開啟主選單

防火長城

对中华人民共和国网络审查系统的统称

防火長城[1]英語:Great Firewall,常用簡稱:GFW,中文也稱中國國家防火牆[2],中國大陸民眾俗稱長城防火牆功夫網[3]等等),是對中華人民共和國政府在其互聯網邊界審查系統(包括相關行政審查系統)的統稱。此系統起步於 1998 年[4],其英文名稱得自於 2002 年 5 月 17 日 Charles R. Smith 所寫的一篇關於中國網絡審查的文章《The Great Firewall of China[5],取與 Great Wall長城)相諧的效果,簡寫為 Great Firewall,縮寫 GFW[6]。隨着使用的拓廣,中文「牆」和英文「GFW」有時也被用作動詞,網友所說的「被牆」即指網站內容被防火長城所封鎖或者指伺服器的通訊被封阻,「翻牆」也被引申為突破網絡審查瀏覽中國大陸境外被封鎖的網站或使用服務的行為。

目錄

簡介編輯

 
中國國家防火牆之父方濱興

一般情況下,中國國家防火牆,即防火長城,主要指中國政府用於監控和過濾互聯網國際出口上內容的軟硬件系統的集合。例如監視系統就曾與美商合作,構建類似美國的稜鏡計劃的深度偵查機制,但中國政府並進一步設置將查獲的特定網點阻斷等,造成大家所熟知的連線錯誤現象,因此防火牆不是中國特有的一個專門單位,是由分散部門的各伺服器和路由器等裝置,加上相關公司的應用程式所構成,是一個跨軍民合作的大型資訊管制系統,世界其他一些國家也存在網絡審查,不過其審查物件、規模、執行主體等均與中國的審查機制有着相當大的不同(參見:互聯網審查),例如僅止於金融洗錢、國際詐騙等犯罪行為,或者僅審查兒童色情相關。而防火長城的作用是監控所有經過國際閘道器的通訊,對認為不符合中共官方要求的傳輸內容,進行干擾、阻斷、封鎖。由於中國網絡審查廣泛,中國國內含有「不合適」內容的網站,會受到政府直接的行政干預,被要求自我審查、自我監管,乃至關閉,故防火長城主要作用在於分析和過濾中國境外網絡的資訊互相存取。中國工程院院士、北京郵電大學前校長方濱興是防火長城關鍵部分的首要設計師[2][4][7][8],被稱為中國國家防火牆之父[9]

然而,防火長城對網絡內容的審查是否沒有限制和不違反言論自由,一直是受爭議的話題,官方說辭也相當籠統。有報告認為,防火長城其實是一種圓形監獄式的全面監控,以達到自我審查的目的[10]。而中共當局一直沒有正式對外承認防火長城的存在[來源請求],如當有記者在外交部新聞發佈會上問及互聯網封鎖等問題的時候,發言人的答案基本都是「中國政府鼓勵和支持互聯網發展,依法保障公民言論自由,包括網上言論自由。同時,中國對互聯網依法進行管理,這符合國際慣例。」方濱興曾在訪問中被問及防火長城是如何運作的時候,他指這是「國家機密」。不過2015年1月與官方有密切關聯的《環球時報》則發佈報道曾公開宣揚其存在。[11]

在中國大陸民眾內部,由於內部蓬勃的互聯網企業,牆的存在感也逐漸被忽略,經過18個月的調查研究後,北京大學斯坦福大學兩名經濟學家在2018年得出了結論,中國大學生對於獲取未經審查的政治敏感資訊漠不關心。他們給北京兩所大學的近1000名學生提供了能夠繞過審查的免費工具,但發現近半數學生並沒有使用它。在那些使用了的學生中,幾乎沒人花時間瀏覽遭到封鎖的外國新聞網站。[12]

中國還有一套公開在公安部轄下的網絡安全專案——金盾工程,其主要功能是處理中國公安管理的業務,涉外飯店管理,出入境管理,治安管理等,所以金盾工程和防火長城的關係一直沒有明確的認定。

主要技術編輯

域名解析服務緩衝記憶體污染編輯

防火長城對所有經過骨幹出口路由的在UDP的53埠上的域名查詢會被IDS檢測,一經發現與黑名單關鍵詞相符合的域名查詢請求,防火長城會馬上偽裝成目標域名的解析伺服器給查詢者返回虛假結果。由於通常的域名查詢沒有任何認證機制,而且域名查詢通常基於的UDP協定是無連接不可靠的協定,查詢者只能接受最先到達的虛假查詢結果,並丟棄之後的正確查詢結果。用戶若改用TCP在53埠上進行DNS查詢,雖然不會被防火長城污染,但可能會遭遇連接重設,導致無法獲得目標網站的IP位址。

DNSSEC技術為DNS解析服務提供了解析數據驗證機制,理論上可以有效抵禦劫持。此外,DNSCryptDoTDoH等負載於安全連接的DNS存取也能保護DNS的存取數據不被中間傳輸裝置篡改。

全球一共有13組根域名伺服器(Root Server),2010年中國大陸有F、I、J這3個根域DNS鏡像[13],但曾因為多次DNS污染外國網絡,威脅互聯網安全和自由,北京的I根域伺服器曾被斷開與互聯網的連接。[14][15]目前已恢復服務。[16]

從2002年左右開始,中國大陸的網絡審查機關開始採用域名伺服器緩衝記憶體污染技術,防止了一般民眾存取被過濾的網站。對於含有多個IP位址或經常變更IP位址逃避封鎖的域名,防火長城通常會使用此方法進行封鎖,具體方法是當用戶從境內向境內DNS伺服器提交域名請求時,DNS伺服器要查詢根域名伺服器,此過程會受防火長城污染。而用戶不做任何保護措施直接查詢境外DNS時,會受防火長城污染。當用戶從境外查詢境內伺服器(不一定是有效DNS伺服器),結果也會被污染。

2010年3月,當美國和智利的用戶試圖存取熱門社交網站如facebook.com和youtube.com還有twitter.com等域名,他們的域名查詢請求轉交給中國控制的DNS根鏡像伺服器處理,由於這些網站在中國被封鎖,結果用戶收到了錯誤的DNS解析資訊,這意味着防火長城的DNS污染已影響互聯網。[17]

