[论文解读] How China Is Blocking Tor

Philipp Winter, Stefan Lindskog|arXiv (Cornell University)|Apr 2, 2012

Internet Traffic Analysis and Secure E-voting参考文献 9被引用 24

一句话总结

本文研究了中国防火墙（GFC）如何通过深度包检测（DPI）和主动扫描，动态地阻断Tor中继，揭示了GFC通过独特的TLS密码套件列表识别Tor流量，并在数分钟内阻断中继。作者提出了实用的规避技术，特别是客户端和服务器端的数据包分片，通过阻止完整数据包重组来规避检测，证明分片能有效规避扫描，且无需用户协调。

ABSTRACT

Not only the free web is victim to China's excessive censorship, but also the Tor anonymity network: the Great Firewall of China prevents thousands of potential Tor users from accessing the network. In this paper, we investigate how the blocking mechanism is implemented, we conjecture how China's Tor blocking infrastructure is designed and we propose countermeasures. Our work bolsters the understanding of China's censorship capabilities and thus paves the way towards more effective evasion techniques.

研究动机与目标

• 理解中国防火墙（GFC）如何动态阻断Tor中继，超越简单的IP黑名单机制。
• 调查GFC对Tor中继实施主动扫描的基础设施与机制。
• 开发并评估实用的对策，使中国境内的Tor用户能够绕过审查。
• 评估现有规避技术（如数据包分片和中继授权）的可行性与局限性。

提出的方法

• 在中国境内部署客户端和监控工具，使用位于新加坡和瑞典的Tor中继进行实验，以模拟真实环境。
• 使用自定义工具（如brdgrd）操控TCP窗口大小，并强制实施服务器端数据包分片以规避检测。
• 使用fragroute将TLS握手流量分割为小片段（16字节），防止GFC的DPI系统完成完整数据包重组。
• 收集并分析原始网络数据，包括traceroute结果、扫描器IP指纹以及TLS密码套件列表模式。
• 通过长期监控中继可用性与扫描行为，评估主动扫描的有效性。
• 提出一种中继授权机制，使中继在线状态在成功认证前对扫描器隐藏。

实验结果

研究问题

• RQ1 中国防火墙如何在简单IP黑名单之外检测并阻断Tor中继？
• RQ2 TLS客户端Hello中的密码套件列表在GFC识别Tor流量中起到什么作用？
• RQ3 为何新启动的Tor中继会被迅速阻断？其背后的扫描机制是什么？
• RQ4 数据包分片技术能否有效规避GFC的深度包检测与主动扫描？
• RQ5 客户端分片与服务器端分片在审查规避中的实际限制与权衡是什么？

主要发现

• GFC通过深度包检测，基于独特的TLS密码套件列表识别Tor流量，该特征可作为可靠指纹识别Tor客户端。
• 对Tor中继的主动扫描以15分钟为间隔进行，由看似随机的中国IP地址执行，这些IP地址可能为伪造。
• 中继在启动后数分钟内即被阻断，表明其阻断基础设施高度自动化且响应迅速。
• 数据包分片——尤其是通过操控TCP窗口大小在服务器端强制实施的分片——能成功规避检测，因阻止了完整数据包的重组。
• 客户端分片因协议开销过高且易受丢包影响，存在附带损害风险，故不切实际。
• GFC不执行数据包重组，使分片成为可行的规避技术，但要完全有效，需所有用户协同配合。