Blocking of public relays in Belarus, 2016-12-01
Direct users decreased from 5,500 to 3,000 over a few days starting on November 30 or December 1. Bridge users simultaneously increased, from 250 to 2,000.
OONI blog post: urandom.pcap: Belarus (finally) bans Tor:
- Tor directory authorities are not blocked
- Public onion routers have their ORPort blocked by TCP RST injection
- The onion routers’ DirPort is not blocked
- Plain-old non-obfuscated Tor Bridges from BridgeDB circumvent the interference
- Beltelecom (or its upstream) has strange configuration of the networking gear injecting reset packets
Activity
Post, in Russian (geektimes.ru): В Беларуси начались блокировки Tor
Похоже, на данный момент в Беларуси заблокирован доступ к публичным узлам Tor; сервисы по-прежнему доступны при использовании мостов (bridges). Вместе с использованием мостов рекомендуется обфусцировать трафик с помощью obfs4proxy, чтобы скрыть использование Tor от провайдера. Translated: It seems that at the moment in Belarus blocked access to public Tor nodes; services are still available using the bridges (bridges). Together with bridges is recommended to obfuscate traffic with obfs4proxy , use Tor to hide from the provider.
Tor had been ordered blocked way back in February 2015: https://meduza.io/en/news/2015/02/25/belarus-bans-tor.
42.tut.by, 2016-12-05: В Беларуси начали блокировку анонимного доступа в интернет
По информации 42.TUT.BY от осведомленного источника, IP-адреса ряда прокси-серверов Tor на данный момент действительно попали в черный список БелГИЭ. Теперь операторы связи должны их заблокировать.
Мы протестировали, и у нас получилось даже с настройками по умолчанию выйти на запрещенные сайты с помощью браузера Tor (по состоянию на 5 декабря).
Но даже после блокировки ряда прокси-серверов продвинутым пользователям не составит труда перенастроить анонимный доступ в Сеть. Хороший пример — возможность обойти знаменитый «Великий китайский фаерволл» («Золотой щит») с помощью Tor у продвинутых китайских пользователей. Translated: According to information from 42.TUT.BY informed source, the IP-addresses of a number of Tor proxy servers at the moment really hit the blacklist BelGIE. Now operators have to block them.
We tested and we've got even with the default settings to enter the prohibited sites through Tor Browser (on December 5).
But even after the lock of a number of proxy servers for advanced users will not be difficult to reconfigure the anonymous access to the network. A good example - the ability to bypass the famous "Great Chinese firewall" ( "Golden Shield") with Tor have advanced Chinese users.
42.tut.by, 2016-12-06: "Великий белорусский файервол": как и зачем у нас блокируют анонимный доступ к интернету
Что вообще заблокировали? IP-адреса серверов Tor попали в «Список средств обеспечения анонимности», который ведет БелГИЭ (государственная инспекция Республики Беларусь по электросвязи).
Пока у большинства белорусских пользователей сервисы Tor работают. Однако по закону провайдеры обязаны блокировать их после попадания в список. Некоторые белорусы уже сообщают о сложностях с анонимным подключением к интернету.
Сейчас перечень включает более 17 тысяч IP-адресов. Правда, публичный список IP-адресов серверов Tor намного меньше — в нем всего 1500 пунктов. Пока неясно, к каким именно сервисам относятся остальные адреса.
Блокировку можно обойти?
Белорусские пользователи уже начали это делать. У технологии Tor есть «запасной вариант» на случай блокировок — «мосты» (bridges). Это скрытые входные узлы в систему. Заблокировать их намного сложнее, так как их списки не публикуются, IP-адреса можно узнать только вручную.
А в других странах так делают?
В Китае — да. Также попытки заблокировать Tor предпринимали правительства Ирана, Нигерии, Эфиопии и Казахстана.
Белорусская инициатива в чем-то напоминает проект «Великий китайский файервол», известный как «Золотой щит». В КНР заблокированы IP-адреса серверов Tor, также работает система отслеживания трафика, которая блокирует работу «мостов».
Правда, в Китае интернет намного более закрытый, чем в Беларуси: там заблокировано большинство сервисов Google, зарубежные соцсети и СМИ. Также в КНР фильтруют страницы по определенным словам (например, «контрреволюционный»). Фильтрации подвергаются как сайты, так и контент в социальных сетях. Translated: What generally blocked?
IP-addresses of Tor servers are in "List of resources to ensure anonymity" that leads BelGIE (State Inspection of the Republic of Belarus on Telecommunications).
While the majority of Belarusian Tor users work. However, according to the law providers are obliged to block them after being hit in the list. Some Belarusians have reported difficulties with the anonymous Internet connection.
Now the list includes more than 17,000 IP-addresses. However, a public list of Tor servers, IP-addresses are much less - it has only 1500 points. It is unclear to what exactly the services are other addresses.
The lock can be circumvented?
Belarusian users have already begun to do so. At Tor technology is a "fallback" in case of locks - "Bridges» (bridges). This hidden input nodes in the system. Block them much more difficult, because their lists are not published, one can only know the IP-address manually.
And in the other countries are doing?
In China - yes. Also, attempts to block Tor undertaken by the Government of Iran, Nigeria, Ethiopia and Kazakhstan.
Belarusian initiative is somewhat reminiscent of the project "Great Chinese firewall", known as the "Golden Shield". In China blocked the IP-addresses of Tor servers is also a traffic tracking system, which blocks the "bridges".
However, in China, the Internet is much more closed than in Belarus: they blocked the majority of Google services, social networks and foreign media. Also in China pages filtered by certain words (such as "counter-revolutionary"). Filtration exposed as the sites and content on social networks.
OONI has a blog post with some technical details:
https://ooni.torproject.org/post/belarus-fries-onion/
- Tor directory authorities are not blocked
- Public onion routers have their ORPort blocked by TCP RST injection
- The onion routers’ DirPort is not blocked
- Plain-old non-obfuscated Tor Bridges from BridgeDB circumvent the interference
- Beltelecom (or its upstream) has strange configuration of the networking gear injecting reset packets
The blocking of public relays is being done by RST injection. Strangely, there are two injected RSTs, but the first one has zero for its SEQ and ACK numbers, which would cause it to be ignored.
Trac:
Description: Direct users decreased from 5,500 to 3,000 over a few days starting on November 30 or December 1. Bridge users simultaneously increased, from 250 to 2,000.to
Direct users decreased from 5,500 to 3,000 over a few days starting on November 30 or December 1. Bridge users simultaneously increased, from 250 to 2,000.
OONI blog post: urandom.pcap: Belarus (finally) bans Tor:
- Tor directory authorities are not blocked
- Public onion routers have their ORPort blocked by TCP RST injection
- The onion routers’ DirPort is not blocked
- Plain-old non-obfuscated Tor Bridges from BridgeDB circumvent the interference
- Beltelecom (or its upstream) has strange configuration of the networking gear injecting reset packets