2010年4月8日,中國大陸一個小型ISP的錯誤路由數據,經過中國電信的二次傳播,擴散到了整個互聯網,波及到了AT&TLevel3德國電信Qwest英語Qwest西班牙電信等多個國家的大型ISP。[18]

2012年11月9日下午3點半開始,防火長城對Google的泛域名*.google.com進行了大規模的污染,所有以.google.com結尾的域名均遭到污染而解析錯誤不能正常存取,其中甚至包括不存在的域名,而Google為各國客製化的域名也遭到不同程度的污染(因為Google通過使用CNAME記錄來平衡存取的流量,CNAME記錄大多亦為.google.com結尾),但Google擁有的其它域名如.googleusercontent.com等則不受影響。有網友推測Google被大規模阻礙連接是因為中共正在召開的十八大[19]

2014年1月21日下午三點半,中國網站的.com,.net,.org域名解析不正常,網站被錯誤地解析至65.49.2.178,該IP位於美國北卡羅來納州的Dynamic Internet Technology,即自由門的開發公司。據推測,可能是操作失誤造成的事故。[20][21]

2015年1月2日起,污染方式更新,不再是解析到固定的無效IP,而是隨機地指向境外的有效IP。剛開始只是對YouTube影片域名(*.googlevideo.com)進行處理,之後逐漸擴大到大多數被污染的域名。[22]這導致了境外伺服器遭受來自中國的DDoS攻擊,部分網站因此封鎖中國IP。[23]

IP位址或傳輸層埠封鎖編輯

針對TCP和UDP連接的封鎖編輯

在早期技術實現中,會使用存取控制列表(ACL)技術來封鎖特定的IP位址,由此延伸可以封鎖傳輸層協定(TCP或UDP)的特定目的埠的網絡流量。不過由於大量的ACL符合會導致網絡效能不佳,現在主要是採用了效率更高的路由擴散技術封鎖特定IP位址。正常的情況下,靜態路由是由管理員根據網絡拓撲或是基於其它目的而提供的一條路由,所以這條路由最起碼是要正確的,這樣可以開機路由器把封包轉發到正確的目的地。而防火長城的路由擴散技術中使用的靜態路由其實是一條錯誤的路由,而且是有意組態錯誤的,其目的就是為了把本來是發往某個IP位址的封包統統開機到一個「黑洞伺服器」上,而不是把它們轉發到正確目的地。這個黑洞伺服器上可以什麼也不做,這樣封包就被無聲無息地丟掉了。更多地,可以在伺服器上對這些封包進行分析和統計,取得更多的資訊,甚至可以做一個虛假的回應。這些錯誤靜態路由資訊會把相應的IP封包開機到黑洞伺服器上,通過動態路由協定路由重分發功能,這些錯誤的路由資訊可以發佈到整個網絡。這樣對於路由器來講現在只是在根據這條路由條目做一個常規封包轉發動作,無需再進行ACL符合,與以前的老方法相比,大大提高了封包的轉發效率。

2011年3月,防火長城曾經對Google部分伺服器的IP位址實施自動封鎖(按時間段)某些埠,按時段對www.google.com(用戶登錄所有Google服務時需此域名加密驗證)和mail.google.com的幾十個IP位址的443埠實施自動封鎖,具體是每10或15分鐘可以連通,接着斷開,10或15分鐘後再連通,再斷開,如此迴圈,使中國大陸用戶和Google主機之間的連接出現間歇性中斷,使其各項加密服務出現問題。[24]Google指中國這樣的封鎖手法高明,因為Gmail並非被完全阻斷,營造出Google服務「不穩定」的假象,表面看起來好像問題出自Google本身。[25][26]

2014年5月27日起,幾乎所有Google服務的80和443埠被封鎖。[27]2014年12月26日起,Google數段IP被路由擴散封鎖,直接導致GMAIL客戶端所用的IMAP/SMTP/POP3埠也被封鎖。[28][29]

一般情況下,防火長城對於中國大陸境外的「非法」網站會採取獨立IP封鎖技術,然而部分「非法」網站使用的是由虛擬主機服務供應商提供的多域名、單(同)IP的主機寄存服務,這就會造成了封禁某個IP位址,就會造成所有使用該服務供應商服務的其他使用相同IP位址伺服器的網站用戶一同遭殃,就算是「內容健康、政治無關」的網站,也不能倖免。其中的內容可能並無不當之處,但也不能在中國大陸正常存取。所以基於路由封鎖的方法現在主要用於針對自主擁有大量連續地址段的特定網絡服務商,例如Google、Twitter、Facebook等;對於內容傳遞網路(CDN)的地址段可能不會採用這種地址封鎖的方法,以避免誤封;基於ACL策略可能會在當地的互聯網服務商(ISP)中使用,同時用於控制過度往網絡傳送封包的控制。

針對UDP連接的干擾編輯

針對Google的部分域名,在保證IP未被路由擴散技術封鎖的情況下,使用HTTP/3(QUIC傳輸協定)的UDP連接可以有效避開防火長城的審查。但從2019年3月起,出現針對UDP的連接干擾。(錯誤提示:ERR_QUIC_PROTOCOL_ERROR),目前防火長城仍然無法對UDP連接進行針對性阻攔,但防火長城可以干擾其連接,使得目前所有利用 UDP 翻牆的手段都可能會受到干擾,特別是在針對 QUIC 方面會阻斷 UDP 443 埠的連接。[30]

TCP連接重設編輯

 
Firefox的「連線被重設」錯誤訊息。當碰觸到GFW設置的關鍵詞後(如使用Google等境外搜尋引擎),即可能馬上出現這種畫面。

TCP重設是TCP的一種訊息,用於重設連接。一般來說,例如伺服器端在沒有用戶端請求的埠或者其它連接資訊不符時,系統的TCP協定堆疊就會給用戶端回覆一個RESET通知訊息,可見RESET功能本來用於應對例如伺服器意外重新啟動等情況。

防火長城切斷TCP連接的技術實際上就是比連接雙方更快地傳送連接重設訊息,使連接雙方認為對方終止了連接而自行關閉連接,其效率被認為比單純的封包丟棄更有效,因為後者會令連接雙方認為連接逾時而不斷重試建立連接。

