La deep packet inspection (DPI) è un metodo per esaminare i pacchetti di dati che transitano attraverso una rete in modo da poter identificare il tipo di traffico. Queste informazioni possono poi essere utilizzate per bloccare il traffico indesiderato.

Questa tecnica è comunemente utilizzata nei firewall, nei sistemi di rilevamento delle intrusioni e in altri sistemi di sicurezza di rete.

Sfortunatamente, le stesse tecniche di analisi utilizzate per proteggere le reti private possono essere usate anche da governi e altre organizzazioni per monitorare il traffico internet e censurare il dissenso online.

Utilizzando la DPI, le organizzazioni possono esaminare i pacchetti mentre transitano in una rete per capirne lo scopo. Ciò consente loro di bloccare o limitare l’accesso a determinati siti web, applicazioni e servizi.

L’uso di una VPN impedisce questo tipo di analisi, poiché i pacchetti sono crittografati. Tuttavia, il protocollo VPN stesso può spesso essere identificato dalla DPI. Ciò consente ai governi repressivi (e occasionalmente ad altre organizzazioni, come uffici e campus universitari) di bloccare efficacemente l’accesso ai servizi VPN, anche quando si tenta di nascondere (offuscare) il fatto che si stia utilizzando una VPN.

In questo articolo vedremo come funziona la deep packet inspection, concentrandoci su come i governi repressivi la utilizzano per imporre restrizioni di censura. Esamineremo anche come la DPI influenzi le reti private virtuali (VPN) come Proton VPN, progettate per superare tali restrizioni.

Cos’è un pacchetto di dati?

Quando i dati vengono inviati su una rete (come internet), vengono divisi in piccole porzioni. Queste piccole porzioni sono chiamate pacchetti di dati (o semplicemente pacchetti).

L’Internet Protocol(nuova finestra) utilizza i pacchetti di dati per garantire che le informazioni inviate sul web raggiungano la destinazione corretta. Quando tutti i pacchetti che compongono un insieme di dati (come un’immagine o il contenuto di un’email) raggiungono la loro destinazione, vengono riassemblati.

I dati effettivi contenuti in un pacchetto sono chiamati “payload”. Ogni pacchetto ha anche un’intestazione che contiene metadati che spiegano, ad esempio, dove è diretto e da dove proviene.

Struttura dei pacchetti IP

Tutti i dati trasmessi su internet vengono inviati in pacchetti.

Come funziona l’analisi dei pacchetti

Un’organizzazione che esegue qualsiasi forma di analisi dei pacchetti deve prima ottenere i pacchetti da analizzare. Questo può essere fatto in molti modi, ma il port mirroring(nuova finestra), i tap di rete(nuova finestra) fisici e il WiFi sniffing(nuova finestra) sono tattiche comuni. Una volta che un’organizzazione ha accesso ai pacchetti, può analizzarli in vari modi.

Analisi semplice dei pacchetti

Il modo più semplice (ed economico) per un’organizzazione di implementare blocchi sul traffico di rete consiste nell’esaminare le informazioni contenute nelle intestazioni dei pacchetti. Ciò consente a queste organizzazioni di bloccare i pacchetti in base alle porte utilizzate o al loro indirizzo IP di destinazione.

Deep packet inspection

Il problema dell’analisi semplice dei pacchetti per le organizzazioni che desiderano censurare internet è che è facile da aggirare, semplicemente modificando l’indirizzo IP di destinazione o i numeri di porta utilizzati. Questo perché l’analisi semplice dei pacchetti non esamina i dati (il payload). La deep packet inspection analizza l’intero pacchetto, incluso il payload.

Come funziona la deep packet inspection?

