Анонимность и обход сетевых блокировок: инфраструктура Tor, альтернативный DNS и автономные mesh-сети

Принципы работы и архитектура сети Tor

Сеть Tor построена на технологии луковичной маршрутизации, созданной еще в 1995 году. Данные пользователя передаются через цепочку из трех случайных узлов, где каждый последующий узел расшифровывает свой слой заголовков, скрывая конечный адрес запроса от входного узла и исходный IP-адрес пользователя — от целевого веб-сервера. Помимо доступа к блокируемым ресурсам, сеть обеспечивает хостинг скрытых сайтов в псевдо-доменной зоне .onion без раскрытия их физического местоположения.

По состоянию на 2015 год пропускную способность сети обеспечивали около 6000 маршрутизаторов-узлов, распределенных по миру и управляемых добровольцами без специализированного оборудования. Скорость сети напрямую ограничена пропускной способностью этих узлов. При использовании P2P-сетей важно учитывать технический нюанс: открытие страниц трекеров через браузер Tor не направляет трафик торрент-клиента через анонимную сеть автоматически — без специальной настройки прокси в самом клиенте загрузка файлов ведется напрямую через открытый IP пользователя.

Государственный контроль, финансирование и уязвимости

Практика показывает, что изолированность децентрализованных систем условна:

• Взлом узлов и деанонимизация: В 2014 году исследователи Университета Карнеги-Меллон в рамках проекта, субсидированного Министерством обороны США, провели многомесячную атаку на узлы сети Tor. Выявленные уязвимости позволили определить реальные IP-адреса пользователей и передать их агентам ФБР в рамках судебных дел за вознаграждение порядка 1 миллиона долларов.
• Финансирование разработки: Некоммерческая организация The Tor Project в значительной степени финансируется из федерального бюджета США. В 2013 году объем американских правительственных грантов на проект достиг 1,82 млн долларов (включая 882,3 тыс. долларов от Госдепартамента, 830,3 тыс. от Министерства обороны, а также средства Национального научного фонда и USAID), что превысило 60% всего годового бюджета сети.

Инструменты маршрутизации и обход систем анализа трафика (DPI)

Для ограничения доступа провайдеры используют системы глубокого анализа пакетов (DPI, Deep Packet Inspection) в пассивном или активном исполнении, а также межсетевые экраны нового поколения (NGFW):

• Утилиты обхода DPI: Программы GoodbyeDPI и ReQrypt позволяют обходить провайдерские фильтры пакетов на пользовательском оборудовании автономно, без пропуска основного трафика через сторонние удаленные серверы.
• Прозрачное проксирование трафика: Программа SelekTor (доступная для ОС Windows и Linux) обеспечивает прозрачное перенаправление всех потоков операционной системы через Tor. Инструмент исключает необходимость настраивать отдельные клиенты и позволяет маршрутизировать трафик через выходные узлы конкретных стран на основе встроенной базы GeoIP.
• Интегрированные VPN-решения: Сервис ProtonVPN, разработанный на базе решений институтов CERN и MIT, использует шифрование AES-256 с 2048-битным RSA, защиту от утечек DNS и поддерживает прямую маршрутизацию трафика в сеть Tor по протоколу OpenVPN.

Альтернативное разрешение доменных имен: проект OpenNIC

В ситуациях, когда государственные органы принудительно разделегируют доменные имена в стандартных зонах, применяется распределенная сеть альтернативных DNS-серверов OpenNIC. Данная система поддерживает независимые зоны, отсутствующие в централизованном реестре ICANN: .lib, .bbs, .chan, .dyn, .fur, .geek, .gopher, .indy, .libre, .neo, .null, .o, .oss, .oz, .parody, .pirate.

Для прямого подключения к заблокированным ресурсам, зарегистрированным в этих зонах (например, rutracker.lib), пользователю достаточно прописать в сетевых настройках публичные IP-адреса DNS-серверов OpenNIC (в частности, 193.183.98.66, 51.254.25.115, 185.121.170.176 или 89.18.27.167).

Оверлейные технологии и автономные ячеистые (Mesh) сети

В условиях риска полной изоляции национального сегмента или отключения базовых станций операторов связи развиваются децентрализованные протоколы передачи данных:

• Сеть TON Sites: Оверлейная сеть Telegram Open Network, работающая внутри Интернета без использования привычных связок IPv4/IPv6 и TCP/IP. Ресурсы идентифицируются ADNL-адресами, запросы обрабатываются протоколом RLDP через шлюзы-прокси (HTTP-RLDP на клиентской машине и обратный RLDP-HTTP на стороне сервера), что снимает необходимость в инфраструктуре центров сертификации HTTPS.
• Mycelium Mesh Project: Проект построения полностью независимой ячеистой беспроводной топологии на случай отключения электричества или центрального интернета. Сеть функционирует по принципу P2P: каждое подключенное устройство выступает в качестве ретранслятора. В ходе тестов компактные приемопередатчики стоимостью в несколько десятков долларов с питанием от аккумуляторов одноразовых электронных сигарет обеспечили обмен текстовыми данными между смартфонами и ПК на расстояниях до 42 километров.