有關技術已被申請為發明專利。

本發明提供了一種阻斷TCP連接的方法和裝置;方法包括:儲存各TCP連接的連接資訊;所述TCP連接的連接資訊包括該TCP協定連接的:用戶端資訊、伺服器端資訊、請求方向TCP等待序列號和應答方向TCP等待序列號;抓取TCP封包,找到該TCP封包所屬TCP連接的連接資訊,根據所抓取的TCP封包更新該連接資訊中的請求方向TCP等待序列號和應答方向TCP等待序列號;如果所抓取的TCP封包為需要阻斷的TCP封包,則根據更新後的、該TCP封包所屬TCP連接的連接資訊生成RST封包,並行送給該TCP連接的用戶端和伺服器端。本發明可以進行準確而持續的阻斷,從而能在大流量環境下的高效阻斷非法TCP連接。[31]

外部影片連結
  Observations in mainland China (Chinese)YouTube
  2012年穀歌搜尋中國大陸之體驗(中文版)優酷網

一般這種攻擊方法需要結合相應的檢測方式來實施。

針對HTTP協定的關鍵字阻斷編輯

2002年左右開始,中國大陸研發了一套關鍵字過濾系統。這個系統能夠從出口閘道器收集分析資訊,過濾、嗅探指定的關鍵字。普通的關鍵詞如果出現在HTTP請求封包的標頭(如「Host: www.youtube.com」)時,則會馬上偽裝成對方向連接兩端的電腦傳送RST封包(Reset)干擾兩者間正常的TCP連接,進而使請求的內容無法繼續檢視。如果防火長城在數據流中發現了特殊的內文關鍵詞(如「falun」等)時,其也會試圖打斷目前的連接,從而有時會出現網頁開啟一部分後突然停止的情況。在任何阻斷發生後,一般在隨後的90秒內同一IP位址均無法瀏覽對應IP位址相同埠上的內容。

2010年3月23日,Google宣佈關閉中國伺服器(Google.cn)的網頁搜尋服務,改由Google香港域名Google.com.hk提供後,由於其伺服器位於大陸境外必須經過防火長城,所以防火長城對其進行了極其嚴格的關鍵詞審查。一些常見的中共高官的姓氏,如「胡」、「吴」、「温」、「贾」、「李」、「习」、「贺」、「周」、「毛」、「江」、「令」,及常見姓氏「王」、「刘」、「彭」等簡體中文單字,當局實行一刀切政策全部封鎖,即「学习」、「溫泉」、「李白」、「圓周率」也無法搜尋,使Google在中國大陸境內頻繁出現無法存取或搜尋中斷的問題。2011年4月,防火長城開始逐步干擾Google.com.hk的搜尋服務。2012年10月下旬起,防火長城使用更巧妙方式干擾Google搜尋,部分用戶在點擊搜尋結果連結跳轉時一直被卡住,一直卡了6分鐘之後用戶端傳送RST重設,然後頁面一片空白。原因是連結跳轉使用的是HTTP,用HTTPS跳轉無影響。[32]

這種阻斷可以雙向工作。在中華人民共和國境外存取位於境內的網站時,如果在封包頭部出現部分關鍵字,連接也可能會被阻斷。兩者的關鍵詞列表並不完全相同,比如在境外使用知網搜尋「法輪功」連接會被阻斷,並且90秒無法存取,搜尋「六四」則不會,在中華人民共和國境內存取境外網站時兩者都會被阻斷。

由於HTTPS採取加密傳輸,關鍵詞阻斷無法對網頁傳輸造成影響。但由於身份認證證書資訊是明文傳輸,因此阻斷仍然是有可能的。

後來Google等網站開始採用HTTPS傳輸數據,針對HTTP協定的關鍵字阻斷對相當一部分網站已經失去作用。

針對TLS的SNI阻斷編輯

雖然TLS能保證全程內容加密而且發現連接被干擾時警告並中斷,但是對於SNI資訊仍然是未加密的,仍可以被辨識出存取域名。從2018年8月24日開始,開始出現基於SNI的檢測機制,維基百科部分專案、日本亞馬遜等啟用https服務的網站同樣被封鎖。[33]

針對TLS的證書傳輸檢測編輯

由於TLS在握手期間,伺服器傳輸站點證書時同樣也是明文傳輸的,防火長城可以對證書的資訊進行檢測,從而是否需要被攔截的站點而中斷TCP連接。

自2017年9月19日起,防火長城開始啟用CA證書檢測,若經過防火長城時,一旦探測到相關域名如:GoogleFacebookYoutubeTwitterWhatsApp的CA證書,對應IP通訊會被攔截切斷。若使用SNI伺服器IP反向代理部分域名也會被攔截(網站會提示ERR_CONNECTION_CLOSED 意外終止了連接),但並不是全部IP都會被攔截,可用IP極少。攔截只針對經過出口路由上。[來源請求]

由於TLS 1.3開始,站點證書也會被加密後傳輸,一般可以認為能防止對證書資訊的檢測。[來源請求]

eD2k協定的連接干擾編輯

從2011年開始,防火長城開始對所有境外eD2k伺服器進行審查。當境內用戶使用eD2k協定例如eMule使用模糊協定連接境外伺服器時會被無條件阻斷,迫使eMule使用普通方式連接境外伺服器;同時防火長城對所有普通eD2k連接進行關鍵字審查,若發現傳輸內容含有關鍵字,則馬上切斷用戶與境外伺服器的連接,此舉阻止了用戶取得來源和散佈共用檔案資訊,從而阻礙使用eD2k協定軟件的正常工作。[34][35]

其他編輯

破網軟件的反制編輯

因為防火長城的存在,大量境外網站無法在中國大陸境內正常存取,於是大陸網民開始逐步使用各類破網軟件突破防火長城的封鎖。針對網上各類突破防火長城的破網軟件,防火長城也在技術上做了應對措施以減弱破網軟件的穿透能力。通常的做法是利用上文介紹的各種封鎖技術以各種途徑打擊破網軟件,最大限度限制破網軟件的穿透和傳播。

同時根據中國大陸網民反映,防火長城現已有能力對基於PPTPL2TP協定的VPN連接進行監控和封鎖,這使得大陸網民突破防火長城的封鎖變得更加困難。2015年1月起,部分國外VPN服務在中國大陸無法正常使用,這些VPN使用的是L2TP/IPSecPPTP協定。[36]