Le tecniche di DPI includono:

  1. Rilevamento basato sulle firme — Confronta i pacchetti con un database di modelli di traffico dannosi o indesiderati noti
  2. Rilevamento basato sulle anomalie — Cerca modelli o comportamenti che deviano dal normale traffico di rete
  3. Analisi del protocollo — Esamina la struttura e il formato dei pacchetti per identificare quale protocollo è in uso
  4. Ispezione dei contenuti — Esamina i dati effettivi contenuti nel payload, come il testo di un’email, per identificare e bloccare parole chiave o frasi specifiche
  5. Analisi comportamentale — Esamina il comportamento del traffico di rete nel tempo, come la frequenza delle connessioni a un particolare server o la quantità di dati trasferiti, per identificare e bloccare modelli di attività insoliti

DPI e censura governativa

I governi repressivi di tutto il mondo vogliono limitare l’accesso dei loro cittadini a informazioni indipendenti, la loro capacità di interagire con la comunità internazionale e la loro possibilità di esprimere opinioni critiche nei confronti del regime.

Questo è uno dei motivi per cui i blackout di internet continuano a essere sempre più comuni(nuova finestra). Tuttavia, queste interruzioni sono incredibilmente costose per qualsiasi Paese che si affidi regolarmente a internet (ovvero praticamente tutti, eccetto la Corea del Nord). Nel 2022 i blocchi di internet sono costati all’economia globale circa 24 miliardi di dollari(nuova finestra).

La soluzione a questo dilemma in Paesi come Russia, Cina, Iran ed Egitto è rendere internet disponibile, bloccando però i siti web e le app a cui non vogliono che i loro cittadini accedano. A livello elementare, si tratta di un obiettivo piuttosto semplice da raggiungere. Tutto ciò che i governi devono fare è istruire i propri fornitori di servizi internet (ISP) nazionali a bloccare le connessioni a determinati indirizzi IP.

Il problema di questo approccio è che tecnologie come le reti private virtuali (VPN) rendono facile per i cittadini più esperti di tecnologia aggirare questi blocchi, spingendo i governi a distribuire sistemi di DPI per rilevare (e bloccare) l’uso delle VPN.


Leggi di più sulla censura di internet

Come funzionano le VPN

Una VPN crea una connessione crittografata tra il tuo dispositivo e un server VPN gestito da un servizio VPN come Proton VPN. L’app VPN instrada quindi tutte le connessioni dal tuo dispositivo attraverso questo “tunnel VPN”. Ciò include le query DNS, che vengono risolte dal tuo provider VPN anziché dal tuo ISP (come avviene di solito).

Poiché i dati inviati attraverso il tunnel VPN sono crittografati in modo sicuro, il tuo ISP (e, di conseguenza, il tuo governo) non può vedere il contenuto dei tuoi dati né quali siti web visiti. Tutto ciò che può vedere è l’indirizzo IP del server VPN a cui ti sei connesso.

Come funziona una VPN

Scopri di più su come funziona una VPN

Quello che un ISP non può vedere, non può bloccare, ed è per questo che le VPN sono strumenti anti-censura efficaci. Naturalmente i governi repressivi lo sanno, quindi la loro risposta abituale consiste nel cercare di bloccare l’accesso alle VPN.

Blocchi VPN semplici

Il modo più semplice per farlo è bloccare l’accesso ai siti web dei servizi VPN. Tali blocchi sono solitamente facili da eludere, ad esempio distribuendo il software VPN, come il file APK per Android di Proton VPN, tramite un servizio di messaggistica crittografato o canali di social media.

È anche possibile eseguire un’analisi semplice dei pacchetti sulle intestazioni dei pacchetti utilizzando i seguenti metodi:

Analisi dell’indirizzo IP di destinazione

Le autorità possono esaminare l’indirizzo IP di destinazione dei pacchetti e confrontarlo con un elenco di indirizzi IP noti dei server VPN. Con un elenco simile, è facile per un ISP bloccare l’accesso a tutti i server di un servizio VPN.

Con le risorse a disposizione della maggior parte dei governi, non è difficile per loro compilare autonomamente questi elenchi. Tuttavia non ne hanno davvero bisogno, perché molti servizi commerciali fanno ottimi affari compilando e vendendo tali liste.

