Meek ve domain fronting: bir CDN'in içine saklanan Tor köprüsü
Tor Browser'daki her köprü türü bir kılık değiştirme alıştırmasıdır, ama meek en iddialı yolu seçer: Tor trafiğini hiç şekillendirmez, onu büyük bir içerik dağıtım ağına giden sıradan HTTPS isteklerinin gövdesi olarak taşır. Altında yatan teknik olan domain fronting bir zamanlar her büyük bulut sağlayıcısında mevcuttu. Tekniğin çıkışından on yıl sonra yalnızca bir sağlayıcıda yaşamaya devam ediyor ve meek-azure kurulumu, menüde hâlâ yer alan bu köprü ailesinin son temsilcisi.
Domain fronting bir Tor bağlantısını nasıl gizler
Domain fronting'in sömürdüğü zaaf, bir TLS el sıkışmasının sansürcüye kullanışlı bir etiket vermesidir: Server Name Indication alanı ziyaret edilen sitenin adını verir. Tekniği sansür aşmanın içine taşıyan David Fifield ve meslektaşlarının 2015 tarihli çalışması, fronting'in bu bağı nasıl kopardığını anlatır. Bir alan adı HTTPS isteğinin dışında görünür, DNS sorgusunda ve TLS el sıkışmasında; bambaşka bir alan adı ise içinde, HTTP Host başlığında görünür. Sansürcü yalnızca cepheyi görür. Host başlığı sansürcüye görünmez ama isteği alan CDN'e görünür; CDN başlığı okur ve bağlantıyı gerçek hedefe iletir. Trafiği engellemek, meşgul, sıradan bir web sitesini meşru tüm kullanıcılarıyla birlikte engellemek anlamına gelirdi. meek bu fikri bir köprüye çevirir. İstemci, Tor trafiğinin parçalarını HTTP POST isteklerine sarar ve bunları fronting yapan bir CDN üzerinden meek-server çalıştıran bir köprüye iter; oturum kimliğinin akışı yeniden birleştirdiği yerde, bekleyen veri yokken istemci bağlantı sessiz kalmasın diye boş yoklamalar göndermeyi sürdürür. Özgün tasarımda bu istekler hatta gerçek bir tarayıcı motoruyla yürütüldü; çalışmanın ortaya çıkan trafik hakkında söyleyebildiği buydu: tarayıcı gibi görünür, çünkü tarayıcıdır.2018: ön kapılar kapanıyor
Tüm plan, bulut sağlayıcılarının iki katman arasındaki uyuşmazlığa göz yummasına dayanıyordu ve 2018'de bunu bıraktılar. Signal'in aktardığına göre Google, Signal App Engine fronting'ini İran'daki kullanıcılara ulaşmak için kullandıktan sonra - onları Google'ın ABD yaptırım mevzuatına kendi yorumu zaten kesmişti - 30 gün süre vererek domain fronting desteğini sonlandırdı. Haftalar sonra, 27 Nisan 2018'de Amazon, Signal'e Souq.com alan adını ön yüz olarak kullanma izni olmadığını bildiren bir mektup yazdı, CloudFront hesabını askıya almakla tehdit etti ve CDN genelinde fronting'e son veren Enhanced Domain Protections'ı devreye aldı. Tor Project aynı ay iki şirketin fişi çektiğini ve meek'in ağları üzerinden kullanılamaz hale geldiğini bildirdi; Access Now, aralarında Signal ve Telegram'ın da bulunduğu yaklaşık bir düzine insan hakları aracının etkilendiğini saydı. Signal'in sonucu çarpıcıydı: sansür aşma tekniği olarak domain fronting büyük ölçüde yaşanmaz hale gelmişti ve kapanışlarının sansürcülere hiçbir şeye mal olmadığını son gözlemi yakalıyordu."...yapacakları tek şey beklemekti." - Signal, Mayıs 2018
meek-azure neden hayatta kaldı
Tek bir sağlayıcı bu geri çekilime katılmadı. Tor Project o sırada Microsoft'un Azure bulutunun domain fronting'e hâlâ izin verdiğini belirtti; 2015 çalışması da yapısal bir nedeni çoktan görmüştü: Azure'un CDN'i istekleri yalnızca Azure'la bağlı alan adlarına iletirken Amazon'un CloudFront'u neredeyse her yere iletebiliyordu. meek'in Azure kurulumu tamamen bu mülkün içinde durur; uç noktası Microsoft tarafından yönetilen bir ön alan adının ardında Azure'un kendi CDN'inde barındırılır, böylece istek hiçbir zaman ilgisiz şirketler arasında geçiş yapmaz. Google ve Amazon görünen ad ile gerçek hedefin ayrışmasına izin vermeyi bıraktığında bu iç tolerans yeterli oldu. Tor Project baştan itibaren diğer kesintiler için önceden haber almadığını ve Azure'un politikasının da değişebileceğini uyardı; bu çekince meek-azure'u o günden beri izliyor.Herkesin gözü önünde saklanmanın bedeli
meek'i engellemesi zor kılan özellikler onu aynı zamanda yavaş ve pahalı kılar. Fazladan CDN atlaması ve istek güdümlü tasarım, 2015 çalışmasında ölçülen indirme hızlarını kabaca iki-üç kat kesti; Tor'un güncel destek yönlendirmesi daha açık sözlü: meek'in bant genişliği sınırı var, bu yüzden seçenek oldukça yavaş olacak. Para diğer kısıt. Bir meek köprüsünün taşıdığı her bayt için biri CDN çıkış ücretleri ödüyor ve özgün kurulumun faturası çalışma boyunca Azure'da 565 dolar, Google App Engine'de 3.292, CloudFront'ta 3.793 dolar tuttu. Araştırmacılar bir rakibin bu faturayı dilediği gibi şişirebileceği de uyarmıştı: Great Cannon, hedeflerinin bulut barındırmalarına on binlerce dolar bant genişliği maliyeti yüklediğinde gösterilen mali hizmet reddi sorunu.meek ne zaman doğru seçimdir
Sansürlü kullanıcıların çoğu için meek bir yedek, ilk tercih değil. Tor'un Çin için güncel rehberi önce WebTunnel'ı öneriyor; başarısız olursa yedek olarak meek ve Snowflake'i listeliyor. Ana akım seçeneklerin her biri farklı bir takas yapıyor:- obfs4 trafiği karıştırır; hızlı ve ücretsizdir ama her köprü, adresi sızabilen veya taranabilen tek bir sunucudur.
- Snowflake gönüllülerden geçici proxy'ler ödünç alır; ölçeklemesi kolay ama hızı değişkendir.
- WebTunnel, bir CDN devinin iş birliğine ihtiyaç duymadan Tor'u bir web sunucusuna giden sıradan bir HTTPS bağlantısına benzetir.
- meek web'in en yoğun alan adlarından birinin ardına saklanır ve en sıkı izin listelerini düşük hız pahasına atlatır.