Как в китае обходят блокировку интернета

Мы отправили bug-репорт Cloudflare, и они это исправили через какое-то время. Оказалось интересно: на настоящий момент в Китае до сих пор нет поддержки IPv6, поэтому Cloudflare не мог выдавать там свой IPv6 адрес в ответе на запрос АААА-записи. В итоге все решилось так, что для Китая Cloudflare стал отвечать NODATA на такие запросы.

Так, ошибки DNS в тестах Catchpoint резко уменьшились, но не до конца. Таймауты тоже никуда не делись:

И мы начали искать другое решение.

В следующей части я расскажу, как мы тестировали китайское облако Alibaba Cloud, как с помощью небольшой "магии" Nginx мы смогли быстро создавать PoC (Proof of Concept) решений, как мы создавали Multi-Cloud решения, одно из которых в итоге очень сильно помогло ускорить работу сервиса из Китая.

Stay tuned!

«Цензура за Великой стеной сложнее российской — можно полагаться на китайские инструменты по её обходу»

Открываем цикл бесед с техническими экспертами о том, как и зачем блокируют VPN в России и мире. Представляем первое интервью — с Джексоном Сиппом, членом команды GFW Report. Джексон также является исследователем в Университете Колорадо (кампус в городе Боулдере) и занимается вопросами безопасности сетевых систем, конфиденциальности и борьбы с цензурой.

GFW Report — это независимая команда исследователей цензуры, основным направлением деятельности которой является цензура в Китае. В течение четырёх лет организация публикует технические отчёты и наблюдения с целью распространения информации о цензуре в Интернете и инструментах обхода Великого китайского файервола (Great Firewall of China, GFW). В конце апреля 2023 года команда GFW Report выпустила новое исследование, в котором описала, как Великий Китайский Файервол обнаруживает и блокирует полностью зашифрованный трафик.

Результаты этого исследования могут быть крайне интересны для экспертов и простых пользователей в России сейчас, поскольку у многих есть ощущение, что российские власти пытаются перенимать опыт Китая, как в плане построения машины цензуры вообще, так и в деталях: будь то возможное закрытие YouTube или уже начавшаяся блокировка VPN.

Разбираемся, что такое Великий китайский файервол, как сейчас работает система интернет-цензуры в Китае, какие у неё есть сходства и различия с российской системой. Ну, и конечно, разговор будет о том, как в Китае блокируются VPN, а пользователи обходят эти блокировки. Как раз об этом — последний доклад команды. Такой экспертный взгляд на Китай, может быть поможет нам чуть лучше понять то, что происходит в нашей стране.

Как работают исследователи цензуры в Китае

– Откуда вы получаете сведения о том, что происходит в Китае?

Мы изучаем уже опубликованную информацию, базы данных о том, какие компании существуют в Китае, как они работают. Также мы используем более технические методы, например, команду traceroute, которая показывает нам по каким маршрутам передаются пакеты в интернете.

Один из сложных аспектов проведения такого рода исследований — это то, что мы находимся в США, и у нас нет большого количества компьютеров в Китае, с помощью которых можно проводить тесты. Но пара серверов есть, они находятся в разных уголках страны. Получив доступ к ним и увидев различия, мы можем составить более полную картину того, как работает сетевая инфраструктура. Кроме того, существуют такие инструменты, как OONI, которые дают больше точек обзора, но информация у них менее детализирована.

Мы используем комбинацию разных методов, чтобы нарисовать картину того, как выглядит сетевая инфраструктура GFW. Однако трудно сказать наверняка, что именно там происходит.

– Впервые мы услышали об отчете GFW Report, наверное, в 2019 году. Тогда вышел доклад об активном зондировании Shadowsocks. Сейчас выпущен новый отчёт. Получаете, вы постоянно проводите техническое тестирование и можете отслеживать изменения?

Отчёт GFW — это не обязательно постоянный активный технический мониторинг. Скорее наблюдение за тем, с чем сталкиваются пользователи в Китае.

