📁 🥧 🚴🏾 Telegramm schlägt DPI zurück und sperrt

Telegram testet eine neue Version der Blockierung des Bypass-Maskierungsverkehrs unter normalem TLS (https).

Hintergrund: Versuche, Telegramm zu blockieren, finden in verschiedenen Ländern statt. Die erste Blockierungsoption war einfach: Blockieren Sie IP-Adressen von Telegrammservern.

Das Telegramm bekämpft diesen Angriff erfolgreich genug und ändert regelmäßig die IP-Adresse, über die es verfügbar ist. Dies führt jedoch zu einer langen anfänglichen Verbindung ...

Socken-Proxys wurden etwas später verfügbar, aber das Protokoll impliziert keine Verschlüsselung. Dies ermöglichte es, einfach in den Socken-Tunnel zu schauen und festzustellen, dass sich ein Telegramm darin befand, wodurch die Proxys blockiert wurden.

Die nächste Runde war die Veröffentlichung von MTProto Proxy, einem Telegramm-Proxyserver, der sein MTProto-Protokoll verwendet, aber auch einige Probleme hatte - die Paketgröße ist sehr charakteristisch und spezifisch, und viele DPIs begannen, Telegramm nach dem ersten paketblockierenden Zugriff zu bestimmen.

Die Antwort auf dieses Verhalten war die Einführung einer neuen Version des MTProto-Protokolls - mit einer zufälligen Länge ist es jetzt schwieriger festzustellen, dass sich der Telegrammtunnel vor uns befindet. Ein Teil der DPI begann, den Verkehr als „einen anderen“ Teil zu klassifizieren, lernte jedoch immer noch, ein charakteristisches Muster zu identifizieren, und zwar mit einer gewissen Wahrscheinlichkeit (nicht 100%) Stellen Sie fest, dass der Datenverkehr mit Telegramm zusammenhängt

Jetzt gehen wir zur nächsten Stufe über (es scheint endgültig oder vorfinal zu sein) - der Steganographie .

Steganographie (aus dem Griechischen. Στεγανός „versteckt“ + γράφω „Ich schreibe“; Briefe. „Geheimes Schreiben“) - eine Methode zur Übermittlung oder Speicherung von Informationen unter Berücksichtigung der Vertraulichkeit der Tatsache einer solchen Übertragung (Speicherung).

Mit anderen Worten, Telegramm gibt jetzt vor, regulärer TLS-Verkehr (https) zu sein.

Warum so tun?

Die Antwort liegt an der Oberfläche - derzeit ist der größte Teil des Datenverkehrs TLS (https). Wenn Sie dieses Protokoll verwenden, sieht Ihr Provider oder DPI Folgendes:

Ihre IP
IP Server
Verbindungsdomäne (URL wird nicht angezeigt)

Darüber hinaus wird aktiv an dem letzten Element gearbeitet, um es zu entfernen, und zusätzlich zu zwei IPs gab es nur einen verschlüsselten Tunnel mit unbekanntem Inhalt.

In dieser Situation ziehen alle nicht standardmäßigen Protokolle zusätzliche Aufmerksamkeit auf sich, und die Lösung für dieses Problem ist eine Sache: Wenn Sie wie TLS (https) aussehen, gibt es weniger Fragen.

Technische Umsetzung

Bei Verwendung des neuen Protokolls wird der MTProto-Stream in Standard-HTTPS (die ersten Tunnelverhandlungsnachrichten) eingeschlossen, in denen die Domäne (Fälschung) übertragen wird. Nach Aushandlung des MTProto-Protokolls - Fake-TLS wird nicht verwendet, beginnt der Datenverkehr mit dem üblichen MTProto-Protokoll mit zufälliger Länge (dd-Schlüssel) zu laufen.

Als Referenz: Telegramm verwendet 3 Arten von Schlüsseln für MTProto Proxy:

Normale Schlüssel (leicht durch DPI zu bestimmen)
Die ersten beiden Buchstaben - dd - zufällige Nachrichtenlänge (DPI kann das Protokoll nur anhand der ersten Verbindungsverhandlungspakete bestimmen - es sieht aus wie normales https / TLS)
Die ersten beiden Buchstaben - ee - Fake TLS + zufällige Nachrichtenlänge (DPI kann das Protokoll nicht bestimmen, die erste Nachricht und alle nachfolgenden sehen aus wie HTTPS / TLS)

Wo kann man es versuchen?

Es gibt bereits zwei Proxyserver, die den neuen Standard unterstützen (es gibt noch keinen offiziellen Proxyserver, obwohl vor langer Zeit die Unterstützung für DD-Schlüssel hinzugefügt wurde).

Unterstützung des gefälschten TLS-Proxy-Modus:

Python github.com/alexbers/mtprotoproxy
Erlang github.com/seriyps/mtproto_proxy/tree/fake-tls

Bitte beachten Sie: Zum Zeitpunkt des Schreibens ist die Funktionalität des Artikels - fake tls experimentell, daher müssen Sie Beta- oder Alpha-Versionen der Software verwenden (sowohl Proxys als auch Clients).

Welche Clients unterstützen den neuen Modus?

Beta-Versionen von Telegram Desktop, Telegram iOS und sagen stabile Version auf Android.

Wie versuche ich es?

Zum Beispiel werden wir einen Proxy in Python verwenden:

Proxy installieren:

git clone https://github.com/alexbers/mtprotoproxy.git; cd mtprotoproxy

:
```
python3 mtprotoproxy.py
```

(experimental) — :

tg: tg://proxy?server=8.8.8.8&port=443&secret=7gAAAAAAAAAAAAAAAAAAAABnb29nbGUuY29t (experimental)

— , Fake TLS.

?

Google.com , DPI HTTPS Google.com IP — , , .

! (IP) Google.com

Fake TLS — ?

— HTTPS DPI :

( eSNI).

Fake TLS , , , Google - Google — , , - - Google HTTPS/TLS .

?

, — — ( ). , HTTPS . ? — , .

— + () — , — MTProto.

eSNI ( ) — .

?

, Telegram , https/TLS WebSocket — .

MTProto — , Telegram — .

, — () , .

— 443 ( HTTPS) ( dd ee), ee dd , .

— , eSNI — .

Telegramm schlägt DPI zurück und sperrt - Fake TLS