DPI
Deep Packet Inspection՝ փաթեթների խորը վերլուծություն
Ֆիլտրման եղանակ, երբ սարքավորումը վերլուծում է ոչ միայն հասցեները, այլև վերնագրերը և տվյալների հոսքի տեսքը։
Ինչ է դա
Սովորական ցանցային ֆիլտրը նայում է IP մակարդակի վերնագրերին՝ փաթեթը որտեղից է և ուր է գնում։ DPI-ն ավելի խորն է նայում՝ արձանագրությունների վերնագրերին և հենց հոսքի կառուցվածքին. փաթեթների չափերին, դրանց հերթականությանը, դրանց միջև դադարներին, կապի առաջին բայթերին։ Այսպիսի վերլուծություն օգտագործում են ոչ միայն գրաքննության, այլև տրաֆիկի կառավարման, ցանցերի պաշտպանության և հաշվառման համար։
Ինչպես են ճանաչում արձանագրությունը
Ամենապարզ եղանակը ստորագրություններն են. սարքավորումը հոսքը համեմատում է հայտնի օրինակների՝ արձանագրությունների «մատնահետքերի» բազայի հետ։ Երկրորդը ամբողջ հոսքի վերլուծությունն է. սարքը կուտակում է տվյալներ կապի մասին և գնահատում է այն ամբողջությամբ, ոչ թե մեկ փաթեթով։
Բովանդակության գաղտնագրումը դրանից չի փրկում. ստորագրությունը կարող է լինել կապի տեսքի մեջ։ Սովորական MTProto կապն ունի ճանաչելի սկիզբ և փաթեթների բնորոշ ռիթմ, ուստի DPI-ն կարող է այն տարբերել մնացած տրաֆիկից՝ առանց որևէ հաղորդագրություն վերծանելու։
Ինչով են պատասխանում պրոքսիները
MTProto պրոքսիի յուրաքանչյուր ռեժիմ պատասխան է ճանաչման մեկ հերթական եղանակին՝
obfuscated2-ը հոսքը դարձնում է պատահական բայթեր, որպեսզի կապի սկիզբը արձանագրության բաց հատկանիշներ չպարունակի;dd-ն փաթեթներին ավելացնում է պատահական լրացում, որպեսզի չափերը չմատնեն պրոքսիին;ee-ն (FakeTLS) կապը սկսում է որպես իրական կայքի հետ սովորական TLS փոխանակում, և ֆիլտրը տեսնում է այդ կայք այցելություն։
Ինչ է տեսնում DPI-ն կապում
Սովորական HTTPS կայքի և MTProto պրոքսիի համար սարքավորումը դիտարկում է հատկանիշների նույն հավաքածուն, և տարբերությունները կազմվում են մանրուքներից՝
- հասցե և պորտ. HTTPS կայքը գտնվում է լավ հայտնի հասցեում, իսկ պրոքսին՝ վարձակալված սերվերում;
- առաջին բայթերը. կայքի մոտ դա ClientHello է կայքի անունով, սովորական պրոքսիի մոտ՝ 64 պատահական բայթ;
- փաթեթների չափերն ու ռիթմը. զննարկչի մոտ դրանք կախված են էջից, առանց քողարկման պրոքսիի մոտ՝ արձանագրությունից;
- պատասխանը ստուգմանը. իսկական կայքը պատասխանում է որպես կայք, սխալ կարգավորված պրոքսին լռում է կամ այլ կերպ է պատասխանում։
Սահմանները
DPI-ն տեղում չի կանգնած։ telemt-ի փաստաթղթերի համաձայն՝ FakeTLS-ը կարելի է ճանաչել SNI-ով, ALPN-ով և էնտրոպիայով, իսկ քողարկման կայունությունը կախված է հաճախորդի տարբերակից, ընտրված տիրույթից և ցանցային ուղուց։ Ուստի «աշխատող» հասկացությունը ժամանակավոր է. մի շաբաթ դիմացած պրոքսին կարող է դադարել աշխատել կանոնների թարմացումից հետո։