- Great Firewall (GFW) Tiongkok menerapkan teknik sensor baru sejak awal November 2021 untuk mendeteksi secara pasif dan memblokir lalu lintas pengelakan yang sepenuhnya terenkripsi secara real time
- Protokol looks like nothing seperti Shadowsocks, VMess, dan Obfs4 yang dirancang agar seluruh payload tampak acak juga menjadi sasaran pemblokiran
- Tanpa mendekripsi lalu lintas terenkripsi itu sendiri, GFW terlebih dahulu menyaring koneksi yang tampak normal menggunakan heuristik pengecualian seperti sidik jari protokol umum, rasio bit, rasio dan posisi karakter ASCII, dan sejenisnya
- Jika algoritme deteksi yang disimpulkan diterapkan pada lalu lintas nyata, sekitar 0,6% koneksi normal bisa terblokir; karena itu GFW tampaknya mengurangi dampak samping dengan hanya memantau 26% dari seluruh koneksi serta rentang IP pusat data tertentu
- Strategi pengelakan yang disusun berdasarkan analisis ini telah dibagikan ke alat-alat utama penghindaran sensor, disebarkan luas sejak Januari 2022, dan per Februari 2023 masih efektif di Tiongkok
Pemblokiran deteksi pasif yang muncul pada November 2021
- Protokol pengelakan yang sepenuhnya terenkripsi tidak dimulai dengan handshake plaintext seperti TLS, melainkan dirancang agar setiap byte dalam koneksi tidak dapat dibedakan dari data acak
- VMess, Shadowsocks, dan Obfs4 adalah protokol perwakilan yang menggunakan pendekatan looks like nothing ini
- Pada 6 November 2021, pengguna internet di Tiongkok melaporkan pemblokiran server Shadowsocks dan VMess, dan pada 8 November pengembang Outline mengonfirmasi penurunan tajam penggunaan dari Tiongkok
- Waktu pemblokiran ini bertepatan dengan Sidang Paripurna ke-6 Komite Sentral ke-19 Partai Komunis Tiongkok yang berlangsung pada 8–11 November 2021
- Sejak Mei 2019, Tiongkok telah memakai gabungan analisis lalu lintas pasif dan deteksi aktif untuk mengidentifikasi server Shadowsocks, tetapi kasus ini merupakan contoh pertama pemblokiran real time berskala besar terhadap proxy yang sepenuhnya terenkripsi hanya dengan analisis lalu lintas pasif
Cara GFW mendeteksi
- GFW tidak mendefinisikan secara langsung “lalu lintas yang sepenuhnya terenkripsi”, melainkan terlebih dahulu mengecualikan koneksi yang kemungkinan besar bukan lalu lintas semacam itu
- Sedikitnya 5 kelompok heuristik pengecualian yang kasar tetapi efisien digunakan
- Sidik jari protokol umum
- Uji entropi kasar menggunakan rasio bit yang telah ditentukan
- Rasio karakter ASCII yang dapat dicetak di payload TCP pertama
- Posisi karakter ASCII
- Jumlah maksimum karakter ASCII yang berurutan
- Sisa lalu lintas yang tidak terkena aturan pengecualian menjadi target pemblokiran
- Karena GFW adalah sistem black box, aturan yang disimpulkan mungkin tidak sepenuhnya lengkap
Hasil pengukuran dan kemungkinan dampak samping
- Para peneliti menggunakan pemindaian internet untuk memeriksa lalu lintas dan alamat IP mana yang diperiksa oleh GFW
- Mereka menerapkan algoritme deteksi GFW yang disimpulkan pada lalu lintas nyata yang dikumpulkan dari network tap milik CU Boulder untuk mengevaluasi cakupan dan kemungkinan false positive
- Aturan yang disimpulkan ternyata sangat tumpang tindih dengan aturan yang benar-benar digunakan GFW
- Jika algoritme deteksi ini diterapkan secara luas, sekitar 0,6% dari seluruh koneksi di network tap bisa terblokir meskipun merupakan lalu lintas internet normal
- Kemungkinan untuk mengurangi pemblokiran berlebihan akibat false positive, GFW secara strategis hanya memantau 26% dari seluruh koneksi dan menargetkan rentang IP tertentu dari pusat data populer
Deteksi aktif dan strategi pengelakan
- Metode sensor pasif baru ini berjalan paralel dengan sistem deteksi aktif (active probing) milik GFW yang sudah ada
- Sistem deteksi aktif tersebut juga bergantung pada algoritme analisis lalu lintas ini, lalu menambahkan aturan berbasis panjang paket
- Strategi pengelakan yang dapat menghindari pemblokiran baru ini juga bisa mencegah proses GFW dalam mengidentifikasi server proxy lalu melakukan deteksi aktif setelahnya
- Para peneliti secara bertanggung jawab membagikan hasil dan usulan pengelakan kepada pengembang berbagai alat penghindaran sensor seperti Shadowsocks, V2Ray, Outline, Lantern, Psiphon, dan Conjure
- Strategi pengelakan ini telah diadopsi dan disebarkan luas sejak Januari 2022, membantu jutaan pengguna menghindari metode sensor baru tersebut, dan per Februari 2023 strategi yang diadopsi itu masih efektif di Tiongkok
2 komentar
Sepertinya artikel utama, komentar, dan artikel ringkasannya berbeda.
