Китай начал блокировать HTTPS-соединения, устанавливаемые с TLS 1.3 и ESNI

Китай внедрил блокировку всех HTTPS-соединений, в которых используется протокол TLS 1.3 и TLS-расширение ESNI (Encrypted Server Name Indication), обеспечивающее шифрование данных о запрашиваемом хосте. Блокировка осуществляется на транзитных маршрутизаторах как для соединений, устанавливаемых из Китая во внешний мир, так и из внешнего мира в Китай.

Для блокировки выполняется отбрасывание пакетов от клиента к серверу, а не подстановка пакетов с флагом RST, которая ранее выполнялась при выборочной блокировке по содержимому SNI. После срабатывания блокировки пакета с ESNI в течение от 120 до 180 секунд также блокируются все сетевые пакеты, соответствующие связке из исходного IP, целевого IP и номера порта назначения. HTTPS-соединения на основе старых версий TLS и TLS 1.3 без ESNI пропускаются как обычно. Напомним, что для организации работы на одном IP-адресе нескольких HTTPS-сайтов было разработано расширение SNI, осуществляющее передачу имени хоста в открытом виде в сообщении ClientHello, передаваемом до установки шифрованного канала связи. Подобная особенность даёт возможность на стороне интернет-провайдера выборочно фильтровать HTTPS-трафик и анализировать какие сайты открывает пользователь, что не позволяет добиться полной конфиденциальности при применении HTTPS.

Новое TLS-расширение ECH (ранее ESNI), которое может применяться совместно с TLS 1.3, устраняет этот недостаток и полностью исключает утечку сведений о запрашиваемом сайте при анализе HTTPS-соединений. В сочетании с обращением через сеть доставки контента применение ECH/ESNI также даёт возможность скрыть от провайдера и IP-адрес запрашиваемого ресурса. Системы инспектирования трафика будут видеть только обращения к CDN и не смогут применить блокировку без подмены TLS-сеанса, в случае которой в браузере пользователя будет показано соответствующее уведомление о подмене сертификата. Возможным каналом утечки остаётся DNS, но для скрытия обращения к DNS клиентом может применяться DNS-over-HTTPS или DNS-over-TLS.

Исследователи уже выявили несколько обходных путей для обхода китайской блокировки на стороне клиента и сервера, но они могут потерять актуальность и их следует рассматривать лишь как временную меру. Например, в настоящее время блокируются только пакеты с идентификатором расширения ESNI 0xffce (encrypted_server_name), который использовался в пятой версии черновика стандарта, но пока пропускаются пакеты с актуальным идентификатором 0xff02 (encrypted_client_hello), предложенным в седьмом черновике спецификации ECH.

Другим вариантом обхода является использование нестандартного процесса согласования соединения, например, блокировка не срабатывает при предварительной отправке дополнительного SYN-пакета с неверным номером последовательности, манипуляциями с флагами фрагментирования пакетов, отправке пакета с одновременно выставленными флагами FIN и SYN, подстановке RST-пакета с некорректной контрольной суммой или отправке до начала согласования соединения пакета с флагами SYN и ACK. Описанные методы уже реализованы в форме плагина к инструментарию Geneva, развиваемого для обхода методов цензурирования.

Great Firewall Report
ZDNet

Звездочёт69 писал(а):

assterra писал(а): Правильно китайцы делают, отлично что мы останемся без Китая в будущем, без их подделок, копирования и коммунистического строя. Взаимно. Ленд Ровер будут выпускать в Тольятти, а с островов сольют все бабки и будет пустой Маврикий. Черчиль был в 100 крат умнее Вас. Соррии.

Американцы никогда умными не были и не будут, и нету такой наций. сборище воров убийц и бандитов.

Добавлено спустя 1 минуту 19 секунд:

sanrise11 писал(а):

ofset62 писал(а): Тебе лично это зачем? Просто из вредности? Мне китайцы в целом и их интернет в частности приносят доход. Лично для меня новости плохие. Работать не пробовали?

Вообщем то человек работает сам на себя!!!

то есть мозилка с этими фишками в Китае теперь не работает ?

assterra писал(а):

Правильно китайцы делают, отлично что мы останемся без Китая в будущем, без их подделок, копирования и коммунистического строя.

я посмотрю как ты запоешь когда вся страна будет практически интернета... по такой же схеме сейчас у нас, в беларуси, идет блокировка трафика, типа идет кибератака с европы(официальная версия, а по факту сокрытие информации о происходящих сейчас делах в стране!!!). к сведению, часть страны поднялась против усатого таракана! уже есть жертвы... и так по всех стране, в каждом областном центре, пакуют всех кто одет во что нибудь белое... не продают алкоголь(официальная версия - акция ЗОЖ...). появились группы анархистов(ходят слухи). вы даже не представляете, когда ты в магазине не можешь расплатиться за продукты, в обменниках нет валюты, даже банальное - посмотреть тв нет возможности(технологии 21 века ведь повязаны на интернете). днем интернет хоть какой появляется, но соцсети уже 3 сутки блокированы( все полностью), по вечерам интернет полностью отключают, работает только мобильная связь....

