ディープパケットインスペクションとは何ですか？ - Proton VPN

ディープパケットインスペクション（DPI）とは、ネットワークを通過するデータパケットを検査してトラフィックの種類を特定する方法です。この情報は、不要なトラフィックをブロックするために使用されます。

この技術は、ファイアウォール、侵入検知システム、その他のネットワークセキュリティシステムで一般的に使用されています。

残念ながら、プライベートネットワークを保護するために使用されるものと同じ分析技術が、政府やその他の組織によって、インターネットトラフィックを監視し、オンラインでの反対意見を検閲するために悪用されることもあります。

組織はDPIを使用することで、ネットワークを通過するパケットを検査してその目的を把握できます。これにより、特定のウェブサイト、アプリ、サービスへのアクセスをブロックまたは制限することが可能になります。

VPNを使用すると、パケットが暗号化されるため、この種の分析を防ぐことができます。しかし、VPNプロトコル自体がDPIによって特定されることがよくあります。これにより、抑圧的な政府（およびオフィスやキャンパスなどのその他の組織）は、VPNの使用（難読化）を隠そうとする試みが行われている場合でも、VPNサービスへのアクセスを効果的にブロックできるようになります。

この記事では、ディープパケットインスペクションの仕組みと、抑圧的な政府が検閲制限を課すためにそれをどのように利用しているかに焦点を当てて解説します。また、DPIがこのような制限を克服するように設計されたProton VPNなどの仮想プライベートネットワーク（VPN）にどのような影響を与えるかについても見ていきます。

データパケットとは何ですか？
パケット分析の仕組み
簡易的なパケット分析
ディープパケットインスペクション
DPIと政府による検閲
VPNの仕組み
簡易的なVPNブロック
簡易的なVPN検閲回避策
DPIがどのようにしてVPNを検知するために使用されるか
VPN難読化

データパケットとは何ですか？

ネットワーク（インターネットなど）を介してデータが送信されるとき、データは小さな部分に分割されます。これらの小さな部分は、データパケット（または単にパケット）と呼ばれます。

インターネットプロトコル(新しいウィンドウ)はデータパケットを使用し、ウェブ経由で送信される情報が正しい送信先に確実に届くようにします。データセット（画像やメールの内容など）を構成するすべてのパケットが送信先に到達すると、それらは再構築されます。

パケットに含まれる実際のデータは「ペイロード」と呼ばれます。また、各パケットには、その送信先や送信元などの情報を説明するメタデータを含むヘッダーがあります。

インターネットを介して送信されるすべてのデータは、パケット形式で送信されます。

パケット分析の仕組み

何らかの形式のパケット分析を行う組織は、まず分析対象のパケットを取得する必要があります。これはさまざまな方法で行うことができますが、ポートミラーリング(新しいウィンドウ)、物理的なネットワークタップ(新しいウィンドウ)、およびWi-Fiスニッフィング(新しいウィンドウ)が一般的な手法です。組織がパケットへのアクセス権を取得すれば、さまざまな方法で分析できるようになります。

簡易的なパケット分析

組織がネットワークトラフィックへのブロックを実装する最も簡単（かつ最も安価）な方法は、パケットヘッダーに含まれる情報を検査することです。これにより、これらの組織は使用するポートや宛先IPアドレスに基づいてパケットをブロックできます。

ディープパケットインスペクション

インターネットを検閲したい組織にとって、簡易的なパケット分析の問題点は、宛先IPアドレスや使用するポート番号を変更するだけで簡単にバイパスされてしまうことです。これは、簡易的なパケット分析がデータ（ペイロード）を見ないためです。ディープパケットインスペクションは、ペイロードを含むパケット全体を分析します。

ディープパケットインスペクションはどのように機能しますか？

DPIの技術には以下が含まれます。

シグネチャベースの検知 — 既知の悪意あるトラフィックや不要なトラフィックパターンのデータベースとパケットを比較します
アノマリベース의検知 — 通常のネットワークトラフィックから逸脱したパターンや挙動を探します
プロトコル分析 — パケットの構造とフォーマットを検査して、どのプロトコルが使用されているかを特定します
コンテンツ検査 — メールのテキストなど、ペイロードに含まれる実際のデータを検査して、特定のキーワードやフレーズを特定し、ブロックします
振る舞い分析 — 特定のサーバーへの接続頻度や転送されたデータ量など、ネットワークトラフィックの経時的な挙動を検査して、異常なアクティビティパターンを特定し、ブロックします

DPIと政府による検閲

世界中の抑圧的な政府は、市民が独立した情報にアクセスすること、国際社会と交流する能力、そして政権に批判的な意見を表明する能力を制限したいと考えています。

これが、インターネットブラックアウトが一般化し続けている(新しいウィンドウ)理由の一部です。しかし、これらのブラックアウトは、日常的にインターネットに依存している国（基本的には北朝鮮を除くすべての国）にとって、信じられないほどのコストをもたらします。2022年のインターネットシャットダウンは、世界経済に約240億ドルのコストをもたらしました(新しいウィンドウ)。