Так исследователи могут узнать от пользователей, что определённые инструменты и протоколы блокируются. Когда такие сообщения появляются, мы стараемся разобраться, что вызывает блокировку. Пользователи сигнализируют: «Такой-то сервис пару дней назад внезапно перестал работать». И команда GFW Report, и другие исследователи собираются вместе и пытаются понять, почему это происходит. В этот момент мы подключаемся к компьютерам в Китае, пробуем через доступные инструменты разобраться, почему что-то не работает.

На примере Shadowsocks мы начали наблюдать активное зондирование (active probing). Оно представляет собой прощупывание сервера для подтверждения того, что это именно Shadowsocks. Если Великий китайский файервол получает такое подтверждение, то передача данных блокируется. GWF Report исследовал это в 2019 году, а в 2020 выпустил отчёт, в котором описал способ решения этой проблемы, через использование аутентификации на клиенте.

Как работает Великий китайский файрвол

– Джексон, смотрите, на Reddit есть такой формат, называемый ELI5 или «объясни мне, как будто мне пять». Можете ли вы объяснить пятилетнему ребенку, что такое Великий китайский файрвол? Что это за система? Что она делает?

Легко. Задача Великого китайского файервола — не запретить пользователям доступ к информации, а затруднить его. Смысл его работы в поиске способов ограничения массового доступа к глобальному интернету, который является само собой разумеющимся для людей в странах без интернет-цензуры.

Китайская цензура более централизована, чем цензура в других странах, в том числе в России. GFW включается сразу на китайской границе и активно фильтрует весь трафик, поступающий в страну и выходящий из неё, чтобы отслеживать информацию, которая не поддерживается государственным режимом.

Это делается несколькими способами. Первый — через подмену ответов DNS. Клиент запрашивает, где находится определённый сайт, и если китайское правительство хочет этот сайт заблокировать, то клиенту возвращают случайный подменный адрес этого сайта. И фактически зайти туда нельзя.

Второй способ — это блокировка на основе IP-адресов, когда по ним блокируются сайты и страницы с информацией, не одобренной в Китае. Все запросы на эти сайты передаются в никуда.

Третий — блокировка на основе заголовков SNI (Server Name Identification), которые используются в протоколе TLS (Transport Layer Security). Когда цензор видит в SNI название запрещённого сайта, соединение разрывается.

– Если вы говорите, что серверы GFW находятся на границе, что цензура начинается на границе Китая, то это значит, что между сервером и клиентом внутри Китая цензуры нет?

Это гипотеза, которой мы придерживаемся в настоящее время. Мы считаем, что два хоста внутри Китая с меньшей вероятностью столкнутся с цензурой. Хотя есть некоторые нюансы в работе цензуры в зависимости от провинции, так что не исключено, что её можно обнаружить между двумя разными точками внутри страны. Но проведённые исследования показывают, что в основном цензура возникает на границе.

– То, что вы описываете, наводит на мысль, что интернет-кабели, соединяющие Китай с остальным миром, должны быть достаточно централизованными: принадлежать правительству, одной или нескольким организациям. Потому что иначе было бы очень, очень трудно осуществлять подобную цензуру. Верно ли моё предположение?

Мы считаем, что есть только два, может быть, три провайдера, которые которые обеспечивают трафик в страну и из страны, и все они находятся под сильным влиянием государства.

– Если посмотреть в общем, насколько хорошо работает GFW? Например, у нас в России многие сайты недоступны. Но если пользователь достаточно мотивирован, есть довольно простые способы обойти цензуру: установить правильный VPN или получить ту же информацию через зеркало сайта, который не был заблокирован. Насколько в этом плане эффективен Великий китайский файрвол?

В одной из книг про цензуру говорится, что её лучше понимать не как запрет, а как затруднение доступа к информации. Цензура делает информацию более дорогой относительно времени, денег или неудобств. В этом случае цензура — скорее попытка предотвратить массовый доступ к этой информации, чтобы построить свой собственные внутренний интернет, в котором люди защищены от внешнего влияния. Если пользователи достаточно мотивированы — о чем вы как раз говорите — они смогут обойти и GFW, они смогут обойти запреты и в России, в Иране и т.д.

