios de VPN pueden lograr esto mediante una técnica llamada “retransmisión por puente” o “modo puente”. Esto ocurre cuando un proveedor de VPN ejecuta unos cuantos “repetidores puente” que no incluye en las listas públicas y que solo proporciona a las personas que necesitan eludir la censura. Estos repetidores puente actúan como un punto de entrada secreto a la red de VPN y se pueden utilizar para omitir los bloqueos en el tráfico de VPN.
Otra forma en que las VPN utilizan puentes es permitiendo que la gente se conecte a la red de VPN a través de una “VPN puente”, que es cuando se establece una conexión de VPN entre tu dispositivo y un servidor de VPN que los censores no han bloqueado. A continuación, puedes utilizar esta VPN puente para conectarte a la red de VPN principal y acceder al contenido bloqueado.
Cómo se utiliza la DPI para detectar VPN
Los censores online y los usuarios de internet han estado sumergidos en una carrera armamentista desde los inicios de la web. Los ISP empezaron a bloquear puertos, por lo que la gente empezó a utilizar puertos no estándar. Los gobiernos represivos respondieron utilizando la DPI para determinar qué hacía el tráfico en los puertos abiertos, lo que animó a la gente a utilizar VPN para burlar la DPI. A su vez, los gobiernos desarrollaron técnicas de DPI más sofisticadas, y así sucesivamente.
La DPI es difícil de omitir porque examina todo el paquete para identificar el tráfico de VPN de diversas maneras. Entre ellas se incluyen:
Análisis de protocolo
Esto examina la estructura y el formato de los paquetes para identificar qué protocolo está en uso y detectar si los paquetes están utilizando un protocolo de VPN como OpenVPN, PPTP, L2TP o IKEv2.
Análisis del tamaño de los paquetes
Los tamaños de paquete inusuales pueden indicar el uso de una VPN.
Análisis de comportamiento
La DPI puede examinar el comportamiento del tráfico de red a lo largo del tiempo para identificar patrones que puedan indicar el uso de una VPN. Por ejemplo, si hay un aumento inusual en el tráfico hacia un servidor específico o un cambio repentino en la ubicación de las direcciones IP, podría indicar que se está utilizando una VPN.
Ofuscación de VPN
Como siguiente paso en la carrera armamentista por un internet sin censura, algunos servicios de VPN han desarrollado protocolos de VPN personalizados resistentes a las técnicas de DPI. Por ejemplo, desarrollamos el protocolo Stealth para Proton VPN.
Este nuevo protocolo combina varias tecnologías de código abierto, en particular utilizando túneles TLS ofuscados sobre TCP para parecerse a HTTPS de una manera más resistente a la censura que simplemente ejecutar la VPN sobre el puerto TCP 443.
Stealth ha ayudado a millones de personas a superar los bloqueos de VPN en lugares como Irán y Rusia, pero no podemos garantizar su eficacia frente a las técnicas avanzadas de DPI.
Reflexiones finales
La inspección profunda de paquetes puede ser sofisticada y plantea un desafío continuo para nuestra labor de llevar un internet abierto a todo el mundo. Pero fundamos Proton VPN para enfrentarnos a desafíos exactamente como este, y nuestros ingenieros siempre están desarrollando nuevas herramientas y funciones anticensura.
Estamos sumergidos en una carrera armamentista con algunos de los gobiernos más represivos del planeta, y lo que está en juego no podría ser más importante. Los gobiernos represivos confían en mantener un control estricto sobre la información a la que pueden acceder sus ciudadanos, con quién pueden hablar y qué pueden decir a sus conciudadanos y al resto del mundo.
Pero creemos que todo el mundo tiene derecho a acceder a información independiente, a asociarse con quien quiera y a criticar las injusticias y los abusos de poder. Estamos luchando para garantizar que todo el mundo tenga acceso a estos derechos humanos fundamentales.
Proton VPN se fundó para ayudar a luchar por un mundo sin censura, por lo que ofrecemos un servicio de VPN 100 % gratuito. Con Proton VPN, cualquiera puede acceder a internet de forma libre y abierta. Nos enorgullece que activistas, periodistas y personas corrientes de todo el mundo recurran a Proton VPN en tiempos de agitación.
Si vives en un país represivo, nuestro servicio está aquí para ayudarte. Si no es así, puedes apoyar nuestra misión de poner un internet sin censura a disposición de todo el mundo registrándote en un plan Proton VPN Plus.
