Китайский файрвол перестал быть просто стеной. Теперь он — хирург с дешифратором

Один байт запускает трёхминутную блокаду всей страны.

В апреле 2024 года Великий китайский файрвол (GFW) впервые продемонстрировал способность к точечной цензуре зашифрованных соединений протокола QUIC — технологии, которая ранее считалась почти неуязвимой для массовой фильтрации. Исследователи установили, что GFW не просто блокирует протокол целиком, как это делалось раньше, а действительно расшифровывает первые пакеты QUIC на лету, анализирует содержимое и применяет эвристические фильтры на основе доменного имени сервера (SNI), заключённого в клиентском handshake-сообщении. Это открытие резко меняет представления о технических возможностях и архитектуре GFW, показывая его растущую сложность, но одновременно и уязвимости.

Авторы исследования обнаружили, что цензура активируется при получении всего одного начального пакета QUIC с запрещённым SNI. После этого GFW блокирует все последующие UDP-пакеты от клиента к серверу на 180 секунд. Блокировка основана на тройке (IP-источника, IP-получателя и порта назначения), причём пакеты от сервера при этом проходят беспрепятственно. Интересно, что если клиент отправит произвольный UDP-пакет до QUIC Initial, цензура не сработает — GFW считает его первым в потоке и игнорирует следующие.

Парадоксальным образом выяснилось, что GFW не следит за QUIC-соединениями через идентификаторы соединений (Connection ID), как предписывает спецификация, а ориентируется только на параметры UDP. Ещё один неожиданный фильтр — блокировка срабатывает только если порт источника больше порта назначения, что позволяет файрволу быстро отсекать нежелательные потоки. Система использует технологии DPI для глубокой инспекции пакетов.

При этом наблюдается выраженный суточный цикл эффективности: в ночные часы, когда трафика меньше, блокировка работает почти безотказно, тогда как днём при высоких нагрузках QUIC-соединения с запрещёнными доменами могут пройти без помех. Это связано с высокой вычислительной стоимостью расшифровки и анализа QUIC Initial-пакетов, что ограничивает масштаб фильтрации.

Особое внимание исследователи уделили способности GFW реагировать на различные нетипичные формы пакетов. Например, файрвол блокирует даже QUIC Initial с нулевой длиной CRYPTO-фрейма, если там всё же содержится SNI, но игнорирует пакет с неправильной версией протокола. Также система не пересобирает фрагментированные пакеты и не анализирует домен, если он передан в расширениях, отличных от SNI. Это напоминает методы работы с HTTPS-трафиком, где также используется анализ SNI.

Наиболее тревожное открытие связано с возможностью использовать эту систему для отказа в обслуживании. Оказалось, что злоумышленник, способный подделывать IP-адреса, может отправить QUIC Initial от имени жертвы и тем самым вызвать трёхминутную блокировку её соединения с любым внешним сервером, включая DNS-резолверы. Это позволяет полностью отсечь пользователя в Китае от внешнего мира по UDP-протоколу.

Разработчики протестировали такую атаку против собственных серверов: с одного узла в США они подделывали пакеты от имени 32 хостов AWS по всему миру и отправляли их на китайский сервер. В половине случаев жертвы полностью теряли возможность связи. Уязвимость была раскрыта CNCERT, однако прямого ответа от китайских властей не поступило. Тем не менее, в марте 2025 года GFW изменила поведение: теперь внешние соединения больше не инициируют блокировку — только трафик изнутри Китая.

В ответ на цензуру антиблокировочные сообщества начали внедрять обходные приёмы. В Mozilla Firefox реализована функция нарезки SNI через фрагментацию Client Hello, которая не может быть корректно обработана GFW. Обновления с поддержкой этой функции также появились в quic-go и инструментах обхода TUIC, Hysteria, sing-box, V2Ray и Xray.

Также GFW можно обмануть, если предварительно отправить произвольный UDP-пакет перед началом QUIC-сессии, либо использовать QUIC-механизмы миграции соединений и версионного согласования. Использование высоких портов назначения и фрагментации Initial-сообщения также работает как эффективный обходной путь.

Всё это доказывает: несмотря на растущую техническую мощь, Великий китайский файрвол по-прежнему подвержен логическим и архитектурным уязвимостям. И если криптография не смогла его сломить, то перегрузка, фрагментация и хорошая инженерия — вполне могут.

Источник

Так Quic Initial пакеты зашифрованы общеизвестным константными ключем, который меняется от версии к версии. Т.е. их может расшифровать кто угодно. Ничего нового.

«Глупцы - строят стены, мудрецы - строят мосты. Великие - строят мосты, защищённые стенами»

Цитата:

Авторы исследования обнаружили, что цензура активируется при получении всего одного начального пакета QUIC с запрещённым SNI. После этого GFW блокирует все последующие UDP-пакеты от клиента к серверу на 180 секунд. Блокировка основана на тройке (IP-источника, IP-получателя и порта назначения), причём пакеты от сервера при этом проходят беспрепятственно. Интересно, что если клиент отправит произвольный UDP-пакет до QUIC Initial, цензура не сработает — GFW считает его первым в потоке и игнорирует следующие. Парадоксальным образом выяснилось, что GFW не следит за QUIC-соединениями через идентификаторы соединений (Connection ID), как предписывает спецификация, а ориентируется только на параметры UDP. Ещё один неожиданный фильтр — блокировка срабатывает только если порт источника больше порта назначения, что позволяет файрволу быстро отсекать нежелательные потоки. Система использует технологии DPI для глубокой инспекции пакетов.

