- 372
- 128
- 22 Июн 2019
Что вообще происходит?
Выборы в Беларуси 9 августа обернулись беспрецедентными для республики протестами, которые продолжаются до сих пор!
В тот день с самого утра в республике начались проблемы со связью. Сбои фиксировались в работе как мобильного, так и стационарного интернета.
С перебоями, причем даже при подключении VPN работали мессенджер Telegram, YouTube, соцсети.
Протесты в МинскеКак устроен интернет в Беларуси?
Согласно белорусскому законодательству, интернет-выходы — те точки, где интернет «пересекает границы» страны — фактически контролируются властями.
«Пересекать границу имеют право только два государственных оператора – «Белтелеком» и Национальный центр обмена трафиком (НЦОТ).
Таким образом, в Беларуси есть только два оператора связи, которые могут отрезать страну от внешнего мира, и они управляются государством
Заблокировать интернет по всей Беларуси проще, чем в соседних странах.
Чем более распределенная интернет-инфраструктура в стране, тем сложнее это сделать: тогда ее придется блокировать в разных точках. Чем она более централизована, тем сделать это проще.
В Беларуси деятельность провайдеров лицензируется, их всего около 30, в то время как в России и на Украине тысячи провайдеров.
Как отключился интернет в Беларуси?
Блокировки интернета в Беларуси в день выборов начались в 6 часов утра по универсальному времени (UTC, в 9 утра по Минску и Москве). Это видно по данным организации Ripe NCC, которая отслеживает работу интернет-провайдеров в Европе.
Проведя анализ мы выяснили, что на территории Беларуси был полностью заблокирован протокол https, который почти повсеместно используется в интернете для шифрования трафика.
Стало понятно, что это системная вещь — не глобальный сбой маршрутизации и не перерубленный кабель: в Беларуси сознательно отключили протокол https.
НЦОТ (Национальный центр обмена трафиком) использовал оборудование DPI (технология «глубокого анализа пакетов») за $2,5 млн, которое принимает решение по каждому «пакету» — пропускать его или нет.
Если шифрованный трафик блокировался, то незашифрованный пытались подделать:
Например, по запросу системы «Голос» (которая Для просмотра ссылки Войдиили Зарегистрируйся альтернативный подсчет голосов на выборах президента) пользователям выдавался фишинговый сайт, который запрашивал их персональные данные, хотя настоящая система «Голос» их не требовала. Такая детская хакерская атака.
Могли ли интернет в Беларуси заблокировать из-за рубежа?
Да, теоретически это возможно. НО если власти вопят о том, что это внешняя блокировка, то значит, что Россия тоже в этом должна была участвовать вместе с Польшей и Украиной.
Могу официально заявить, что правительство Беларуси, во главе сЛукашенко Сашей 3% - пиздаболы.
Как обмануть провайдера и обойти DPI
Различают два типа DPI: пассивный и активный.
Разница лишь в том, что активный может заблокировать пакет и не дать ему дойти до адресата, а пассивный только лишь отправить фейковый пакет с редиректом или сбросом соединения. Способы обхода обоих схожи.
Методы обхода DPI
Системы анализа пакетов сконструированы так, чтобы обрабатывать трафик с максимально возможной скоростью, исследуя только часто встречающиеся запросы и пропуская нетипичные, даже если они полностью соответствуют стандарту.
HTTP
Типичный HTTP запрос (такой отправляют все известные браузеры) выглядит следующим образом:
Все заголовки начинаются с большой буквы, далее двоеточие, затем один пробел, значение заголовка и конец строки в виде CRLF (\r\n).
Заглянем в RFC 7230:
Согласно нему, заголовки не чувствительны к регистру, а после двоеточия может быть любое число пробелов. Это значит, что сломать DPI можно с помощью изменения «Host:» на «hOsT:». Большинство серверов примет пакет и если заменить символ конца строки с CRLF (\r\n) на LF (\n).
HTTPS
В случае с HTTPS, DPI ищют незашифрованное поле SNI, в котором содержится адрес сайта. Можно было бы изменить поле SNI, но для этого придётся модифицировать системные библиотеки, поэтому для обхода блокировок по HTTPS используется фрагментация пакетов, которая, кстати, может использоваться и для HTTP. Суть в том, что почти все DPI умеют работать только с отдельно взятыми пакетами, а читать всё соединение они не умеют, поэтому достаточно отправить запрос к сайту в виде нескольких TCP пакетов.
DNS
Все предыдущие методы бесполезны, если адрес сайта неверно определился на уровне DNS сервера. Дело в том, что многие операторы перенаправляют все DNS запросы на свой сервер и если сайт заблокирован, отправляют некорректный ответ. Решается использованием протокола Для просмотра ссылки Войдиили Зарегистрируйся.
Как обмануть и обойти DPI
Для Windows и Linux уже существуют решения вроде Для просмотра ссылки Войдиили Зарегистрируйся и Для просмотра ссылки Войди или Зарегистрируйся, но для android до недавнего времени ничего такого не было, поэтому я решил сделать свою программу, и получился Для просмотра ссылки Войди или Зарегистрируйся.
Работает эта штука как локальный HTTP прокси, на который направляет весь трафик системы и модифицирует его с использованием вышеперечисленных способов. Если и они не сработают, то есть поддержка socks5 прокси, который используется только для заблокированных сайтов и не замедляет работу остальных.