И сразу посыпались "чуйки", что и у нас ребята скоро)

Лучше написали бы, что в Беларуси третий день практически отключен интернет. Не работают мэсенджеры, не возможно зайти на поисковики и закрыт доступ практически ко всем СМИ. И периодически интернет отрубается абсолютно весь, как по рубильнику.

assterra писал(а):

Правильно китайцы делают, отлично что мы останемся без Китая в будущем, без их подделок, копирования и коммунистического строя.

китайцы молодцы. не играют по изначально проигрышным правилам а устанавливают свои правила и законы.

а наши все телються, дождутся когда большую часть населения зазомбируют через интернет помойку.

50 лет проигрывают в информационной войне. играя на чужом поле.

Добавлено спустя 2 минуты 33 секунды:

maxim-b писал(а):

Лучше написали бы, что в Беларуси третий день практически отключен интернет. Не работают мэсенджеры, не возможно зайти на поисковики и закрыт доступ практически ко всем СМИ. И периодически интернет отрубается абсолютно весь, как по рубильнику.

если бы аналогично на украине поступили возможно и не было бы майдана и 5 лет разрухи.
но там элита решила просто сбежать и продаться. за сытную жизнь.

А почему не добавляем отдельно новость о шотдауне (отключении или блокировании Интернета) в Белорусии, ради фальсификации выборов Лукашенко и оставлении его на 6-ой срок президентства?
см. https://habr.com/ru/news/t/514422/

первый союзник китай, второй турция
и никто не желает видеть, что у них за пазухой
хотя турки уже перестали на нас оглядываться.

sharks91
а проживающие там русские к кому отнести, ворам или бандитам?

EnigmAHAS писал(а):

sharks91 а проживающие там русские к кому отнести, ворам или бандитам?

Зачем, дарагой, казаха правацируешь, а?

setriy писал(а):

assterra, Я за союз с Китаем, это достойное государство в отличии от США и ЕС.

Китай - государство, которое давило танками протестующих на площади Тяньаньмэнь, позже заблокировало Википедию за отказ удалить статью об этих событиях, а сейчас давит силовиками Гонконг. Действительно, ДОСТОЙНОЕ государство.

lexa1980 писал(а):

китайцы молодцы. не играют по изначально проигрышным правилам а устанавливают свои правила и законы

У Китая до 1990 вообще ничего не было. Единственное, что принесло пользу Китаю, это гарантия собственности для иностранных инвесторов и открытие своего рынка для них. Пришли инвесторы США и БУМ, Китай за 5 лет прошёл путь, который занял бы 100 или 200 лет. А потом пришёл Си Цзиньпин с его коммунизмом и началось всё по новой... Так что США без Китая понесёт некоторые убытки, но через пару лет восстановит мощности, а вот Китая без США не существует, Китай кормится исключительно на бизнесах компаний США.



Главное, что следует знать про США в 2020, это то, что все чипы производятся на американском оборудовании странами-союзниками США. В Китае никакие чипы не производятся, китайцы лишь нарезают готовые пластины на отдельные чипы либо заказывают свои чипы в других странах.

lexa1980 писал(а):

а наши все телються, дождутся когда большую часть населения зазомбируют через интернет помойку. 50 лет проигрывают в информационной войне. играя на чужом поле.

С каких пор доступ к информации перестал быть благом? А, ну да, я забыл, это благо только для людей, а для диктатуры это вред.

lexa1980 писал(а):

если бы аналогично на украине поступили возможно и не было бы майдана и 5 лет разрухи. но там элита решила просто сбежать и продаться. за сытную жизнь.

Все проблемы Украины устроил Путин. Если бы не Путин, то Украина прекрасно развивалась бы в сотрудничестве и с США и с Европой и с РФ.

Люди, подскажите прогу для обхода блокировки инета. У нас в Минске работает ровно 2 сайта. Один наш с новостями (который контролируют спецслужбы) и почему-то этот. Psiphon работает очень плохо, практически совсем никак. Пробовал Freedom VPN - такая же ситуация.

Oill
ничего не поделаешь. Власти можно сказать "физически" обрезали доступ в интернет, а не просто к определенным ресурсам. Когда интернет заблокирован глобально, никакой впн и прокси не спасёт.
Пока всех не пересадят -- не включат. Потому что с интернетом мы гораздо более организованы.

fl0w24 писал(а):

Oill ничего не поделаешь. Власти можно сказать "физически" обрезали доступ в интернет, а не просто к определенным ресурсам. Когда интернет заблокирован глобально, никакой впн и прокси не спасёт. Пока всех не пересадят -- не включат. Потому что с интернетом мы гораздо более организованы.

Почему же иногда срабатывает psiphon? Он работает несколько часов в день. Да и seasonvar.ru и этот же сайт работает.

Гонконг все эти запреты вертел и будет обходить.
Там с детства учат, как впн ставить и прокси.
Прогресс не остановить