Głęboka inspekcja pakietów (DPI) to metoda badania pakietów danych przepływających przez sieć w celu zidentyfikowania typu ruchu sieciowego. Informacje te mogą następnie posłużyć do blokowania niechcianego ruchu.

Technika ta jest powszechnie stosowana w zaporach sieciowych, systemach wykrywania włamań i innych systemach bezpieczeństwa sieciowego.

Niestety te same techniki analizy, które służą do ochrony sieci prywatnych, mogą być również wykorzystywane przez rządy i inne organizacje do monitorowania ruchu sieciowego w internecie oraz cenzurowania sprzeciwu online.

Korzystając z DPI, organizacje mogą badać pakiety przepływające przez sieć, aby zrozumieć ich cel. Pozwala im to blokować lub ograniczać dostęp do określonych stron internetowych, aplikacji i usług.

Korzystanie z VPN zapobiega tego rodzaju analizie, ponieważ pakiety są zaszyfrowane. Jednak sam protokół VPN może być często zidentyfikowany przez DPI. Pozwala to represyjnym rządom (a niekiedy innym organizacjom, takim jak biura i kampusy) na skuteczne blokowanie dostępu do usług VPN, nawet gdy podejmowane są próby ukrycia (maskowania) faktu korzystania z VPN.

W tym artykule przyjrzymy się, jak działa głęboka inspekcja pakietów, ze szczególnym uwzględnieniem tego, jak represyjne rządy używają jej do nakładania ograniczeń cenzorskich. Sprawdzimy również, jak DPI wpływa na wirtualne sieci prywatne (VPN), takie jak Proton VPN, które zostały zaprojektowane w celu omijania takich ograniczeń.

Czym jest pakiet danych?

Gdy dane są wysyłane przez sieć (taką jak internet), są one dzielone na małe części. Te małe części nazywane są pakietami danych (lub po prostu pakietami).

Przeznaczony do tego Protokół internetowy(nowe okno) używa pakietów danych, aby ułatwić dostarczenie informacji wysyłanych przez sieć do właściwego miejsca docelowego. Gdy wszystkie pakiety składające się na zestaw danych (taki jak obraz lub zawartość wiadomości) dotrą do celu, są ponownie łączone.

Rzeczywiste dane zawarte w pakiecie nazywane są jego ładunkiem użytecznym („payload”). Każdy pakiet ma również nagłówek, który zawiera metadane wyjaśniające takie kwestie, jak miejsce docelowe i źródło jego pochodzenia.

Struktura pakietu IP

Wszystkie dane przesyłane przez internet są wysyłane w pakietach.

Jak działa analiza pakietów

Organizacja przeprowadzająca jakąkolwiek formę analizy pakietów musi najpierw pozyskać pakiety do analizy. Można to zrobić na wiele sposobów, ale powszechnymi taktykami są mirroring portów(nowe okno), fizyczne TAP-y sieciowe(nowe okno) oraz sniffing Wi-Fi(nowe okno). Gdy organizacja ma już dostęp do pakietów, może je analizować na różne sposoby.

Prosta analiza pakietów

Najprostszym (i najtańszym) sposobem na wdrożenie blokad ruchu sieciowego przez organizację jest badanie informacji zawartych w nagłówkach pakietów. Pozwala to tym organizacjom na blokowanie pakietów na podstawie używanych przez nie portów lub ich docelowego adresu IP.

Głęboka inspekcja pakietów

Problem z prostą analizą pakietów w przypadku organizacji chcących cenzurować internet polega na tym, że łatwo ją ominąć, po prostu zmieniając docelowy adres IP lub numery używanych portów. Dzieje się tak dlatego, że prosta analiza pakietów nie bada samych danych (ładunku). Głęboka inspekcja pakietów analizuje cały pakiet, w tym jego ładunek.

Jak działa głęboka inspekcja pakietów?

