NoDPI v2.3: они научились собирать фрагментированный ClientHello, а мы научились это исправлять

Значимый прорыв формирует отрасль ИИ: Lord_of_Rings 52 минуты назад Краткое содержание статьи NoDPI v2. 3: они научились собирать фрагментированный ClientHello, а мы научились это исправлять Средний 5 мин 2. 1K Python * Open source * Программирование * Информационная безопасность * Сетевые технологии * Кейс Салют, Хабр!

Я думаю многие из вас слышали про NoDPI — open‑source инструмент на Python для... изменения сетевого трафика (ну вы поняли). В последний месяц мне стали массово жаловаться (раз, два и ещё в личке), что некоторые сайты перестали открываться.

Технические детали

К сожалению, у меня долго не доходили руки разобраться с этим, но в эти выходные я наконец взялся за дело. Под катом расскажу, что случилось и как получилось это побороть. Дисклеймер: Данная статья носит исключительно ознакомительный, научно‑исследовательский и академический характер.

Автор не занимается пропагандой, рекламой или популяризацией средств обхода блокировок, а также не призывает к нарушению действующего законодательства. Все описанные технологии, протоколы и программные решения рассматриваются исключительно с точки зрения их технического устройства, архитектуры современных сетей и информационной безопасности. Применение полученных знаний в практических целях остается на личной ответственности читателя.

Я долго думал, нужно ли писать об этом на «Хабре» и в каком формате. Всё же решил оформить публикацию в виде статьи, так как многие не смотрят на обновления и могут подумать, что инструмент просто сломался и умер. Как работало раньшеВ применении к HTTPS, Deep Packet Inspection «глубокая инспекция пакетов») — технология проверки сетевых пакетов по их содержимому с целью регулирования и фильтрации трафика, а также накопления статистических данных.

Отраслевые последствия

" data-abbr="DPI">DPI узнаёт, куда вы идёте, по полю SNI в ClientHello — первом пакете TLS‑хендшейка, где доменное имя сайта лежит просто открытым текстом. com — дропаем соединение, и клиент уходит в таймаут. NoDPI резал ClientHello на мелкие TLS‑записи так, что имя домена оказывалось разбито по кускам в пару байт.

Сервер склеивает такие записи штатно, а DPI сигнатуру не находил и пропускал соединение. В принципе, было ожидаемо, что это, скорее всего, вынужденное ограничение со стороны DPI просто из‑за нехватки мощности и рано или поздно эту лавочку прикроют. Что сломалосьВ последний месяц пользователи стали мне жаловаться на то, что YouTube перестал открываться — соединения идут, ошибок нет, но страница виснет.

На самом деле это коснулось не только YouTube, но и остальных сайтов на большинстве провайдеров.

Событие, по словам экспертов, усилит конкуренцию в сфере ИИ.