A inspeção profunda de pacotes (DPI) é um método de examinar pacotes de dados que passam por uma rede para que o tipo de tráfego possa ser identificado. Esta informação pode depois ser utilizada para bloquear tráfego indesejado.

A técnica é vulgarmente utilizada em firewalls, sistemas de deteção de intrusões e outros sistemas de segurança de rede.

Infelizmente, as mesmas técnicas de análise utilizadas para proteger redes privadas também podem ser utilizadas por governos e outras organizações para monitorizar o tráfego da internet e censurar a dissidência online.

Ao utilizar a DPI, as organizações podem examinar pacotes à medida que passam por uma rede para compreender a sua finalidade. Isto permite-lhes bloquear ou restringir o acesso a determinados sítios web, aplicações e serviços.

A utilização de uma VPN evita este tipo de análise, uma vez que os pacotes são encriptados. Mas o próprio protocolo VPN pode, muitas vezes, ser identificado pela DPI. Isto permite que governos repressivos (e ocasionalmente outras organizações, tais como escritórios e campus) bloqueiem eficazmente o acesso a serviços VPN, mesmo quando são feitas tentativas para ocultar (ofuscar) o facto de uma VPN estar a ser utilizada.

Neste artigo, analisamos como funciona a inspeção profunda de pacotes, com destaque para a forma como os governos repressivos a utilizam para impor restrições de censura. Também analisamos a forma como a DPI afeta as redes virtuais privadas (VPNs), tais como a Proton VPN, que são concebidas para superar tais restrições.

O que é um pacote de dados?

Quando os dados são enviados através de uma rede (como a internet), são divididos em pequenas porções. Estas pequenas porções são designadas por pacotes de dados (ou apenas pacotes).

O Internet Protocol(nova janela) utiliza pacotes de dados para ajudar a garantir que as informações enviadas através da web chegam ao destino correto. Quando todos os pacotes que compõem um conjunto de dados (como uma imagem ou o conteúdo de um e-mail) chegam ao seu destino, são reagrupados.

Os dados reais contidos num pacote são designados por “payload”. Cada pacote tem também um cabeçalho que contém metadados que explicam coisas como o local para onde vai e de onde veio.

Estrutura do pacote IP

Todos os dados transmitidos através da internet são enviados em pacotes.

Como funciona a análise de pacotes

Uma organização que realize qualquer forma de análise de pacotes deve primeiro obter os pacotes para analisar. Isto pode ser feito de várias formas, mas o espelhamento de portas(nova janela), as ligações físicas de rede(nova janela) e a interceção de Wi-Fi(nova janela) são táticas comuns. Assim que uma organização tiver acesso aos pacotes, pode analisá-los de várias formas.

Análise simples de pacotes

A forma mais fácil (e mais barata) de uma organização implementar bloqueios no tráfego de rede consiste em examinar a informação contida nos cabeçalhos dos pacotes. Isto permite que estas organizações bloqueiem pacotes com base nas portas que utilizam ou no seu endereço IP de destino.

Inspeção profunda de pacotes

O problema da análise simples de pacotes para as organizações que desejam censurar a internet é que esta é fácil de contornar simplesmente alterando o endereço IP de destino ou os números de porta utilizados. Isto acontece porque a análise simples de pacotes não analisa os dados (a carga útil). A inspeção profunda de pacotes analisa todo o pacote, incluindo a carga útil.

Como funciona a inspeção profunda de pacotes?

As técnicas de DPI incluem:

  1. Deteção baseada em assinaturas — Compara os pacotes com uma base de dados de padrões de tráfego malicioso ou indesejado conhecidos
  2. Deteção baseada em anomalias — Procura padrões ou comportamentos que se desviam do tráfego de rede normal
  3. Análise de protocolo — Examina a estrutura e o formato dos pacotes para identificar qual o protocolo que está a ser utilizado
  4. Inspeção de conteúdos — Examina os dados reais contidos na carga útil, como o texto de um e-mail, para identificar e bloquear palavras-chave ou frases específicas
  5. Análise comportamental — Examina o comportamento do tráfego de rede ao longo do tempo, como a frequência das ligações a um determinado servidor ou a quantidade de dados transferidos, para identificar e bloquear padrões de atividade invulgares

DPI e censura governamental

Os governos repressivos de todo o mundo querem limitar o acesso dos seus cidadãos a informação independente, a sua capacidade de interagir com a comunidade internacional e a sua aptidão para exprimir pontos de vista críticos do regime.

Esta é parte da razão pela qual os apagões de internet continuam a tornar-se mais comuns(nova janela). Mas estes apagões são incrivelmente dispendiosos para qualquer país que dependa regularmente da internet (ou seja, basicamente todos os países, exceto a Coreia do Norte). Os bloqueios de internet de 2022 custaram à economia global cerca de 24 mil milhões de dólares(nova janela).