Есть интересная особенность Великого китайского файрвола: цензура там усиливается время от времени в течение года. И связано это с тем, что в Китае происходят какие-то крупные события, будь то встречи политических деятелей или годовщины исторических событий, которые могут быть не самыми радостными для китайских граждан. В это время Китай меняет свой способ осуществления цензуры.

Так, например, 4 июня отмечается годовщина событий на площади Тяньаньмэнь. И каждый год перед этим, примерно за одну-две недели, мы наблюдаем, как цензура начинает нарастать. В этот момент применяют новые методы или возобновляют те, которые были год назад. За пару дней до этого события мы начинаем получать сообщения о том, что некоторые инструменты обхода цензуры больше не работают, хотя раньше работали, несмотря на GFW. А потом всё снова прекращается. Появляется вопрос — почему?

По моему мнению, есть две возможные причины этого (опять же, мы не знаем наверняка). Первая причина в том, что цензура, чувствительная к времени, так называемые «временные блокировки», добавляют уровень сложности для их обхода. То есть если новый метод цензуры включат заранее, например, в январе, то у разработчиков, которые ищут способы обхода блокировок, есть шесть месяцев, чтобы разобраться с ней и быть готовыми к важной дате в июне. Есть время, чтобы сидеть и копаться в этой штуке, выяснять, как она работает, и разрабатывать способы её обхода. Однако если власти выпустят новую блокировку за две недели до мероприятия, у нас не будет достаточно времени, чтобы создать эффективное решение, которое люди смогут использовать для продолжения своей интернет-активности без ограничений. Поэтому первая причина временной цензуры — это стремление ограничить время на выявление и преодоление новых методов блокировки.

Вторая причина — это стоимость цензуры. В Китае это учитывается. Я думаю, что многие страны очень чувствительны к тому, как их методы цензуры влияют, например, на торговлю. Власти признают, что экономика должна иметь приоритет над цензурой. При любом типе цензуры есть вероятность ложных срабатываний, которые могут повлечь определённый экономический эффект. Например, если бизнесмен, приехавший в Китай, не сможет получить доступ к своей электронной почте, потому что она на Google, это будет довольно серьёзной проблемой. И такое положение вещей может лишить людей стимула вести бизнес в стране. Таким образом, включая цензуру только на некоторое время, в определённые периоды, можно уменьшить побочный ущерб, неизбежный при длительном применении.

Какие методы обхода цензуры работают в Китае

– А что обычно используют люди в Китае для обхода Великого китайского файрвола? Мы спросили наших подписчиков в телеграм-каналах, что им интересно узнать про блокировки VPN и цензуру в Китае. И читатели интересовались в основном двумя вещами: испытанными и верными способами обхода цензуры, которые всегда работали и работают до сих пор, а также наиболее перспективными, которые, скорее всего, будут работать в течение некоторого времени в будущем.

В какой-то мере обход цензуры в Китае — это преуспевающая индустрия. Вокруг неё существует целый рынок обмена инструментами обхода и предоставления пользователям (особенно не техническим специалистам) доступа в глобальный интернет. По нашим данным, десятки миллионов людей в Китае регулярно используют средства обходы цензуры, и большинство из них — не технари. Поэтому они используют такие площадки для обмена ключами и доступом, которые исследователи называют «аэропорты». Это небольшие онлайн-маркетплейсы, где встречаются пользователи и разработчики средств обхода цензуры. И это опасная игра. Как правило пользователям предлагают в основном доступ к серверам Shadowsocks, Trojan and v2ray, которые пользователи просто вставляют в приложение в телефоне или на компьютере.

Можно назвать, что конкретно сейчас работает в Китае: это именно технологии Shadowsocks, Trojan and v2ray. Если говорить о конкретных сервисах — это Psiphon, но у него меньше пользователей, так как он не для всех удобен. Регулярно появляются новые небольшие VPN-сервисы, они становятся популярными, и их блокируют. И это происходит каждые несколько месяцев.

– Давай подробнее поговорим о том, как всё устроено, особенно для не технических специалистов, в плане обмена ключами для средств обхода цензуры.

