Deep Packet Inspection (DPI) hoạt động như thế nào: Kỹ thuật kiểm tra lưu lượng mạng

Hãy tưởng tượng bạn gửi những bức thư qua đường bưu điện. Người bưu tá thông thường chỉ nhìn vào địa chỉ trên phong bì — họ không cần mở ra xem bên trong là gì. Nhưng nếu có một người kiểm tra viên đặc biệt đứng ở bưu điện và mở từng bức thư để đọc nội dung, họ sẽ biết chính xác bạn nói chuyện gì với ai, dù bạn không muốn chia sẻ thông tin đó. Đây là ý tưởng cơ bản đằng sau Deep Packet Inspection — hay DPI — một kỹ thuật mạnh mẽ để kiểm tra những gì thực sự được truyền đi trên internet, vượt quá những thông tin cơ bản mà hầu hết mọi người ngỡ rằng là "riêng tư".

DPI là gì và nó khác với kiểm tra thông thường như thế nào

Khi bạn gửi dữ liệu qua internet, nó được chia thành những miếng nhỏ gọi là gói (packets). Mỗi gói có hai phần chính: phần đầu (header) và phần nội dung (payload). Phần đầu chứa thông tin định tuyến cơ bản — địa chỉ IP nguồn, địa chỉ IP đích, cổng (port) nào đang được sử dụng — giống như địa chỉ trên phong bì thư. Phần nội dung là dữ liệu thực tế bạn đang gửi đi.

Hầu hết kiểm tra lưu lượng mạng (network inspection) chỉ nhìn vào phần đầu. Một bộ định tuyến hoặc tường lửa cơ bản có thể nói: "Gói này đến từ IP địa chỉ nào, đi đến đâu, và sử dụng cổng nào." Đó là để đảm bảo gói đến đúng nơi. DPI làm điều hoàn toàn khác — nó mở ra phần nội dung, kiểm tra những byte thực tế bên trong gói, và cố gắng hiểu: Ứng dụng nào tạo ra dữ liệu này? Người dùng đang làm gì? Họ đang sử dụng VPN hay không?

Cách DPI nhận diện những ứng dụng và giao thức bằng dấu vết số

Bạn có thể cho rằng nếu dữ liệu được mã hóa (encrypted), DPI sẽ không thể biết được nội dung là gì. Và đó có phần đúng — DPI không thể giải mã một kết nối HTTPS hoặc một kết nối VPN thực sự được mã hóa tốt. Nhưng DPI không cần phải giải mã để biết bạn đang làm gì.

Thay vào đó, DPI tìm kiếm những dấu vết (fingerprints) giao thức — những đặc điểm độc đáo về cách dữ liệu được gửi đi, thậm chí khi nó được mã hóa. Ví dụ: khi bạn kết nối với một máy chủ HTTPS, máy tính bạn và máy chủ phải bắt tay (handshake) để thiết lập một kết nối an toàn. Quá trình bắt tay này xảy ra công khai trước khi mã hóa bắt đầu, và nó để lại những dấu vết rõ ràng. DPI có thể nhìn thấy thứ tự các bước, kích thước của các gói, những số được gửi — và từ đó suy luận: "Đây là kết nối đến một máy chủ Google," hoặc "Đây là một kết nối OpenVPN."

Ngoài ra còn có các dấu vết khác mà DPI sử dụng. Kích thước gói có thể tiết lộ rất nhiều — ứng dụng video streaming sẽ tạo ra một mô hình lưu lượng khác hoàn toàn so với một cuộc trò chuyện tin nhắn văn bản. Thời gian giữa các gói — khoảng cách thời gian dài hoặc ngắn giữa các gói được gửi — tạo ra một dấu vết độc đáo cho từng ứng dụng. Thậm chí số lượng dữ liệu được gửi từ máy khách (client) so với từ máy chủ (server) cũng có thể tiết lộ hành vi của người dùng. Tất cả những thứ này cộng lại tạo thành một hình ảnh khá chi tiết về những gì bạn đang làm, mà không cần biết nội dung thực tế được mã hóa là gì.