A solução para este dilema em locais como a Rússia, a China, o Irão e o Egito é disponibilizar a internet, mas bloquear os sítios web e as aplicações a que não querem que os seus cidadãos acedam. A um nível básico, isto é bastante simples de alcançar. Tudo o que os governos têm de fazer é dar instruções aos seus provedores de serviços de internet (ISPs) nacionais para bloquearem as ligações a determinados endereços IP.

O problema com esta abordagem é que tecnologias como as redes virtuais privadas (VPN) facilitam a fuga a estes bloqueios por parte dos cidadãos com mais conhecimentos tecnológicos, pelo que os governos implementam a DPI para detetar (e bloquear) a utilização de VPNs.


Leia mais sobre a censura na internet

Como funcionam as VPNs

Uma VPN cria uma ligação encriptada entre o seu dispositivo e um servidor de VPN gerido por um serviço de VPN como a Proton VPN. A aplicação da VPN encaminha então todas as ligações do seu dispositivo através deste “túnel de VPN”. Isto inclui as consultas de DNS, que o seu fornecedor de VPN resolve em vez do seu ISP (como normalmente acontece).

Como os dados enviados através do túnel de VPN estão encriptados de forma segura, o seu ISP (e, por extensão, o seu governo) não consegue ver o conteúdo dos seus dados ou os sítios web que visita. Tudo o que consegue ver é o endereço IP do servidor de VPN ao qual se ligou.

Como funciona uma VPN

Saiba mais sobre como funciona uma VPN

O que um ISP não consegue ver, não consegue bloquear, razão pela qual as VPNs são ferramentas anticensura eficazes. Os governos repressivos, obviamente, sabem disso, pelo que a sua resposta habitual é tentar bloquear o acesso às VPNs.

Bloqueios simples de VPN

A forma mais simples de o fazer é bloquear o acesso aos sítios web dos serviços de VPN. Normalmente, estes bloqueios são fáceis de contornar — por exemplo, através da distribuição de software de VPN, como o ficheiro APK de Android da Proton VPN através de uma aplicação de mensagens encriptada ou de canais de redes sociais.

Também é possível realizar uma análise simples de pacotes nos cabeçalhos dos pacotes através dos seguintes métodos:

Análise do endereço IP de destino

As autoridades podem examinar o endereço IP de destino dos pacotes e compará-los com uma lista de endereços IP de servidores de VPN conhecidos. Munido de tal lista, é fácil para um ISP bloquear o acesso a todos os servidores de um serviço de VPN.

Com os recursos de que a maioria dos governos dispõe, não é difícil para eles compilarem estas listas por si próprios. Mas na verdade não precisam de o fazer, porque muitos serviços comerciais fazem bons negócios compilando e vendendo essas listas.

Análise de portas

A DPI pode examinar o número de porta de destino dos pacotes e compará-los com uma lista de números de porta de VPN conhecidos

Por exemplo, por predefinição, o OpenVPN utiliza a porta UDP 1194, enquanto o WireGuard® utiliza a porta UDP 51820.

Análise de certificados SSL/TLS

Ao examinarem os certificados SSL/TLS(nova janela) dos pacotes, as autoridades podem compará-los com uma lista de certificados SSL/TLS de VPN conhecidos e detetar se as pessoas estão a usar uma VPN.

Obtenha o Proton VPN!

Táticas simples de anticensura de VPN

A análise simples de pacotes é uma tática de censura comum porque é fácil e barata. Também é bastante fácil de contornar para um serviço de VPN utilizando os seguintes métodos:

VPN sobre TCP

O HTTPS(nova janela) é o padrão de encriptação que protege a web, tornando possível muito do que tomamos como garantido poder fazer na internet. Isto inclui a proteção de todas as transações financeiras online, tais como compras online e gerir a sua conta bancária online.

O HTTPS utiliza a porta TCP 443, pelo que os serviços de VPN também executam frequentemente os seus protocolos de VPN através da porta TCP 443. Isto torna difícil simplesmente bloquear esta porta sem desligar eficazmente toda a internet.

O OpenVPN tem suporte integrado para TCP, tornando-o uma escolha popular entre os serviços de VPN que utilizam esta tática. O WireGuard é normalmente executado através de UDP, mas a Proton VPN também desenvolveu uma forma de executar o WireGuard através de TCP.

Saiba mais sobre a diferença entre UDP e TCP

A VPN sobre TCP pode evitar eficazmente a análise simples de protocolo, mas técnicas de DPI mais avançadas podem detetar facilmente a diferença entre pacotes HTTPS e VPN.

Alterar os números de porta

Embora os protocolos de VPN utilizem, por predefinição, as portas esperadas, a maioria pode ser executada em quase qualquer porta (exceto as portas reservadas para funções específicas). Assim, uma técnica anticensura simples (mas frequentemente eficaz) consiste em executar protocolos de VPN através de portas não padrão.

A funcionalidade Smart Protocol da Proton VPN deteta quando uma ligação está bloqueada e alterna automaticamente entre protocolos de VPN e números de porta para encontrar combinações que não estejam bloqueadas.

