Роскомнадзор начал блокировать подключение к CloudFlare с использованием TLS ECH (Encrypted Client Hello)

#infosec #roscompozor #cloudflare #ech

Что такое ECH можно почитать здесь : https://habr.com/ru/news/851994/

С 00:00 06.11.2024 сразу в нескольких российских локациях наблюдается следующая ситуация:

Chrome отваливается по таймауту при попытке зайти на любой из сайтов, проксируемых через CloudFlare с включенным TLS 1.3 После выключения TLS 1.3 на стороне CloudFlare сайты становятся доступны через несколько минут (отключение TLS 1.3 отключает и ECH тоже).

Сайты с TLS 1.2 и ниже работают как обычно.

Среди блокируемых:

https://openstreetmap.org
https://diary.ru
https://kopilkaurokov.ru
https://uchitelya.com
https://opensubtitles.org

Из 10000 самых посещаемых сайтов по версии рейтинга alexa.com на CloudFlare заведены примерно 2500. Из них примерно 700 имеют в DNS запись, информирующую о поддержке ECH.

https://habr.com/ru/news/856342/

Cloudflare активировала ECH на своих серверах

#security #ech #proxy #cloudflare #roscompozor #DoH #DoT

ECH - современная реализация идеи eSNI (Encrypted SNI), предназначенная для сокрытия от сторонних наблюдателей с помощью шифрования метаданных при установлении TLS-соединения, таких как имя сайта (SNI) к которому подключается клиент.

Чтение и анализ SNI использует в том числе Роскомнадзор для выборочных блокировок сайтов на своем оборудовании "ТСПУ", и таким образом активный ECH делает невозможными точечные блокировки сайтов, расположенных за CDN Cloudflare.

Проверить доступность ECH для подключения к конкретному сайту через Google DNS: имя домена, выбор HTTPS, в выданных данных д.б. строка типа "ech=XXXXX", где XXXXX - это ключ шифрования для ECH.

Поскольку для работы ECH важно наличие определённых данных в DNS-информации, рекомендуется в браузерах активировать DoH (DNS-over-HTTP) или DoT (DNS-over-TLS) для того, чтобы защитить их от подмены.

https://habr.com/ru/news/851994/

Решаем проблему блокировок (и YouTube) за 5 минут на роутере Mikrotik через контейнеры и без VPN

#security #proxy #mikrotik #container #roscompozor

Подойдут только роутеры с архитектурой ARM, ARM64 или x86 (CHR), которые и поддерживают контейнеры.

Прошивку желательно использовать 7.16, т.к. только в ней завезли DNS Forward запросы с использованием встроенного DoH.

https://habr.com/ru/articles/838452/

@its_akeela

#network #security #infosec #proxy #vless #vmess #youtube #roscompozor #ntc_party

Nekobox/Hiddify-Next на стороне смартфона.

Корректно настроенный Xray Reality на стороне сервера.

https://mastodon.ml/@ashed/112893875840341481

https://zhub.link/@habr/112876436529612907

https://mastodon.ml/@ashed/112426928306612699

https://zhub.link/@habr/111912153059592866

И всё работает.

Замедление YouTube с технической стороны

#network #security #infosec #proxy #vless #vmess #youtube #roscompozor #ntc_party

Готовые средства обхода. Waujito написал своё решение под линукс (https://github.com/Waujito/youtubeUnblock), которое направлено только на ютуб.
Также для Windows существует GoodbyeDPI от ValdikSS (https://github.com/ValdikSS/GoodbyeDPI), под линукс еще есть zapret (https://github.com/bol-van/zapret).
Существует ByeDPI (https://github.com/hufrea/byedpi), который работает как прокси (Windows/Linux). Также есть версия ByeDPI под андроид (https://github.com/dovecoteescapee/ByeDPIAndroid), работает как "фейковый впн".

Советую прочитать подробный комментарий от ValdikSS о том, как использовать эти средства. (https://github.com/yt-dlp/yt-dlp/issues/10443#issuecomment-2248940967)

Если есть желание погрузиться глубже в эту тему, вот тут можно посмотреть подробнее (через прокси-сервер за пределами этойСтраны или TOR): https://ntc.party/t/замедление-youtube-в-россии/8055/
and
https://ntc.party/t/обсуждение-замедление-youtube-в-россии/8074/
https://ntc.party/t/%D0%BE%D0%B1%D1%81%D1%83%D0%B6%D0%B4%D0%B5%D0%BD%D0%B8%D0%B5-%D0%B7%D0%B0%D0%BC%D0%B5%D0%B4%D0%BB%D0%B5%D0%BD%D0%B8%D0%B5-youtube-%D0%B2-%D1%80%D0%BE%D1%81%D1%81%D0%B8%D0%B8/8074

Комменты как обычно бурлят.

https://habr.com/ru/articles/832678/