Тут просто бизнес. Пользователи платят деньги за подписку, за доступ к этим прокси. На GitHub есть проекты, где можно скачать себе готовый сайт для продажи ключей за деньги. Пользователи приходят на такой сайт и хотят получить десять ключей или доступ на месяц, может быть, там и другие предложения. Обычные пользователи просто копируют ключи с этого сайта и вставляют в свои приложения на устройствах — им ни в чем не надо особо разбираться. Тем, кто предоставляет доступ, тоже не надо быть разработчиками. Им нужно просто поднять сайт на Digitalocean — и всё работает.

– Интересно, как пользователи находят эти услуги для покупки. У нас существует такая проблема: есть сообщество против цензуры, люди, которые могут запускать средства обхода цензуры, а есть просто пользователи, которым они нужны. И сложность в том, чтобы они нашли друг друга. В Китае же есть «аэропорты», и теперь становится понятно, какую роль они играют в том, чтобы наладить контакт между распространителями средств обхода цензуры и потребителями.

Вы попали в точку, обрисовав трудность соединения тех, кто производит прокси и тех, кто ими пользуется. Продвижение этих сервисов, организация того, чтобы каждый пользователь, который хочет получить доступ к ним, мог бы его получить, — это не просто. И, действительно, «аэропорты» имеют большую важность для этого.

– Вы упомянули о Shadowsocks, Trojan и v2ray. Но мы много слышали о том, что Shadowsocks блокируется в Китае. Это так?

В Китае блокируется не сам протокол Shadowsocks, а некоторые его популярные серверы. В исследовании 2020 года про активное зондирование как раз об этом говорится. GFW начинает подозревать серверы в том, что они относятся к Shadowsocks, проверяет это и, если получает подтверждение, блокирует их. При этом есть разновидности Shadowsocks, которые к такой атаке устойчивы и которые не блокируются или пока не блокируются.

Как мы уже говорили, в Китае, по-видимому, существует некоторые экономические соображения, определяющие, как GFW выбирает серверы для блокировки. Есть много занятных сообщений пользователей, которые пишут: «Я разместил прокси Shadowsocks, который использую только я (или только мои семья и друзья), и я никогда не сталкивался с блокировкой, никогда не видел активного зонда и тому подобных вещей». В тоже время если крупный провайдер, у которого тысячи пользователей, разворачивает свои инструменты, их могут вычислить и заблокировать в течение нескольких часов. Так что, похоже, здесь есть ещё какая-то логика, которую мы не до конца понимаем: как GFW определяет, какие сервера блокировать, а какие нет. Не похоже, что это происходит всегда, когда используется протокол Shadowsocks.

Это проект, над которым я работаю в последнее время. И сегодня я понимаю, что это не просто фингерпринты (Fingerprints, «отпечатки пальцев»), которые побуждают Великий китайский файервол к активному зондированию. Похоже, там есть еще какая-то эвристика, которую мы пока не уловили. Я провёл много тестов для того, чтобы проверить блокировку разных клиентов, разных протоколов, соединений к разным серверам, в разных странах, чтобы понять логику цензуры GFW. И очевидно, что в этой логике не только фингерпринты: если смотреть на первый пакет данных, на основании которого обычно происходит блокировка, то мы увидим, что её не происходит.

Как цензура в Китае влияет на пользователей и их поведение в Сети

– А как простые пользователи в Китае учатся использовать сложные инструменты обхода? Например, если какой-то человек в Китае хочет обойти GFW, но понятия не имеет, как работают компьютеры? И вот кто-то дал или продал ему ключ, как бы он настроил свой смартфон?

Знаете, моя бабушка прикладывала огромные усилия, чтобы попасть в интернет здесь, в США, где цензура не является проблемой. И это только потому, что она едва понимает, как работает её телефон. Если говорить о пользователях в Китае, то процесс для них действительно был упрощён настолько, насколько это возможно: с этими «аэропортами», предоставляющими такие сервисы, при использовании которых пользователю не нужно особо разбираться. Всё, что нужно понимать: необходимо взять IP-адрес прокси-серверы и вставить его в программу на телефоне. Это очень простой процесс, примерно такой же простой, как подключиться к сети Wi-Fi.