針對Tor的刺探編輯

Tor專案的研究人員則發現防火長城會對各種基於TLS加密技術的連接進行刺探[37],刺探的類型有兩種:

  • 「垃圾二進制探針」,即用隨機的二進制數據刺探加密連接,任何從中國大陸境內存取境外的443埠的連接都會在幾乎即時的情況下被刺探[38],目的是在用戶建立加密連接前嗅探出他們可能所使用的反審查工具,暗示近線路速率深度包檢測技術讓防火長城具備了過濾埠的能力。
  • 針對Tor,當中國的一個Tor用戶端與境外的網橋中繼建立連接時,探針會以15分鐘周期嘗試與Tor進行SSL協商和重協商,但目的不是建立TCP連接。

間歇性完全封鎖編輯

間歇性封鎖國際出口編輯

從2011年5月6日起,中國大陸境內很多互聯網公司以及高校、學院、科研單位的對外網絡連接都出現問題,包括中國科學院。有分析指斷網可能是因為防火長城已經具有了探測和分析大量加密流量並對用戶IP位址執行封鎖的能力,而各大機構的出口被封也在其中。具體表現為:當用戶使用了破網(翻牆)軟件後,其所在的公共網絡IP位址會被臨時封鎖,所有的國際網站都無法存取,包括MSNiTunes Store等,而存取國內網站卻正常,但如果使用境外的DNS解析域名則將會由於DNS伺服器被封鎖導致無法解析任何域名,國內網站也會無法開啟[39]。也有分析指,此舉是中國當局在測試逐步切斷大部分人存取國際網站的措施,以試探用戶反應並最終達到推行網絡「白名單」制,也就是凡沒有在名單上的企業或團體其網絡域名將不能解析,一般用戶也無法存取[40]。而中共黨機關報《人民日報》旗下的《環球時報》英文版則引述方濱興指,一些ISP必須為自己的用戶支付國際流量費用,因此這些公司「有動機」去阻礙用戶存取國外網站。一位工信部官員說,用戶碰到這些情況應先檢查自己和網站的技術問題。[41][42]

境內骨幹路由器間歇性阻斷編輯

2012年10月下旬,Google位於北京的伺服器被國家級骨幹路由器長時間干擾連接,包括中國大陸境內用戶在內存取時返回「連接逾時」錯誤,造成大量基於Hosts技術利用Google北京伺服器作為反向代理存取Google服務的用戶和軟件無法正常使用,例如GoAgent。測試指出封包經過部分國家級骨幹路由器時被選擇性丟棄,造成與伺服器連接的丟包率飆升,甚至有部分用戶反映被完全阻斷與伺服器之間的連接。

深度包檢測編輯

深度封包檢測(Deep packet inspection,DPI)是一種於應用層對網絡上載遞的數據進行偵測與處理的技術,被廣泛用於入侵檢測、流量分析及數據挖掘。就字面意思考慮,所謂「深度」是相對於普通的報文檢測而言的——相較普通的報文檢測,DPI可對報文內容和協定特徵進行檢測。

在中國大陸,DPI一度被ISP用於追蹤用戶行為以改善其廣告推播業務的精準性,而最近則被國外視為防火長城城賴以檢測關鍵詞及嗅探加密流量的重要技術之一[43]。基於必要的硬件設施、適宜的檢測模型及相應的模式符合演算法,防火長城能夠精確且快速地從實時網絡環境中判別出有悖於預期標準的可疑流量,並對此及時作出審查者所期望的應對措施。

華為公司曾被媒體指責涉及向伊朗政府提供DPI所依賴的硬件支援以幫助後者開展網絡審查工作[44]

針對IPv6協定的審查編輯

IPv6(互聯網通訊協定第6版)是被指定為IPv4繼任者的下一代互聯網協定版本。在IPv4網絡,當時的網絡設計者認為在網絡協定堆疊的底層並不重要,安全性的責任在應用層。但是即使應用層數據本身是加密的,攜帶它的IP數據仍會泄漏給其他參與處理的行程和系統,造成IP封包容易受到諸如資訊包探測(如防火長城的關鍵字阻斷)、IP欺騙、連接截獲等手段的連線劫持攻擊。雖然用於網絡層加密與認證的IPsec協定可以應用於IPv4中,以保護IPv4網絡層數據的安全,但IPsec只是作為IPv4的一個可選項,沒有任何強制性措施用以保證IPsec在IPv4中的實施。因為防火長城是掛載在國家級骨幹路由器的旁路裝置,而網絡數據傳輸必須知道封包來源地與封包的目的地才能完成路由轉發,故在IPv4協定時代實施的針對IP位址封鎖技術和特定IP位址埠封鎖技術依然對IPv6有效。

方濱興在他的演講《五個層面解讀國家信息安全保障體系》中曾經說道:「比如說Web 2.0概念出現後,甚至包括病毒等等這些問題就比較容易擴散,再比如說IPv6出來之後,入侵檢測就沒有意義了,因為協定都看不懂還檢測什麼。」[45]

自2014年8月28日起,原先可以通過IPv6直連Google的中國教育網(CERNET)內試圖通過https連接*.google.com.*等網頁時,可能收到SSL證書錯誤的提示,其中以連接https://www.google.com.hk/幾乎是每次連接均收到攻擊,而其它連接例如https://ipv6.google.com/和https://accounts.google.com/也有受到攻擊的報告,但攻擊發生的概率相對較低。偽造的SSL證書顯示其為google.com,頒發機構即為其本身,與真正的google證書不同,顯示Google在中國教育網上受到中間人攻擊(MITM attack)。[46][47]

現階段防火長城已經具備干擾IPv6隧道的能力[48],因為IPv6隧道在用戶到遠端IPv6伺服器之間的隧道是建立在IPv4協定上的,因為數據傳輸分片的問題或者端點未進行IPSec保護的時候很有可能暴露自己正在傳輸的數據,讓防火長城有可乘之機干擾切斷連接。另外因為防火長城實行DNS污染,通過域名來存取IPv6伺服器時可能也會因錯誤解析而無法存取。

電子郵件通訊的攔截編輯

正常情況下,郵件伺服器之間傳輸郵件或者數據不會進行加密,故防火長城能輕易過濾進出境內外的大部分郵件,當發現關鍵字後會通過偽造RST封包阻斷連接。而因為這通常都發生在數據傳輸中間,所以會干擾到內容。也有網民根據防火長城會過濾進出境郵件的特性,尋找到防火長城部署的位置。[49]

