Dyp pakkeinspeksjon (DPI) er en metode for å undersøke datapakker som passerer gjennom et nettverk, slik at trafikktypen kan identifiseres. Denne informasjonen kan deretter brukes til å blokkere uønsket trafikk.

The technique is commonly used in firewalls(nytt vindu), intrusion detection systems, and other network security systems.

Dessverre kan de samme analyseteknikkene som brukes til å beskytte private nettverk, også brukes av myndigheter og andre organisasjoner til å overvåke internettrafikk og sensurere motstand på nettet.

Ved hjelp av DPI kan organisasjoner undersøke pakker når de passerer gjennom et nettverk for å forstå formålet deres. Dette gjør at de kan blokkere eller begrense tilgangen til visse nettsteder, applikasjoner og tjenester.

Bruk av VPN forhindrer denne typen analyse, ettersom pakkene er kryptert. Men selve VPN-protokollen kan ofte identifiseres av DPI. Dette gjør det mulig for undertrykkende myndigheter (og av og til andre organisasjoner, som kontorer og universitetsområder) å effektivt blokkere tilgangen til VPN-tjenester, selv når det gjøres forsøk på å skjule (tilsløre) det faktum at et VPN brukes.

I denne artikkelen ser vi på hvordan dyp pakkeinspeksjon fungerer, med fokus på hvordan undertrykkende myndigheter bruker det til å innføre sensurrestriksjoner. Vi ser også på hvordan DPI påvirker virtuelle private nettverk (VPN-er) som Proton VPN, som er utformet for å overvinne slike restriksjoner.

Hva er en datapakke?

Når data sendes over et nettverk (for eksempel internett), deles de opp i mindre deler. Disse små delene kalles datapakker (eller bare pakker).

Internet Protocol(nytt vindu) bruker datapakker til å sikre at informasjon som sendes over nettet, når riktig destinasjon. Når alle pakkene som utgjør et datasett (for eksempel et bilde eller innholdet i en e-post), når sin destinasjon, settes de sammen igjen.

De faktiske dataene i en pakke kalles dens «nyttelast». Hver pakke har også en topptekst som inneholder metadata som forklarer ting som hvor den skal og hvor den kom fra.

IP-pakkestruktur

Alle data som overføres over internett, sendes i pakker.

Hvordan pakkeanalyse fungerer

En organisasjon som utfører noen form for pakkeanalyse, må først skaffe pakker som skal analyseres. Dette kan gjøres på mange måter, men portspeiling(nytt vindu), fysiske nettverksavlyttere (taps)(nytt vindu) og sniffing av Wi-Fi(nytt vindu) er vanlige taktikker. Når en organisasjon har tilgang til pakker, kan den analysere dem på ulike måter.

Enkel pakkeanalyse

Den enkleste (og billigste) måten for en organisasjon å implementere blokkeringer av nettverkstrafikk på, er å undersøke informasjonen i pakketopptekstene. Dette gjør det mulig for disse organisasjonene å blokkere pakker basert på portene de bruker, eller destinasjons-IP-adressen deres.

Dyp pakkeinspeksjon

Problemet med enkel pakkeanalyse for organisasjoner som ønsker å sensurere internett, er at den er enkel å omgå, bare ved å endre destinasjons-IP-adressen eller portnumrene som brukes. Dette er fordi enkel pakkeanalyse ikke ser på dataene (nyttelasten). Dyp pakkeinspeksjon analyserer hele pakken, inkludert nyttelasten.

Hvordan fungerer dyp pakkeinspeksjon?

