Исследователи пришли к выводу, что попытки Китая цензурировать трафик, передаваемый с помощью Quick UDP Internet Connections (QUIC), несовершенны и подвергают страну риску атак, которые ослабляют её систему цензуры или даже ограничивают доступ к альтернативным DNS-резолверам. Операторы «Золотого щита», также известного как «Великий китайский файрвол», начали блокировать некоторые соединения QUIC ещё в апреле 2024 года, но делают это бессистемно.
Эти выводы были опубликованы на прошлой неделе в статье, подготовленной исследователями из Массачусетского университета в Амхерсте, Стэнфордского университета, Колорадского университета в Боулдере и активистской группы Great Firewall Report. Статья под названием «Разоблачение и обход цензуры QUIC на основе SNI в “Великом китайском файрволе”» будет представлена на симпозиуме по безопасности USENIX на следующей неделе.
QUIC — интернет-протокол, разработанный Google в конце 2012 года. Он использует протокол пользовательских дейтаграмм (UDP) вместо протокола управления передачей (TCP), позволяет мультиплексировать несколько потоков данных и содержит возможности шифрования, эквивалентные TLS и SSL. QUIC имеет меньшую задержку соединения и передачи, чем TCP, и при этом допускает потерю некоторых пакетов за счёт хорошего выравнивания границ криптографических блоков с границами пакетов. Эксперты утверждают, что на сегодняшний день по крайней мере десять процентов веб-сайтов используют QUIC, в том числе многие сервисы, предоставляемые Meta✴ и Google.
Китай использует «Великий китайский файрвол» (ВКФ) для блокировки сайтов обеих компаний, поэтому обновление QUIC представляется разумным расширением его всеобъемлющего режима цензуры. Исследователи отметили, что устройства, ответственные за цензуру QUIC, расположены на том же участке сети, что и существующие устройства ВКФ, что говорит об использовании ими общей инфраструктуры и схожих подходов к управлению.
«Чёрный список QUIC от “Великого Китайского файрвола” существенно отличается от чёрных списков, используемых для цензуры TLS, HTTP или DNS в Китае, — говорится в статье. — В частности, чёрный список QUIC составляет примерно 60 % от размера чёрного списка DNS по количеству доменов. Удивительно, но многие из этих доменов даже не поддерживают QUIC, что делает неясным, почему они оказались в чёрном списке, специфичном для QUIC».
Исследователи также заметили «особенности парсинга», когда ВКФ пытался обрабатывать полезную нагрузку QUIC, не соответствующую требованиям стандартов, затрачивая ресурсы на обработку пакетов, которые не являются попытками доступа к запрещённым сайтам.
В статье также утверждается, что Китай не может блокировать весь трафик QUIC, а процент успешных попыток цензуры колеблется в зависимости от времени суток. Протестировав блокировку QUIC в Пекине, Шанхае и Гуанчжоу, исследователи обнаружили «чёткую суточную закономерность во всех трёх городах: процент блокировки достигает пика в ранние утренние часы и снижается до минимума в течение дня».
Как поясняется в статье, «QUIC шифрует все пакеты, в отличие от TLS, где имя сервера назначения отправляется открытым текстом. В QUIC даже первое сообщение о рукопожатии, QUIC Client Initial, зашифровано, хотя и с использованием ключа, который может быть получен пассивным сетевым наблюдателем». Это означает, что цензору, желающему заблокировать соединения QUIC на основе поля Server Name Indication (SNI), необходимо расшифровать первый пакет каждого соединения QUIC, чтобы определить сайт назначения, что резко увеличивает операционные расходы и делает скорость блокировки чувствительной к нагрузке на сеть, которая меняется в течение дня.
Выявленные проблемы с обработкой исходных пакетов QUIC побудили авторов статьи задуматься о возможности целенаправленного ослабления возможностей цензуры в Китае путём отправки пакетов QUIC в ВКФ. Проведя эксперименты, не нарушающие работу китайского интернета, исследователи пришли к выводу, что таким образом можно существенно ослабить инфраструктуру ВКФ из-за пределов Китая.
Исследователи также обнаружили, что блокировщик QUIC от ВКФ позволяет инициировать «атаку на доступность», которая преднамеренно запускает механизм цензуры. Системы цензуры часто снимают блокировку трафика через несколько минут, но злоумышленники могут намеренно отправлять дополнительные поддельные пакеты, чтобы сохранить цензуру. Подобная атака может привести к блокировке доступа из Китая ко всем открытым или корневым иностранным DNS-резолверам, что вызовет масштабные сбои с разрешением доменных имён в стране.
«Защита от этой атаки с одновременным применением цензуры затруднена из-за простоты подмены UDP-пакетов, — говорится в статье. — Необходимо тщательное проектирование, чтобы цензоры могли применять целевые блокировки в QUIC, одновременно предотвращая атаки на доступность».
Исследователи опасались, что их работа может нанести вред китайскому интернету и гражданам, и поэтому в январе 2025 года раскрыли информацию о ней китайским властям. В марте авторы наблюдали изменения в поведении ВКФ, анализ которых показывает, что разработчикам ВКФ пока удалось лишь частично нейтрализовать уязвимость.
Авторы не раскрыли китайским властям возможность снижения производительности ВКФ при увеличении нагрузки на сеть, но поделились этой информацией с сообществами противников цензуры, после чего информация была раскрыта публично.
«Мы выбрали эту стратегию раскрытия информации, поскольку атака, снижающая производительность, затрагивает только инфраструктуру ВКФ, а не пользователей. Раскрытие информации цензору в частном порядке позволило бы им усилить механизмы цензуры до того, как более широкое сообщество противников цензуры узнало бы об этой уязвимости и извлекло бы из неё уроки», — объяснили свои мотивы авторы статьи.
В феврале 2025 года группа учёных и специалистов в области кибербезопасности сообщила об обнаруженной в 2021 году уязвимости Wallbleed в «Великом китайском файрволе». В течение четырёх лет они постоянно эксплуатировали её, стремясь изучить механизмы работы системы, публичная информация о которой практически отсутствует. В частности, они выяснили, что данные оставались в памяти оборудования от нуля до пяти секунд, а его центральные процессоры имели архитектуру x86_64. Они также установили, что уязвимые промежуточные узлы обрабатывали трафик с сотен миллионов китайских IP-адресов, то есть практически со всей страны.
Wallbleed — не первая уязвимость, обнаруженная в китайской системе блокировки ресурсов. В 2010 году в Сети был опубликован скрипт, который из-за уязвимости в DNS позволял получать 122 байта дополнительных данных из памяти серверов файрвола.