– Ещё один вопрос, который задал один из наших подписчиков: доступен ли в Китае YouTube или он заблокирован? А многопользовательские онлайн-игры подвергаются цензуре или нет? Как люди обходят блокировку?

Да, YouTube заблокирован. Все сервисы Google в настоящее время заблокированы в Китае. И онлайн-игры, как правило, блокируются. Думаю, есть игры, которые могут быть в свободном доступе, потому что они базируются в Китае, но есть игры, которые не одобрены местной властью, и они блокируются.

«Как пользователи обходят блокировку» — интересный вопрос, потому что ответ на него указывает на то, что пользователи ставят в приоритет при использовании сервисов. Ищут ли пользователи очень приватный инструмент, чтобы никто не знал, чем они занимаются? Или же им нужно что-то, способное работать с высокой пропускной способностью и низкой задержкой, чтобы они могли участвовать в онлайн-играх или смотреть потоковое видео YouTube?

И в Китае, похоже, относительно мало людей беспокоятся по поводу возможного преследования. Они предпочтут услуги с высокой пропускной способностью и низкой задержкой. Существуют сервисы, предоставляющие такие VPN-услуги, но они могут продержаться на рынке всего несколько месяцев, прежде чем их заблокируют. Мы уже упоминали о том, что существуют интернет-кабели, идущие в Китай и из Китая. И вот в них есть некие приоритетные полосы, доступ к которым и продают отдельные VPN-сервисы для любителей потокового видео или онлайн-игр. Очень примечательно, что эти сервисы не ставят во главу угла конфиденциальность.

– Когда вы говорите о преследовании, вы имеете в виду, что люди в Китае могут быть как-то наказаны за использование инструментов обхода блокировок?

В общем китайские пользователи, использующие инструменты обхода цензуры, не являются целями для китайского правительства. Известны случаи штрафов на сумму около 200 долларов, которые были назначены за несколько лет использования сервисов VPN. Однако наказание несравнимо суровее для разработчиков и администраторов инструментов обхода цензуры: они, как известно, могут получить тюремный срок до пяти лет за разработку и размещение этих инструментов. Это просто для понимания, на какой риск они идут, развёртывая инструменты в GFW.

Я бы сказал, что штраф в 200 долларов — это пример наихудшего сценария. В большинстве случаев пользователи получают сообщения с предупреждением от властей: дескать, мы знаем, что вы делаете, пожалуйста, прекратите. Однако мы действительно нашли некоторые цифры. Похоже, что в одной из провинций Китая в августе 2021 было 18 случаев административного наказания за то, что они считают «превышением полномочий». В течение года — 60 случаев, причём некоторые люди получили устное предупреждение. Это не так уж и много, если учесть, что средствами обхода цензуры пользуются десятки миллионов человек.

– И как, в этом случае, власти узнают, что кто-то использует такие инструменты: может быть полиция обнаружила VPN-клиент на телефоне при проверке или это провайдер регистрирует VPN-трафик и видит пользователей под VPN?

У нас нет точных данных, но я сильно сомневаюсь, что на улицах проверяют телефоны. Можно предположить, исходя из опыта других стран, тех же США, где рассылают предупреждения о нарушении авторских прав через провайдеров, что всем этим занимаются как раз они. Либо это происходит на базе провайдера, либо сливает данные сам сервис. Китайское правительство вполне может получить доступ к сервису и к его логам, которые потенциально могут указать на некоторых пользователей. Но вариант с провайдером — наиболее вероятный.

– Получается, что поддерживать VPN-серверы в Китае опасно? То есть людей, которые разрабатывают сервисы и поддерживают их, могут посадить за это в тюрьму?

Абсолютно верно. Как посредники, распространяющие прокси, так и разработчики могут попасть в тюрьму за разработку или распространение этих инструментов. Это рискованная игра, и респект парням за то, что они это делают.

Как Великий китайский файрвол блокирует инструменты обхода цензуры

– Давайте поговорим о последнем исследовании, соавтором которого вы являетесь. Не могли бы вы объяснить простым языком, что вы обнаружили?