Techniki DPI obejmują:

  1. Wykrywanie oparte na sygnaturach — porównuje pakiety z bazą danych znanych wzorców złośliwego lub niechcianego ruchu sieciowego
  2. Wykrywanie oparte na anomaliach — szuka wzorców lub zachowań, które odbiegają od normalnego ruchu sieciowego
  3. Analiza protokołów — bada strukturę i format pakietów w celu zidentyfikowania używanego protokołu
  4. Inspekcja zawartości — bada rzeczywiste dane zawarte w ładunku, takie jak tekst wiadomości, w celu zidentyfikowania i zablokowania określonych słów kluczowych lub fraz
  5. Analiza behawioralna — bada zachowanie ruchu sieciowego w czasie, np. częstotliwość połączeń z określonym serwerem lub ilość przesyłanych danych, w celu zidentyfikowania i zablokowania nietypowych wzorców aktywności

DPI a cenzura rządowa

Represyjne rządy na całym świecie chcą ograniczyć swoim obywatelom dostęp do niezależnych informacji, możliwość interakcji ze społecznością międzynarodową oraz zdolność do wyrażania poglądów krytycznych wobec reżimu.

To po części dlatego blokady internetu stają się coraz powszechniejsze(nowe okno). Jednak te blokady są niezwykle kosztowne dla każdego kraju, który regularnie polega na internecie (czyli w zasadzie dla każdego kraju oprócz Korei Północnej). Wyłączenia internetu w 2022 roku kosztowały globalną gospodarkę około 24 miliardów dolarów(nowe okno).

Rozwiązaniem tego dylematu w miejscach takich jak Rosja, Chiny, Iran i Egipt jest udostępnienie internetu, ale zablokowanie stron internetowych i aplikacji, do których rządy te nie chcą dawać dostępu swoim obywatelom. Na podstawowym poziomie jest to dość proste do osiągnięcia. Jedyne, co rządy muszą zrobić, to nakazać krajowym dostawcom usług internetowych (ISPs) blokowanie połączeń z określonymi adresami IP.

Problem z tym podejściem polega na tym, że technologie takie jak wirtualne sieci prywatne (VPN) ułatwiają bardziej biegłym technicznie obywatelom omijanie tych blokad, dlatego rządy wdrażają DPI w celu wykrywania (i blokowania) korzystania z VPN.


Dowiedz się więcej o cenzurze w internecie

Jak działają sieci VPN

VPN tworzy szyfrowane połączenie między Twoim urządzeniem a serwerem VPN obsługiwanym przez usługę VPN, taką jak Proton VPN. Aplikacja VPN kieruje następnie wszystkie połączenia z Twojego urządzenia przez ten „tunel VPN”. Obejmuje to zapytania DNS, które są obsługiwane przez Twojego dostawcę VPN, a nie przez ISP (jak to zwykle bywa).

Ponieważ dane przesyłane przez tunel VPN są bezpiecznie zaszyfrowane, Twój ISP (a w konsekwencji Twój rząd) nie widzi zawartości Twoich danych ani tego, jakie strony internetowe odwiedzasz. Jedyne, co może zobaczyć, to adres IP serwera VPN, z którym się łączysz.

Jak działa VPN

Dowiedz się więcej o tym, jak działa VPN

Tego, czego ISP nie widzi, nie może zablokować, dlatego sieci VPN są skutecznymi narzędziami przeciwdziałającymi cenzurze. Represyjne rządy oczywiście o tym wiedzą, więc ich zwykłą reakcją jest próba zablokowania dostępu do sieci VPN.

Proste blokady VPN

Najprostszym sposobem, aby to zrobić, jest zablokowanie dostępu do stron internetowych dostawców usług VPN. Takie blokady są zazwyczaj łatwe do ominięcia — na przykład poprzez udostępnianie pliku APK Proton VPN na Androida za pośrednictwem zaszyfrowanego komunikatora lub kanałów w mediach społecznościowych.

Możliwe jest również przeprowadzenie prostej analizy pakietów na podstawie ich nagłówków przy użyciu następujących metod:

Analiza docelowego adresu IP

Władze mogą badać docelowy adres IP pakietów i porównywać go z listą znanych adresów IP serwerów VPN. Posiadając taką listę, ISP może łatwo zablokować dostęp do wszystkich serwerów danego dostawcy VPN.

Biorąc pod uwagę zasoby, jakimi dysponuje większość rządów, samodzielne sporządzenie takich list nie jest dla nich trudne. Jednak w rzeczywistości nie muszą tego robić, ponieważ wiele usług komercyjnych robi świetny interes na sporządzaniu i sprzedawaniu takich list.

