Snowflake: Torův most dobrovolníků a prohlížečů

What Snowflake is

Snowflake je zásuvný transport pro síť Tor. Zásuvný transport maskuje provoz Tor tak, aby vypadal jako něco jiného, ​​takže země blokující rozpoznatelný tvar podání ruky Tor nemohou snadno blokovat maskovaný provoz. Snowflake maskuje Tor jako běžný provoz videohovorů WebRTC, stejný protokol, který pohání Zoom, Google Meet a jakoukoli videokonferenční aplikaci založenou na prohlížeči.

Systém má tři role:

• Klient (uživatel Tor v cenzurované zemi) chce dosáhnout Tor. zablokováno.
• Makléř spojuje klienty s dobrovolnými proxy.
• Proxy (dobrovolník provozující rozšíření prohlížeče Snowflake nebo samostatný program ve svobodné zemi) přijímá šifrovaná připojení WebRTC od klientů a předává je do přenosu Tor1XXPLXX.XPLXXPL1 z pohledu cenzora se zdá, že uživatel provádí běžný videohovor typu peer-to-peer. Z pohledu uživatele jsou připojeni k Tor.

  Jak to ve skutečnosti funguje

  1. Klientův plugin Snowflake požádá makléře o dostupný proxy.
  2. Makléř najde dobrovolný proxy, který právě běží a chce se vrátit28XXPLZXWebRTC signalizační info).
  3. Klient používá standardní techniky WebRTC NAT-Traversal (STUN, ICE) k navázání přímého UDP připojení k dobrovolnému proxy serveru.
  4. Dobrovolný proxy přijímá šifrovaná data Tor přes připojení WebRTC a předává je Tor entry relay přes relé uživatele Tor. traffic.

  Klíčový poznatek: Připojení WebRTC je na moderním internetu všude. Každý prohlížeč je podporuje. Každý NAT traversal trik je dobře srozumitelný a široce nasazený. Blokování všech WebRTC by zlomilo Zoom, Google Meet, Discord a nespočet webových aplikací. Cenzoři to nechtějí dělat, takže převlek Snowflake je skutečně účinný.

  Dobrovolnická strana

  Kdokoli ve svobodné zemi se může stát proxy serverem Snowflake s minimálním úsilím:

  • Browser – instalace, rozšíření prohlížeče Firefox, Chrome, klikněte na tlačítko E, Chrome a rozšíření ChromeXPLZ4 přepnete, váš prohlížeč spustí proxy.
  • Vložené odznaky na webových stránkách – jednořádkový skript, který změní každého návštěvníka stránky na dočasného proxy, když je na stránce. Několik zpravodajských webů podporujících svobodu tisku je vkládá.
  • Samostatný program příkazového řádku pro provoz vyhrazeného proxy.
  • Dockerový kontejner pro běh na serveru.
  X portciální předávání, nevyžaduje Snowstatické předávání serveru IP nebo jakákoli konfigurace routeru. To vše zvládá NAT-traversal WebRTC. Toto je vlastnost, která v roce 2024 škálovala Snowflake na zhruba 140 000 unikátních IP proxy současně – mnohem více, než kdy bylo dosaženo manuální konfigurace tradičních Tor bridge. cenzura. Příručky v perštině vysvětlující, jak nainstalovat Tor Browser se Snowflake šířeným na sociálních sítích a prostřednictvím šifrovaných aplikací pro zasílání zpráv. Účast dobrovolníků ve svobodných zemích vzrostla.

  Podobné skoky ve využívání následovaly v Rusku (po invazi na Ukrajinu v roce 2022, kdy ruská vláda zablokovala desítky webových stránek) a Bělorusku (během politického zásahu v letech 2020–2021).

  By metrics4, Tor Project 2024 zobrazeno:

  • ~140 000 unikátních proxy IPs aktivních současně.
  • ~35 000 denních uživatelů připojení přes Snowflake.XPLZ80 za denX TB provozuX2PLZ812XX TB8 relayed.

  Jak se to cenzoři snaží blokovat

  Otisky prstů prohlížeče

  Sofistikovaní cenzoři někdy dokážou identifikovat provoz WebRTC maskovaný sněhovou vločkou podle jemných prvků, které neodpovídají běžným vzorům videohovorů. Zmírněním dopadů je naprostý počet dobrovolníků – i když jsou některé otisky prstů označeny, zablokování všech se stává problémem s pohyblivým cílem.