Opini Hacker News
Artikel itu sama sekali tidak membahas VPN, jadi saya sempat berpikir apakah cukup pakai VPN saja. Namun, saat melihat entri Wikipedia tentang GFW, tertulis bahwa penggunaan VPN di Tiongkok memang memungkinkan akses ke internet internasional, tetapi bisa menimbulkan risiko hukum.
Pada 2017, pemerintah Tiongkok menyatakan semua layanan VPN yang tidak berizin sebagai ilegal. Sebagai contoh, mahasiswa University of Washington, Vera Zhou, saat mengunjungi orang tuanya yang Hui di Xinjiang, mengakses tugas kuliah melalui VPN lalu dikirim ke kamp interniran di Xinjiang dari Oktober 2017 hingga Maret 2018, kemudian juga dikenai tahanan rumah, dan baru bisa kembali ke AS pada September 2019.
Vera Yueming Zhou tampaknya dikirim ke kamp interniran di Tiongkok bukan semata-mata karena menggunakan VPN untuk mengakses situs University of Washington, melainkan karena ia adalah bagian dari kelompok minoritas agama.
Saat itu, polisi Kuytun menangkap penggunaan VPN oleh Vera untuk mengakses situs seperti akun Gmail universitasnya melalui alat pengawasan digital, dan karena statusnya sebagai anggota kelompok minoritas Muslim, hal itu dapat dianggap sebagai “tanda ekstremisme agama”.
Selama setahun saya berada di Vietnam, polisi memegang paspor saya, jadi saya berhati-hati. Tetapi beberapa hari kemudian saya tetap membuka NYT selama beberapa menit, dan internet terputus sekitar 3 jam; lain kali terputus 24 jam, jadi saya tahu itu bukan gangguan kebetulan.
Tidak terputus seketika, butuh beberapa menit, dan saya cukup yakin ada petugas kontra-intelijen yang ditugaskan memantau lalu lintas saya.
Saya tidak memakai VPN dan sengaja membiarkan lalu lintas saya terlihat, karena saya tahu kalau tersambung lewat VPN justru akan makin menimbulkan kecurigaan. Setelah itu saya hanya memakai VPN untuk cek email secara singkat di kafe.
Ada juga yang memakainya untuk menurunkan latensi saat bermain game luar negeri. Masalahnya lebih ke koneksi VPN yang mudah diblokir, bukan karena orang sangat khawatir soal konsekuensi hukum.
Namun saat “protes kertas putih”, sepertinya polisi di wilayah tertentu pernah mendatangi rumah orang untuk memeriksa apakah ada VPN di ponsel mereka.
Rasanya hampir semua orang muda yang melek teknologi punya VPN, dan itu terasa umum serta ringan, seperti ngebut sekitar 10 mph di atas batas kecepatan di jalan tol.
Kebanyakan orang tidak mengalami persekusi hanya karena menggunakan VPN; tampaknya ini lebih sering dipakai ketika pemerintah butuh alasan untuk menahan orang yang memang sejak awal ingin mereka targetkan.
Kasus ini tampaknya bukan contoh risiko hukum akibat memakai VPN, melainkan contoh seseorang yang dihukum karena sudah menjadi target atas alasan lain.
Dengan kata lain, bahkan jika semua undang-undang pelarangan VPN dicabut, kemungkinan besar dalam praktiknya tidak akan ada yang berubah.
Sebelum pandemi, saya sempat lama tinggal di Tiongkok dan cukup banyak bereksperimen melawan GFW. Saya selalu terkejut melihat betapa cepatnya mereka mengejar shadowsocks atau terowongan SSH sembarang.
