Free Porn Storage: передаём мемы в TLS-трафике, не привлекая внимания санитаров

Значимый прорыв формирует отрасль ИИ: mrcatnapper 8 минут назад Free Porn Storage: передаём мемы в TLS-трафике, не привлекая внимания санитаров Средний 13 мин 106 Сетевые технологии * C++ * Программирование * Из песочницы Если нужно спрятать дерево, прячьте его в лесу. Лес интернета состоит из TLS-соединений (>70% трафика, если верить статистике): вкладок браузера, WebSocket-потоков, долгоживущих HTTPS-запросов, клиентов игр, мобильных приложений, телеметрии, видеоплееров, чатов и тысяч спокойных TCP/443-соединений, которые выглядят настолько обычно, что именно это и делает их интересной средой для, кхм, исследования. Очевидно, единственная и конечная цель существования интернета — быть распределённым хранилищем порно, так почему бы не использовать его по прямому назначению и не хранить смешные картинки прямо в трафике?

Тем не менее, как ни странно, Free Porn Storage, или FPS, о котором пойдёт речь в статье — не о порно (а жаль); так сказать, удачи с поиском. FPS — это экспериментальный фреймворк для построения скрытого L3 TUN-туннеля внутри живых TLS-сессий. В статье предлагается разбор одной архитектурной идеи (или семейства идей) в гонке фильтрации и, скажем, “расширения доступа”: если фильтрующие системы становятся достаточно хороши в распознавании протоколов, которые только притворяются TLS, можно ли начать с настоящей TLS-сессии обычного приложения, выполнить отложенную аутентификацию и уже после этого спрятать канал с полезной нагрузкой внутри байтового потока TLS?

Технические детали

ОглавлениеЛестница фильтрацииЧто видно в TLS на уровне байтового потокаМимикрируемЭкспроприируемАрхитектура реализацииРазмещение сервера перед обратным проксиТехнические детали FPSЦена подходаСравнение с альтернативамиКак проект разрабатывалсяПланыВремя тестовДисклеймерСсылкиЛестница фильтрации(Довольно бесполезный раздел в текущих реалиях, ибо всё это давно известно читателю, но пусть будет. ) Системы фильтрации почти всегда начинают с простых мер, потому что простые меры дешевле, понятнее в эксплуатации и, как ни странно, работают, и дают приемлемый результат. DNS можно исказить/подменить.

Блокировка IP и CIDR грубее и даёт больше побочных эффектов, зато работает до того, как прикладной протокол вообще успел сказать хоть что-то. Политика по протоколам и портам поднимает стоимость ещё на одну ступень: TCP/443 может проходить, а UDP/443, UDP/53, типичный UDP-трафик VPN или на неизвестные порты — отваливаться. Следующие уровни уже смотрят на поведение приложения.

Пока Encrypted ClientHello (ECH) не стал повсеместной реальностью, TLS ClientHello способен раскрыть имя хоста через SNI RFC 6066, поэтому промежуточный фильтр может разрешать IP-адрес, но рвать соединение с выбранными доменами. За пределами SNI остаётся ещё больше сигналов: порядок наборов шифров, расширения TLS, ALPN, настройки HTTP/2, размеры первых записей, тайминги рукопожатия, TCP-поведение и реакция сервера (см.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.