Я объясню через такую метафору. Допустим, все в комнате говорят по-русски, но есть два шпиона, которые говорят по-французски — их будет легко узнать. Особенно если у вас есть эксперт, франкофон, который подтвердит: вот эти двое говорят по-французски. И это своего рода описание концепции фингерпринта. То есть, когда все говорят одинаково и лишь небольшая группа — по-другому, тогда для эксперта, который ищет шпионов, будет очень просто отделить эту группу от общей массы, понять, что это за язык и поймать шпионов.

Но что если мы сможем сделать такой инструмент, который будет говорить на языке, не похожем ни на один другой, на котором никто больше не говорит и о котором никто ничего не знает? Тогда будет невозможно просто найти парня, говорящего по-французски и схватить его. Теперь надо перебрать все известные нам языки, отбросить их и оставить только то, что ни на что не похоже.

И это был своего рода принцип которым в последние несколько лет руководствовались разработчики средств обхода цензуры при создании этих полностью зашифрованных протоколов. Они разрабатывали инструменты, которые не похожи ни на что, у которых не было фингерпринтов, чтобы их нельзя было распознать и заблокировать на основе их отпечатков. И много проектов пошли по этому пути. Например, Obfs4 — прекрасный пример полностью зашифрованного протокола.

В конечном счёте, мы обнаружили, что Великий китайский файрвол использует определённые правила для идентификации протоколов и их распознавания. Мы понимаем, что это сложные, хитрые правила.

Весь «доброкачественный» трафик: TLS, DNS, SMTP и так далее описан этими правилами. В них отчасти используется идентификации по фингерпринту, то есть распознаются первые несколько байтов пакета и подтверждается, что это, например, TLS и HTTP. Правило «смотрит» на то, сколько байт ASCII во всем пакете, зашифрованный он или нет. Правила предусматривают подсчёт количества нулей и единиц в этих данных, и по их количеству вычисляется зашифрован этот трафик или нет. И это позволило GFW идентифицировать инструменты шифрования и специально блокировать их.

– Получается, это своего рода белые списки. Сначала они идентифицируют и отбрасывают все известные типы трафика. Потом считают единицы и нули в неизвестных типах. И если у них примерно одинаковое количество единиц и нулей, тогда цензоры подозревают, что это псевдослучайность, а затем — что это какой-то обход цензуры. И что тогда происходит? Блокировка или замедление?

Блокировка. И это не просто блокировка текущего соединения, но и всего последующего трафика на этот же сервер. Итак, мы обнаружили, что GFW пытаются идентифицировать и исключить трафик (мы это называем в нашей статье «исключениями»), который они знают, и среди оставшегося найти и заблокировать тот, что их не устраивает. Они блокируют текущее соединение и последующие соединения с этим сервером на том же порту сервера клиента. Теперь это блокировка по IP и порту, и она длится в течение нескольких минут, что действительно препятствует доступу пользователей к этому конкретному сервису.

– В этом разговоре уже упомянули несколько ситуаций, когда цензор что-то блокирует, а затем разблокирует. А также в статье было указание на такую технику, которая называется «вероятностное блокирование», когда блокируется не весь неугодный трафик, а только какая-то часть. Как это работает?

Да, в Великом китайском файрволе существуют временные и частичные блокировки. Мы проводили тесты: отправляли данные, которые, как мы знали GFW должен заблокировать, и они блокировались с вероятностью, приближающейся к 25%. И то, что происходило в этом случае, является концепцией, которую мы называем «вероятностной блокировкой». Причины этого точно нам неизвестны, но есть некоторые соображения.

Первая причина — это снижение частоты ложных срабатываний. Опять же, возвращаемся к идее о том, что китайское правительство очень чувствительно к экономическим проблемам, они не хотят блокировать интернет-трафик, который возможно служит каким-то деловым потребностям. Поэтому, блокируя соединения только в 25% случаев, они с меньшей вероятностью нечаянно заблокируют соединения, которые являются добропорядочными. Например, иногда в сервисах используются TLS или какие-то странные самописные протоколы, которые могут не пройти тест GFW. В таком случае если Великий китайский файервол заблокирует один пакет пользовательских данных, так как он покажется ему плохим, то при повторной передаче такой проблемы уже не возникнет. И ущерб для добропорядочного бизнеса будет небольшим.