Biasanya saya harus mengganti IP dalam 48 jam, dan laporan ini seolah berarti sekarang mereka bisa mendeteksinya seketika.
Cara yang paling stabil adalah menumpang di jalur fisik dari Shenzhen ke Hong Kong, lalu saat bergerak di dalam Tiongkok saya tersambung lewat VPN ke gateway Shenzhen tersebut.
Sepanjang ingatan saya, cara itu selalu berhasil. Karena itu saya dulu mengira sebagian besar analisis dan pemblokiran lalu lintas VPN dilakukan di perbatasan GFW dan lebih sedikit di dalam negeri, tetapi mungkin informasi itu sekarang sudah usang.
Langsung diblokir sehingga klien tidak bisa tersambung, dan bahkan sebelum percobaan itu ada beberapa IP tak dikenal yang sudah mencoba terhubung.
Saya kagum betapa rapatnya GFW, dan sangat disayangkan bahwa jika butuh koneksi internet yang stabil, maka bekerja sambil bepergian dari Tiongkok jadi sangat sulit.
Lalu lintas roaming ditunnel ke operator asal, dan entah kenapa tunnel itu sama sekali tidak diperiksa.
Dengan adanya eSIM, sekarang orang bisa membeli SIM roaming dalam hitungan menit dan langsung memakainya di ponsel.
Kelihatannya ada intervensi di dalam negeri, bukan di perbatasan, tetapi saya tidak benar-benar tahu mekanismenya.
Melihat kemampuan teknis Hangzhou, bisa jadi ISP di wilayah itu lebih kompeten dan memakai penanganan yang lebih mutakhir.
Saya ingat harus berhadapan dengan GFW awal ketika bekerja di perusahaan yang punya staf di lokasi di Shanghai sekitar 20 tahun lalu
Setiap pagi rekan kerja kami di Tiongkok membuka klien email mereka dan terhubung ke server kami di luar negeri; orang pertama biasanya baik-baik saja, tetapi orang-orang setelahnya gagal tersambung
Saat itu hampir tidak ada yang diketahui tentang GFW dan juga belum secanggih sekarang, tetapi kami mendapati koneksi POP diblokir dengan cepat beberapa menit kemudian; tampaknya ada aturan firewall yang lambat terpicu di tengah jalan, dan karena agak acak kami menduga konfigurasi firewall-nya tidak seragam
Setelah pindah ke POPS/SMTPS, situasinya sempat membaik, tetapi tetap masih diblokir secara acak; pada akhirnya kami membuat server menerima koneksi POP/SMTP di beberapa port acak alih-alih port yang sudah dikenal, dan masalah itu hilang sampai sistemnya diganti beberapa tahun kemudian
Saya tidak menyelidikinya terlalu dalam, tetapi saya menduga koneksinya dialihkan untuk inspeksi, dan kalau itu benar, tidak akan mengejutkan jika sampai dipakai untuk spionase industri terhadap data yang sedang diakses
Menarik bahwa mereka menindak Shadowsocks dengan plugin obfuscation
Saat saya pergi ke Tiongkok pada 2017~2019, kombinasi SS dan v2ray nyaris menjadi standar de facto
Pada masa itu, ada penertiban VPN pada periode-periode tertentu seperti awal Juni atau saat ada rapat besar pemerintah; secara prosedural tampaknya sulit memblokir dengan tepat, jadi mereka sepertinya menerapkan pemblokiran luas dan kasar terhadap hal-hal yang terlihat seperti VPN
Biasanya koneksi masih bisa dibuat, tetapi kena pembatasan kecepatan sehingga praktis tidak bisa dipakai untuk apa pun
Saya merasa VPN dengan tingkat kompleksitas tertentu secara tidak resmi ditoleransi, dan mereka tampaknya lebih tertarik memblokir sasaran mudah yang bisa dipakai publik umum
Untuk sebagian kecil kutu buku teknis yang memakai alat lebih canggih, kemungkinan mereka sudah tahu siapa yang memakainya, lalu memilih mendatangi langsung jika masalahnya membesar
Tiongkok tampaknya tidak sadar seberapa besar mereka tersandera karena menginvestasikan waktu dan keahlian yang tidak produktif untuk hal-hal seperti ini
Persentase PDB yang mereka pakai untuk aparatus represi internal hampir setara dengan persentase yang dipakai AS untuk belanja militer
Mungkin justru menguntungkan bagi dunia bahwa mereka membakar begitu banyak talenta dan kekayaan untuk menambah inefisiensi pada pertukaran informasi internal
Sejak awal, alasan RRT punya ekosistem informasi domestik adalah karena mereka secara visioner menyaring konten eksternal, dan sistem itu sudah berkali-kali balik modal
Perlu juga dilihat bahwa RRT tidak mengeluarkan belanja militer sebesar itu terhadap PDB
Kalau mau bicara pemborosan, RRT menghabiskan untuk keamanan dalam negeri kurang lebih sebesar yang AS habiskan, dan mengingat seberapa termiliterisasi polisi AS, itu tidak bagus
Sementara itu, belanja pertahanan RRT di bawah 2% dan AS sekitar 3,5%; bahkan jika memasukkan perkiraan anggaran bayangan pun kira-kira 3% berbanding 6%
Lihat saja bagaimana media sosial telah merusak demokrasi di seluruh dunia
Demokrasi AS sampai batas tertentu terjebak dalam spiral kematian: https://www.theatlantic.com/ideas/archive/2021/04/how-stop-m...