2007年7月17日,大量使用中國國內郵件服務商的用戶與國外通訊出現了退信、丟信等普遍現象[50],症狀為:

  • 中國國內郵箱給國外域發信收到退信,退信提示「Remote host said: 551 User not local; please try <forward-path>」
  • 中國國內郵箱用戶給國外域發信,對方收到郵件時內容均為「aaazzzaaazzzaaazzzaaazzzaaazzz」。
  • 中國國內郵箱給國外域發信收到退信,退信提示「Connected to *.*.*.* but connection died.(#4.4.2)」
  • 國外域給中國國內郵箱發信時收到退信,退信提示「Remote host said: 551 User not local; please try <forward-path>」
  • 國外域給中國國內郵箱發信後,中國國內郵箱用戶收到的郵件內容均為「aaazzzaaazzzaaazzzaaazzzaaazzz」。

對此,新浪的解釋是「近期互聯網國際線路出口不穩定,國內多數大型郵件服務供應商均受到影響,在此期間您與國外域名通訊可能會出現退信、丟信等現象。為此,新浪VIP郵箱正在採取措施,力爭儘快妥善解決該問題。」而萬網客戶服務中心的解釋是「關於近期國內互聯網國際出口存在未知的技術問題導致國內用戶與國外通訊可能會出現退信、丟信等普遍現象,萬網公司高度重視,一直積極和國家相關機構匯報溝通,並組織了精良的技術力量努力尋找解決方案。」[51]

2014年12月26日,有很多中國大陸網民反映說一度無法通過用戶端登錄到Gmail。在此之前,國內一些用戶可以通過IMAP、SMTP和POP3接收、下載郵件;據路透社報道Google旗下的Gmail業務已經被當局封鎖。[52]12月30日,Gmail已在中國大陸境內恢復部分功能。[53][54]但Gmail網頁版仍被封鎖。

網絡攻擊編輯

中華人民共和國從2015年3月開始,使用一種被稱為「大炮」的網絡攻擊攻擊方案,對可能涉及違反審查要求的特定網站,進行分散式阻斷服務攻擊(DDoS)。[55][56][57]

其中2015年3月針對Github的攻擊,通過包括劫持常見的網站工具指令碼植入攻擊程式碼、一些常見瀏覽器漏洞等方法,持續五天對Github網站進行攻擊,導致網站全球存取速度緩慢。[58]中國政府否認有關指責。[59][60]

硬件編輯

 
典型意義下GFW的線路拓撲

據2010年的估計,防火長城可能擁有數百台曙光4000L伺服器[61]

  • 防火長城(北京)使用曙光4000L機群,作業系統為Red Hat系列(從7.2到7.3到AS 4),周邊軟件見曙光4000L一般組態
  • 防火長城實驗室(哈爾濱工業大學)使用曙光伺服器,Red Hat作業系統
  • 防火長城(上海)使用Beowulf叢集。GFW是曙光4000L的主要需求來源、研究發起者、客戶、股東、共同開發者。2007年防火長城叢集規模進一步擴大,北京增至360節點,上海增至128節點,哈爾濱增至64節點,共計552節點。機群間星型千兆互聯。計劃節點數上千。
  • 有理由相信防火長城(北京)擁有16套曙光4000L,每套384節點,其中24個服務和數據庫節點,360個計算節點。每套價格約兩千萬到三千萬,占005工程經費的主要部分。有3套(將)用於虛擬計算環境實驗床,計千餘節點。13套用於骨幹網絡過濾。總計6144節點,12288CPU,12288GB記憶體,峰值計算速度48萬億次[來源請求]

2 GHz CPU的主機Linux作業系統下可達到600Kbps以上的捕包率。通過骨幹網實驗,組態16個數據流總線即可以線速處理八路OC48(一路OC48約2.5Gbps)介面網絡數據。曙光4000L單結點的接入能力為每秒65萬封包,整個系統能夠滿足32Gbps的即時數據流的並行接入要求。有理由相信GFW的總吞吐量為512Gbps甚至更高(北京)。

相關事件編輯

針對網絡封鎖的訴訟編輯

北京奧運會編輯

法新社報道,中國政府曾討論是否在北京奧運會期間放寬防火長城的封鎖範圍[62]。在奧運前夕,曾一度被限制存取的Blogger、《中國時報》、《明報》等網站陸續被解除封鎖,中文維基BBC中文網和大赦國際網站等網站在8月1日亦被證實解封[63],但部分被禁網站仍然未被解禁,包括「法輪功」網站、「西藏流亡政府」網站以及和「六四事件」相關的網站[64]。《齊魯晚報》報道,有外國媒體指責中國政府違背先前全面開放互聯網的承諾,奧組委發言人孫偉德表示,奧運期間將提供媒體「充分」的網絡使用權,但外國記者上網不會完全不受限制。根據中國的法律,不得通過互聯網傳播違反法律的資訊,如宣揚法輪功,以危害國家利益。希望媒體尊重中國「有關法律法規」。但文中沒有解釋為何眾多與法輪功完全無關的新聞機構、網誌、社交和影片網站也無法存取。[65]國際奧委會新聞委員會主席高斯帕也表示,國際奧委會一些官員和中國當局已經達成協定,同意中國封鎖一些被認為是敏感的、與奧運無關的網站[66]

奧運會結束數月後,中國政府對海外新聞網站的封鎖又重新開始。至2008年12月,重新被封鎖的網站包括德國之聲BBC美國之音法廣澳廣加拿大廣播電台等新聞機構的中文網站。此外,根據總部在美國的非盈利維權組織「自由之家」16日發佈的新聞稿,這次遭中國政府封閉的還有一些被視為敏感的網站,包括無國界記者、《亞洲周刊》和《明報》等。中華人民共和國外交部發言人劉建超表示,中國總體上是採取對外開放的政策,但是中國和其他國家一樣,對於網站還是要依法做必要的管理,某些網站確實存在違反中國法律的事情[67]。有評論認為,當局此次收緊輿論控制是為了防止經濟危機進一步轉化為社會與政治危機[68]

