Deep packet inspection (DPI) is een methode om datapakketten te onderzoeken die door een netwerk passeren, zodat het type verkeer kan worden geïdentificeerd. Deze informatie kan vervolgens worden gebruikt om ongewenst verkeer te blokkeren.

De techniek wordt veelal gebruikt in firewalls, inbraakdetectiesystemen en andere netwerkbeveiligingssystemen.

Helaas kunnen dezelfde analysetechnieken die worden gebruikt om privénetwerken te beschermen, door overheden en andere organisaties ook worden gebruikt om internetverkeer te monitoren en online dissidenten te censureren.

Met behulp van DPI kunnen organisaties pakketten onderzoeken terwijl ze door een netwerk passeren om het doel ervan te begrijpen. Dit stelt hen in staat om de toegang tot bepaalde websites, toepassingen en diensten te blokkeren of te beperken.

Het gebruik van een VPN voorkomt dit soort analyses, omdat de pakketten versleuteld zijn. Het VPN-protocol zelf kan echter vaak worden geïdentificeerd door DPI. Dit stelt repressieve overheden (en soms andere organisaties, zoals kantoren en campussen) in staat om de toegang tot VPN-diensten effectief te blokkeren, zelfs wanneer er pogingen worden gedaan om het gebruik van een VPN te verbergen (obfuseren).

In dit artikel bekijken we hoe deep packet inspection werkt, met de nadruk op hoe repressieve overheden dit gebruiken om censuurbeperkingen op te leggen. We kijken ook naar hoe DPI invloed heeft op virtuele privénetwerken (VPN’s) zoals Proton VPN, die zijn ontworpen om dergelijke beperkingen te omzeilen.

Wat is een datapakket?

Wanneer data over een netwerk (zoals het internet) wordt verzonden, wordt het in kleine delen verdeeld. Deze kleine delen worden datapakketten (of gewoon pakketten) genoemd.

Het Internet Protocol(nieuw venster) gebruikt datapakketten om ervoor te zorgen dat informatie die over het web wordt verzonden de juiste bestemming bereikt. Wanneer alle pakketten die samen een dataset vormen (zoals een afbeelding of de inhoud van een e-mail) hun bestemming bereiken, worden ze weer samengevoegd.

De feitelijke gegevens in een pakket worden de “payload” genoemd. Elk pakket heeft ook een header met metagegevens die zaken uitleggen zoals waar het naartoe gaat en waar het vandaan komt.

IP-pakketstructuur

Alle gegevens die over het internet worden verzonden, worden in pakketten verstuurd.

Hoe pakketanalyse werkt

Een organisatie die enige vorm van pakketanalyse uitvoert, moet eerst pakketten verkrijgen om te analyseren. Dit kan op vele manieren worden gedaan, maar port mirroring(nieuw venster), fysieke netwerktaps(nieuw venster) en wifisniffing(nieuw venster) zijn veelgebruikte tactieken. Zodra een organisatie toegang heeft tot de pakketten, kan ze deze op verschillende manieren analyseren.

Eenvoudige pakketanalyse

De eenvoudigste (en goedkoopste) manier voor een organisatie om blokkades op netwerkverkeer te implementeren, is door de informatie in de pakket-headers te onderzoeken. Dit stelt deze organisaties in staat om pakketten te blokkeren op basis van de poorten die ze gebruiken of hun bestemmings-IP-adres.

Deep packet inspection

Het probleem met eenvoudige pakketanalyse voor organisaties die het internet willen censureren, is dat het gemakkelijk te omzeilen is door simpelweg het bestemmings-IP-adres of de gebruikte poortnummers te wijzigen. Dit komt omdat eenvoudige pakketanalyse niet naar de gegevens (de payload) kijkt. Deep packet inspection analyseert het hele pakket, inclusief de payload.

Hoe werkt deep packet inspection?

