Свободный Казахстан начал gov MITM-атаки (что нас может ждать в скором времени в РФ)

[sporaw]

https://bugzilla.mozilla.org/show_bug.cgi?id=1567114

Comments

[mnogo_hodovka]

Интересно, OpenVPN со статическими ключами (secret static.key) в Казахстане сейчас дропают на DPI?

[ico]

на хабре недавно был цикл статей, как некие товарищи пытались пробивать китайский fw и какие глюки они там словили. их openvpn там проработал сутки, потом был заблочен.

upd: я бы подумал на тему ssl с моими сертификатами over их ssl с их сертификатами

[sporaw]

Достаточно обернуть во что-то и в Китае все прекрасно работает.
Да и прямые вроде тоже.

[apmx]

У меня в Китае OVPN работал странно - иногда часами висел без проблем, иногда дропался, иногда скорость падала до 50kbps. Все менялось в зависимости от города, wifi или LTE, иногда просто вдруг само по себе.Вообщем, впечатление было ужасное, работать невозможно.

[sporaw]

Там в целом так интернет работает. Возможно, все, кроме китай-нета.

[apmx]

У меня ощущение складывалось, что их фильтрация именно на OVPN траффик так реагировала, прямой browsing в места, не запрещенные цензурой, работал боле-мене...

[sporaw]

Вы просто не создавали постоянную нагрузку. Т.е. открыть страничку, пусть даже весом 10-20-30 мб, это не то же самое, что грузить контент какое-то время. У меня вот сложилось впечатление как я описал. Все, что не китай-нет - работает с рандомным качеством от "очень быстро" до "вяло-текуще" или "никак вообще".

[apmx]

Так я через VPN ничего не качал особенного, никакую особую нагрузку не создавал. Так же открывал странички, часто те же самые. Разница была только в обвеске и шифрации пакетов, все остальное было как и при обычном открывании страниц.

[sporaw]

Искал другое, случайно нашел такую фразу: "OpenVPN не работает в Китае, используйте PPTP или L2TP". Возможно, именно OVPN они реально отфильтровывают жестко. И я что-то припоминаю, что именно с OVPN реально были серьезные проблемы вообще (т.е. вот не работало вообще на разных стадиях).

[apmx]

Спасибо, а я ступил, надо было сразу гуглить.

[sporaw]

За достоверность не ручаюсь, просто вспомнил про этот наш диалог, когда фразу увидел.

[apmx]

Там 5 минут гугления всю ситуацию проясняет, так что ступил однозначно :)
Дело было лет 5 назад, но, уверен, не я первый на это напоролся.

[mnogo_hodovka]

> ssl с моими сертификатами over их ssl с их сертификатами

Не вариант. Могут сделать рекурсивный MitM. Лучше тотальная обфускация, пусть и с сохранением хэндшэйка OpenVPN.

[ico]

Могут сделать вообще что угодно, но на рекурсию нужны допресурсы.

[mnogo_hodovka]

Там по подозрительной активности назначается полуавтомачтическая проверка к ресурсу, на предмет "а не сервер VPN ли это?"
Если сервер VPN пускает проверяльщиков, он вносится в стоплист.