A inspeção profunda de pacotes (DPI) é um método de examinar pacotes de dados que passam por uma rede para que o tipo de tráfego possa ser identificado. Essa informação pode ser usada para bloquear tráfego indesejado.

A técnica é comumente usada em firewalls, sistemas de detecção de intrusão e outros sistemas de segurança de rede.

Infelizmente, as mesmas técnicas de análise usadas para proteger redes privadas também podem ser usadas por governos e outras organizações para monitorar o tráfego da internet e censurar a dissidência on-line.

Usando DPI, as organizações podem examinar os pacotes à medida que passam por uma rede para entender sua finalidade. Isso permite que elas bloqueiem ou restrinjam o acesso a determinados sites, aplicativos e serviços.

O uso de uma VPN evita esse tipo de análise, já que os pacotes são criptografados. Mas o próprio protocolo VPN muitas vezes pode ser identificado por DPI. Isso permite que governos repressivos (e ocasionalmente outras organizações, como escritórios e campi) bloqueiem efetivamente o acesso aos serviços de VPN, mesmo quando são feitas tentativas de ocultar (ofuscar) o fato de que uma VPN está sendo usada.

Neste artigo, analisamos como a inspeção profunda de pacotes funciona, com foco em como governos repressivos a usam para impor restrições de censura. Também analisamos como a DPI afeta redes privadas virtuais (VPNs), como o Proton VPN, que são projetadas para superar tais restrições.

O que é um pacote de dados?

Quando os dados são enviados por uma rede (como a internet), eles são divididos em partes pequenas. Essas partes pequenas são chamadas de pacotes de dados (ou apenas pacotes).

O Protocolo de Internet(nova janela) usa pacotes de dados para ajudar a garantir que as informações enviadas pela web cheguem ao destino correto. Quando todos os pacotes que compõem um conjunto de dados (como uma imagem ou o conteúdo de um e-mail) chegam ao destino, eles são remontados.

Os dados reais contidos em um pacote são chamados de seu “payload”. Cada pacote também possui um cabeçalho que contém metadados explicando coisas como para onde ele está indo e de onde veio.

Estrutura do pacote IP

Todos os dados transmitidos pela internet são enviados em pacotes.

Como funciona a análise de pacotes

Uma organização que realiza qualquer tipo de análise de pacotes deve primeiro obter os pacotes para analisar. Isso pode ser feito de várias maneiras, mas espelhamento de porta(nova janela), taps de rede(nova janela) físicos e sniffing de Wi-Fi(nova janela) são táticas comuns. Quando uma organização tem acesso aos pacotes, ela pode analisá-los de várias maneiras.

Análise simples de pacotes

A maneira mais fácil (e barata) para uma organização implementar bloqueios no tráfego de rede é examinar as informações contidas nos cabeçalhos dos pacotes. Isso permite que essas organizações bloqueiem pacotes com base nas portas que usam ou em seu endereço IP de destino.

Inspeção profunda de pacotes

O problema com a análise simples de pacotes para organizações que desejam censurar a internet é que ela é fácil de contornar simplesmente alterando o endereço IP de destino ou os números de porta usados. Isso ocorre porque a análise simples de pacotes não analisa os dados (o payload). A inspeção profunda de pacotes analisa o pacote inteiro, incluindo o payload.

Como funciona a inspeção profunda de pacotes?

As técnicas de DPI incluem:

  1. Detecção baseada em assinatura — Compara pacotes com um banco de dados de padrões de tráfego maliciosos ou indesejados conhecidos
  2. Detecção baseada em anomalias — Procura padrões ou comportamentos que se desviam do tráfego de rede normal
  3. Análise de protocolo — Examina a estrutura e o formato dos pacotes para identificar qual protocolo está em uso
  4. Inspeção de conteúdo — Examina os dados reais contidos no payload, como o texto de um e-mail, para identificar e bloquear palavras-chave ou frases específicas
  5. Análise comportamental — Examina o comportamento do tráfego de rede ao longo do tempo, como a frequência de conexões a um servidor específico ou a quantidade de dados transferidos, para identificar e bloquear padrões de atividades incomuns

DPI e censura governamental

Governos repressivos em todo o mundo querem limitar o acesso de seus cidadãos a informações independentes, sua capacidade de interagir com a comunidade internacional e sua habilidade de expressar pontos de vista críticos ao regime.

Essa é parte da razão pela qual os bloqueios de internet continuam a se tornar mais comuns(nova janela). Mas esses apagões são incrivelmente caros para qualquer país que dependa regularmente da internet (ou seja, basicamente todos os países, exceto a Coreia do Norte). Os desligamentos de internet de 2022 custaram à economia global cerca de US$ 24 bilhões(nova janela).