Analisi delle porte

La DPI può esaminare il numero di porta di destinazione dei pacchetti e confrontarlo con un elenco di numeri di porta VPN noti

Ad esempio, per impostazione predefinita, OpenVPN utilizza la porta UDP 1194, mentre WireGuard® utilizza la porta UDP 51820.

Analisi dei certificati SSL/TLS

Esaminando i certificati SSL/TLS(nuova finestra) dei pacchetti, le autorità possono confrontarli con un elenco di certificati SSL/TLS di VPN noti e rilevare se le persone utilizzano una VPN.

Scarica Proton VPN!

Semplici tattiche anticensura VPN

L’analisi semplice dei pacchetti è una tattica di censura comune perché è facile ed economica. È anche abbastanza facile da aggirare per un servizio VPN utilizzando i seguenti metodi:

VPN su TCP

HTTPS(nuova finestra) è lo standard di crittografia che protegge il web, rendendo possibile molto di ciò che diamo per scontato di poter fare su internet. Questo include la protezione di tutte le transazioni finanziarie online, come gli acquisti online e la gestione del tuo conto bancario online.

HTTPS utilizza la porta TCP 443, quindi i servizi VPN spesso eseguono i loro protocolli VPN sulla porta TCP 443. Questo rende difficile bloccare semplicemente questa porta senza arrestare di fatto l’intera rete internet.

OpenVPN ha un supporto integrato per TCP, il che lo rende una scelta popolare tra i servizi VPN che utilizzano questa tattica. WireGuard viene solitamente eseguito su UDP, ma Proton VPN ha anche sviluppato un modo per eseguire WireGuard su TCP.

Scopri di più sulla differenza tra UDP e TCP

La VPN su TCP può eludere efficacemente la semplice analisi dei protocolli, ma le tecniche DPI più avanzate possono facilmente individuare la differenza tra i pacchetti HTTPS e VPN.

Modifica dei numeri di porta

Sebbene i protocolli VPN utilizzino per impostazione predefinita le porte previste, la maggior parte può essere eseguita su quasi tutte le porte (ad eccezione di quelle riservate a funzioni specifiche). Quindi una tecnica anticensura semplice (ma spesso efficace) consiste nell’eseguire i protocolli VPN su porte non standard.

La funzionalità Smart Protocol di Proton VPN rileva quando una connessione è bloccata e passa automaticamente da un protocollo VPN e un numero di porta all’altro per trovare combinazioni che non siano bloccate.

Percorso alternativo

Una tattica anticensura insolita utilizzata da Proton VPN è il percorso alternativo(nuova finestra). Se l’accesso a un qualsiasi servizio Proton è bloccato (compreso il sito web di Proton VPN), cerchiamo di instradare la connessione attraverso reti di server di terze parti che difficilmente verranno bloccate (come AWS).

Bridge VPN

L’analisi dell’indirizzo IP di destinazione è un vettore di attacco difficile da superare, ma alcuni servizi VPN mitigano il problema con i bridge VPN. Questi consentono loro di eludere la censura fornendo punti di accesso alternativi alla rete VPN che non sono elencati pubblicamente o bloccati dai censori.

I servizi VPN possono ottenere questo risultato utilizzando una tecnica chiamata “bridge relaying” o “modalità bridge”. Questo accade quando un fornitore di VPN gestisce alcuni “bridge relay” che non elenca pubblicamente e fornisce solo a chi ha bisogno di aggirare la censura. Questi bridge relay fungono da punto di accesso segreto alla rete VPN e possono essere utilizzati per bypassare i blocchi sul traffico VPN.

Un altro modo in cui le VPN utilizzano i bridge è consentire alle persone di connettersi alla rete VPN tramite una “VPN bridge”, ovvero quando viene stabilita una connessione VPN tra il tuo dispositivo e un server VPN che i censori non hanno bloccato. Puoi quindi utilizzare questa VPN bridge per connetterti alla rete VPN principale e accedere ai contenuti bloccati.