DPI-technieken omvatten:

  1. Op handtekening gebaseerde detectie — Vergelijkt pakketten met een database van bekende kwaadaardige of ongewenste verkeerspatronen
  2. Op anomalie gebaseerde detectie — Zoekt naar patronen of gedragingen die afwijken van het normale netwerkverkeer
  3. Protocolanalyse — Onderzoekt de structuur en het formaat van pakketten om te identificeren welk protocol in gebruik is
  4. Inhoudsinspectie — Onderzoekt de feitelijke gegevens in de payload, zoals de tekst van een e-mail, om specifieke trefwoorden of zinsdelen te identificeren en te blokkeren
  5. Gedragsanalyse — Onderzoekt het gedrag van netwerkverkeer in de loop van de tijd, zoals de frequentie van verbindingen met een specifieke server of de hoeveelheid overgedragen gegevens, om ongebruikelijke activiteitspatronen te identificeren en te blokkeren

DPI en overheidscensuur

Repressieve overheden over de hele wereld willen de toegang van hun burgers tot onafhankelijke informatie, hun vermogen om met de internationale gemeenschap te communiceren en hun mogelijkheid om standpunten te uiten die kritisch zijn tegenover het regime, beperken.

Dit is een van de redenen waarom internet-black-outs steeds vaker voorkomen(nieuw venster). Maar deze black-outs zijn ongelooflijk kostbaar voor elk land dat regelmatig afhankelijk is van het internet (dus in feite elk land behalve Noord-Korea). De internetblokkades van 2022 kostten de wereldeconomie ongeveer 24 miljard dollar(nieuw venster).

De oplossing voor dit dilemma in landen als Rusland, China, Iran en Egypte is om het internet beschikbaar te maken, maar websites en apps te blokkeren waartoe ze niet willen dat hun burgers toegang hebben. Op basisniveau is dit vrij eenvoudig te bereiken. Het enige wat overheden hoeven te doen, is hun binnenlandse internetproviders (ISP’s) opdragen de verbindingen met bepaalde IP-adressen te blokkeren.

Het probleem met deze aanpak is dat technologieën zoals virtuele privénetwerken (VPN) het voor meer tech-savvy burgers gemakkelijk maken om deze blokkades te omzeilen, en daarom implementeren overheden DPI om VPN-gebruik te detecteren (et te blokkeren).


Lees meer over internetcensuur

Hoe VPN’s werken

Een VPN creëert een versleutelde verbinding tussen uw apparaat en een VPN-server die wordt beheerd door een VPN-dienst zoals Proton VPN. De VPN-app leidt vervolgens alle verbindingen van uw apparaat door deze “VPN-tunnel”. Dit omvat DNS-vragen, die uw VPN-provider oplost in plaats van uw ISP (zoals gewoonlijk gebeurt).

Omdat de gegevens die via de VPN-tunnel worden verzonden veilig zijn versleuteld, kan uw ISP (en, bij uitbreiding, uw overheid) de inhoud van uw gegevens of de websites die u bezoekt niet zien. Het enige wat uw ISP kan zien, is het IP-adres van de VPN-server waarmee u verbinding hebt gemaakt.

Hoe een VPN werkt

Meer informatie over hoe een VPN werkt

Wat een ISP niet kan zien, kan deze niet blokkeren. Daarom zijn VPN’s effectieve hulpmiddelen tegen censuur. Repressieve overheden weten dit natuurlijk, dus hun gebruikelijke reactie is om te proberen de toegang tot VPN’s te blokkeren.

Eenvoudige VPN-blokkades

De eenvoudigste manier om dit te doen, is door de toegang tot de websites van VPN-diensten te blokkeren. Dergelijke blokkades zijn meestal gemakkelijk te omzeilen — bijvoorbeeld door VPN-software zoals het Android APK-bestand van Proton VPN te verspreiden via een versleutelde messenger of socialmediakanalen.

Het is ook mogelijk om eenvoudige pakketanalyse uit te voeren op pakket-headers met behulp van de volgende methoden:

Analyse van het bestemmings-IP-adres

Autoriteiten kunnen het bestemmings-IP-adres van pakketten onderzoeken en deze vergelijken met een lijst van bekende IP-adressen van VPN-servers. Gewapend met een dergelijke lijst is het voor een ISP eenvoudig om de toegang tot alle servers van een VPN-dienst te blokkeren.

Gezien de middelen die de meeste overheden ter beschikking staan, is het voor hen niet moeilijk om deze lijsten zelf samen te stellen. Maar dat hoeven ze eigenlijk ook niet, omdat veel commerciële diensten goede zaken doen met het samenstellen en verkopen van dergelijke lijsten.

