Rosjanie buntują się przeciw blokadom Kremla. VPN przestał wystarczać

Jeszcze kilka lat temu dobry VPN pozwalał stosunkowo łatwo omijać internetową cenzurę. Dziś w Rosji taki scenariusz coraz częściej kończy się niepowodzeniem. Państwowy system kontroli ruchu sieciowego nauczył się rozpoznawać popularne protokoły tunelowania i skutecznie je ograniczać, dlatego nieposłuszni władzy "wywrotowcy" zaczęli szukać zupełnie nowych metod dostępu do globalnego internetu.

Efektem jest prawdziwy technologiczny wyścig, w którym gotowe usługi komercyjne ustępują miejsca własnoręcznie budowanym rozwiązaniom. Coraz więcej osób uruchamia prywatne serwery proxy zaprojektowane specjalnie z myślą o omijaniu rosyjskich mechanizmów filtrowania ruchu.

Zwykły ruch HTTPS skrywa tajny tunel

Najbardziej zaawansowane konfiguracje opierają się na prostym założeniu – ruch powinien wyglądać identycznie jak zwykłe połączenie z popularnymi usługami internetowymi. W praktyce użytkownik nie łączy się bezpośrednio z zagranicznym serwerem, lecz najpierw trafia na krajowy serwer pośredniczący.

Dla systemów monitorujących wygląda to jak klasyczne połączenie HTTPS. Dopiero po poprawnym uwierzytelnieniu serwer rozpoznaje uprawnionego użytkownika i przekazuje jego dane dalej, do właściwego punktu poza granicami Rosji. W przypadku kontroli lub aktywnego sondowania taki serwer potrafi zwrócić autentyczną odpowiedź z dużych serwisów, takich jak Microsoft, dzięki czemu nie zdradza swojej prawdziwej funkcji.

To rozwiązanie wykorzystuje m.in. protokół VLESS z mechanizmem Reality oraz oprogramowanie Xray. Ich zadaniem nie jest wyłącznie szyfrowanie danych. Równie ważne pozostaje upodobnienie całego połączenia do normalnego ruchu internetowego.

I self-host a tunnel in a country that actively hunts them. Here's what survives, and what keeps breaking.
by u/DaimonGroup in selfhosted

Inżynieria zamiast gotowych aplikacji

Autor jednego z najgłośniejszych opisów takiej konfiguracji, opublikowanego na Reddicie przez użytkownika DaimonGroup, przyznaje, że jego przeciwnikiem nie są pojedynczy administratorzy sieci, lecz operatorzy współpracujący z państwowym systemem głębokiej inspekcji pakietów.

To właśnie dlatego budowa własnej infrastruktury stała się ważniejsza niż wybór kolejnej aplikacji VPN. Użytkownicy projektują własne serwery, przygotowują mechanizmy szybkiej migracji i zakładają, że całą konfigurację będą musieli odbudowywać co kilka miesięcy.

Najważniejsza przestała być trwałość rozwiązania. Liczy się możliwość błyskawicznego uruchomienia kolejnego serwera, zanim poprzedni zostanie zidentyfikowany.

Nawet takie rozwiązania mają słabe strony

Eksperci zwracają uwagę, że opisana metoda nie jest niewidzialna. Operatorzy mogliby stosunkowo łatwo wykrywać niektóre serwery proxy poprzez analizę rekordów DNS czy sprawdzanie certyfikatów wykorzystywanych przez konkretne adresy IP.

Według niego skuteczność obecnych konfiguracji może wynikać przede wszystkim z faktu, że ruch przechodzi przez krajową infrastrukturę, która nie zawsze jest równie dokładnie analizowana jak połączenia prowadzące bezpośrednio za granicę.

Nie oznacza to jednak pełnego bezpieczeństwa. Sam twórca rozwiązania przyznaje, że duży i regularny ruch kierowany do jednego adresu IP może w każdej chwili zwrócić uwagę administratorów systemów filtrujących.

Rosja uszkadza połączenia zamiast je blokować

Coraz częściej problemem nie jest całkowite odcięcie dostępu do internetu. Rosyjska infrastruktura cenzury potrafi subtelnie zakłócać komunikację.

Użytkownicy opisują sytuacje, w których uzgadnianie połączeń TLS zostaje przerwane w połowie, odpowiedzi serwerów DNS są modyfikowane, a połączenia TCP otrzymują fałszywe pakiety prowadzące do błędów transmisji. Z perspektywy użytkownika wygląda to jak zwykła awaria internetu lub nieskończenie trwające łączenie z serwerem VPN.

Takie działania utrudniają wykrycie prawdziwej przyczyny problemów i jednocześnie zmuszają twórców narzędzi do nieustannego opracowywania kolejnych metod maskowania ruchu.

Walka przeniosła się na poziom metadanych

Jeszcze niedawno głównym wyzwaniem było skuteczne szyfrowanie transmisji. Dzisiaj decydujące znaczenie mają metadane opisujące samo połączenie.

Systemy analizują kierunek ruchu, długość sesji, częstotliwość komunikacji, charakterystyczne wzorce transmisji oraz adresy IP wykorzystywane przez użytkowników. To właśnie te informacje coraz częściej pozwalają odróżnić zwykły ruch internetowy od ukrytego tunelu.

Dlatego rosyjscy internauci coraz rzadziej pytają, który VPN wybrać. Zamiast tego budują własne rozwiązania, stale je przebudowują i przygotowują kolejne zapasowe konfiguracje. W cyfrowym starciu z państwową cenzurą liczy się już nie tylko szyfrowanie danych, ale również umiejętność ukrycia samego faktu istnienia tunelu.