グレート・ファイアウォール

概要

GFWはIPアドレスがルーティングされないことでコンテンツをブロックする。ファイアーウォールとプロキシーサーバーで構成されている。また、特定のサイトがリクエストされた際にDNSスプーフィングをブラックリスト方式で行う事ができる上、政府が体系的にインターネット検閲に関与していないように回線故障に見せかける 。カリフォルニア大学およびニューメキシコ大学の研究者は、禁止されたコンテンツがブロックされずに複数のルーターまたはシステム全体を通過できる場合があるため、検閲システムは本当のファイアーウォールではないと述べた。検閲に一般的に使用されるいくつかの技術の詳細は以下のとおり。

IP範囲ブロック ブラックホール

GFW はあるIP範囲リストを保持し、定期的にメンテナンスしている。この範囲にあるIPアドレス宛のトラフィックパケットは発信者に通知することなく廃棄される（ブラックホール化）。 プロバイダーによってパケット廃棄の表現は差異が見られるが、共通するのはMPLSノードを通過するとパケットがドロップされることである。これは、中国国内のバックボーンで集中的に運用されている。このブロックリストはLDPを使用してメンテされる可能性が高いことが示唆されている。

このIP範囲ブロックリストは Facebook、Twitter や Dropbox ASNなどサイトが含まれている。膨大の量でかつ日々更新が必要なブロックリストを維持することの複雑さと、CDNを使用するインターネットサービスには対処しにくいことが証明されているため、通常は最後の手段として使用され、他のブロッキング方法が優先的に使用される。（QoSに基づくブロッキングなど）。

IPアドレスによる封鎖はVPN以外の回避手段が殆どなく、一番レベルが高い封鎖手段であり、中国にとって余程の都合が悪いサイトに限って使用されると考えられている。

DNSスプーフィング, フィルタリングとリダイレクト

GFWの一部である詐欺DNSサーバーはDNSハイジャックで間違ったIPアドレスを返す 。

いくつかの研究はこのフィルタリングはキーワードに基づくものと示した。

検閲システムはおそらく2つのリストを維持している：禁止するドメイン名のブラックリストと、許可するドメイン名のホワイトリスト。 ワイルドカード"${\displaystyle *}$"を使用する可能性もある。

禁止されているWebサイトの例には、「greatfire.org」または「*falungong*」、ホワイトリストに登録されたWebサイトの例には「developer.android.google.cn」がある。キーワードブラックリスト/ホワイトリストは複数の中国インターネットプロバイターで共有しされて、集権的に管理されていると考えられている。

外国のDNSサーバー（Google Public DNS / 8.8.8.8 など）は中国国内で正しく機能しているが、これらのDNSサーバーもハイジャックの対象となる。すべてのDNSリクエストはDNSサーバーに到達するが、要求が禁止キーワードに一致すると、GFWは偽のDNS応答を入れて、正確なDNSサーバーが応答する前に誤った応答を行う。

2015年から、ブラックホールの範囲内でブロックされるドメインへのアクセスリクエストはランダムのIPアドレスが返される

典型的な回避方法はHosts ファイルを修正する、Webブラウザーでドメイン名の代わりにIPアドレスを入力する、DNS over TLS / HTTPSを使用などがある。

透過プロキシによるURLフィルタリング

GFWでは、Webトラフィックをフィルタリングする透過プロキシーが作動している。これらのプロキシーは、リクエストされたURI、 "Host"ヘッダー、およびWebページのコンテンツ（HTTPリクエスト、またはServer Name Indication HTTPSリクエストの場合）をスキャンしてキーワードを探す。

HTTPリクエストのPOSTデータを検閲できない、不正なHTTPリクエストを検閲できないなど、これらのプロキシーに複数の制限があることが調査により判明している。

また、webSocketのような新しいプロトコルも同様である。

DNSフィルタリングと類似、この方法もキーワードに基づいて作動している。封鎖キーワードはずっと同じものではなく、2019年では、透過プロキシーを使って wikipedia.org へのアクセスはブロックされた。

サーバー名表示の暗号化はこのフィルタリング方法をするためにも使用でき、 IETFによって現在開発中である。

QoSフィルタリング

2012年以降、GFWは機械学習を使用して、トラフィックの特徴に基づいて「学習・フィルタリング・ブロック」することが可能となった。

この技術は最初からVPNをブロックするために開発されたもので、すでにGFWのシステムの標準機能の一部になっている。GFWが持つ全部のトラフィック分析用ユニットをミラーリングで機能する（ネットワークタップを使用）。分析ユニットは、各宛先IP毎に、接続がどれくらい疑わしいかを表す点数に算出している。この点数によって、パケットを廃棄したり、接続を遅くしたりする。トラフィックを極端に遅くすることにより、クライアント側でタイムアウトになるため、効果的にブロックすることができる。

GFWの分析システムは、サイドチャネル（パケットのサイズなど）を使用して、接続が疑わしいかどうかを推定していると考えられている。トラフィックパターン（SSHトンネリング、VPN、Torなどのプロトコル）を検出し、暗号化されたトラフィック（SSLトンネルを介したHTTPSなど）のパケットの情報量を測定することができる。