對Google的封鎖編輯

對維基百科的封鎖編輯

2013年對程式碼寄存網站GitHub的審查和封鎖編輯

2013年1月20日,中國大陸政府的防火長城利用域名污染和關鍵詞過濾等手段封鎖GitHub。但是,由於封鎖引發了社會的強烈反應,最終解除了對GitHub的封鎖。

2014年中國網絡異常事件編輯

2014年1月21日下午中國發生大範圍網絡故障。由於中國通用頂級域域名解析出現異常,許多網站域名被解析到了完全沒有反應的IP位址 65.49.2.178。

亞太經合組織(APEC)會議編輯

2014年11月,由北京主辦的亞太經合組織(APEC)會議的新聞中心,提供的網絡服務不過濾任何網站,記者可自由登錄Facebook、Twitter、Google、英國廣播公司等外國網站,是當局首次在大型國際活動期間全面開放互聯網。[69]外交部發言人華春瑩在例行記者會上表示:「中國互聯網是開放的,我們將依法進行管理。如我們承諾過的,有關部門將為峰會圓滿舉行竭盡全力。媒體中心設施齊全,是專門為高標準提供相關服務而建造,包括互聯網服務」。[70]

世界互聯網大會編輯

2014年11月,在浙江烏鎮舉辦的第一屆世界互聯網大會期間,中國電信提供了專用無線網絡「iWifi-Wuzhen」,使用該無線網絡的嘉賓、記者以至普通遊客們都可以正常使用FacebookTwitter美國之音德國之聲自由亞洲電台BBC中文網等被防火長城封鎖的網站。而登記使用「iWifi-Wuzhen」專用無線網絡,用戶必須在登錄頁面使用本人的手機號碼註冊,取得驗證碼後才可以使用。使用普通手機3G、4G數據網絡的用戶,即使身在烏鎮,仍然受制於防火長城的管制,無法直接使用被封鎖的網站。[71]

2015年11月第二屆世界互聯網大會期間,大會組織者向與會者提供了一套特殊的用戶名和密碼,用此用戶名和密碼登陸專用無線網絡後,同樣可以自由瀏覽境外網站,但如果直接使用當地的互聯網絡,依然無法瀏覽這些網站[72]

2015年加強封鎖編輯

自2014年底起,中國官方在網絡封鎖戰中逐漸佔據上風,大批VPN服務商相繼遭到封鎖[73],更有甚者提議立法限制VPN服務於大陸網絡的註冊使用[74],此舉致使民怨沸騰並遭到社會言論指責。《南華早報》報道,在紀念中國人民抗日戰爭暨世界反法西斯戰爭勝利70周年大會前夕,多個被用於繞過互聯網限制的服務遭到關閉或干擾。[75]

除技術手段外,中國官方通過一系列線下措施,使一些翻牆工具的開發者迫於壓力放棄開發,例如2015年1月4日,翻牆軟件「楓葉香蕉」開發者許東疑因在網上發佈翻牆技術及香港佔中訊息,被北京西城區警方帶走,他的電腦USB手指、手機等均被警方取走。警方指控他涉嫌尋釁滋事罪刑拘,關押在北京市第一看守所。同年1月30日獲准取保釋放[76]。2015年8月下旬,Shadowsocks的作者迫於警方壓力[77]刪除了自己的專案[78][79]GoAgent的作者則自行將專案刪除[80]

被美國列為貿易壁壘編輯

美國貿易代表辦公室在2016年4月發佈的年度特別301報告中稱,中國對互聯網的審查過濾對外國企業是個嚴重的貿易障礙。報告中指出,中國在過去一年加緊了對網站的封鎖,全球25家用戶流量最多的網站中有八家被中國封鎖。

據美聯社報道,依賴互聯網進行銷售、結算以及其它功能的外國和國內企業紛紛抱怨「防火牆」阻礙了公司的運營,以導致部分跨國公司損失嚴重。

美國商會一月份的調查顯示,接受調查的公司中有將近百分之八十的公司表示,他們受到了中國網絡封鎖所帶來的「消極影響」。有超過半數的受訪企業表示他們在使用網絡工具或搜尋資訊時被封鎖。很多中國網民也抱怨「防火牆」阻礙了他們與客戶或商業夥伴交流以及學生申請海外院校。一些人通過使用虛擬私人網絡(VPN)繞開「防火牆」的封鎖,但現在這些虛擬私人網絡也開始遭到北京當局封鎖,後來在2015年12月前後,GFW突然封鎖了全部出自國外(不包括ikev2在內)的所有不受控制的VPN連接。

那份年度報告還指出,中國對很多境外網站的封鎖都顯得很武斷,有些和社會穩定或國家安全沒有關係的網站也被封鎖,比如美國一家大型家居裝飾網站,裏面的內容看上去一點都不敏感,但這種卻是典型的有可能被防火牆封鎖的網站。[81]

為此,中國外交部發言人洪磊主持例行記者會,聲稱:中國互聯網蓬勃發展,為各國企業提供了廣闊發展空間。中國吸引外資的政策不會變,保護在華外企各方面合法權益的政策不會變,為外企在中國創造良好經營環境的政策也不會變。我們希望各國尊重其他國家自主選擇的互聯網發展道路、管理模式、公共政策以及參與互聯網治理的權利。[82]

Steam社群網站被封鎖編輯

Steam是世界最大的PC數字遊戲平台,其社群網站被用於討論和分享遊戲經驗。Steam在中國也有着龐大的用戶群,根據Steam Spy2017年底的報告,Steam的中國區玩家已經突破3000萬[83],其不受中國監管的社群被認為帶來了監管方面的挑戰[84][85]。Steam自2015年開啓人民幣結算以來,曾多次因部分網民在社群發表違反中國法律的內容而遭到封鎖,在Valve配合刪除相關違規言論並封禁違規用戶後均解除了封鎖。但自2017年12月16日起,Steam除了商店,其他功能(社群、市場、庫存、創意工坊等)均被封鎖,方法是DNS污染和SNI RST[86],該封鎖至今仍未解除,玩家需要使用加速器或在修改hosts的同時使用本地反向代理等工具才能存取。

隨後不久,中國大陸部分地區的用戶發現,在使用了加速器或本地反向代理能夠存取社群後,在存取社群的討論區板塊時會提示「您所在的地區不支援」。 最終,中國大陸以及香港的IP位址絕大部分在「進入社群的討論板塊(遊戲社群論壇、STEAM組論壇)」及「在Steam任意的留言版處(個人資料留言版、遊戲測評留言、好友動態等)點擊發佈留言」時,都會被中斷並顯示「您所在的地區不支援」。 (根據玩家推測,這應該是完美世界以及Valve在遭到封鎖後所做出的自我審查行為)[原創研究?]

