Rosyjskie TSPU kontra Tor: pięć lat dławienia, blokad i obejść
1 grudnia 2021 roku użytkownicy części rosyjskich dostawców internetu odkryli, że sieć Tor przestała działać. Blokującym nie był jeden ogólnokrajowy firewall, lecz warstwa sprzętu do głębokiej inspekcji pakietów znana jako TSPU — „techniczne środki przeciwdziałania zagrożeniom” — zamontowana wewnątrz samych dostawców. Pięć lat później rejestr pomiarów opowiada jasną historię: bezpośrednie połączenia z Torem w Rosji spadły o około dziewięćdziesiąt procent, a połączenia przez mosty stały się główną drogą, jaką pozostali użytkownicy w kraju docierają do sieci.
Fala blokad z grudnia 2021 roku
Raport OONI udokumentował początek: od 1 grudnia 2021 roku część rosyjskich dostawców zaczęła blokować dostęp do Tor. Z ponad 65 badanych sieci 15 wykazywało oznaki blokad, stosowanych głównie przez zrzucanie połączeń do IP przekaźników i domyślnych mostów obfs4 aż do przekroczenia czasu. Egzekwowanie było nierówne: w niektórych sieciach dotyczyło tylko części użytkowników, a techniki sięgały od stron blokad po zakłócanie TLS. Raport prześledził też presję na stronę Tor Project: niektórzy dostawcy blokowali www.torproject.org już we wrześniu 2021 roku, a po zawiadomieniu Roskomnadzoru z 6 grudnia serwis trafił na krajowy rejestr zakazów 7 grudnia. Wówczas Rosja miała drugą co do wielkości bazę użytkowników Tora na świecie, ponad 300 000 dziennie. „Tuż po opublikowaniu tego artykułu rosyjski rząd oficjalnie zablokował naszą główną stronę w Rosji”. — Tor Project, 7 grudnia 2021 roku
W tym samym tygodniu projekt uruchomił kampanię wzywającą wolontariuszy do prowadzenia mostów. Dziennik zdarzeń powiązanych Tor Metrics dla Rosji odnotowuje falę jako blokadę katalogowych serwerów, przekaźników, domyślnych mostów obfs4, meek-azure i Snowflake u części dostawców, z tymczasowym wstrzymaniem blokady na mniej niż dobę od 8 grudnia 2021 roku: zakłócenia w rytmie włącz-wyłącz, a nie jeden stały mur. Co ulega degradacji
Dla połączeń bezpośrednich degradacja jest techniczna i mierzalna. Badanie TSPU autorstwa Censored Planet, zaprezentowane na konferencji Internet Measurement Conference w 2022 roku, opisuje te urządzenia jako stojące w torze ruchu i pamiętające stan, a blokady uruchamiane po nazwach domen w polu SNI protokołu TLS, po adresie IP i po odciskach ruchu QUIC. Własny węzeł wejściowy Tora badaczy w Paryżu był blokowany poza rejestrem — poza jakąkolwiek oficjalną listą — od grudnia 2021 roku, a resztkowa blokada jego IP utrzymywała się długo po wyłączeniu węzła w marcu 2022 roku. Na zablokowanych adresach połączenia wychodzące przechodzą, ale odpowiedzi wracają z okrojoną zawartością i wstrzykniętymi resetami; nie przechodzą nawet pingi. Dławienie to cichszy wariant. W marcu 2021 roku Rosja zdławiła Twittera w całym kraju — pierwszy udokumentowany, wielkoskalowy i celowany przypadek użycia dławienia jako cenzury — wyzwalany nazwami domen w uścisku dłoni TLS i ograniczający ruch do 130-150 kbps przez wyrzucanie pakietów ponad limitem. Zastosowana do Tora ta sama metoda nie daje czystej strony błędu; daje wolne uściski dłoni i obwody urywające się w połowie transferu. Censored Planet obserwowała takie dławienie w rosyjskich sieciach między 26 lutego a 4 marca 2022 roku, po czym to zachowanie zastąpiła jawną blokadą. Co nadal działa
Mosty. Fala 2021 roku dosięgła też domyślnych: Tor Project raportował, że domyślne mosty, w tym mosty obfs4 rozdawane przez Moat i Snowflake, nie działały w niektórych regionach Rosji. Kampania mostowa osiągnęła cel 200 nowych mostów obfs4 i przekroczyła 400, a prywatne, nieskatalogowane mosty pozostają pewną drogą, bo cenzor nie może wyliczyć tego, o czym nie wie. Tor Metrics liczył około 310 000 użytkowników dziennie z połączeniami bezpośrednimi w Rosji pod koniec listopada 2021 roku; do końca stycznia 2022 wskaźnik spadł do około 165 000-175 000. W październiku 2026 roku użytkownicy bezpośredni wahają się między 18 000 a 23 000 dziennie. Korzystanie z mostów maluje odwrotny obraz: około 89 000-98 000 dziennie w październiku 2026 roku, kilkukrotnie więcej niż połączeń bezpośrednich. Większość Rosjan, którzy wciąż używają Tora, robi to przez mosty, a nie przez zwykłe połączenia. Maszyna w tle
Badania Censored Planet wyjaśniają, dlaczego omijanie jest trudne. Pobierając odciski zachowań fragmentacji TCP, badanie z 2022 roku wskazało ponad milion punktów końcowych w 650 rosyjskich systemach autonomicznych siedzących za urządzeniami TSPU i ustaliło, że 70 procent z nich dzieli od użytkownika końcowego najwyżej dwa przeskoki sieciowe — wystarczająco blisko, by inspekcjonować praktycznie wszystko. Zachowania dławiące i blokujące były spójne u różnych dostawców, co wskazuje na centralną koordynację. Autorzy zauważają, że TSPU przeszło drogę od pomysłu do wdrożenia w trzy lata i ostrzegają, że ta architektura może stać się wzorcem dla systemów cenzury gdzie indziej. Stan gry
Pięć lat później sytuacja jest stabilna w nieszczęśliwy sposób. Bezpośrednie połączenia z Torem pozostają stłumione do niskich dziesiątek tysięcy użytkowników dziennie, egzekwowanie różni się między sieciami, a droga mostów niesie większość obciążenia. Żadne publiczne doniesienie nie odnotowało formalnego odwrócenia polityki. To, co pokazuje rejestr, to adaptacja: każda fala blokad wypychała użytkowników ku transportom, których cenzor jeszcze nie nauczył się rozpoznawać — i większość tam zostawała. Rosyjska kampania to jeden przykład szerszego podręcznika. Nasz przegląd narodowych wzorców blokad osadza erę TSPU w kontekście obok tego, jak inne kraje próbują filtrować Tora.
