[论文解读] Censors' Delay in Blocking Circumvention Proxies

David A. Fifield, Lynn Tsai|arXiv (Cornell University)|May 27, 2016

Internet Traffic Analysis and Secure E-voting参考文献 7被引用 12

一句话总结

本文测量了在 Tor 浏览器中公开披露混淆型 Tor 桥接后，审查者实际封锁这些桥接的延迟时间，发现中国的防火长城在公开可用后 2 至 36 天内封锁了新桥接，尽管其公开可用。研究揭示封锁并非立即发生，且似乎结合了人工发现与自动化执行，而仅限于 Orbot 的桥接未被封锁，表明审查策略中存在操作上的不对称性。

ABSTRACT

Censors of the Internet must continually discover and block new circumvention proxy servers. We seek to understand this process; specifically, the length of the delay between when a proxy first becomes discoverable and when it is actually blocked. We measure this delay in the case of obfuscated Tor bridges, by testing their reachability before and after their introduction into Tor Browser. We test from sites in the U.S., China, and Iran, over a period of five months. China's national firewall blocked new bridges after a varying delay of between 2 and 36 days. Blocking occurred only after end-user software releases, despite bridges being potentially discoverable earlier through other channels. While the firewall eventually discovered the bridges of Tor Browser, those that appeared only in Orbot, a version of Tor for mobile devices, remained unblocked. Our findings highlight the fact that censors can behave in ways that defy intuition, presenting difficulties for threat modeling but also opportunities for evasion.

研究动机与目标

• 理解在桥接公开披露与审查者实际封锁之间的时间延迟。
• 调查审查者是否在发现后立即封锁桥接，或存在延迟，以及影响该延迟的因素。
• 评估不同发布渠道（如 Tor 浏览器与 Orbot）是否导致不同的封锁行为。
• 探索审查系统运作机制，特别是自动化与人工封锁流程之间的平衡。
• 通过分析代理封锁的时间与模式，识别潜在的规避机会。

提出的方法

• 在 Tor 浏览器发布前后，对来自美国、中国和伊朗的探测站点上的混淆型 Tor 桥接进行可达性测试。
• 在五个月的时间内监控桥接的可用性，重点关注桥接首次在 Tor 浏览器发布中公开出现与首次被封锁之间的时间窗口。
• 使用来自地理位置多样的地点的自动化探测，检测封锁事件并测量初始可达性的持续时间。
• 分析多个 Tor 浏览器发布批次（包括稳定版、Alpha 版和夜间构建版）中的封锁模式。
• 收集封锁时间的数据，包括星期几和一天中的具体时间，以推断封锁是人工还是自动执行。
• 比较包含在 Tor 浏览器中的桥接与仅在 Orbot（一款移动 Tor 客户端）中可用的桥接之间的封锁行为。

实验结果

研究问题

• RQ1 中国的防火长城在公开披露混淆型 Tor 桥接后，需要多长时间才能封锁这些新桥接？
• RQ2 封锁延迟是否因发布渠道（如 Tor 浏览器与 Orbot）而异？
• RQ3 封锁决策是自动执行还是通过人工流程进行？有哪些证据支持这一判断？
• RQ4 为何一些桥接（如 Orbot 中的桥接）即使公开可用也从未被封锁？
• RQ5 观察到的延迟模式是否可被利用，以设计更具弹性的绕行策略？

主要发现

• 中国的防火长城在混淆型 Tor 桥接于 Tor 浏览器中公开披露后 2 至 36 天内完成封锁。
• 中国的封锁仅在官方 Tor 浏览器软件发布后发生，而非在源代码中公开桥接地址后立即发生。
• 仅通过 Orbot 可用的桥接未被封锁，表明审查者对不同发布渠道采取了差异化对待。
• 中国的封锁事件仅在工作日发生，并集中在一天中的特定时间（UTC 时间 02:40、06:00 和 09:00），表明封锁结合了人工发现与周期性自动化执行。
• 在伊朗未观察到对默认桥接的封锁，尽管该国已知存在审查机制，表明桥接封锁并非所有政权都普遍或一致采用的策略。
• 观察到的延迟表明，绕行策略可利用这一时间差，通过每 n−1 天发布新桥接（n 为平均封锁延迟）来增强韧性。