DPI-teknikker inkluderer:

  1. Signaturbasert deteksjon — sammenligner pakker med en database over kjente skadelige eller uønskede trafikkmønstre
  2. Anomalibasert deteksjon — ser etter mønstre eller atferd som avviker fra normal nettverkstrafikk
  3. Protokollanalyse — undersøker strukturen og formatet til pakker for å identifisere hvilken protokoll som er i bruk
  4. Innholdsinspeksjon — undersøker de faktiske dataene i nyttelasten, for eksempel teksten i en e-post, for å identifisere og blokkere spesifikke nøkkelord eller fraser
  5. Atferdsanalyse — undersøker nettverkstrafikkens atferd over tid, for eksempel frekvensen av tilkoblinger til en bestemt server eller mengden data som overføres, for å identifisere og blokkere uvanlige aktivitetsmønstre

DPI og statlig sensur

Undertrykkende myndigheter rundt om i verden ønsker å begrense innbyggernes tilgang til uavhengig informasjon, deres kapasitet til å samhandle med det internasjonale samfunnet, og deres evne til å uttrykke synspunkter som er kritiske til regimet.

Dette er noe av grunnen til at internett-nedstengninger fortsetter å bli vanligere(nytt vindu). Men disse nedstengningene er utrolig kostbare for ethvert land som regelmessig er avhengig av internett (altså i bunn og grunn alle land unntatt Nord-Korea). Nedstengningene av internett fra 2022 kostet den globale økonomien omtrent 24 milliarder dollar(nytt vindu).

Løsningen på dette dilemmaet på steder som Russland, Kina, Iran og Egypt er å gjøre internett tilgjengelig, men blokkere nettsteder og apper de ikke vil at innbyggerne skal ha tilgang til. På et grunnleggende nivå er dette ganske enkelt å oppnå. Alt myndighetene må gjøre, er å instruere sine innenlandske internettleverandører (ISPs) om å blokkere tilkoblinger til bestemte IP-adresser.

Problemet med denne tilnærmingen er at teknologier som virtuelle private nettverk (VPN) gjør det enkelt for mer teknologikyndige innbyggere å omgå disse blokkeringene, så myndighetene distribuerer DPI for å oppdage (og blokkere) VPN-bruk.


Les mer om internettsensur

Hvordan VPN-er fungerer

Et VPN oppretter en kryptert tilkobling mellom din enhet og en VPN-tjener som drives av en VPN-tjeneste som Proton VPN. VPN-appen ruter deretter alle tilkoblinger fra enheten din gjennom denne «VPN-tunnelen». Dette inkluderer DNS-forespørsler, som VPN-leverandøren din løser opp i stedet for din internettleverandør (som vanligvis skjer).

Fordi dataene som sendes gjennom VPN-tunnelen er sikkert kryptert, kan ikke din internettleverandør (og, som en utvidelse, regjeringen din) se innholdet i dataene dine eller hvilke nettsteder du besøker. Alt den kan se, er IP-adressen til VPN-tjeneren du koblet til.

Hvordan en VPN fungerer

Finn ut mer om hvordan en VPN fungerer

Det en internettleverandør ikke kan se, kan den heller ikke blokkere, og det er derfor VPN-er er effektive verktøy mot sensur. Undertrykkende myndigheter vet naturligvis dette, så deres vanlige reaksjon er å prøve å blokkere tilgangen til VPN-er.

Enkle VPN-blokkeringer

Den enkleste måten å gjøre dette på er å blokkere tilgangen til VPN-tjenestenes nettsteder. Slike blokkeringer er vanligvis enkle å unngå — for eksempel ved å distribuere VPN-programvare som Proton VPNs Android APK-fil via en kryptert meldingstjeneste eller sosiale mediekanaler.

Det er også mulig å utføre enkel pakkeanalyse på pakketopptekster ved hjelp av følgende metoder:

Analyse av destinasjons-IP-adresse

Myndighetene kan undersøke destinasjons-IP-adressen til pakker og matche dem mot en liste over kjente IP-adresser for VPN-tjenere. Med en slik liste er det enkelt for en internettleverandør å blokkere tilgangen til alle tjenerne til en VPN-tjeneste.

Med ressursene de fleste myndigheter har til rådighet, er det ikke vanskelig for dem å sette sammen disse listene selv. Men de trenger egentlig ikke det, ettersom mange kommersielle tjenester gjør god forretning på å samle inn og selge slike lister.