Saya tidak suka represi, tetapi Tiongkok telah melakukan hal seperti ini selama ribuan tahun, dan sekarang saya tidak lagi yakin bahwa kita punya sesuatu yang lebih baik. Ada juga contoh seperti Citizens United, Roe v. Wade, dan affirmative action, dan harapan hidup Tiongkok baru saja melampaui AS
Penggunaannya memang terbatas, tetapi untuk memindahkan informasi masuk dan keluar dari sistem seperti ini, sepertinya chaffing and winnowing bisa dipakai: https://en.m.wikipedia.org/wiki/Chaffing_and_winnowing
Cukup lucu melihat respons dari orang-orang yang tampaknya belum pernah pergi ke negara yang dibatasi
Mungkin beberapa penyedia VPN yang lebih mirip layanan bayangan yang disetujui memang bekerja, tetapi sulit dipercaya itu karena mereka lebih pintar daripada GFW
Saya yakin mereka diizinkan tanpa dikenai sanksi dan tetap diawasi
Kalau Anda sama sekali tidak punya masalah dengan pemerintah, itu mungkin aman, tetapi Anda tidak akan tahu apakah Anda punya masalah sampai masalah itu benar-benar muncul
socks5, shadowsocks, WireGuard, dan sejenisnya sudah lama tidak berguna
Ini seperti berada di dalam rumah, tidak terlihat oleh siapa pun, lalu mencoba keluar; sehebat apa pun usahanya, upaya itu sendiri akan terlihat dan Anda akan tertangkap
Melarikan diri dari GFW juga sama, jadi pilihan terbaik adalah VPN yang disetujui atau RDP yang bisa bertahan lama tanpa menarik perhatian
Saya tidak tahu apakah saya lebih pintar daripada GFW, tetapi alat bypass sensor buatan saya sendiri selalu bekerja setiap kali, dan bahkan cara paling malas pun berhasil
Saya belum pernah memakai penyedia VPN
Sebagai catatan, WireGuard yang tidak dimodifikasi pun masih berfungsi, tetapi tampaknya ada analisis lalu lintas offline untuk mencarinya, jadi kira-kira seminggu sekali saya bangun dan mendapati koneksi VPN terputus lalu harus mengganti ListenPort server
Secara pribadi, yang paling menjengkelkan bagi saya adalah biaya lalu lintas keluar AWS yang terlalu mahal
Mereka mungkin bisa tahu apakah VPN sedang dipakai, tetapi tampaknya tidak bisa memantau isi lalu lintasnya
Makalah ini bagus, tetapi membahas hal-hal teknis yang cukup rinci
Ini bukan tentang GFW itu sendiri, tetapi proyek seperti https://github.com/salesforce/ja3 membahas bagaimana lalu lintas yang sepenuhnya terenkripsi (TLS/HTTPS) bisa diidentifikasi sidik jarinya
Bagian “How it works” di README menjelaskannya dengan baik
Jika firewall open source saja melakukan ini, justru akan lebih mengejutkan jika GFW tidak melakukannya
Meski begitu, tetap mungkin membuat sidik jari dari parameter TLS yang umum diiklankan dengan mengabaikan urutannya
Makalah yang ditautkan merujuk pada kasus pendeteksian koneksi Tor-obfs dengan daftar cipher suite[2][3]
[1] https://www.fastly.com/blog/a-first-look-at-chromes-tls-clie...
