Китай начал блокировать HTTPS-соединения, устанавливаемые с TLS 1.3 и ESNI

Китай внедрил блокировку всех HTTPS-соединений, в которых используется протокол TLS 1.3 и TLS-расширение ESNI (Encrypted Server Name Indication), обеспечивающее шифрование данных о запрашиваемом хосте. Блокировка осуществляется на транзитных маршрутизаторах как для соединений, устанавливаемых из Китая во внешний мир, так и из внешнего мира в Китай.

Для блокировки выполняется отбрасывание пакетов от клиента к серверу, а не подстановка пакетов с флагом RST, которая ранее выполнялась при выборочной блокировке по содержимому SNI. После срабатывания блокировки пакета с ESNI в течение от 120 до 180 секунд также блокируются все сетевые пакеты, соответствующие связке из исходного IP, целевого IP и номера порта назначения. HTTPS-соединения на основе старых версий TLS и TLS 1.3 без ESNI пропускаются как обычно. Напомним, что для организации работы на одном IP-адресе нескольких HTTPS-сайтов было разработано расширение SNI, осуществляющее передачу имени хоста в открытом виде в сообщении ClientHello, передаваемом до установки шифрованного канала связи. Подобная особенность даёт возможность на стороне интернет-провайдера выборочно фильтровать HTTPS-трафик и анализировать какие сайты открывает пользователь, что не позволяет добиться полной конфиденциальности при применении HTTPS.

Новое TLS-расширение ECH (ранее ESNI), которое может применяться совместно с TLS 1.3, устраняет этот недостаток и полностью исключает утечку сведений о запрашиваемом сайте при анализе HTTPS-соединений. В сочетании с обращением через сеть доставки контента применение ECH/ESNI также даёт возможность скрыть от провайдера и IP-адрес запрашиваемого ресурса. Системы инспектирования трафика будут видеть только обращения к CDN и не смогут применить блокировку без подмены TLS-сеанса, в случае которой в браузере пользователя будет показано соответствующее уведомление о подмене сертификата. Возможным каналом утечки остаётся DNS, но для скрытия обращения к DNS клиентом может применяться DNS-over-HTTPS или DNS-over-TLS.

Исследователи уже выявили несколько обходных путей для обхода китайской блокировки на стороне клиента и сервера, но они могут потерять актуальность и их следует рассматривать лишь как временную меру. Например, в настоящее время блокируются только пакеты с идентификатором расширения ESNI 0xffce (encrypted_server_name), который использовался в пятой версии черновика стандарта, но пока пропускаются пакеты с актуальным идентификатором 0xff02 (encrypted_client_hello), предложенным в седьмом черновике спецификации ECH.

Другим вариантом обхода является использование нестандартного процесса согласования соединения, например, блокировка не срабатывает при предварительной отправке дополнительного SYN-пакета с неверным номером последовательности, манипуляциями с флагами фрагментирования пакетов, отправке пакета с одновременно выставленными флагами FIN и SYN, подстановке RST-пакета с некорректной контрольной суммой или отправке до начала согласования соединения пакета с флагами SYN и ACK. Описанные методы уже реализованы в форме плагина к инструментарию Geneva, развиваемого для обхода методов цензурирования.

Great Firewall Report
ZDNet

Правильно китайцы делают, отлично что мы останемся без Китая в будущем, без их подделок, копирования и коммунистического строя.

assterra, Я за союз с Китаем, это достойное государство в отличии от США и ЕС.

assterra
Плоско мыслишь.

Правильно китайцы делают. Что считают нужным,то и делают.

assterra писал(а):

Правильно китайцы делают, отлично что мы останемся без Китая в будущем, без их подделок, копирования и коммунистического строя.

Тебе лично это зачем? Просто из вредности? Мне китайцы в целом и их интернет в частности приносят доход. Лично для меня новости плохие.

Тут в Рб [ничего] не пашет а вы Китай

ofset62 писал(а):

Тебе лично это зачем? Просто из вредности? Мне китайцы в целом и их интернет в частности приносят доход. Лично для меня новости плохие.

Работать не пробовали?

Любая самоизоляция приводит к упадку научному, технологическому и культурному, а в итоге и экономическому. История человечества не раз доказовала это. Так что будем ждать и наблюдать.

Limeli8 писал(а):

Любая самоизоляция приводит к упадку научному, технологическому и культурному, а в итоге и экономическому. История человечества не раз доказовала это. Так что будем ждать и наблюдать.

Китай опередил США по публикациям в научной сфере

продолжайте наблюдение

assterra писал(а):

Правильно китайцы делают, отлично что мы останемся без Китая в будущем, без их подделок, копирования и коммунистического строя.

Взаимно. Ленд Ровер будут выпускать в Тольятти, а с островов сольют все бабки и будет пустой Маврикий. Черчиль был в 100 крат умнее Вас. Соррии.

rarog757 писал(а):

Тут в Рб [ничего] не пашет а вы Китай

Не удивлюсь , если китайцы поделились технологией и наши обкатывают сейчас.

"Всё пропало, шеф, всё пропало!"

Limeli8 писал(а):

Любая самоизоляция приводит к упадку научному, технологическому и культурному, а в итоге и экономическому. История человечества не раз доказовала это. Так что будем ждать и наблюдать.

Так в Китае же это и произошло- расцвет и упадок империи Минь.

setriy писал(а):

assterra, Я за союз с Китаем, это достойное государство в отличии от США и ЕС.

если и будет союз, в чем я сомневаюсь, то это будет Китай!!!&РФ(на их условиях) но никак не РФ&Китай и уж тем более setriy&Китай, как бы вы этого не хотели
З.Ы. чую наши перенимут все это у китайцев и воплотят в жизнь в РФ,и как всегда: криво, косо, с распилами и за ВАС счет
З.Ы.Ы. от вашего поста просто веет несет полным отсутствием знаний о китайцах, зная о них хоть чуть-чуть, вы бы открещивались как могли от союза с ними, но это ваше мнение и вам жить в будущем....