Meek e domain fronting: a ponte Tor que se esconde dentro de um CDN
Cada tipo de ponte no Tor Browser é um exercício de disfarce, mas o meek segue o caminho mais ambicioso: ele não remodela o tráfego do Tor de forma alguma, apenas o transporta como corpo de pedidos HTTPS comuns destinados a uma grande rede de distribuição de conteúdo. A técnica por baixo, o domain fronting, já esteve disponível em todos os grandes provedores de nuvem. Uma década depois da estreia, sobrevive essencialmente em um, e a implantação do meek-azure é a última dessa família de pontes que permanece no menu.
Como o domain fronting esconde uma conexão Tor
A fraqueza que o domain fronting explora é que um handshake TLS entrega ao censor um rótulo conveniente: o campo Server Name Indication nomeia o site visitado. O estudo de 2015 de David Fifield e colegas que trouxe a técnica para a elusão da censura descreve como o fronting quebra esse vínculo. Um domínio aparece no exterior de um pedido HTTPS, na consulta DNS e no handshake TLS, enquanto um domínio diferente aparece no interior, no cabeçalho Host do HTTP. O censor vê apenas a fachada. O cabeçalho Host é invisível para o censor, mas visível para o CDN que recebe o pedido, que o lê e encaminha a conexão ao destino real. Bloquear o tráfego significaria bloquear um site comum e movimentado junto com todos os seus usuários legítimos. O meek transforma essa ideia em ponte. O cliente embrulha pedaços do tráfego Tor em pedidos POST HTTP e os empurra por um CDN com fronting até uma ponte que executa o meek-server, onde um identificador de sessão remonta o fluxo; quando nada está pendente, o cliente segue enviando sondas vazias para que a conexão não silencie. No projeto original, esses pedidos chegavam a ser conduzidos por um motor de navegador real, e por isso o estudo pôde dizer do tráfego resultante que ele parece um navegador, porque é um navegador.2018: as portas da frente se fecham
O esquema inteiro dependia de os provedores de nuvem tolerarem a divergência entre as duas camadas, e em 2018 eles pararam. Segundo o relato da Signal, a Google deu 30 dias de aviso encerrando o suporte ao domain fronting depois que a Signal usou o fronting do App Engine para alcançar usuários no Irã, que a própria leitura da Google da lei de sanções americana já havia deixado sem acesso. Semanas depois, em 27 de abril de 2018, a Amazon escreveu à Signal avisando que não havia permissão para usar o domínio Souq.com como fachada, ameaçou suspender a conta CloudFront e introduziu as Enhanced Domain Protections, que encerraram o fronting em todo o CDN. O Tor Project relatou no mesmo mês que ambas as empresas estavam cortando o suporte e que o meek havia se tornado inutilizável em suas redes; a Access Now contou cerca de uma dúzia de ferramentas de direitos humanos afetadas, Signal e Telegram incluídas. A conclusão da Signal foi crua: o domain fronting como técnica de contorno de censura havia se tornado amplamente inviável, e sua observação final capturou por que os cortes não custaram nada aos censores."...não tiveram de fazer nada além de esperar." - Signal, maio de 2018
Por que o meek-azure sobreviveu
Um provedor não aderiu à retirada. O Tor Project observou na época que a nuvem Azure da Microsoft ainda permitia o domain fronting, e o estudo de 2015 já tinha observado uma razão estrutural: o CDN do Azure só encaminha pedidos a domínios afiliados ao Azure, enquanto o CloudFront da Amazon encaminhava para quase qualquer lugar. A implantação do meek no Azure fica inteiramente dentro desse perímetro, com seu ponto de extremidade hospedado no próprio CDN do Azure atrás de um domínio frontal controlado pela Microsoft, de modo que o pedido nunca cruza entre empresas sem relação. Depois que Google e Amazon deixaram de permitir que o nome visível e o destino real divergissem, essa tolerância interna bastou. O Tor Project advertia desde o início que não recebera aviso prévio dos outros cortes e que a política do Azure também podia mudar, uma ressalva que acompanha o meek-azure desde então.O preço de se esconder em plena vista
As propriedades que tornam o meek difícil de bloquear também o tornam lento e caro. O salto extra de CDN e o desenho orientado a pedidos cortaram as velocidades de download medidas por um fator de dois a três no estudo de 2015, e a orientação atual de suporte do Tor é ainda mais direta: o meek tem uma limitação de banda, então a opção será bem lenta. Dinheiro é a outra restrição. Alguém paga as taxas de saída do CDN por cada byte que uma ponte meek move, e a fatura da implantação original somou 565 dólares no Azure, 3.292 no Google App Engine e 3.793 no CloudFront ao longo do estudo. Os pesquisadores também avisaram que um adversário podia inflar essa fatura à vontade, o problema de negação de serviço financeira demonstrado quando o Great Cannon impôs a seus alvos dezenas de milhares de dólares em custos de banda em sua hospedagem na nuvem.Quando o meek é a escolha certa
Para a maioria dos usuários censurados, o meek é um reserva, não a primeira escolha. A orientação atual do Tor para a China sugere primeiro o WebTunnel e lista meek e Snowflake como reservas caso ele falhe. As opções principais fazem cada uma uma troca diferente:- obfs4 embaralha o tráfego e é rápido e gratuito, mas cada ponte é um servidor individual cujo endereço pode vazar ou ser varrido.
- Snowflake pede proxies efêmeros emprestados de voluntários, fácil de escalar, mas de velocidade variável.
- WebTunnel faz o Tor parecer uma conexão HTTPS comum a um servidor web sem precisar da cooperação de um gigante do CDN.
- meek se esconde atrás de um dos domínios mais movimentados da web e sobrevive às listas brancas mais rígidas, em baixa velocidade.