このシステムは機能するために人間の操作を必要とせず、DNSフィルタリングおよびプロキシーシステムとは完全に分離されている。

パケット偽装とTCPリセット攻撃

このブロッキングに遭遇した時、ウェブサイトが読み込み始めには見えるのに、すぐに「接続がリセットされました」などのエラーに変わる。

GFWは、パケット偽装を使ってTCP送信を任意に終了させることができる。ブロッキングはTCPリセット攻撃を使って行う。この攻撃はTCP要求もTCP応答もブロックしないが、悪意のあるTCP RSTパケットをリクエスト元に送信し、接続の終わりをシミュレートする。サイドチャネル分析は、TCPリセットがQoSフィルタリングルーターと共存、または共有されている構造から来ているようである。

この構造はスコアリングシステムを更新し、以前のTCP接続がフィルタによってブロックされている場合、両側からの将来の接続試行も短期間（最大数時間）ブロックされる可能性がある。効率的な回避方法は、ファイアーウォールによって送信されたリセットパケットを無視することである。これを目的としたFreeBSD用のパッチが開発された。

TLS経由の中間者攻撃

中国のサイバーセキュリティ法によって、理論上中国の政府機関は中国の任意の認証局にルート証明書を請求し使用することができる。例えばCNNICのようにMITM攻撃を仕掛けられる。法律が制定される前の過去10年間にも、複数の事件が発生した。

• 2013年1月26日、GFWによりGitHub SSL証明書が中国のセルフ署名証明書に置き換えられた。
• 2014年10月20日、中国のiCloud SSL証明書がセルフ署名証明書に置き換えられた 。中国政府がAppleデバイスの脆弱性を発見し、それを悪用していたと考えられている。
• 2015年3月20日、GoogleはCNNICが作成したエジプトで署名したGoogleの有効な証明書を検出した。

これらのことを受け、CNNIC証明書は一部のブラウザーで削除された。実証された不正がある証明書のみが削除されるので、他の中国の認証局がWebブラウザーから削除されたことはなく、その後追加されたものもある。

この種の攻撃は、Certificate Transparency（証明書の透明性）を実装するWebサイトによって回避されることがある。

主動探測

上記技術はすべて防御性的にアクセスを遮断を実現する方法であるが、これはGFWが主動的に特定のサーバーへアクセスし、GFW回避するためのソフトウェアーが作動しているかどうかを探知する。

IPブロッキング、特にTLS/SSLおよびTorのブロッキングを容易にするために、中国国内の未知のエンティティから米国内のコンピュータへの故意なTCP/IP接続したことも報告されている。

ハードウェア構成

GFWは分散型侵入検知システム、数百台の曙光4000Lのスーパーコンピュータ（価格は約2000万から3000万人民元）によって構成されている。GFWは曙光4000Lのメインの供給先は、研究者、クライアント、株主、共同開発者である。

• GFW（北京）384ノード、その中24個サービスとデータベースノード、360個の計算ノード、16台の曙光4000L、OSはRed Hatシリーズ（7.2、7.3、AS 4）を使用。
• GFW（上海）128ノード、Beowulfを使用
• GFW実験室（ハルビン工業大学）64ノード、曙光、Red Hat OSを使用

他には広州、長沙にもGFWが存在している。これらのスーパーコンピュータは100Gbps回線で連結され、計6144ノード、12288個のCPU、12.288TBのRAM、ピーク演算能力は48TFLOPS。計算速度は極めて速く、GFW（北京）の総スループットは512Gbps以上ある。ノードは独立作動できるし、連結計算もできる。中国にある9個のインターネット国際ゲートウェイには全てGFWが配置された。Cisco（シスコ）をはじめ海外のハイテク企業はGFWに大量のハードウェアと技術サポートを提供していた。

2019年6月に米中貿易戦争を受け、アメリカ合衆国商務省産業安全保障局はTOP500ベンダー3位の曙光をはじめとする中国でスーパーコンピュータを開発する5団体への米国製品の輸出をエンティティ・リストによって禁止した。

突破・回避手段

GFWを回避あるいは通過して、禁止または制限しているインターネット上の情報にアクセスする手段があり、中国語で「翻墻」または「破網」と呼ばれる。プロキシー技術、VPNネットワーク、P2P技術、HTTPSとTorを単体または組み合わせて利用したものなど、複数の手法やソフトウェアーが存在している。

しかし、中国当局は検閲回避対抗技術の開発に継続して取り込んでおり、殆どの回避手段（GFW初期では有効だったプロキシーや、一般的に熟知されたVPN）は安定して使えないのが現状である。

VPNに対する検閲技術

2015年1月：一部VPNサービス（L2TP/IPSec、PPTP方式）は中国で正常に動作しなくなる

2018年9月：一般的なVPNサービス（L2TP/IPSec、PPTP方式）への規制、遮断が常態化。

トラフィック暗号化ソフトに対する検閲技術

GFWは暗号化トラフィックパケットを抽出、特徴分析することで、VPNの暗号化トラフィックを正確に識別でき、進んで封鎖を行う。すでにGFWに対する調査で、畳み込みニューラルネットワークを利用してShadowsocksトラフィックに対しての検知ができることが分かった。

IPv6に対する検閲技術

Torに対する検閲技術

インターネット国際通信への間歇性封鎖

ディープ・パケット・インスペクション

サイバー攻撃

インターネットの完全遮断

2009年7月6日から2010年5月13日の約一年の間、2009年ウイグル騒乱の影響により、新疆ウイグル自治区内のインターネットが完全に遮断された。