Как использовать DPITunnel
Если есть root, то в настройках программы выбрать «Установить DPITunnel прокси глобально» и нажать кнопку на главном экране, если root нет, то нажать кнопку на главном экране и выставить прокси в ручную в настройках WiFi или APN. Адрес прокси: 127.0.0.1, порт тот, что указан в настройках программы.
Выборы в Беларуси 9 августа обернулись беспрецедентными для республики протестами, которые продолжаются до сих пор!
В тот день с самого утра в республике начались проблемы со связью. Сбои фиксировались в работе как мобильного, так и стационарного интернета.
С перебоями, причем даже при подключении VPN работали мессенджер Telegram, YouTube, соцсети.
Протесты в МинскеКак устроен интернет в Беларуси?
Согласно белорусскому законодательству, интернет-выходы — те точки, где интернет «пересекает границы» страны — фактически контролируются властями.
«Пересекать границу имеют право только два государственных оператора – «Белтелеком» и Национальный центр обмена трафиком (НЦОТ).
Таким образом, в Беларуси есть только два оператора связи, которые могут отрезать страну от внешнего мира, и они управляются государством
Заблокировать интернет по всей Беларуси проще, чем в соседних странах.
Чем более распределенная интернет-инфраструктура в стране, тем сложнее это сделать: тогда ее придется блокировать в разных точках. Чем она более централизована, тем сделать это проще.
В Беларуси деятельность провайдеров лицензируется, их всего около 30, в то время как в России и на Украине тысячи провайдеров.
Как отключился интернет в Беларуси?
Блокировки интернета в Беларуси в день выборов начались в 6 часов утра по универсальному времени (UTC, в 9 утра по Минску и Москве). Это видно по данным организации Ripe NCC, которая отслеживает работу интернет-провайдеров в Европе.
Проведя анализ мы выяснили, что на территории Беларуси был полностью заблокирован протокол https, который почти повсеместно используется в интернете для шифрования трафика.
Стало понятно, что это системная вещь — не глобальный сбой маршрутизации и не перерубленный кабель: в Беларуси сознательно отключили протокол https.
НЦОТ (Национальный центр обмена трафиком) использовал оборудование DPI (технология «глубокого анализа пакетов») за $2,5 млн, которое принимает решение по каждому «пакету» — пропускать его или нет.
Если шифрованный трафик блокировался, то незашифрованный пытались подделать:
Например, по запросу системы «Голос» (которая Для просмотра ссылки Войди
Могли ли интернет в Беларуси заблокировать из-за рубежа?
Да, теоретически это возможно. НО если власти вопят о том, что это внешняя блокировка, то значит, что Россия тоже в этом должна была участвовать вместе с Польшей и Украиной.
Могу официально заявить, что правительство Беларуси, во главе с
Как обмануть провайдера и обойти DPI
Различают два типа DPI: пассивный и активный.
Разница лишь в том, что активный может заблокировать пакет и не дать ему дойти до адресата, а пассивный только лишь отправить фейковый пакет с редиректом или сбросом соединения. Способы обхода обоих схожи.
Методы обхода DPI
Системы анализа пакетов сконструированы так, чтобы обрабатывать трафик с максимально возможной скоростью, исследуя только часто встречающиеся запросы и пропуская нетипичные, даже если они полностью соответствуют стандарту.
HTTP
Типичный HTTP запрос (такой отправляют все известные браузеры) выглядит следующим образом:
Код:
GET /index.php HTTP/1.1
Host: ru.wikipedia.org
User-Agent: Mozilla/5.0 (X11; U; Linux i686; ru; rv:1.9b5) Gecko/2008050509 Firefox/3.0b5
Accept: text/html
Connection: keep-aliveЗаглянем в RFC 7230:
Код:
Each header field consists of a case-insensitive field name followed
by a colon (":"), optional leading whitespace, the field value, and
optional trailing whitespace.HTTPS
В случае с HTTPS, DPI ищют незашифрованное поле SNI, в котором содержится адрес сайта. Можно было бы изменить поле SNI, но для этого придётся модифицировать системные библиотеки, поэтому для обхода блокировок по HTTPS используется фрагментация пакетов, которая, кстати, может использоваться и для HTTP. Суть в том, что почти все DPI умеют работать только с отдельно взятыми пакетами, а читать всё соединение они не умеют, поэтому достаточно отправить запрос к сайту в виде нескольких TCP пакетов.
DNS
Все предыдущие методы бесполезны, если адрес сайта неверно определился на уровне DNS сервера. Дело в том, что многие операторы перенаправляют все DNS запросы на свой сервер и если сайт заблокирован, отправляют некорректный ответ. Решается использованием протокола Для просмотра ссылки Войди
Как обмануть и обойти DPI
Для Windows и Linux уже существуют решения вроде Для просмотра ссылки Войди
Работает эта штука как локальный HTTP прокси, на который направляет весь трафик системы и модифицирует его с использованием вышеперечисленных способов. Если и они не сработают, то есть поддержка socks5 прокси, который используется только для заблокированных сайтов и не замедляет работу остальных.
Как использовать DPITunnel
Если есть root, то в настройках программы выбрать «Установить DPITunnel прокси глобально» и нажать кнопку на главном экране, если root нет, то нажать кнопку на главном экране и выставить прокси в ручную в настройках WiFi или APN. Адрес прокси: 127.0.0.1, порт тот, что указан в настройках программы.