А чего вы хотели? У меня знакомый говорит, ты VPN сделал, тоннель и вуаля! Вроде обошел ограничение, все просто. А это не так, если бы я был программистом у которого задача блокировать, то я бы сразу выделил:
1) белый трафик
2) черный трафик
3) непонятный (серый)

С белым и черным все легко. А вот "серый" надо анализировать. Как анализировать? Создать паттерны поведения обычных пользователей и увидеть, в каких соотношениях используются протоколы и например их нагрузка, уникальные маркеры, отсеять их, а с использованием ИИ задача упрощается. Тот трафик, который тяжело отфильтровать, поставить под "колпак" и в ручном режиме соотнести цифровой портрет пользователя с реальным человеком
Вот как-то так.

anlelika_mori писал(а):

3е тысячелетие, вместо того,чтобы объединятся и развивать тот же космос,теперь строят стены,цензура и одни запреты. Эх...

Тут оказалось, что "западные" партнеры заинтересованы в развивающихся странах-партнерах не более, чем в источниках дешевой рабочей силы и ресурсов (AKA бензоколонок).

И эти западные страны говорят, что хорошо, а что плохо, кто прав, а кто виноват, а у кого не хватает немного демократии.
А если демократия есть, то это должна быть особенная демократия, правильная, с правильными демократами, только из партий А и Б, а не В.

Вот ребята, запомните:

допустим, да, в стране ААА есть какие-то проблемы и вот было бы хорошо, чтобы народ сделал правильный выбор, сделал так, чтобы никто не воровал, не пилил, медицина была лучшая, пенсии ого-ого, мало налогов, но чтобы вот так. Все справедливо и честно. Но вы забываете, что если мы на планете земля и помимо страны ААА, есть другие страны, которые обязательно воспользуются этим фактом, они начнут промывать мозги через СМИ и продвигать тех, кто лоялен западным странам. И не забывая, что

Цитата:

"западные" партнеры заинтересованы в развивающихся странах-партнерах не более, чем в источниках дешевой рабочей силы и ресурсов (AKA бензоколонок).

можно с уверенностью сказать, что цензура один из вариантов противостоять западу.

Ну ребята реально берега попутали, устроив роль мировых полицейских.

Еще проблема есть в том, что чудес не бывает. Население стран стареет, откуда платить пенсии? Никто не воровал? Да тут даже не воровство даже, а то "что все в этом мире ради денег". Можно обозвать это откатом или лоббированием, но суть не меняется. У представьте, что у вас есть печатный станок и вы можете размазывать инфляцию по всему миру, здорово правда? У тебя все хорошо, у тебя демократия, у тебя печатный станок, на который покупаются чужие политики и чужие заводы в чужих странах. А у других?

Справедливости ищете? Нет ее. Как говорил Жириновский, что есть глупые и умные, богатые и бедные, больные и здоровые, мы равны перед законом и то, если у кого-то есть нужный телефон нужного человека, деньги есть - он будет "ровнее". Мы нигде не равны, нигде.

Эх, ща бы сводить все интересы развивающейся независимой страны к интересам соевичков с их торрентами аниме и онлайн-игрушками.
Когда тебе в ядерную энергетику какой-нибудь Stuxnet запускают, сервера в больницах удаленно отключают а твой интернет используют для управления диверсионнными БПЛА, тут за любое огораживание выступишь.

Молодцы Китайцы. Всё правильно делают. Успехов им!

Configman писал(а):

Злоумышленники умеют обходить китайский файрвол, значит он работает против простых людей. Разделяй и властвуй. Ещё одна причина почему Китай идёт не туда, хоть он и поборол нищету, но к своим жителя относиться с недоверием, а значит есть пропасть между номенклатурой и простыми людьми. Идут по пути СССР.

Вы зато идете туда, куда "надо" и экономика (ресурсов и производства) ваша, общественные "демократические" движения тому 100 процентный показатель

a1bert85
Пока эстонцы придут, то уже идти никуда не нужно будет. Они то только вчера узнали то, что СССР больше нет. Но есть одно большое но..., границы СССР признаны ООН по итогам второй мировой войны. И, к сведению для некоторых, это решение действует и по сей день.

Название : OpenGFW
Полное название : Open Great Firewall

На Github есть версия на Linux

А по вашему мнению , какой Firewall самый лучший ?

dollart18 писал(а):

evgenijbox писал(а): Где-то до 2017 года я толком не знал что такое VPN и всякие там прокси и прочие частные сети. Как попал в интернет в 2006м году так и обалдел от той свободы и и возможностей которые он тогда давал. Тогда и в голову не могло прийти что через каких-то 17лет перед тем как зайти в браузер я буду врубать vpn чтобы нормально сидеть в интернете как раньше. Детям буду рассказывать как было, а они не поверят... А зачем его врубать- его просто не надо теперь выключать. В исключения добавить необходимые саиты и все = забыть о проблемах. То ли еще будет . Лет через 20 .