參考文獻編輯

參照編輯

  1. ^ 只剩下門縫的VPN何去何從. 新華網. 北京商報. (原始內容存檔於2018-12-16) (中文(簡體)‎). 
  2. ^ 2.0 2.1 校長方濱興:實施過濾計劃慎用在線更新輸入法. 人民網. 中國資訊工業網. 2010-07-09 [2018-12-16]. (原始內容存檔於2018-12-16) (中文(簡體)‎). 
  3. ^ 環球時報:防火牆帶給中國互聯網哪些影響. 環球時報. 2015-01-28 [2015-01-28]. 
  4. ^ 4.0 4.1 Great Firewall father speaks out. Global Times. [2011-02-18] (英語). 
  5. ^ (英文)Great Firewall of China,2008 年 1 月 30 日新增。
  6. ^ (簡體中文)百度日本站被GFW封鎖疑與色情內容有關 互聯網檔案館存檔,存檔日期2008-08-19.,人民網(有百度員工指出這是百度自我審查封鎖內地用戶,GFW 並沒有封鎖,詳見南方人物周刊:百度搜不到的與索取到的
  7. ^ 李永峰. 網民披露方濱興是GFW之父國慶前夕中國網絡再次收緊. 亞洲週刊. 2009-10-04, 23 (39) [2009-09-25] (中文(繁體)‎). 
  8. ^ 方濱興的牆內牆外. 南方周末. [2013-07-18]. (原始內容存檔於2013-07-21) (中文(中國大陸)‎). 
  9. ^ http://www.china.org.cn/china/2011-02/18/content_21951602.htm
  10. ^ (英文)JR, Crandall; Zinn D; Byrd M; Barr E; East R, ConceptDoppler: A Weather Tracker for Internet Censorship (PDF), Computer and Communications Security, 2007 [2007-09-13] 
  11. ^ 防火牆給中國互聯網哪些影響:成就本土行業崛起. 環球網. 2015-01-28. 
  12. ^ 那些和「防火長城」一起長大的中國年輕人. 紐約時報中文網. 2018-08-07 [2018-08-30] (中文). 
  13. ^ (英文)Asia Pacific Root servers亞太互聯網絡信息中心
  14. ^ DNS污染問題發生後中國根服務器被關. Solidot. 2010-03-28 [2011-02-10]. 
  15. ^ After DNS problem, Chinese root server is shut down. IT World. 2010-03-26 [2011-05-19]. 
  16. ^ Root Server Technical Operations Assn. [2014-01-25]. 
  17. ^ China censorship leaks outside Great Firewall via root server. Ars Technica. 2010-03 [2011-05-19]. 
  18. ^ A Chinese ISP Momentarily Hijacks the Internet. PC World. 2010-04-09 [2011-05-19]. 
  19. ^ 我們的網絡為什麼這麼卡. 2012-11-09 [2012-11-09]. 
  20. ^ 中國頂級域名根服務器故障 大部分網站受影響. 新浪科技. 2014-01-21 [2014-01-21]. 
  21. ^ 中國網路癱瘓 疑內部作業失誤. 自由時報. 2014-01-23 [2014-01-23]. (原始內容存檔於2014-01-23). 
  22. ^ 防火長城使用有效IP投毒DNS,其中包括色情網站IP. 2015-01-09. 
  23. ^ 遭DNS投毒DDoS攻擊的服務器屏蔽中國IP. 2015-01-23. 
  24. ^ 翻牆專題:Google掉包問題. RFA. 2011-03-11 [2011-03-21]. 
  25. ^ DAVID BARBOZA; CLAIRE CAIN MILLER. Google Accuses Chinese of Blocking Gmail Service. 紐約時報. 2011-03-20. (英文)
  26. ^ Google accuses China of blocking Gmail. 法新社. 2011-03-21 [2013-03-18]. (原始內容存檔於2014-02-24). 
  27. ^ China Escalating Attack on Google. 紐約時報. 2014-06-02. (英文)
  28. ^ Gmail被中國完全屏蔽. [2014-12-29]. (原始內容存檔於2015-01-03). 
  29. ^ 社評:中國出於安全考慮「封」Gmail不可信. [2014年12月30日]. (原始內容存檔於2015年1月20日). 
  30. ^ Github. google.com.hk無法訪問,可ping通. 
  31. ^ 專利號2009100850310, 《一種阻斷TCP連接的方法和裝置》, https://patents.google.com/patent/CN101902440A/zh, 2018-04-24查閱.
  32. ^ 防火牆可能採用了更巧妙的方式干擾Google搜尋 http://it.solidot.org/article.pl?sid=12/10/31/0510237
  33. ^ Github. 一些實驗,完成編輯(請仔細閱讀說明和說明中給出的鏈接). 
  34. ^ 翻牆OK »關於GFW審查eD2k協議的相關內容匯總. [2012-11-29]. 
  35. ^ chengr28. 小盆友的可考證處:(In 2012-11-28)關於eD2k服務遭審查. [2012-11-29]. 
  36. ^ 網易. 《環球時報》英文版:部分國外VPN服務在中國無法正常使用_網易財經. money.163.com. 
  37. ^ Knock Knock Knockin' on Bridges' Doors. Tor. [2012-01-10]. 
  38. ^ China's Great Firewall Tests Mysterious Scans On Encrypted Connections. [2011-11-17]. 
  39. ^ 中國網警「修理」翻牆網民中科院也被牽連. RFI. 2011-05-18 [2011-05-18]. 
  40. ^ 中國網絡國際訪問頻故障 溫水煮蛙測試斷外網反應?. RFA. 2011-05-12 [2011-05-18]. 
  41. ^ Theories abound for overseas web access troubles. 環球時報. 2011-05-18 [2011-05-19]. (原始內容存檔於2011-05-21). 
  42. ^ 方濱興教授回應國外網站不能拜訪事件. Solidot. 2011-05-18 [2011-05-19]. 
  43. ^ Internet Filtering in China in 2004-2005: A Country Study. Open Net Initiative. [2014-12-31]. 