A solução para esse dilema em lugares como Rússia, China, Irã e Egito é disponibilizar a internet, mas bloquear sites e aplicativos que eles não querem que seus cidadãos acessem. Em um nível básico, isso é bastante simples de alcançar. Tudo o que os governos precisam fazer é instruir seus provedores de serviços de internet (ISPs) domésticos a bloquear conexões a determinados endereços IP.

O problema com essa abordagem é que tecnologias como redes privadas virtuais (VPN) facilitam para que os cidadãos mais experientes em tecnologia contornem esses bloqueios, fazendo com que os governos implantem DPI para detectar (e bloquear) o uso de VPN.


Leia mais sobre censura na internet

Como as VPNs funcionam

Uma VPN cria uma conexão criptografada entre o seu dispositivo e um servidor VPN executado por um serviço de VPN, como o Proton VPN. O aplicativo da VPN então roteia todas as conexões do seu dispositivo por esse “túnel VPN”. Isso inclui consultas DNS, que o seu provedor de VPN resolve em vez do seu provedor de internet (como costuma acontecer).

Como os dados enviados pelo túnel VPN são criptografados com segurança, seu provedor de internet (e, por extensão, seu governo) não consegue ver o conteúdo dos seus dados ou quais sites você visita. Tudo o que ele consegue ver é o endereço IP do servidor VPN ao qual você se conectou.

Como uma VPN funciona

Saiba mais sobre como uma VPN funciona

O que um ISP não consegue ver, não consegue bloquear, razão pela qual as VPNs são ferramentas anti-censura eficazes. Governos repressivos, claro, sabem disso, então sua resposta habitual é tentar bloquear o acesso a VPNs.

Bloqueios simples de VPN

A maneira mais simples de fazer isso é bloquear o acesso aos sites dos serviços de VPN. Esses bloqueios costumam ser fáceis de burlar — por exemplo, distribuindo um software de VPN, como o arquivo APK de Android do Proton VPN, por meio de um mensageiro criptografado ou canais de redes sociais.

Também é possível realizar uma análise simples de pacotes nos cabeçalhos dos pacotes usando os seguintes métodos:

Análise do endereço IP de destino

As autoridades podem examinar o endereço IP de destino dos pacotes e compará-los com uma lista de endereços IP de servidores VPN conhecidos. Com essa lista em mãos, é fácil para um ISP bloquear o acesso a todos os servidores de um serviço de VPN.

Com os recursos disponíveis para a maioria dos governos, não é difícil para eles mesmos compilarem essas listas. Mas eles não precisam realmente fazer isso, pois muitos serviços comerciais fazem bons negócios compilando e vendendo essas listas.

Análise de portas

A DPI pode examinar o número da porta de destino dos pacotes e compará-los com uma lista de números de portas de VPN conhecidas

Por exemplo, por padrão, o OpenVPN usa a porta UDP 1194, enquanto o WireGuard® usa a porta UDP 51820.

Análise de certificados SSL/TLS

Ao examinar os certificados SSL/TLS(nova janela) dos pacotes, as autoridades podem compará-los com uma lista de certificados SSL/TLS de VPN conhecidos e detectar se as pessoas estão usando uma VPN.

Obter o Proton VPN!

Táticas simples anticensura de VPN

A análise simples de pacotes é uma tática de censura comum porque é fácil e barata. Também é bastante fácil para um serviço de VPN contorná-la usando os seguintes métodos:

VPN sobre TCP

O HTTPS(nova janela) é o padrão de criptografia que protege a web, tornando possível muito do que consideramos natural poder fazer na internet. Isso inclui proteger todas as transações financeiras on-line, como compras on-line e gerenciar sua conta bancária on-line.

O HTTPS usa a porta TCP 443, por isso os serviços de VPN geralmente também executam seus protocolos VPN na porta TCP 443. Isso dificulta o bloqueio simples dessa porta sem desligar efetivamente toda a internet.

O OpenVPN tem suporte integrado para TCP, o que o torna uma escolha popular entre os serviços de VPN que usam essa tática. O WireGuard geralmente é executado sobre UDP, mas o Proton VPN também desenvolveu uma forma de executar o WireGuard sobre TCP.

Saiba mais sobre a diferença entre UDP e TCP

A VPN sobre TCP pode burlar de forma eficaz a análise simples de protocolo, mas técnicas mais avançadas de DPI podem facilmente identificar a diferença entre pacotes HTTPS e VPN.

Alteração de números de portas

Embora os protocolos de VPN usem portas esperadas por padrão, a maioria pode ser executada em quase qualquer porta (exceto portas reservadas para funções específicas). Portanto, uma técnica anticensura simples (mas geralmente eficaz) é executar protocolos VPN em portas não padrão.

O recurso Smart Protocol do Proton VPN detecta quando uma conexão está bloqueada e alterna automaticamente entre protocolos VPN e números de portas para encontrar combinações que não estejam bloqueadas.