Однако если пользователь подключается к средству обхода цензуры, каждый его пакет будет идентифицирован как плохой, нежелательный. Четверть этих соединений будет заблокирована. К том уже помимо «вероятностной блокировки» тут включится «временная блокировка», которая запрещает подключение к этому серверу в течение 60-90 секунд. Не важно, что изначально цензура не может перехватить каждый пакет, а только четверть — новый уровень блокировки не позволит последующему трафику пройти.

Таким образом, наша теория в том, что существует логика цензуры, основанная на уменьшении ложных срабатываний, которые уменьшают уменьшает экономические риски.

Вторая идея в том, что дело может быть просто в ограниченности ресурсов. Мы не очень хорошо знакомы с тем, что представляет собой сетевая инфраструктура Великого китайского файрвола. И реализация его инструментов может быть невероятно ресурсоемкой или иметь, например, такие технические ограничения из-за которых они отбирают только 25% данных.

Трудно сказать наверняка, чем это обосновано. Но вот такие две гипотезы у нас есть.

– Когда мы говорили перед интервью, вы упомянули, что, например, иностранные граждане в Китае не подвергаются такой же цензуре в Интернете, как китайские граждане. Похоже, это действительно сложная система, которая учитывает все нюансы: кто такой пользователь и какой трафик у него. Как различается цензура в Китае для иностранцев и для местных жителей?

Я уже упоминал, что в Китай и из Китая идут разные интернет-магистрали, и у них разные приоритеты. Есть кабели, которые не блокируются, и поэтому получение доступа к этим линиям является своего рода «золотым ключиком» и для обычного китайца это очень сложно.

Кроме того, существуют инструменты, которые люди постоянно используют, но о которых они даже не подозревают, что с помощью них можно направить трафик за пределы Китая. Например, это технология частный узел iCloud (iCloud Private Relay). Это такой прокси, через который проходит трафик пользователей iPhone, прежде чем дойти в конечный пункт назначения. Изначально это решение для того, чтобы наблюдатели, которые хотели бы подсмотреть трафик на пути следования, не могли узнать, куда он идёт, чтобы сервер не мог узнать, кто вы такой, и т.п. Побочный эффект такого решения — то, что он действует как VPN, как инструмент обхода блокировок. И китайское правительство было не в восторге, когда появилась такая функци. В конечном итоге произошло то, что произошло — возникли «деловые отношения», из-за которых пользователи с китайским Apple ID или прописанным местоположением в Китае больше не могут использовать эти инструменты. Они блокируются, в то время как пользователи с американским или другим иностранным Apple ID не имеют проблем с доступом к этим инструментам в Китае.

– Есть ли данные, какое оборудование используется на аппаратном уровне, в Великом китайском файерволе, и каковы его функции? Продает ли его Китай другим странам?

Никто не знает наверняка, откуда берутся инструменты, которые используются в GFW. Неизвестно, как выглядит конкретная сетевая инфраструктура в Китае. Одна из ранних работ, вроде 2015-го года или 2017-2018 гг. была про блокировки DNS. Тогда мы выяснили, что всего блокирующих систем было три и они дублировали друг друга. И у каждой из них был свой фингерпринт, уникальные параметры. По ним мы и поняли, что систем несколько и они блокируют по-разному. Кто их производит нам не понятно.

Похожа ли цензура в России на цензуру в Китае

– А что вы можете сказать о сходствах и различиях между китайской и российской цензурой?

Я хорошо знаком с Великим китайским файерволом и его внутренним устройством, а вот полноценного исследования современного состояния российской цензуры наша команда не проводила. Но здесь можно выделить некоторые очевидные сходства и различия.

Ранее у нас сложилось понимание, что цензура в России была очень децентрализована, она осуществлялась на уровне провайдеров. Российские власти заставляли провайдеров услуг интернет устанавливать системы цензуры, в то время как в Китае большинство таких систем управляется государством.