Portanalyse

DPI kan undersøke destinasjonsportnummeret til pakker og matche dem mot en liste over kjente VPN-portnumre.

For eksempel bruker OpenVPN som standard UDP-port 1194, mens WireGuard® bruker UDP-port 51820.

SSL/TLS-sertifikatanalyse

Ved å undersøke pakkenes SSL/TLS-sertifikater(nytt vindu) kan myndighetene matche dem mot en liste over kjente SSL/TLS-sertifikater for VPN og oppdage om folk bruker et VPN.

Skaff deg Proton VPN!

Enkle VPN-taktikker mot sensur

Enkel pakkeanalyse er en vanlig sensurtaktikk fordi det er enkelt og billig. Det er også ganske enkelt for en VPN-tjeneste å omgå ved å bruke følgende metoder:

VPN over TCP

HTTPS(nytt vindu) er krypteringsstandarden som sikrer nettet, og gjør mye av det vi tar for gitt å kunne gjøre på internett mulig. Dette inkluderer å sikre alle finansielle transaksjoner på nettet, som nettbaserte kjøp og det å administrere bankkontoen din på nettet.

HTTPS bruker TCP-port 443, så VPN-tjenester kjører ofte også sine VPN-protokoller over TCP-port 443. Dette gjør det vanskelig å blokkere denne porten uten i praksis å stenge ned hele internett.

OpenVPN har innebygd støtte for TCP, noe som gjør det til et populært valg blant VPN-tjenester som bruker denne taktikken. WireGuard kjøres vanligvis over UDP, men Proton VPN har også utviklet en måte å kjøre WireGuard over TCP på.

Finn ut mer om forskjellen mellom UDP og TCP

VPN over TCP kan effektivt unngå enkel protokollanalyse, men mer avanserte DPI-teknikker kan enkelt oppdage forskjellen mellom HTTPS- og VPN-pakker.

Endring av portnumre

Selv om VPN-protokoller som standard bruker forventede porter, kan de fleste kjøres over nesten hvilken som helst port (bortsett fra porter som er reservert for spesifikke funksjoner). Så en enkel (men ofte effektiv) teknikk mot sensur er å kjøre VPN-protokoller over ikke-standardiserte porter.

Proton VPNs Smart Protocol-funksjon oppdager når en tilkobling er blokkert, og bytter automatisk mellom VPN-protokoller og portnumre for å finne kombinasjoner som ikke er blokkert.

Alternativ ruting

En usedvanlig sensurmotvirkende taktikk brukt av Proton VPN er alternativ ruting(nytt vindu). Hvis tilgang til en Proton-tjeneste er blokkert (inkludert til Proton VPN-nettstedet), prøver vi å rute tilkoblingen gjennom tredjeparts tjenernettverk som sannsynligvis ikke er blokkert (som AWS).

VPN-broer

Analyse av destinasjons-IP-adresser er en utfordrende angrepsvektor å overvinne, men noen VPN-tjenester reduserer problemet med VPN-broer. Disse lar dem unngå sensur ved å tilby alternative inngangsporter til VPN-nettverket som ikke er offentlig oppført eller blokkert av sensurmyndigheter.

VPN-tjenester kan oppnå dette ved å bruke en teknikk kalt «bridge relaying» eller «bro-modus». Dette er når en VPN-leverandør kjører noen få «bro-reléer» som den ikke lister opp offentlig, og bare tilbyr til folk som trenger å omgå sensur. Disse bro-reléene fungerer som et hemmelig inngangspunkt til VPN-nettverket og kan brukes til å omgå blokkeringer av VPN-trafikk.

En annen måte VPN-er bruker broer på, er ved å la folk koble seg til VPN-nettverket gjennom en «bro-VPN», som er når en VPN-tilkobling opprettes mellom enheten din og en VPN-tjener som sensurmyndighetene ikke har blokkert. Du kan deretter bruke denne bro-VPN-en til å koble til hoved-VPN-nettverket og få tilgang til blokkert innhold.