Vì sao DPI lại là vấn đề trong các quốc gia có kiểm duyệt mạnh

Các chính phủ muốn kiểm soát những gì công dân của họ có thể truy cập sử dụng DPI để phát hiện và chặn các công cụ như VPN. Khi bạn sử dụng VPN, tất cả lưu lượng mạng của bạn được gửi qua một đường hầm được mã hóa đến máy chủ VPN. Về mặt lý thuyết, nhà cung cấp dịch vụ internet (ISP) của bạn chỉ có thể nhìn thấy rằng bạn đang gửi dữ liệu đã mã hóa tới một địa chỉ IP nào đó — họ không thể thấy được địa chỉ web bạn đang truy cập hoặc những gì bạn đang xem. Nhưng DPI có thể nhận diện dấu vết độc đáo của một giao thức VPN cụ thể, chẳng hạn như OpenVPN hoặc WireGuard. Một khi ISP hoặc chính phủ biết bạn đang sử dụng VPN, họ có thể chặn kết nối đó hoàn toàn — không phải vì họ biết bạn đang xem gì, mà vì họ biết bạn đang cố gắng ẩn những gì bạn đang xem.

Cuộc chiến giữa che phủ (obfuscation) và phát hiện

Vì biết rằng DPI có thể nhận diện các giao thức VPN bằng dấu vết của chúng, những người lập trình đã phát triển những công cụ obfuscation — những phần mềm "che giấu" dấu vết đó. Thay vì gửi những byte đặc trưng của OpenVPN, một công cụ like obfs4 thêm một lớp bao bọc bên ngoài làm cho dữ liệu có vẻ như là lưu lượng mạng ngẫu nhiên bình thường. Công cụ REALITY và V2Ray làm điều tương tự — chúng che giấu dấu vết giao thức để dữ liệu trông giống như HTTPS thông thường tới một trang web giả.

Nhưng đây là một cuộc chơi mèo và chuột. Khi DPI trở nên tinh vi hơn, nó có thể phát hiện những dấu vết mới của các công cụ obfuscation. Các công cụ obfuscation phải được cập nhật lại. Quá trình này lặp đi lặp lại, và không có người chiến thắng thực sự — chỉ là sự cân bằng tạm thời.

Tại sao DPI chỉ được một số quốc gia cụ thể sử dụng

DPI rất tốn kém. Nó yêu cầu phần cứng mạnh mẽ và các thuật toán phức tạp để phân tích hàng triệu gói dữ liệu mỗi giây trên toàn quốc. Chỉ có những quốc gia có ngân sách lớn và quyết tâm mạnh mẽ về kiểm duyệt mạng mới triển khai DPI ở quy mô quốc gia. Những quốc gia như Trung Quốc, Iran, và một vài quốc gia khác đã đầu tư vào cơ sở hạ tầng DPI rộng lớn. Đa số các quốc gia khác phụ thuộc vào các phương pháp kiểm duyệt rẻ hơn, chẳng hạn như chặn dựa trên danh sách địa chỉ IP hoặc tên miền.

Kết luận: Hiểu rõ về DPI giúp bạn nắm bắt rõ hơn về cách internet được giám sát

DPI là một ví dụ về cách công nghệ có thể được sử dụng để giám sát và kiểm soát. Nó không phải một mối đe dọa chung chung "trên internet" — nó là một công cụ thực tế được sử dụng bởi những quốc gia cụ thể, với mục tiêu cụ thể, và có những hạn chế cụ thể. Hiểu cách DPI hoạt động giúp bạn hiểu tại sao obfuscation tồn tại, tại sao VPN có thể bị chặn, và tại sao an ninh mạng thực sự là một cuộc chạy đua công nghệ, không phải một giải pháp một lần dùng mãi mãi.

Nếu bạn muốn tìm hiểu sâu hơn, bạn nên khám phá về mã hóa (encryption), cách các giao thức VPN khác nhau hoạt động, và lịch sử kiểm duyệt mạng tại các quốc gia cụ thể.