я вообще теперь сижу просто через ADS браузер (он у меня для других задач был, но так удобнее - сразу нужный прокси сторит и нет блокировок. Увы, до абсурда доходят блокировки даже у нас

Configman писал(а):

Злоумышленники умеют обходить китайский файрвол, значит он работает против простых людей. Разделяй и властвуй. Ещё одна причина почему Китай идёт не туда, хоть он и поборол нищету, но к своим жителя относиться с недоверием, а значит есть пропасть между номенклатурой и простыми людьми.

Ну хорошо, вот относится к жителям с недоверием, и? А тот факт, что нищету побороли при этой системе недоверия к жителям, это не важно?
Может быть, теоретически, добиться того же результата можно было бы другими методами, допустим. Но это неизвестно. Вот будет известно точно, что и как надо было делать, чтобы с доверием к своим жителям И добиться тех же успехов в экономике, что у них сейчас, тогда и поговорим на эту тему. Судить можно по результату, а вот выводы делать о себе или других – отдельный вопрос. Так, если Китай смог достичь того, чего смог достичь, значит ли это, что нам или другой стране надо перенять их опыт??? Не факт Подумайте, почему...

Configman писал(а):

Идут по пути СССР

В смысле??? Китай не видел революции/переворота в 1991 году, китайцы подавили восстание студентов и продолжили свой путь, который, по сути, и есть "путь СССР", только в китайском варианте исполнения. Никуда это не делось, и они идут ровно туда же, куда шли 30 лет назад.

Usr75 писал(а):

Большинство китайцев даже не в курсе о существовании ютьюб, да и уйгуры даже не знают что их "угнетают"(именно так утверждает лживая пропаганда запада).

Чем-то схоже с байдой, что несут местные, эстонцы, по поводу "угнетения народа сету" в России ^_^

Usr75 писал(а):

Не смотря на все "запреты", им это никак не мешает полноценно пользоваться всеми благами интернета. У них достаточно своих схожих и очень популярных сервисов.))) Впном пользуются конечно, но таких очень мало. Им это просто не нужно.

Кстати, да... Вот этот аргумент сторонники "западной демократии" и "свобод" не понимают, видно на примерах Ирака или Хуссейне и Ливии при Каддафи, когда именно при "власти тиранов" ВВП государств был на высоте, экономика на высших позициях, и все прочее было на высоком уровне. При цензуре, существовании политзаключенных и тд... большинство населения жило хорошо + *очень* хорошо в сравнении с тем, что стало после "свержения тиранов"...

Rocky Balboa писал(а):

Справедливости ищете? Нет ее. Как говорил Жириновский, что есть глупые и умные, богатые и бедные, больные и здоровые, мы равны перед законом и то, если у кого-то есть нужный телефон нужного человека, деньги есть - он будет "ровнее". Мы нигде не равны, нигде.

Наш мир, вот это, что вы описали, это данность. И это то, что мы имеем на момент жизни нашей цивилизации. Сказать, что это неправильный мир с множеством проблем, это сказать нечто банальное, но истинное тем не менее. Важно понимать, что есть некоторое туманное общее представление о том, как и что должно быть, и вот к этому лучшему варианту мира и надо идти. Но кому именно, тут вопрос. Отдельному государству, либо союзу/объединению, а параллельно с этим кто-то со стороны может (и будет) мешать, так им не выгодно, чтобы где-то было очень хорошо, если это "где-то" не у них, а у кого-то еще. Вот и получаем ситуацию, мир, где всегда кто-то с кем-то по правилам или вне правил (по прихоти своей) борется, паразитирует, мешает. И эта борьба суть смысл жизни человечества: чтобы из этого бардака что-то лучшее, светлое однажды появилось и закрепилось навечно, наконец...

sergunka79 писал(а):

Цитата: Один байт запускает трёхминутную блокаду всей страны. чо за чушь! не "страны", а "внешнего трафика". и да - это очень хорошо, когда национальный огнестен отключает все внешние вмешательства сразу.

Все? И всю международную торговлю на aliexpress, alibaba???

Добавлено спустя 27 минут 19 секунд:

Rocky Balboa писал(а):

И не забывая, что Цитата: "западные" партнеры заинтересованы в развивающихся странах-партнерах не более, чем в источниках дешевой рабочей силы и ресурсов (AKA бензоколонок). можно с уверенностью сказать, что цензура один из вариантов противостоять западу.

Зачем противостоять Западу? Использование развивающихся стран в качестве источника дешевой рабочей силы - палка о двух концах. В результате Западные страны начинают страдать от того, что слишком много перенесли своих производств в Китай, стали зависимыми, а дома безработица. Или получили у себя огромное количество диаспор мигрантов, к примеру мусульманских, которые начинают там диктовать свои правила, растёт преступность и т.д.