  Blokování brokera

  Blokátor (provozovaný projektem Tor) je centralizovaným škrticím bodem. Snowflake používá domain fronting k maskování zprostředkovatelských připojení – požadavek se zdá být do hlavní domény CDN (Cloudflare, Azure, Fastly), ale směruje se interně k zprostředkovateli. Zablokování brokera znamená zablokování celého CDN, což většina zemí není ochotna udělat kvůli vedlejším škodám.

  Tato rovnováha se postupem času naklonila. Poskytovatelé cloudu pravidelně deaktivovali fronting domény ve svých sítích (Google v roce 2018, AWS v roce 2018), což nutí Snowflake k migraci mezi poskytovateli. Závody ve zbrojení pokračují.

  Úplné odpojení od internetu

  Nejúčinnější cenzurou je právě vypnutí internetu. Írán to dělal několik dní během roku 2022. Odhady uvádějí náklady íránského hospodářství na 37 milionů USD za den. Tato možnost je vyhrazena pro mimořádné okolnosti a není udržitelná jako rutinní nástroj cenzury.

  Právní vystavení pro dobrovolné proxy

  Toto je jedna z výher tichého designu Snowflake. Dobrovolné proxy servery Snowflake slouží pouze jako uzly entry – předávají provoz into Tor, nikoli mimo něj. Výstupní uzly (které dešifrují provoz Tor a odesílají ho do skutečného cíle) nesou většinu právního rizika spojeného s přenosem, protože výstupní IP adresy jsou obviňovány z čehokoli, co přenos předá. Pouze předává zašifrované bajty Tor do vstupního relé Tor. Operátor proxy nemá žádný způsob, jak zjistit, jaký obsah je přenášen.

  To znamená: v zemích jako Rusko, Írán a Čína, které kriminalizovaly samotný Tor, může být provozování jakékoli infrastruktury související s Tor právně riskantní. Sněhová vločka je pro dobrovolníky ve svobodných zemích nejbezpečnější.

  Sněhová vločka vs jiné zásuvné transporty

  • obfs4 — maskuje Tor jako náhodné bajty. Efektivní, když cenzoři nedokážou otiskovat náhodné vzory, ale neustálé závody ve zbrojení v poslední době snížily spolehlivost v silně cenzurovaných sítích.
  • meek-azure / meek-google – tuneluje Tor přes HTTPS do hlavní domény CDN. Efektivní, ale pomalé, drahé (CDN účtuje šířku pásma) a zranitelné vůči změnám zásad CDN.
  • Snowflake — používá WebRTC a dobrovolné proxy. Přirozeně se škáluje, je těžké jej zablokovat bez přerušení nesouvisejících služeb, má nízkou latenci a je zdarma pro Tor Project i uživatele.

  V roce 2026 je Snowflake nejvíce doporučovaným zásuvným přenosem pro uživatele v silně cenzurovaných sítích. obfs4 zůstává záložním řešením pro situace, kdy je blokován samotný WebRTC.

  Historie

  Snowflake vytvořil Serene, bývalý inženýr Google (a koncertní pianista), který prototyp poprvé publikoval v lednu 2016. Podpora rozšíření prohlížeče dorazila v roce 2019. Výrazně upgradovaná verze

  nowstora,
  nowstora napsaný v Rustu a financovaný Open Tech Fund, vstoupil do beta testování v únoru 2023.

  Systém je spojen s Tor Browser a Android Tor klientem Orbot, takže je přístupný uživatelům, kteří si nemohou sestavit své vlastní nástroje pro obcházení. Pro většinu lidí je instalace Tor Browser a výběr „sněhové vločky“ v konfiguraci mostu celým uživatelským nastavením.

  Jak se dobrovolně přihlásit

  1. Navštívit snowflake.torproject.org z prohlížeče Firefox, Chrome, Brave nebo Edge X pro instalaci rozšíření.
  2. Klikněte na ikonu rozšíření a zapněte ji.
  3. Nechte prohlížeč spuštěný. Rozšíření proxy využívá na pozadí okolní šířku pásma.

  Vliv na šířku pásma je skutečný, ale obvykle mírný. Uživatelé s měřeným připojením by si měli být vědomi; uživatelé s neomezeným domácím širokopásmovým připojením si toho obecně nevšimnou. Ambicióznějším dobrovolníkům poskytuje provoz samostatného programu na malém VPS dostupnost 24/7.