Poortanalyse

DPI kan het bestemmingspoortnummer van pakketten inspecteren en deze vergelijken met een lijst van bekende VPN-poortnummers

OpenVPN gebruikt bijvoorbeeld standaard UDP-poort 1194, terwijl WireGuard® UDP-poort 51820 gebruikt.

SSL/TLS-certificaatanalyse

Door de SSL/TLS-certificaten(nieuw venster) van pakketten te inspecteren, kunnen autoriteiten deze vergelijken met een lijst van bekende VPN SSL/TLS-certificaten en detecteren of mensen een VPN gebruiken.

Neem Proton VPN!

Eenvoudige VPN-anticensuurtactieken

Eenvoudige pakketanalyse is een veelgebruikte censuurtactiek omdat het gemakkelijk en goedkoop is. Het is voor een VPN-dienst ook vrij eenvoudig te omzeilen met behulp van de volgende methoden:

VPN over TCP

HTTPS(nieuw venster) is de versleutelingsstandaard die het web beveiligt en veel van wat we als vanzelfsprekend beschouwen op het internet mogelijk maakt. Dit omvat de beveiliging van alle online financiële transacties, zoals online aankopen en het online beheren van uw bankrekening.

HTTPS gebruikt TCP-poort 443, dus VPN-diensten voeren hun VPN-protocollen vaak ook uit over TCP-poort 443. Dit maakt het moeilijk om deze poort simpelweg te blokkeren zonder effectief het hele internet plat te leggen.

OpenVPN heeft ingebouwde ondersteuning voor TCP, waardoor het een populaire keuze is onder VPN-diensten die deze tactiek gebruiken. WireGuard wordt meestal via UDP uitgevoerd, maar Proton VPN heeft ook een manier ontwikkeld om WireGuard via TCP uit te voeren.

Lees meer over het verschil tussen UDP en TCP

VPN over TCP kan eenvoudige protocolanalyse effectief omzeilen, maar geavanceerdere DPI-technieken kunnen gemakkelijk het verschil tussen HTTPS- en VPN-pakketten herkennen.

Poortnummers wijzigen

Hoewel VPN-protocollen standaard de verwachte poorten gebruiken, kunnen de meeste over bijna elke poort worden uitgevoerd (behalve poorten die voor specifieke functies zijn gereserveerd). Een eenvoudige (maar vaak effectieve) anticensuurtechniek is dus om VPN-protocollen over niet-standaard poorten uit te voeren.

De Smart Protocol-functie van Proton VPN detecteert wanneer een verbinding wordt geblokkeerd en schakelt automatisch tussen VPN-protocollen en poortnummers om combinaties te vinden die niet geblokkeerd zijn.

Alternatieve route

Een ongebruikelijke anticensuurtactiek die door Proton VPN wordt gebruikt, is alternatieve route(nieuw venster). Als de toegang tot een Proton-dienst is geblokkeerd (inclusief de Proton VPN-website), proberen we de verbinding te leiden via servernetwerken van derden die waarschijnlijk niet worden geblokkeerd (zoals AWS).

VPN-bridges

Analyse van het bestemmings-IP-adres is een uitdagende aanvalsvector om te overwinnen, maar sommige VPN-diensten verzachten dit probleem met VPN-bridges. Hiermee kunnen ze censuur omzeilen door alternatieve toegangspunten tot het VPN-netwerk te bieden die niet openbaar worden vermeld of door censors worden geblokkeerd.

VPN-diensten kunnen dit bereiken door een techniek te gebruiken die “bridge relaying” of “bridge-modus” wordt genoemd. Dit houdt in dat een VPN-provider een aantal “bridge-relays” beheert die niet openbaar worden vermeld en alleen worden verstrekt aan mensen die censuur moeten omzeilen. Deze bridge-relays fungeren als een geheim toegangspunt tot het VPN-netwerk en kunnen worden gebruikt om blokkades op VPN-verkeer te omzeilen.

Een andere manier waarop VPN’s bridges gebruiken, is door mensen verbinding te laten maken met het VPN-netwerk via een “bridge-VPN”. Dit is wanneer er een VPN-verbinding tot stand wordt gebracht tussen uw apparaat en een VPN-server die niet door censors is geblokkeerd. U kunt deze bridge-VPN vervolgens gebruiken om verbinding te maken met het hoofd-VPN-netwerk en toegang te krijgen tot geblokkeerde inhoud.