Analiza portów

DPI może badać docelowy numer portu pakietów i dopasowywać go do listy znanych numerów portów VPN

Na przykład domyślnie OpenVPN używa portu UDP 1194, podczas gdy WireGuard® korzysta z portu UDP 51820.

Analiza certyfikatów SSL/TLS

Badając certyfikaty SSL/TLS(nowe okno) pakietów, organy nadzorcze mogą dopasować je do listy znanych certyfikatów SSL/TLS sieci VPN i wykryć, czy ludzie korzystają z VPN.

Pobierz Proton VPN!

Proste taktyki omijania cenzury przez VPN

Prosta analiza pakietów to powszechna taktyka cenzury, ponieważ jest łatwa i tania. Dostawcy VPN mogą ją jednak dość łatwo obejść, stosując następujące metody:

VPN przez TCP

HTTPS(nowe okno) to standard szyfrowania, który zabezpiecza sieć, umożliwiając wykonywanie wielu czynności w internecie, które uważamy za oczywiste. Obejmuje to zabezpieczanie wszystkich transakcji finansowych online, takich jak zakupy w sieci i zarządzanie swoim kontem bankowym online.

HTTPS korzysta z portu TCP 443, dlatego usługi VPN często uruchamiają swoje protokoły VPN również na porcie TCP 443. Utrudnia to zwykłe zablokowanie tego portu bez faktycznego wyłączenia całego internetu.

OpenVPN ma wbudowane wsparcie dla TCP, co czyni go popularnym wyborem wśród dostawców VPN stosujących tę taktykę. WireGuard jest zazwyczaj uruchamiany przez UDP, ale Proton VPN opracował również sposób na uruchamianie WireGuard przez TCP.

Dowiedz się więcej o różnicach między UDP a TCP

VPN przez TCP może skutecznie omijać prostą analizę protokołów, ale bardziej zaawansowane techniki DPI mogą łatwo dostrzec różnicę między pakietami HTTPS a pakietami VPN.

Zmiana numerów portów

Chociaż protokoły VPN domyślnie korzystają z określonych portów, większość z nich można uruchomić na niemal każdym porcie (z wyjątkiem portów zarezerwowanych dla określonych funkcji). Z tego względu prostą (ale często skutecczną) techniką omijania cenzury jest uruchamianie protokołów VPN na niestandardowych portach.

Funkcja Smart Protocol od Proton VPN wykrywa, kiedy połączenie jest zablokowane, i automatycznie przełącza się między protokołami VPN i numerami portów, aby znaleźć kombinacje, które nie są zablokowane.

Alternatywne przekierowanie połączenia

Nietypową taktyką omijania cenzury stosowaną przez Proton VPN jest alternatywne przekierowanie połączenia(nowe okno). Jeśli dostęp do jakiejkolwiek usługi Proton jest zablokowany (w tym do strony internetowej Proton VPN), staramy się przekierować połączenie przez sieci serwerów stron trzecich, których zablokowanie jest mało prawdopodobne (takie jak AWS).

Mostki VPN

Analiza docelowego adresu IP to trudny do pokonania wektor ataku, ale niektóre usługi VPN łagodzą ten problem dzięki mostkom VPN. Pozwalają one omijać cenzurę, zapewniając alternatywne punkty wejścia do sieci VPN, które nie są publicznie ujawniane ani blokowane przez cenzorów.

Dostawcy VPN mogą to osiągnąć, korzystając z techniki zwanej „przekazywaniem mostkowym” lub „trybem mostka”. Polega to na tym, że dostawca VPN uruchamia kilka „przekaźników mostkowych”, których nie udostępnia publicznie, a jedynie przekaje osobom, które muszą ominąć cenzurę. Te przekaźniki mostkowe działają jako tajny punkt wejścia do sieci VPN i mogą być używane do omijania blokad ruchu VPN.

Innym sposobem wykorzystania mostków przez VPN jest umożliwienie ludziom łączenia się z siecią VPN za pośrednictwem „mostkowego VPN”, czyli sytuacji, w której połączenie VPN jest nawiązywane między Twoim urządzeniem a serwerem VPN, który nie został zablokowany przez cenzorów. Możesz wtedy użyć tego mostkowego VPN, aby połączyć się z główną siecią VPN i uzyskać dostęp do zablokowanych treści.