  44. ^ Special Report: How foreign firms tried to sell spy gear to Iran. Reuters. 
  45. ^ 方濱興院士解讀國家信息安全保障體系(轉載). 中華人民共和國工業和信息化部. 2009年 [2011-03-21]. (原始內容存檔於2011-05-11). 
  46. ^ 谷歌在中國教育網遭國家級中間人攻擊. greatfire.org. 2014年9月4日. 
  47. ^ 知名網站遭遇SSL中間人攻擊 手法很熟業務很忙. 2014年10月21日. 
  48. ^ (In 2012-11-20)關於近日IPv6隧道被阻斷連接. 2012-11-08 [2012-11-08]. 
  49. ^ 找出GFW在Internet的位置,全面分析國內到國外郵件受阻的原因 - ChinaUnix.net
  50. ^ 無恥的GFW,測試GFW工作原理 - MDaemon Server - 郵件伺服器-郵件系統-郵件技術論壇(BBS),日期為2007年7月6日,有網民在此抱怨GFW的封鎖
  51. ^ (簡體中文)萬閘道器於海外郵件通訊問題的進展通告
  52. ^ Gmail blocked in China. Reuters. 2014-12-29. 
  53. ^ 看在中國留學生的面子上 Gmail又能用了 - 好還是不好? - 海外留學 - 人在海外 - 美國華裔教授專家網 ScholarsUpdate.com. scholarsupdate.hi2net.com. 
  54. ^ Gmail中國內地服務得以部分恢復. 
  55. ^ Perlroth, Nicole. China Is Said to Use Powerful New Weapon to Censor Internet. The New York Times. The New York Times Company. 2015-04-10 [2015-04-11] (英語). 
  56. ^ 路西. 中國採取新方式 網絡封鎖擴大到境外. BBC中文網. 2015-04-11 [2015-04-11] (中文(繁體)‎). 
  57. ^ 秦雨霏. 中共祭出新武器審查網絡 訪問陸網或被監控. 大紀元. 2015-04-10 [2015-04-11] (中文(台灣)‎). 
  58. ^ GitHub. GitHub System Status. 
  59. ^ 陳曉莉. GitHub遭遇史上最大規模DDoS攻擊,反中國網路防火牆專案被鎖定. 台灣iThome. 2015-03-30 [2015-03-30] (中文(台灣)‎). 
  60. ^ 海寧. 中共借刀殺人 利用海外華人發起DDoS攻擊. 大紀元新聞網. 2015-03-27 [2015-03-30] (中文(簡體)‎). 
  61. ^ 中國GFW預作新技術儲備用大獎賽招徠人才(圖). 自由亞洲電台. 2010-06-08 [2010-06-09]. 
  62. ^ China may relax Internet curbs during the Olympics: official. Google - 法新社. 2008-02-05. (原始內容存檔於2008-02-09) (英語). 
  63. ^ 胡錦濤接受外國媒體記者採訪. BBC. 2008年8月1日 [2008年8月1日] (中文(中國大陸)‎). 
  64. ^ 奧運前夕中國解禁國際特赦網站. BBC. 2008年8月1日 [2008年8月1日] (中文(中國大陸)‎). 
  65. ^ 外媒指責中國政府未兌現奧運期間網絡自由承諾. 齊魯晚報. [2008-08-31] (中文(簡體)‎). 
  66. ^ 北京奧組委:外國記者上網不會完全不受限. 聯合早報. 2008-07-31. (原始內容存檔於2010-02-15) (中文(新加坡)‎). 
  67. ^ China 'bans BBC Chinese website'. BBC. 2008年12月16日 [2008年12月16日] (英語). 
  68. ^ 中國再屏蔽外國敏感網站引發爭議. VOA. 2008年12月17日 [2008年12月17日] (中文(簡體)‎). 
  69. ^ 中國政府會議期間首度全面開放互聯網. 東方報業集團. 2014-11-05 [2014-12-30]. 
  70. ^ 記者手記:從facebook到禱告室 體味自由空間. 文匯報. 2014-11-07 [2014-12-30]. 
  71. ^ 孟航. 中國烏鎮互聯網大會全面解禁境外網站. BBC中文網. 2014-11-19 [2014-11-19]. 
  72. ^ 烏鎮峰會特設上網賬戶 發小米手機預裝大會APP. 南華早報中文網. 2015-12-16 [2015-12-16]. (原始內容存檔於2015-12-16). 
  73. ^ 中國防火長城再次升級 多數VPN服務失效. UDN. 2015-01-15 (中文(台灣)‎). 
  74. ^ 中國網絡封鎖升級大範圍屏蔽VPN. 紐約時報中文網. 2015-01-30 (中文(中國大陸)‎). 
  75. ^ VPN服務受到進一步打擊. (原始內容存檔於2015-11-08). 
  76. ^ 發布占中消息被扣近月IT人許東獲釋. Radio Free Asia. 
  77. ^ clowwindy. Adopting iOS 9 network extension points · Issue #124 · shadowsocks/shadowsocks-iOS. GitHub. [2015-08-22]. (原始內容存檔於2015-08-22) (英語). Two days ago the police came to me and wanted me to stop working on this. Today they asked me to delete all the code from GitHub. I have no choice but to obey. 
  78. ^ clowwindy. remove · shadowsocks/shadowsocks@938bba3. GitHub. 2015-08-22 [2015-08-22]. 
  79. ^ clowwindy. shadowsocks/shadowsocks. GitHub. 2015-08-22 [2015-08-22]. 
  80. ^ GoAgent開發者刪除項目,GitHub再次受到DDoS攻擊. Solidot奇客. 
  81. ^ 美貿易代表辦公室:中國網絡防火牆是貿易障礙. 美國之音. [2016-04-08]. 
  82. ^ 美國妄稱:中國網絡防火牆阻礙國際商貿. 搜狐網. [2016-04-09]. 
  83. ^ Steam國區活躍用戶突破3000萬 玩「吃雞」的最多.中關村線上.[2017-12-04].
  84. ^ Steam 社群網站被封鎖.Solidot.[2017-12-17].
  85. ^ steamcommunity.com 在中國92%被封鎖.GreatFire.org.
  86. ^ Github. steam社區無法打開了,使用hosts也是相同情況 #246. 

來源編輯

網頁

外部連結編輯

參見編輯