Hoe DPI wordt gebruikt om VPN’s te detecteren

Online censors en internetgebruikers zijn al sinds de begindagen van het web verwikkeld in een wapenwedloop. ISP’s begonnen poorten te blokkeren, dus begonnen mensen niet-standaard poorten te gebruiken. Repressieve overheden reageerden door DPI te gebruiken om te bepalen wat verkeer op open poorten deed, wat mensen aanmoedigde om VPN’s te gebruiken om de DPI te omzeilen. Op hun beurt ontwikkelden overheden geavanceerdere DPI-technieken, enzovoort.

DPI is moeilijk te omzeilen omdat het het volledige pakket inspecteert om op verschillende manieren VPN-verkeer te identificeren. Deze omvatten:

Protocolanalyse

Dit onderzoekt de structuur en indeling van pakketten om te identificeren welk protocol in gebruik is en om te detecteren of de pakketten een VPN-protocol zoals OpenVPN, PPTP, L2TP of IKEv2 gebruiken.

Pakketgrootteanalyse

Ongebruikelijke pakketgroottes kunnen wijzen op het gebruik van een VPN.

Gedragsanalyse

DPI kan het gedrag van netwerkverkeer in de loop van de tijd onderzoeken om patronen te identificeren die kunnen wijzen op het gebruik van een VPN. Als er bijvoorbeeld een ongebruikelijke piek is in het verkeer naar een specifieke server of een plotselinge wijziging in de locatie van IP-adressen, kan dit erop wijzen dat er een VPN wordt gebruikt.

VPN-versluiering

Als volgende stap in de wapenwedloop voor een ongecensureerd internet hebben sommige VPN-diensten aangepaste VPN-protocollen ontwikkeld die bestand zijn tegen DPI-technieken. Zo hebben we het Stealth-protocol voor Proton VPN ontwikkeld.

Dit nieuwe protocol combineert verschillende opensourcetechnologieën, met name door gebruik te maken van versluierde TLS-tunnelling over TCP om eruit te zien als HTTPS op een manier die beter bestand is tegen censuur dan simpelweg een VPN uit te voeren over TCP-poort 443.

Meer informatie over Stealth

Stealth heeft miljoenen mensen geholpen om VPN-blokkades te overwinnen in plaatsen zoals Iran en Rusland, maar we kunnen de effectiviteit ervan tegen geavanceerde DPI-technieken niet garanderen.

Laatste gedachten

Deep packet inspection kan geavanceerd zijn en vormt een voortdurende uitdaging voor ons werk om het open internet voor iedereen toegankelijk te maken. Maar we hebben Proton VPN opgericht om juist dit soort uitdagingen aan te gaan, en onze technici ontwikkelen voortdurend nieuwe anticensuurtools en -functies.

We zijn verwikkeld in een wapenwedloop met enkele van ‘s werelds meest repressieve overheden, en de belangen kunnen niet groter zijn. Repressieve overheden vertrouwen op een strenge controle over de informatie waartoe hun burgers toegang hebben, met wie ze kunnen praten en wat ze kunnen zeggen tegen hun medeburgers en de rest van de wereld.

Maar we geloven dat iedereen het recht heeft op toegang tot onafhankelijke berichtgeving, om zich te verenigen met wie we maar willen, en om onrecht en machtsmisbruik te bekritiseren. We vechten ervoor dat iedereen toegang heeft tot deze fundamentele mensenrechten.

Proton VPN is opgericht om te strijden voor een wereld zonder censuur. Daarom bieden we een 100% gratis VPN-dienst aan. Met Proton VPN heeft iedereen toegang tot het vrije en open internet. We zijn er trots op dat activisten, journalisten en gewone mensen over de hele wereld zich in tijden van onrust tot Proton VPN wenden.

Als u in een repressief land woont, is onze dienst er om u te helpen. Als dat niet het geval is, kunt u onze missie om het ongecensureerde internet voor iedereen beschikbaar te maken ondersteunen door u in te schrijven voor een Proton VPN Plus-abonnement.

Neem Proton VPN