Roteamento alternativo

Uma tática anticensura incomum usada pelo Proton VPN é o roteamento alternativo(nova janela). Se o acesso a qualquer serviço da Proton estiver bloqueado (inclusive ao site do Proton VPN), tentamos rotear a conexão por redes de servidores de terceiros que provavelmente não serão bloqueadas (como a AWS).

Pontes de VPN

A análise do endereço IP de destino é um vetor de ataque difícil de superar, mas alguns serviços de VPN mitigam o problema com pontes de VPN. Elas permitem que eles evitem a censura fornecendo pontos de entrada alternativos para a rede VPN que não estão listados publicamente ou bloqueados por censores.

Os serviços de VPN podem fazer isso usando uma técnica chamada “retransmissão por ponte” ou “modo de ponte”. É quando um provedor de VPN executa algumas “retransmissões por ponte” que não lista publicamente e só fornece para pessoas que precisam superar a censura. Essas retransmissões por ponte funcionam como um ponto de entrada secreto para a rede VPN e podem ser usadas para contornar bloqueios no tráfego da VPN.

Outra forma de as VPNs usarem pontes é permitindo que as pessoas se conectem à rede VPN por meio de uma “VPN de ponte”, que é quando uma conexão VPN é estabelecida entre o seu dispositivo e um servidor VPN que os censores não bloquearam. Você pode usar essa VPN de ponte para se conectar à rede VPN principal e acessar conteúdos bloqueados.

Como a DPI é usada para detectar VPNs

Os censores on-line e os usuários da internet estão travando uma corrida armamentista desde os primórdios da web. Os ISPs começaram a bloquear portas, então as pessoas começaram a usar portas não padrão. Governos repressivos responderam usando a DPI para determinar o que o tráfego estava fazendo em portas abertas, o que incentivou as pessoas a usar VPNs para derrotar a DPI. Por sua vez, os governos desenvolveram técnicas de DPI mais sofisticadas, e assim por diante.

A DPI é difícil de contornar porque examina todo o pacote para identificar o tráfego de VPN de várias maneiras. Isso inclui:

Análise de protocolo

Isso examina a estrutura e o formato dos pacotes para identificar qual protocolo está em uso e detectar se os pacotes estão usando um protocolo VPN como OpenVPN, PPTP, L2TP ou IKEv2.

Análise do tamanho do pacote

Tamanhos de pacotes incomuns podem indicar o uso de uma VPN.

Análise comportamental

A DPI pode examinar o comportamento do tráfego de rede ao longo do tempo para identificar padrões que possam indicar o uso de uma VPN. For exemplo, se houver um pico incomum no tráfego para um servidor específico ou uma mudança repentina na localização dos endereços IP, isso pode indicar que uma VPN está sendo usada.

Ofuscação de VPN

Como o próximo passo na corrida armamentista por uma internet sem censura, alguns serviços de VPN desenvolveram protocolos VPN personalizados e resistentes a técnicas de DPI. Por exemplo, nós desenvolvemos o protocolo Stealth para o Proton VPN.

Este novo protocolo combina várias tecnologias de código aberto, principalmente usando encapsulamento TLS ofuscado sobre TCP para parecer HTTPS de uma forma mais resistente à censura do que simplesmente executar a VPN sobre a porta TCP 443.

Saiba mais sobre Stealth

O Stealth ajudou milhões de pessoas a superar os bloqueios de VPN em locais como o Irã e a Rússia, mas não podemos garantir sua eficácia contra técnicas avançadas de DPI.

Considerações finais

A inspeção profunda de pacotes pode ser sofisticada e representa um desafio constante para o nosso trabalho de levar a internet aberta a todos. Mas nós fundamos o Proton VPN para enfrentar desafios exatamente como esse, e nossos engenheiros estão sempre desenvolvendo novas ferramentas e recursos anticensura.

Estamos travando uma corrida armamentista com alguns dos governos mais repressivos do mundo, e os riscos não poderiam ser maiores. Os governos repressivos dependem de manter um controle rígido sobre as informações que seus cidadãos podem acessar, com quem podem falar e o que podem dizer aos seus concidadãos e ao resto do mundo.

Mas acreditamos que todos têm o direito de acessar reportagens independentes, de se associar com quem quiserem e de criticar injustiças e abusos de poder. Estamos lutando para garantir que todos tenham acesso a esses direitos humanos fundamentais.

O Proton VPN foi fundado para ajudar a lutar por um mundo sem censura, e é por isso que oferecemos um serviço de VPN gratuita. Com o Proton VPN, qualquer pessoa pode acessar a internet livre e aberta. Temos orgulho de que ativistas, jornalistas e pessoas comuns em todo o mundo recorram ao Proton VPN em tempos de turbulência.

Se você mora em um país repressivo, nosso serviço está aqui para ajudar. Se não, você pode apoiar nossa missão de tornar a internet sem censura disponível para todos ao criar conta em um plano Proton VPN Plus.

Obter o Proton VPN