Come viene utilizzata la DPI per rilevare le VPN

I censori online e gli utenti di internet sono impegnati in una corsa agli armamenti fin dai primi giorni del web. Gli ISP hanno iniziato a bloccare le porte, quindi le persone hanno iniziato a utilizzare porte non standard. I governi repressivi hanno risposto utilizzando la DPI per determinare cosa faceva il traffico sulle porte aperte, il che ha incoraggiato le persone a utilizzare le VPN per sconfiggere la DPI. A loro volta, i governi hanno sviluppato tecniche di DPI più sofisticate, e così via.

La DPI è difficile da aggirare perché esamina l’intero pacchetto per identificare il traffico VPN in diversi modi, tra cui:

Analisi dei protocolli

Questa esamina la struttura e il formato dei pacchetti per identificare quale protocollo sia in uso e rilevare se i pacchetti stanno utilizzando un protocollo VPN come OpenVPN, PPTP, L2TP o IKEv2.

Analisi della dimensione dei pacchetti

Dimensioni insolite dei pacchetti possono indicare l’uso di una VPN.

Analisi comportamentale

La DPI può esaminare il comportamento del traffico di rete nel tempo per identificare modelli che potrebbero indicare l’uso di una VPN. Ad esempio, se si verifica un picco insolito di traffico verso un server specifico o un improvviso cambiamento nella posizione degli indirizzi IP, potrebbe indicare che si sta utilizzando una VPN.

Offuscamento della VPN

Come passo successivo nella corsa agli armamenti per un internet senza censure, alcuni servizi VPN hanno sviluppato protocolli VPN personalizzati resistenti alle tecniche di DPI. Ad esempio, abbiamo sviluppato il protocollo Stealth per Proton VPN.

Questo nuovo protocollo combina diverse tecnologie open source, in particolare utilizzando un tunneling TLS offuscato su TCP per apparire come HTTPS in un modo più resistente alla censura rispetto alla semplice esecuzione della VPN sulla porta TCP 443.

Scopri di più su Stealth

Stealth ha aiutato milioni di persone a superare i blocchi delle VPN in luoghi come l’Iran e la Russia, ma non possiamo garantirne l’efficacia contro le tecniche DPI avanzate.

Considerazioni finali

La deep packet inspection può essere sofisticata e rappresenta una sfida costante nel nostro lavoro per portare l’internet libero a tutti. Ma abbiamo fondato Proton VPN proprio per affrontare sfide come questa, e i nostri ingegneri sviluppano costantemente nuovi strumenti e funzionalità anticensura.

Siamo impegnati in una corsa agli armamenti con alcuni dei governi più repressivi del pianeta, e la posta in gioco non potrebbe essere più alta. I governi repressivi si affidano al mantenimento di un controllo ferreo sulle informazioni a cui i cittadini possono accedere, con chi possono parlare e cosa possono dire ai loro concittadini e al resto del mondo.

Ma crediamo che ognuno abbia il diritto di accedere a informazioni indipendenti, associarsi con chi preferisce e criticare le ingiustizie e gli abusi di potere. Stiamo lottando per garantire che tutti abbiano accesso a questi diritti umani fondamentali.

Proton VPN è stata fondata per contribuire a lottare per un mondo senza censura, ed è per questo che offriamo un servizio VPN gratis al 100%. Con Proton VPN, chiunque può accedere a un internet libero e aperto. Siamo orgogliosi che attivisti, giornalisti e persone comuni in tutto il mondo si rivolgano a Proton VPN nei momenti di disordine.

Se vivi in un paese repressivo, il nostro servizio è qui per aiutarti. In caso contrario, puoi sostenere la nostra missione per rendere internet senza censure disponibile per tutti registrandoti a un piano Proton VPN Plus.

Ottieni Proton VPN