Jak DPI jest wykorzystywane do wykrywania VPN

Cenzorzy online i użytkownicy internetu biorą udział w wyścigu zbrojeń od najwcześniejszych dni sieci. Dostawcy usług internetowych (ISP) zaczęli blokować porty, więc ludzie zaczęli korzystać z niestandardowych portów. Represyjne rządy odpowiedziały na to, stosując DPI do określenia, co ruch sieciowy robi na otwartych portach, co skłoniło ludzi do korzystania z VPN w celu obejścia DPI. W odpowiedzi rządy opracowały bardziej wyrafinowane techniki DPI i tak dalej.

DPI jest trudne do obejścia, ponieważ analizuje cały pakiet w celu zidentyfikowania ruchu VPN na różne sposoby. Należą do nich:

Analiza protokołów

Metoda ta bada strukturę i format pakietów w celu zidentyfikowania używanego protokołu i wykrycia, czy pakiety korzystają z protokołu VPN, takiego jak OpenVPN, PPTP, L2TP lub IKEv2.

Analiza rozmiaru pakietów

Nietypowe rozmiary pakietów mogą wskazywać na korzystanie z VPN.

Analiza behawioralna

DPI może badać zachowanie ruchu sieciowego w czasie, aby zidentyfikować wzorce, które mogą wskazywać na korzystanie z VPN. Na przykład, jeśli nastąpi nietypowy skok natężenia ruchu sieciowego do określonego serwera lub nagła zmiana lokalizacji adresów IP, może to oznaczać, że używany jest VPN.

Obfuskacja VPN

Jako kolejny krok w wyścigu zbrojeń o wolny od cenzury internet niektóre usługi VPN opracowały niestandardowe protokoły VPN odporne na techniki DPI. Na przykład dla Proton VPN opracowaliśmy protokół Stealth.

Ten nowy protokół łączy różne technologie open-source, w szczególności wykorzystując obfuskację tunelowania TLS przez TCP, aby ruch wyglądał jak HTTPS w sposób bardziej odporny na cenzurę niż zwykłe uruchamianie VPN na porcie TCP 443.

Dowiedz się więcej o Stealth

Stealth pomógł milionom ludzi pokonać blokady VPN w miejscach takich jak Iran i Rosja, ale nie możemy zagwarantować jego skuteczności przeciwko zaawansowanym technikom DPI.

Końcowe przemyślenia

Głęboka inspekcja pakietów (DPI) bywa wyrafinowana i stanowi ciągłe wyzwanie w naszej pracy na rzecz udostępnienia wszystkim otwartego internetu. Założyliśmy jednak Proton VPN, aby stawiać czoła właśnie takim wyzwaniom, a nasi inżynierowie stale opracowują nowe narzędzia i funkcje omijania cenzury.

Bierzemy udział w wyścigu zbrojeń z niektórymi z najbardziej represyjnych rządów na świecie, a stawka nie mogłaby być wyższa. Represyjne rządy opierają się na ścisłej kontroli nad informacjami, do których ich obywatele mają dostęp, z kim mogą rozmawiać i co mogą mówić swoim współobywatelom oraz reszcie świata.

Wierzymy jednak, że każdy ma prawo do dostępu do niezależnych reportaży, zrzeszania się z kim chce oraz krytykowania niesprawiedliwości i nadużyć władzy. Walczymy o to, aby każdy miał dostęp do tych fundamentalnych praw człowieka.

Proton VPN powstał, aby pomóc w walce o świat bez cenzury, dlatego oferujemy w 100% darmowy VPN. Dzięki Proton VPN każdy może uzyskać dostęp do wolnego i otwartego internetu. Jesteśmy dumni, że aktywiści, dziennikarze i zwykli ludzie na całym świecie zwracają się ku Proton VPN w czasach niepokoju.

Jeśli mieszkasz w represyjnym kraju, nasza usługa jest po to, aby Ci pomóc. Jeśli nie, możesz wesprzeć naszą misję udostępniania wolnego od cenzury internetu każdemu, rejestrując się w planie Proton VPN Plus.

Pobierz Proton VPN