ロシア、中国、イラン、エジプトなどの国々におけるこのジレンマの解決策は、インターネットを利用可能にしつつ、市民にアクセスさせたくないウェブサイトやアプリをブロックすることです。基本的なレベルでは、これを実現するのは非常に簡単です。各国の政府は、国内のインターネットサービスプロバイダ（ISP）に対し、特定のIPアドレスへの接続をブロックするよう指示するだけです。

このアプローチの問題点は、仮想プライベートネットワーク（VPN）などの技術により、技術に詳しい市民がこれらのブロックを簡単に回避できてしまうことです。そのため、政府はDPIをデプロイして、VPNの使用を検知（およびブロック）します。

インターネット検閲に関する詳細を読む

VPNの仕組み

VPNは、お客様のデバイスと、Proton VPNなどのVPNサービスが運用するVPNサーバーとの間に暗号化された接続を確立します。その後、VPNアプリはお客様のデバイスからのすべての接続をこの「VPNトンネル」経由でルーティングします。これにはDNSクエリが含まれ、通常のようにISPが解決するのではなく、お客様のVPNプロバイダーが解決します。

VPNトンネルを介して送信されるデータは安全に暗号化されているため、お客様のISP（ひいては政府）は、お客様のデータの内容や訪問しているウェブサイトを閲覧することはできません。閲覧できるのは、お客様が接続したVPNサーバーのIPアドレスのみです。

VPNの仕組みについてより詳しく知る

ISPが見ることができないものはブロックできないため、VPNは効果的な検閲対策ツールとなります。抑圧的な政府はもちろんこのことを知っているため、通常はVPNへのアクセスをブロックしようとします。

簡易的なVPNブロック

これを行う最も簡単な方法は、VPNサービスのウェブサイトへのアクセスをブロックすることです。このようなブロックは通常、簡単に回避できます。たとえば、暗号化されたメッセンジャーやソーシャルメディアチャンネルを介して、Proton VPNのAndroid APKファイルなどのVPNソフトウェアを配布することなどによって可能です。

以下の方法を使用して、パケットヘッダーに対して簡易的なパケット分析を行うことも可能です。

宛先IPアドレスの分析

当局はパケットの宛先IPアドレスを検査し、既知 of VPNサーバーのIPアドレスのリストと照合することができます。このようなリストがあれば、ISPがそのVPNサービスのすべてのサーバーへのアクセスをブロックすることは容易です。

ほとんどの政府が利用できるリソースがあれば、これらのリストを独自に作成することは難しくありません。しかし、多くの商用サービスがこのようなリストを作成して販売することで順調なビジネスを展開しているため、実際には自分たちで作成する必要はありません。

ポート分析

DPIはパケットの送信先ポート番号を検証し、既知 of VPNポート番号のリストと照合することができます。

例えば、デフォルトではOpenVPNはUDPポート1194を使用し、WireGuard®はUDPポート51820を使用します。

SSL/TLS証明書分析

パケットのSSL/TLS証明書(新しいウィンドウ)を検証することで、規制当局はそれらを既知のVPN SSL/TLS証明書のリストと照合し、人々がVPNを使用しているかどうかを検出できます。

簡易的なVPN検閲回避戦術

簡易パケット分析は、容易かつ低コストで行えるため、一般的な検閲戦術となっています。また、VPNサービスが以下の方法を用いてこれを回避することも比較的容易です。

TCP経由のVPN

HTTPS(新しいウィンドウ)はウェブの安全性を確保する暗号化規格であり、私たちがインターネット上で当たり前のように行っていることの多くを可能にしています。これには、オンライン購入やオンラインでの銀行口座管理など、すべてのオンライン金融取引の安全確保が含まれます。

HTTPSはTCPポート443を使用するため、VPNサービスも同様にTCPポート443経由でVPNプロトコルを実行することがよくあります。これにより、インターネット全体を実質的に遮断することなく、このポートを単にブロックすることが困難になります。

OpenVPNはTCPのサポートを内蔵しているため、この戦術を採用するVPNサービスの間で一般的な選択肢となっています。WireGuardは通常UDP経由で実行されますが、Proton VPNはWireGuardをTCP経由で実行する方法も開発しました。

UDPとTCPの違いについて、詳しくはこちらをご覧ください

TCP経由のVPNは簡易的なプロトコル分析を効果的に回避できますが、より高度なDPI技術を使用すると、HTTPSパケットとVPNパケットの違いを容易に見分けることができます。

ポート番号の変更

VPNプロトコルはデフォルトで想定されるポートを使用しますが、ほとんどのプロトコルは（特定の機能用に予約されているポートを除き）ほぼすべてのポートで実行できます。そのため、標準外のポートでVPNプロトコルを実行することは、シンプルですが（多くの場合に効果的な）検閲回避技術となります。

Proton VPNのSmart Protocol機能は、接続がブロックされたことを検出し、VPNプロトコルとポート番号を自動的に切り替えて、ブロックされていない組み合わせを見つけます。

