[论文解读] Where The Light Gets In: Analyzing Web Censorship Mechanisms in India

Tarun Yadav, Akshat Sinha+3 more|arXiv (Cornell University)|Aug 6, 2018

Internet Traffic Analysis and Secure E-voting参考文献 20被引用 10

一句话总结

本文對印度主要互聯網服務提供商（ISP）的網絡審查機制進行了新穎且經人工核實的分析，揭示了通過中間設備（middleboxes）實施的DNS與HTTP過濾的廣泛應用。作者開發了如迭代式網絡追蹤（Iterative Network Tracing）和基於啟發式檢測等定制技術，識別出不同ISP之間審查架構的顯著差異——例如，Airtel的路徑覆蓋率高達90%，而Vodafone僅為2.5%——並成功透過本地防火牆配置與HTTP請求偽裝技術完全避開所有審查，無需依賴代理或虛擬私人網絡（VPNs）。

ABSTRACT

This paper presents a detailed study of the Internet censorship in India. We consolidated a list of potentially blocked websites from various public sources to assess censorship mechanisms used by nine major ISPs. To begin with, we demonstrate that existing censorship detection tools like OONI are grossly inaccurate. We thus developed various techniques and heuristics to correctly assess censorship and study the underlying mechanism involved in these ISPs. At every step we corroborated our finding manually to test the efficacy of our approach, a step largely ignored by others. We fortify our findings by adjudging the coverage and consistency of censorship infrastructure, broadly in terms of average number of network paths and requested domains the infrastructure surveils. Our results indicate a clear disparity among the ISPs, on how they install censorship infrastructure. For instance, in Idea network we observed the censorious middleboxes on over 90% of our tested intra-AS paths whereas for Vodafone, it is as low as 2.5%. We conclude our research by devising our own novel anti-censorship strategies, that does not depend on third party tools (like proxies, Tor and VPNs etc.). We managed to anti-censor all blocked websites in all ISPs under test.

研究动机与目标

• 調查印度主要ISP背後實際的網絡審查機制與架構。
• 解決現有工具（如OONI）中高比例的誤報與漏報問題，這些工具無法準確檢測審查行為。
• 開發並驗證一種結合自動化追蹤與人工核實的新方法論，以確保檢測準確性。
• 評估不同ISP及其中間設備上審查架構的覆蓋範圍與一致性。
• 設計並實現新型避審策略，完全獨立於代理、Tor或VPN等工具。

提出的方法

• 開發了迭代式網絡追蹤（Iterative Network Tracing）技術，受traceroute啟發，透過在HTTP請求中逐步增加TTL值來定位審查中間設備。
• 應用自定義啟發式規則，基於封包行為檢測審查，包括TCP RST/FIN標誌、格式錯誤的回應以及固定IP-ID值（例如Airtel中間設備中的242）。
• 在每一步檢測過程中實施人工核實，以最小化誤報與漏報。
• 使用基於內容的比較（如回應體積、標頭欄位名稱與HTML標題標籤），並採用閾值檢測機制，僅在人工確認後才報告封鎖行為。
• 設計了利用本地防火牆規則與精心構造的HTTP GET請求來逃避檢測的避審機制，無需依賴第三方工具。
• 跨九家ISP長期收集數據，以評估審查架構的覆蓋範圍與一致性。

实验结果

研究问题

• RQ1 哪些協議消息序列會觸發印度ISP的審查行為？
• RQ2 ISP使用何種具體技術來過濾對被封鎖網站的請求？
• RQ3 不同ISP之間，審查架構影響的網絡路徑佔比是多少？
• RQ4 審查是否在不同ISP及其中間設備間保持一致——它們是否封鎖相同的網域？
• RQ5 傳統避審工具（如OONI）的有效性如何？我們能否設計出更優異、且不依賴工具的繞過機制？

主要发现

• OONI在Airtel上的誤報率約為80%，漏報率為11.6%，顯示現有檢測工具存在嚴重不準確問題。
• Airtel的審查架構覆蓋了超過90%的測試內部AS路徑，而Vodafone僅為2.5%，反映出部署上的顯著差異。
• 審查主要透過DNS與HTTP過濾實現，中間設備會插入RST/FIN封包，並附帶具有有效序列號的審查通知。
• 許多中間設備會維持TCP狀態2至3分鐘，並在收到新封包時重置計時器，從而實現對連接重傳的持續過濾。
• 部分網站即使透過Tor無法訪問，表明ISP維護了過時或未更新的黑名單。
• 作者成功使用自研避審技術（透過操控HTTP請求與本地防火牆規則）在所有測試ISP中完全避開審查，無需依賴代理、Tor或VPN。