Hvordan DPI brukes til å oppdage VPN-er

Nettbaserte sensorer og internettbrukere har vært låst i et våpenkappløp siden nettets tidligste dager. Internettleverandører begynte å blokkere porter, så folk begynte å bruke ikke-standardiserte porter. Undertrykkende myndigheter svarte med å bruke DPI for å fastslå hva trafikk gjorde på åpne porter, noe som oppmuntret folk til å bruke VPN-er for å bekjempe DPI-en. Deretter utviklet myndighetene mer sofistikerte DPI-teknikker, og så videre.

DPI er vanskelig å omgå fordi det undersøker hele pakken for å identifisere VPN-trafikk på en rekke måter. Disse inkluderer:

Protokollanalyse

Dette undersøker strukturen og formatet til pakker for å identifisere hvilken protokoll som er i bruk, og oppdage om pakkene bruker en VPN-protokoll som OpenVPN, PPTP, L2TP eller IKEv2.

Pakkestørrelsesanalyse

Unormale pakkestørrelser kan tyde på bruk av et VPN.

Atferdsanalyse

DPI kan undersøke nettverkstrafikkens atferd over tid for å identifisere mønstre som kan tyde på bruk av et VPN. For eksempel, hvis det er en uvanlig økning i trafikk til en bestemt tjener eller en plutselig endring i plasseringen til IP-adresser, kan det tyde på at et VPN blir brukt.

VPN-obfuskering

Som neste skritt i våpenkappløpet for et usensurert internett har enkelte VPN-tjenester utviklet tilpassede VPN-protokoller som er motstandsdyktige mot DPI-teknikker. For eksempel utviklet vi Stealth-protokollen for Proton VPN.

Denne nye protokollen kombinerer ulike åpen kildekode-teknologier, særlig ved å bruke obfuskert TLS-tunnelering over TCP for å se ut som HTTPS på en måte som er mer motstandsdyktige mot sensur enn å bare kjøre VPN over TCP-port 443.

Finn ut mer om Stealth

Stealth har hjulpet millioner av mennesker med å overvinne VPN-blokkeringer på steder som Iran og Russland, men vi kan ikke garantere effektiviteten mot avanserte DPI-teknikker.

Avsluttende tanker

Dyp pakkeinspeksjon kan være sofistikert og utgjør en kontinuerlig utfordring for arbeidet vårt med å bringe det åpne internettet til alle. Men vi grunnla Proton VPN nettopp for å møte utfordringer som dette, og ingeniørene våre utvikler alltid nye verktøy og funksjoner for å motvirke sensur.

Vi er låst i et våpenkappløp med noen av verdens mest undertrykkende myndigheter, og innsatsen kunne ikke ha vært høyere. Undertrykkende myndigheter er avhengige av å ha streng kontroll over informasjonen innbyggerne deres har tilgang til, hvem de kan snakke med, og hva de kan si til sine medborgere og resten av verden.

Men vi mener at alle har rett til tilgang til uavhengig rapportering, til å omgås hvem vi vil, og til å kritisere urettferdighet og maktmisbruk. Vi kjemper for å sikre at alle har tilgang til de grunnleggende menneskerettighetene.

Proton VPN ble grunnlagt for å bidra til å kjempe for en verden uten sensur, og det er derfor vi tilbyr en 100 % gratis VPN-tjeneste. Med Proton VPN kan hvem som helst få tilgang til det frie og åpne internettet. Vi er stolte over at aktivister, journalister og vanlige folk over hele verden tyr til Proton VPN i urolige tider.

Hvis du bor i et undertrykkende land, er tjenesten vår her for å hjelpe. Hvis du ikke gjør det, kan du støtte oppdraget vårt om å gjøre det usensurerte internettet tilgjengelig for alle ved å registrere deg for et Proton VPN Plus-abonnement.

Skaff Proton VPN