Meek und Domain-Fronting: die Tor-Bridge, die sich in einem CDN versteckt
Jede Bridge-Art in Tor Browser ist eine Übung in Tarnung, aber meek nimmt den ehrgeizigsten Weg: Er formt den Tor-Traffic gar nicht um, sondern transportiert ihn schlicht als Rumpf gewöhnlicher HTTPS-Anfragen an ein großes Content Delivery Network. Die Technik darunter, Domain-Fronting, war einst bei jedem großen Cloud-Anbieter verfügbar. Ein Jahrzehnt nach ihrem Debüt überlebt sie im Wesentlichen bei einem einzigen, und die meek-azure-Bereitstellung ist der letzte Vertreter dieser Bridge-Familie, der noch im Menü steht.
Wie Domain-Fronting eine Tor-Verbindung versteckt
Die Schwäche, die Domain-Fronting ausnutzt, ist, dass ein TLS-Handshake dem Zensor ein praktisches Etikett liefert: Das Feld Server Name Indication nennt die besuchte Seite. Die Studie von David Fifield und Kollegen aus dem Jahr 2015, die die Technik in die Zensurumgehung einführte, beschreibt, wie Fronting diese Verknüpfung aufbricht. Eine Domain erscheint auf der Außenseite einer HTTPS-Anfrage, in der DNS-Abfrage und im TLS-Handshake, während eine andere Domain auf der Innenseite erscheint, im HTTP-Host-Header. Der Zensor sieht nur die Fassade. Der Host-Header ist für den Zensor unsichtbar, für das CDN, das die Anfrage entgegennimmt, jedoch sichtbar; es liest ihn und leitet die Verbindung zum eigentlichen Ziel weiter. Den Traffic zu blockieren hieße, eine vielgenutzte, ganz normale Website mitsamt allen legitimen Nutzern mitzublocken. meek macht aus dieser Idee eine Bridge. Der Client verpackt Stücke des Tor-Traffics in HTTP-POST-Anfragen und schiebt sie durch ein Fronting-CDN zu einer Bridge mit meek-server, wo eine Sitzungskennung den Strom wieder zusammensetzt; wenn nichts ansteht, sendet der Client weiter leere Abfragen, damit die Verbindung nicht verstummt. Im ursprünglichen Entwurf wurden diese Anfragen sogar durch eine echte Browser-Engine getrieben, weshalb die Studie über den resultierenden Traffic sagen konnte: Er sieht aus wie ein Browser, weil er einer ist.2018: Die vorderen Türen schließen sich
Das ganze Schema beruhte darauf, dass Cloud-Anbieter die Diskrepanz zwischen den beiden Schichten tolerierten, und 2018 hörten sie damit auf. Nach Signals Darstellung kündigte Google mit 30 Tagen Frist das Ende der Domain-Fronting-Unterstützung an, nachdem Signal App-Engine-Fronting genutzt hatte, um Nutzer im Iran zu erreichen, die Googles eigene Lesart des US-Sanktionsrechts bereits abgeschnitten hatte. Wenige Wochen später, am 27. April 2018, schrieb Amazon an Signal, es habe keine Erlaubnis, die Domain Souq.com als Fassade zu nutzen, drohte mit der Sperrung des CloudFront-Kontos und führte Enhanced Domain Protections ein, die das Fronting im gesamten CDN beendeten. Das Tor Project berichtete noch im selben Monat, beide Firmen würden den Stecker ziehen und meek sei über ihre Netzwerke unbrauchbar geworden; Access Now zählte rund ein Dutzend betroffene Menschenrechts-Tools, Signal und Telegram eingeschlossen. Signals Fazit war knapp: Domain-Fronting war als Technik der Zensurumgehung weitgehend unbrauchbar geworden, und die abschließende Beobachtung erfasste, warum die Abschaltungen den Zensoren nichts kosteten."...mussten nichts tun als warten." - Signal, Mai 2018
Warum meek-azure überlebte
Ein Anbieter schloss sich dem Rückzug nicht an. Das Tor Project stellte damals fest, dass Microsofts Azure-Cloud Domain-Fronting weiterhin erlaubte, und die Studie von 2015 hatte bereits einen strukturellen Grund beobachtet: Azures CDN leitet Anfragen nur an Azure-affine Domains weiter, während Amazon CloudFront fast überallhin weiterleitete. meeks Azure-Bereitstellung liegt vollständig in diesem Umfeld, mit ihrem Endpunkt auf Azures eigenem CDN hinter einer von Microsoft kontrollierten Front-Domain, sodass die Anfrage nie zwischen nicht verbundenen Firmen wechselt. Nachdem Google und Amazon nicht mehr zuließen, dass sichtbarer Name und tatsächliches Ziel auseinanderfallen, reichte diese interne Toleranz aus. Das Tor Project warnte von Anfang an, dass es über die anderen Abschaltungen keine Vorankündigung erhalten hatte und dass sich auch Azures Politik ändern könnte - ein Vorbehalt, der meek-azure bis heute begleitet.Der Preis der Unauffälligkeit
Die Eigenschaften, die meek schwer blockierbar machen, machen ihn auch langsam und teuer. Der zusätzliche CDN-Hop und das anfragengetriebene Design senkten in der Studie von 2015 die gemessenen Downloadgeschwindigkeiten um etwa den Faktor zwei bis drei, und Tors aktuelle Support-Dokumentation ist noch deutlicher: meek hat eine Bandbreitenbeschränkung, daher wird die Option ziemlich langsam sein. Geld ist die andere Einschränkung. Jemand zahlt CDN-Ausgangsgebühren für jedes Byte, das eine meek-Bridge bewegt, und die Rechnung der ursprünglichen Bereitstellung belief sich im Laufe der Studie auf 565 US-Dollar bei Azure, 3.292 bei Google App Engine und 3.793 bei CloudFront. Die Forscher warnten auch, dass ein Angreifer diese Rechnung nach Belieben aufblähen könnte - das Problem des finanziellen Denial-of-Service, demonstriert, als die Great Cannon den Cloud-Hosting-Konten ihrer Ziele Zehntausende Dollar an Bandbreitenkosten bescherte.Wann meek die richtige Wahl ist
Für die meisten zensierten Nutzer ist meek eine Reserve, keine erste Wahl. Tors aktuelle Hinweise für China schlagen zuerst WebTunnel vor und listen meek und Snowflake als Rückfallebenen, falls es fehlschlägt. Die gängigen Optionen treffen jeweils einen anderen Kompromiss:- obfs4 durcharbeitet den Traffic und ist schnell und kostenlos, aber jede Bridge ist ein einzelner Server, dessen Adresse entweichen oder gescannt werden kann.
- Snowflake leiht sich flüchtige Proxys von Freiwilligen, leicht zu skalieren, aber schwankend in der Geschwindigkeit.
- WebTunnel lässt Tor wie eine reguläre HTTPS-Verbindung zu einem Webserver aussehen, ohne die Kooperation eines CDN-Riesen zu brauchen.
- meek versteckt sich hinter einer der meistgenutzten Domains des Webs und übersteht die strengsten Allow-Listen - mit niedriger Geschwindigkeit.