Как работает DPI: глубокий анализ интернет-трафика

Представьте, что вы отправляете письмо в запечатанном конверте, но почтальон может посмотреть на размер конверта, его форму, время отправки, куда вы его отправили — и по этим признакам понять, что в конверте письмо от юриста, а не от подруги. Он не открывает конверт, но уже знает достаточно, чтобы остановить письмо, если захочет. Примерно так работает Deep Packet Inspection, или DPI — технология, которая анализирует интернет-трафик на уровне, гораздо более глубоком, чем просто адреса отправителя и получателя.

Что такое DPI и почему это имеет значение

Когда вы отправляете данные в интернет, они разбиваются на маленькие куски, называемые пакетами. Каждый пакет содержит две основные части: заголовок (адреса, номера портов, служебная информация) и полезную нагрузку (payload) — собственно данные, которые вы отправляете. Простая фильтрация смотрит только на заголовок: откуда этот пакет, куда он идёт, какой протокол используется. Это примерно как проверить адрес на конверте.

DPI делает шаг дальше. Она смотрит на саму полезную нагрузку пакета — содержимое письма, а не только адрес. Раньше это было практически невозможно, потому что требовало огромных вычислительных мощностей в реальном времени. Но за последние 15 лет технология развилась, и теперь хорошо финансируемые организации (в первую очередь государства) могут анализировать трафик в масштабе национальных интернет-магистралей.

Почему DPI работает даже с зашифрованным трафиком

Здесь нужна важная уточнение: DPI не может просто расшифровать ваши данные, если они действительно защищены сильным шифрованием. Но она может понять много чего другого, даже не читая содержимое.

Представьте переговоры по телефону. Если разговор зашифрован, слушатель не поймёт слова, но заметит паттерны: длина пауз, ритм речи, количество людей говорит, когда кто-то кричит. По этим признакам можно угадать, что это за разговор. Так же работает DPI с интернетом.

Трафик разных приложений имеет узнаваемые паттерны. Когда вы подключаетесь к VPN, вашё устройство сначала установит соединение — обменивается начальными сообщениями, согласует параметры шифрования, проверяет сертификаты. Этот процесс называется handshake (рукопожатие). Каждый протокол имеет свой характерный handshake: размер пакетов, их последовательность, время между ними — всё это отличается. DPI может распознать, что вы используете именно VPN протокол, даже если не может прочитать ни один бит данных внутри.

Кроме того, разные приложения создают разный «трафик по форме». Видеозвонок — это постоянный поток пакетов среднего размера. Загрузка файла — большие пакеты подряд. Просмотр веб-страницы — неравномерный трафик. Анализ этих паттернов называется анализом по метаданным, и он очень эффективен.

Кошки и мышки: как обходят DPI

Когда государства начали блокировать VPN-трафик с помощью DPI, люди придумали способы скрыть эти paттерны. Такие инструменты называются обфускаторами (obfuscation tools) — они скрывают истинную природу трафика.

Обфускатор может добавить случайные данные в handshake, чтобы он не выглядел как VPN. Может замаскировать размер и время пакетов так, чтобы трафик выглядел как видеозвонок или веб-серфинг. Например, obfs4 (старый инструмент) пытался сделать трафик похожим на бессмысленный шум, чтобы даже не выглядел как какой-либо известный протокол. REALITY и V2Ray делают примерно то же самое, но по-разному: они маскируют VPN-трафик под обычный HTTPS-трафик (веб-трафик, который и так везде виден).

Но это боевая гонка. Когда обфускация становится популярной, аналитики DPI изучают её паттерны и добавляют новые сигнатуры для её обнаружения. Потом разработчики обфускаторов придумывают что-то новое. Это похоже на войну между создателем замков и вором — и то, и другое постоянно улучшается.

Почему DPI остаётся инструментом немногих

DPI — это дорогая технология. Чтобы анализировать трафик всей страны в реальном времени, нужны тысячи серверов, специалисты по сетевой безопасности, команды, которые постоянно обновляют сигнатуры для обнаружения новых протоколов. Даже крупные интернет-провайдеры часто включают DPI не везде, а выборочно.

Поэтому DPI широко развёрнута только в странах с достаточным бюджетом и мотивацией контролировать интернет — это в основном несколько национальных государств, а не частные компании. Это важный факт, который помогает понять масштаб проблемы.

Главное, что нужно запомнить

DPI — это инструмент, который смотрит не только на адрес, но и на форму интернет-пакетов, их размер, время и последовательность. Она может определить, какой VPN-протокол вы используете, даже если не может расшифровать данные. Но этот анализ можно скрыть с помощью обфускации. Это постоянная гонка между теми, кто хочет контролировать трафик, и теми, кто хочет остаться незаметным. И хотя DPI — мощный инструмент, она остаётся доступной только для хорошо финансируемых организаций.

Дальше стоит понять, как именно зашифровано ваше соединение, как устроены разные VPN-протоколы и почему некоторые из них лучше скрываются от DPI, чем другие.