Redirecionamento alternativo

Uma tática anticensura invulgar utilizada pela Proton VPN é o redirecionamento alternativo(nova janela). Se o acesso a qualquer serviço Proton estiver bloqueado (incluindo ao sítio web da Proton VPN), tentamos encaminhar a ligação através de redes de servidores de terceiros que provavelmente não estarão bloqueadas (como a AWS).

Pontes de VPN

A análise do endereço IP de destino é um vetor de ataque difícil de superar, mas alguns serviços de VPN mitigam o problema com pontes de VPN. Estas permitem-lhes contornar a censura ao fornecerem pontos de entrada alternativos para a rede VPN que não estão listados publicamente ou bloqueados pelos censores.

Os serviços de VPN podem conseguir isto utilizando uma técnica chamada “transmissão em ponte” ou “modo ponte”. Isto acontece quando um fornecedor de VPN executa algumas “retransmissões em ponte” que não lista publicamente e apenas faculta a pessoas que precisam de vencer a censura. Estas retransmissões em ponte funcionam como um ponto de entrada secreto para a rede VPN e podem ser utilizadas para contornar bloqueios ao tráfego de VPN.

Outra forma de as VPN utilizarem pontes é permitindo que as pessoas se liguem à rede VPN através de uma “VPN em ponte”, que é quando se estabelece uma ligação VPN entre o seu dispositivo e um servidor VPN que os censores não bloquearam. Pode depois utilizar esta VPN em ponte para se ligar à rede VPN principal e aceder a conteúdos bloqueados.

Como a DPI é utilizada para detetar VPN

Os censores online e os utilizadores da internet têm estado envolvidos numa corrida ao armamento desde os primórdios da web. Os ISPs começaram a bloquear portas, pelo que as pessoas começaram a utilizar portas não padrão. Os governos regressivos responderam utilizando a DPI para determinar o que o tráfego estava a fazer nas portas abertas, o que incentivou as pessoas a utilizarem VPN para contornar a DPI. Por sua vez, os governos desenvolveram técnicas de DPI mais sofisticadas, e assim sucessivamente.

A DPI é difícil de contornar porque examina todo o pacote para identificar o tráfego de VPN de várias formas. Estas incluem:

Análise de protocolo

Esta analisa a estrutura e o formato dos pacotes para identificar qual o protocolo que está a ser utilizado e detetar se os pacotes estão a utilizar um protocolo de VPN como OpenVPN, PPTP, L2TP ou IKEv2.

Análise do tamanho dos pacotes

Tamanhos de pacote invulgares podem indicar a utilização de uma VPN.

Análise comportamental

A DPI pode examinar o comportamento do tráfego de rede ao longo do tempo para identificar padrões que possam indicar a utilização de uma VPN. For exemplo, se houver um pico invulgar no tráfego para um servidor específico ou uma alteração súbita na localização dos endereços IP, isso pode indicar que está a ser utilizada uma VPN.

Ofuscação de VPN

Como passo seguinte na corrida ao armamento por uma internet sem censura, some serviços de VPN desenvolveram protocolos de VPN personalizados resistentes às técnicas de DPI. Por exemplo, desenvolvemos o protocolo Stealth para a Proton VPN.

Este novo protocolo combina várias tecnologias de código aberto, utilizando nomeadamente um túnel TLS ofuscado sobre TCP para se parecer com HTTPS de uma forma mais resistente à censura do que simplesmente executar uma VPN através da porta TCP 443.

Saiba mais sobre o Stealth

O Stealth ajudou milhões de pessoas a superar bloqueios de VPN em locais como o Irão e a Rússia, mas não podemos garantir a sua eficácia contra técnicas avançadas de DPI.

Pensamentos finais

A inspeção profunda de pacotes pode ser sofisticada e coloca um desafio contínuo ao nosso trabalho de levar a internet aberta a todos. No entanto, fundámos a Proton VPN para enfrentar exatamente este tipo de desafios, e os nossos engenheiros estão sempre a desenvolver novas ferramentas e funcionalidades anticensura.

Estamos envolvidos numa corrida ao armamento com alguns dos governos mais repressivos do mundo, e os riscos não podiam ser maiores. Os governos repressivos dependem da manutenção de um controlo apertado sobre as informações a que os seus cidadãos podem aceder, com quem podem falar e o que podem dizer aos seus concidadãos e ao resto do mundo.

Mas acreditamos que toda a gente tem o direito de aceder a reportagens independentes, associar-se a quem quiser e criticar as injustiças e os abusos de poder. Estamos a lutar para garantir que todos tenham acesso a estes direitos humanos fundamentais.

A Proton VPN foi fundada para ajudar a lutar por um mundo sem censura, razão pela qual oferecemos um serviço de VPN 100% gratuita. Com a Proton VPN, qualquer pessoa pode aceder à internet livre e aberta. Orgulhamo-nos de que ativistas, jornalistas e cidadãos comuns em todo o mundo recorram à Proton VPN em tempos de turbulência.

Se vive num país repressivo, o nosso serviço está aqui para ajudar. Caso contrário, pode apoiar a nossa missão de disponibilizar a internet sem censura a todos, registando-se num plano Proton VPN Plus.

Obter o Proton VPN