グレート・ファイアウォール

[Wikipedia|▼Menu]

□記事を途中から表示しています
[最初から表示]

[43]

HTTPリクエストのPOSTデータを検閲できない、不正なHTTPリクエストを検閲できないなど、これらのプロキシーに複数の制限があることが調査により判明している。[44]

また、webSocketのような新しいプロトコルも同様である。

DNSフィルタリングと類似、この方法もキーワードに基づいて作動する。

封鎖キーワードはずっと同じものではない、2019年では、透過プロキシーを使ってwikipedia.orgへのアクセスはブロックされた。

サーバー名表示の暗号化はこのフィルタリング方法をするためにも使用でき、 IETFによって現在開発中である。[45]
QoSフィルタリング

2012年以降、GFWは機械学習を使用して、トラフィックの特徴に基づいて「学習・フィルタリング・ブロック」することができた。[46]

この技術は最初からVPNをブロックするために開発された技術で、すでにGFWのシステムの標準機能の一部になっている。GFWが持つ全部のトラフィック分析用ユニットをミラーリングで機能する（ネットワークタップを使用）。分析ユニットは、各宛先IP毎に、接続がどれくらい疑わしいかを表す点数に算出している。この点数によって、パケットを廃棄したり、接続を遅くしたりする。トラフィックを極端に遅くすることにより、クライアント側でタイムアウトになるため、効果的にブロックすることができる。

GFWの分析システムは、サイドチャネル（パケットのサイズなど）を使用して、接続が疑わしいかどうかを推定していると考えられている [47]。トラフィックパターン（SSHトンネリング、VPN、Torなどのプロトコル）を検出し、暗号化されたトラフィック（SSLトンネルを介したHTTPSなど）のパケットの情報量を測定することができる。

このシステムは機能するために人間の操作を必要とせず、DNSフィルタリングおよびプロキシーシステムとは完全に分離されている。
パケット偽装とTCPリセット攻撃

このブロッキングに遭遇した時、ウェブサイトが読み込み始めには見えるのに、すぐに「接続がリセットされました」などエラーに変わる。

GFWは、パケット偽装を使ってTCP送信を任意に終了させることができる。ブロッキングはTCPリセット攻撃を使って行う。この攻撃はTCP要求もTCP応答もブロックしないが、悪意のあるTCP RSTパケットをリクエスト元に送信し、接続の終わりをシミュレートする。サイドチャネル分析は、TCPリセットがQoSフィルタリングルーターと共存、または共有されている構造から来ているようである [48]。

この構造はスコアリングシステムを更新し、以前のTCP接続がフィルタによってブロックされている場合、両側からの将来の接続試行も短期間（最大数時間）ブロックされる可能性がある。効率的な回避方法は、ファイアーウォールによって送信されたリセットパケットを無視することである [49]。これを目的としたFreeBSD用のパッチが開発された [50]。
TLS経由の中間者攻撃

中国のサイバーセキュリティ法によって、理論上中国の政府機関は中国の任意の認証局にルート証明書を請求と使用することできる。[51]例えばCNNICのようにMITM攻撃を仕掛けられる。法律が制定される前の過去10年間にも、複数の事件が発生した。
2013年1月26日、GFWによりGitHub SSL証明書が中国のセルフ署名証明書に置き換えられた [52]。

2014年10月20日、中国のiCloud SSL証明書がセルフ署名証明書に置き換えられた [53] 。中国政府がAppleデバイスの脆弱性を発見し、それを悪用していたと考えられている [54]。

2015年3月20日、GoogleはCNNICが作成したエジプトで署名したGoogleの有効な証明書を検出した。

これらのことを受け、CNNIC証明書は一部のブラウザーで削除された [55]。実証された不正がある証明書のみが削除されるので、他の中国の認証局がWebブラウザーから削除されたことはなく、その後追加されたものもある。[56]

この種の攻撃は、Certificate Transparency（証明書の透明性）[57]を実装するWebサイトによって回避されることがある。
主動探測上記技術はすべて防御性的にアクセスを遮断を実現する方法ですが、これはGFWが主動的に特定のサーバーへアクセスし、GFW回避するためのソフトウェアーが作動しているかどうかを探知する。[58]

IPブロッキング、特にTLS/SSLおよびTorのブロッキングを容易にするために、中国国内の未知のエンティティから米国内のコンピュータへの故意なTCP/IP接続したことも報告されている。[59]

ハードウェア構成

GFWは分散型侵入検知システム、数百台の曙光4000Lのスーパーコンピュータ（価格は約2000万から3000万人民元）によって構成されている [60]。GFWは曙光4000Lのメインの需要先、研究発起者、クライアント、株主、共同開発者である。

GFW（北京）384ノード、その中24個サービスとデータベースノード、360個の計算ノード、16台の曙光4000L、OSはRed Hatシリーズ（7.2、7.3、AS 4）を使用。

GFW（上海）128ノード、Beowulfを使用

GFW実験室（ハルビン工業大学）64ノード、曙光、Red Hat OSを使用

他には広州、長沙にもGFWが存在している。これらのスーパーコンピュータは100Gbps回線で連結され、計6144ノード、12288個CPU、12288GB RAM、ピーク演算能力48TFLOPS。計算速度は極めて速く、GFW（北京）の総スループットは512Gbpsかそれ以上がある。ノードは独立作動できるし、連結計算もできる。中国にある9個インターネット国際ゲートウェイには全てGFWが配置された。Cisco（シスコ）をはじめ海外のハイテク企業はGFWに大量のハードウェアと技術サポートを提供していた。

この節の加筆が望まれています。

突破・回避手段

GFWを回避あるいは通過して、禁止または制限しているインターネット上の情報にアクセスする手段があり [62]、中国語で「翻墻」または「破網」と呼ばれる。プロキシー技術、VPNネットワーク、P2P技術、HTTPSとTorを単体または組み合わせて利用したものなど、複数の手法やソフトウェアーが存在している。

しかし、中国当局は検閲回避対抗技術の開発に継続して取り込んでおり、殆どの回避手段（GFW初期では有効だったプロキシーや、一般的に熟知されたVPN）は安定して使えないのが現状である。
VPNに対する検閲技術

2015年1月：一部VPNサービス（L2TP/IPSec、PPTP方式）は中国で正常に動作しなくなる

2018年9月：一般的なVPNサービス（L2TP/IPSec、PPTP方式）への規制、遮断が常態化。

Size:68 KB
出典: フリー百科事典『ウィキペディア（Wikipedia）』
担当:undef