Цензоры в Китае по-настоящему верят верят в свою миссию, в то, что они защищают интересы государства, создают безопасное пространство. Люди, которые разрабатывают инструменты, делают это максимально хорошо. Я думаю, что это одна из причин, по которой мы наблюдаем такое техническое совершенство GFW, — это мотивация его создателей, они действительно заинтересованы в том, чтобы их инструменты цензуры становились всё лучше и лучше. В то время как с российской цензурной машиной по-другому: провайдерам говорят, мол, вот список запрещённых сайтов, блокируйте его, как хотите. И провайдеры делают какой-то минимум, чтобы отчитаться. И откуда тогда взяться крутым решениям.

Но похоже, что за последние пару лет российская цензура становится более централизованной. Теперь есть «чёрные ящики» (ТСПУ), которые принадлежат государству, с помощью которых можно делать то, что давно делается через GFW. И тут интересно посмотреть, насколько эти системы похожи друг на друга. Например, фингреппринты похожи или различны, «чёрные ящики» одинаково работают у разных провайдеров или нет, разные «чёрные ящики» разрывают соединение по-разному или одинаково и какие характеристики имеет RST-пакет? Можно ли с уверенностью сказать, что каждый интернет-провайдер в России использует один и тот же способ цензуры? «Чёрные ящики» настроены одинаково? И по каким параметрам мы это можем сравнить то, что видим в России, в тем, что видим в Китае?

Если, во-первых, все провайдеры режут одинаково, а во-вторых, система имеет схожие параметры с GFW, тогда можно говорить о вероятности, что есть общие поставщики или разработчики двух систем. Но я думаю, что на этот вопрос будет трудно ответить.

Я считаю особенно интересным в российской системе цензуры то, что список доменов для блокировки у вас как бы полупубличный. Я не знаю, является ли он полностью публичным, но, в общем, он доступен. И это действительно впечатляет, потому такой реестр дает вам дата-сет для анализа того, что происходит с этими сайтами.

Такое невозможно при китайской модели цензуры. Поскольку в Китае такого публичного списка не существует, у нас есть только догадки о том, что действительно блокируется, о том, какого типа контент, какие темы попадут под блокировку. И мы проводим тесты каждые пару лет, чтобы составить список сайтов, которые оказались заблокированными в тот период, пытаясь при этом исключить случайные результаты, не связанные с блокировкой. Но иметь полный список того, что именно заблокировано в данной стране в данное время, — это действительно бесценный инструмент для исследователей, который можно использовать для анализа.

– Это действительно проблема, что вы никогда не сможете уверенно сказать, сколько сайтов в Китае находятся под временной блокировкой, а сколько — под постоянной.

Да, это очень не просто. Интернет работает не идеально. Проводить тесты из Китая можно, но сложно в моменте понять, заблокирован ли этот сайт или просто связь с ним плохая, так как сайт расположен в США, а клиент в Китае. Там много нюансов. Поэтому очень полезно для исследования заранее знать, заблокирован сайт или нет.

– Получается, Великий китайский файрвол всё ещё технически более продвинутая система: у него есть активное зондирование, внутри применяются разные типы цензуры для разных групп людей, в системе существуют временные блокировки и, GFW, очевидно, применяет гораздо больше блокировок по «отпечаткам пальцев» (а у нас пока только несколько случаев таких было). Как вы думаете, к чему должны быть готовы пользователи в России, что нас ждёт? Можете ли вы предвидеть какие-нибудь превентивные шаги, которые следует сделать российским пользователям?

Знаете, китайским пользователям уже пришлось пройти через многое. Игра в кошки-мышки продолжается: вводятся блокировки — придумываются новые средства обхода цензуры — а затем цензоры находят эти новые средства и изобретают способы их заблокировать.

К счастью, сейчас Великий китайский файрвол является более сложным, чем российская система цензуры, и даже если она будет пытаться его догонять, пользователи в России смогут полагаться на инструменты и решения, которые развивались в течение многих лет в Китае. И так они смогут быть на шаг впереди.