[2] https://gitlab.torproject.org/legacy/trac/-/issues/4744
[3] https://blog.torproject.org/ethiopia-introduces-deep-packet-...
Algoritme yang ditemukan ini terasa sangat berlawanan dengan intuisi sampai-sampai saya curiga mungkin ditemukan oleh AI
Kurang lebih, jika payload TCP pertama yang dikirim klien memenuhi salah satu kondisi pengecualian, koneksi tetap diizinkan; jika tidak, diblokir
Pengecualiannya adalah rasio popcount/panjang berada di luar rentang tertentu, atau 6 byte pertama atau lebih berada dalam rentang [0x20,0x7e], atau lebih dari 50% byte berada dalam rentang itu, atau lebih dari 20 byte berturut-turut berada dalam rentang itu, atau cocok dengan sidik jari protokol TLS/HTTP
Tujuannya adalah menyaring lalu lintas terenkripsi yang tidak biasa
Aturan pertama mencoba mematikan lalu lintas yang “tampak acak”, dengan memanfaatkan sifat IND-CPA dari kebanyakan enkripsi, yaitu sekitar 4 bit per byte disetel ke 1
Aturan-aturan berikutnya adalah pengecualian untuk lalu lintas terenkripsi atau terkompresi yang dapat diterima
Kompresi bukan IND-CPA, tetapi menghasilkan entropi tinggi sehingga bisa terkena aturan pertama
Pendekatan ini bisa bekerja cukup baik, dan para peneliti makalah itu juga mengonfirmasinya
Jika oleh CCP, kemungkinan besar mereka membuatnya dengan analisis statistik dasar, lalu menyetelnya agar efek samping dan kerusakan kolateral tetap di bawah ambang yang dapat diterima
Tingkatnya sekitar 0,6% lalu lintas global yang terblokir tanpa sengaja
Jika oleh para peneliti, makalah itu menjelaskan dengan rinci analisis statistik dasar yang mereka gunakan untuk menemukan aturan-aturan ini
Pada data berentropi tinggi, distribusi 1 dan 0 akan berkumpul ke rata-rata, dan data terenkripsi tampak seperti berentropi tinggi
Ini kasar, tetapi sangat efisien secara komputasi untuk dihitung pada hardware embedded
Ex2~4 mengecualikan banyak protokol yang tidak terenkripsi, misalnya teks ASCII yang digunakan di IMAP, dan teks seperti ini juga bisa memiliki entropi cukup tinggi sehingga secara statistik sering gagal pada uji pertama
Ex5 diperlukan karena TLS pada dasarnya memang terenkripsi dan karenanya berentropi tinggi, dan HTTP juga tampaknya dikecualikan agar upload terkompresi, misalnya gambar atau video, tidak ikut terkena
Bahwa inti dari pengelakan GFW adalah entropi rendah sama sekali tidak mengejutkan. Entropi tinggi adalah ciri yang nyaris wajib dari sebagian besar skema kriptografi
Secara teori, karena enkripsi tidak menambahkan informasi, jika tidak melakukan kompresi sebelum enkripsi maka mungkin saja ada skema cipher semu yang mempertahankan entropi menurut berbagai ukuran objektif, tetapi saya tidak tahu contohnya selain meta-skema berupa kompresi sebelum enkripsi lalu menambahkan padding pada ciphertext secara steganografis
Tentu saja itu membocorkan informasi sebesar negentropi pesan, tetapi biasanya hanya informasi yang tidak bisa disimpulkan dari konteks, misalnya sekadar bahwa pesannya berupa HTML+teks
Jadi apakah cukup mengenkode TLS dengan base64?
Hal ini sudah jelas bahkan 10~12 tahun lalu
Saat belajar di Tiongkok, VPN kampus saya hanya bertahan beberapa hari
Tetapi ada perangkat lunak VPN kecil yang beredar, dan saya ingat, meski tidak tahu benar atau tidak, katanya itu kerja sama Falun Gong dengan CIA
Saat itu ia bisa menghindari deteksi, mungkin dengan terus merotasi IP
Menarik melihat seberapa cepat alat itu menyebar secara “offline” di kalangan mahasiswa asing
Orang Tiongkok juga memilikinya, tetapi di antara mereka alat itu tidak terlalu dikenal
Saya tidak tahu apakah masih berfungsi: https://en.m.wikipedia.org/wiki/Freegate
[Edit] Ada komentar HN lama yang mengatakan sudah tidak berfungsi, dan opsi lain yang juga sulit: https://news.ycombinator.com/item?id=10101965