代替ルーティング

Proton VPNが使用する独自の検閲回避戦術の一つに、代替ルーティング(新しいウィンドウ)があります。Protonサービス（Proton VPNウェブサイトを含む）へのアクセスがブロックされた場合、ブロックされる可能性が低いサードパーティのサーバーネットワーク（AWSなど）を介して接続をルーティングすることを試みます。

VPNブリッジ

送信先IPアドレスの分析は克服するのが困難な攻撃ベクトルですが、一部のVPNサービスはVPNブリッジによってこの問題を軽減しています。これにより、公にリストされておらず、検閲官にブロックされていないVPNネットワークへの代替エントリーポイントを提供することで、検閲を回避することができます。

VPNサービスは、「ブリッジ中継」または「ブリッジモード」と呼ばれる手法を使用することでこれを実現できます。これは、VPNプロバイダーが公にリストしない「ブリッジ中継」をいくつか運用し、検閲を回避する必要がある人々にのみ提供する仕組みです。これらのブリッジ中継は、VPNネットワークへの秘密のエントリーポイントとして機能し、VPNトラフィックに対するブロックを回避するために使用されます。

VPNがブリッジを使用するもう一つの方法は、人々が「ブリッジVPN」を介してVPNネットワークに接続できるようにすることです。これは、お客様のデバイスと検閲官にブロックされていないVPNサーバーとの間にVPN接続を確立することを意味します。その後、このブリッジVPNを使用してメインのVPNネットワークに接続し、ブロックされたコンテンツにアクセスできます。

DPIを使用してVPNを検出する方法

オンラインの検閲官とインターネットユーザーは、ウェブの初期段階からいたちごっこを続けてきました。ISPがポートをブロックし始めると、人々は非標準のポートを使用するようになりました。これに対抗して、抑圧的な政府はDPIを使用して開いているポート上のトラフィックが何を行っているかを特定し、これに対抗して人々はDPIを回避するためにVPNを使用するようになりました。その結果、政府はさらに高度なDPI技術を開発し、この攻防が繰り返されています。

DPIはパケット全体を検査して、さまざまな方法でVPNトラフィックを特定するため、回避するのが困難です。これらには以下が含まれます。

プロトコル分析

これは、パケットの構造とフォーマットを検査して、どのプロトコルが使用されているかを特定し、パケットがOpenVPN、PPTP、L2TP、IKEv2などのVPNプロトコルを使用しているかどうかを検出します。

パケットサイズ分析

パケットサイズが異常である場合、VPNの使用を示している可能性があります。

振る舞い分析

DPIは、経時的なネットワークトラフィックの振る舞いを検証して、VPNの使用を示している可能性のあるパターンを特定できます。例えば、特定のサーバーへのトラフィックが異常に急増したり、IPアドレスの位置が突然変化したりした場合、VPNが使用されていることを示している可能性があります。

VPN難読化

検閲のないインターネットを目指すいたちごっこの次のステップとして、一部のVPNサービスはDPI技術に耐性のあるカスタムVPNプロトコルを開発しました。例えば、弊社はProton VPN向けにStealthプロトコルを開発しました。

この新しいプロトコルは、さまざまなオープンソース技術を組み合わせており、特にTCP経由で難読化されたTLSトンネリングを使用して、単にTCPポート443経由でVPNを実行するよりも、検閲に強い方法でHTTPSのように見せかけます。

Stealthについてより詳しく

Stealthは、イランやロシアなどの場所で何百万人もの人々がVPNブロックを克服するのを支援してきましたが、高度なDPI技術に対するその有効性を保証することはできません。

最終的な考え

ディープ・パケット・インスペクション（DPI）は高度化する可能性があり、すべての人に開かれたインターネットを提供するという弊社の取り組みにとって、継続的な課題となっています。しかし、弊社はまさにこのような課題に立ち向かうためにProton VPNを設立しました。弊社のエンジニアは常に新しい検閲回避ツールや機能を開発しています。

弊社は世界で最も抑圧的な一部の政府といたちごっこを続けており、事態は極めて重大です。抑圧的な政府は、市民がアクセスできる情報、会話できる相手、そして他の市民や世界の他の地域に対して発言できる内容を厳しく管理することに依存しています。

しかし、私たちは、すべての人が独立した報道にアクセスし、誰とでも自由に結びつき、不公正や権力の濫用を批判する権利を持っていると信じています。私たちは、すべての人がこれらの基本的な人権にアクセスできるようにするために闘っています。

Proton VPNは、検閲のない世界のために闘うことを支援するために設立されました。そのため、弊社は100%無料のVPNサービスを提供しています。Proton VPNを使用すると、誰でも自由に開かれたインターネットにアクセスできます。世界中の活動家、ジャーナリスト、そして一般の人々が、混乱の時代にProton VPNを頼りにしていることを誇りに思っています。

もしお客様が抑圧的な国にお住まいであれば、弊社のサービスがお役に立ちます。そうでない場合は、Proton VPN Plusプランにサインアップすることで、検閲のないインターネットをすべての人が利用できるようにするという弊社の使命をサポートしていただけます。

Proton VPNを入手