TL; DR: TLS sécurise uniquement le contenu d'un message. Pas les métadonnées.

Lorsque vous communiquez sur le net net, il est important de se rappeler que certaines parties d'une communication donnée ne peuvent pas être sécurisées à l'aide de technologies standard. À moins que vous n'utilisiez quelque chose comme TOR, votre FAI pourra déterminer à qui vous parlez même si vous utilisez TLS.

Pour utiliser une analogie, imaginez l'envoi d'une enveloppe via le service postal. Le contenu de l'enveloppe est totalement inaccessible à quiconque autre que le destinataire. Même si un facteur visionnait d'une manière ou d'une autre le contenu, il ne serait pas en mesure de le comprendre (peut-être l'avez-vous d'abord fait passer par un chiffre César? Hehe).

Cependant, pour que le service postal l'envoie à la bonne adresse, l'extérieur de l'enveloppe doit être marqué d'une représentation clairement lisible de l'adresse de destination. Si le service postal ne voulait pas que quiconque puisse envoyer des lettres à "Joe Schmoe, 123 Fake street", alors il ne pouvait tout simplement pas livrer de lettres avec cette adresse.

Puisque le service postal peut ' t lire le contenu du message, ils n'ont aucun moyen d'identifier l'intention de la lettre. La seule information dont ils disposent est le fait que le destinataire prévu est Joe Schmoe. Ils ne peuvent pas filtrer uniquement les lettres qu'ils jugent malveillantes; c'est tout ou rien.

De même, le protocole IP (le protocole de routage sur lequel TCP s'exécute) a clairement marqué les champs «expéditeur» et «récepteur». TLS ne peut pas chiffrer cela pour deux raisons:

• TLS s'exécute au-dessus de TCP / IP, et ne peut donc pas modifier des parties des paquets qui appartiennent à ces protocoles.
• Si le La section IP a été chiffrée, le service opérateur (routeurs FAI) ne serait pas en mesure d'identifier où les paquets doivent aller.

Le pare-feu par lequel votre FAI ou votre pays force tout votre trafic ne peut pas inspecter le trafic TLS. Ils ne connaissent que les métadonnées fournies par le protocole TCP / IP. Ils ont également estimé que le site auquel vous souhaitez accéder est plus mauvais que bon, ils abandonnent donc tout le trafic vers et depuis le site, quel que soit le contenu.

Il existe une méthode pour sécuriser même les métadonnées des communications en ligne, mais il est lent et peu évolutif. Les services cachés TOR sont une tentative d'implémentation de cela. Bien sûr, les services cachés ne fonctionnent que dans le réseau TOR, qui ne peut être accédé qu'en se connectant d'abord à une machine sur le net net. Cela signifie que le FAI ou le pare-feu sait toujours que vous transmettez vos données par proxy via l'oignon. Quelle que soit la manière dont vous essayez, vous perdrez toujours certaines métadonnées. S'ils le voulaient, ils pourraient réinitialiser toutes les connexions aux nœuds TOR en plus du site qu'ils bloquent actuellement.

Si vous essayez d'établir une connexion directe à une adresse IP spécifique via un pare-feu, et le le pare-feu a des règles explicites pour tuer tout trafic vers ou depuis cette adresse IP donnée, alors la connexion directe à cette IP sera toujours infructueuse. Vous devrez vous y connecter indirectement, soit via TOR, un VPN ou un autre service proxy.

De nombreux filtres Web gouvernementaux sont mis en œuvre via le filtrage DNS.

Afin de se connecter à https://www.example.com , votre navigateur se connecte d'abord au serveur DNS de votre fournisseur d'accès Internet et demande l'adresse IP de www.example.com . Il établit ensuite une connexion cryptée à l'adresse IP qu'il obtient. Le gouvernement demande donc aux FAI de configurer leurs serveurs DNS pour qu'ils ne renvoient aucune adresse IP ou une fausse adresse IP pour les sites Web qu'ils souhaitent bloquer.

Pour tester cela, vous pouvez configurer vos paramètres réseau pour utiliser un autre serveur DNS , comme le 8.8.8.8 de Google. La manière de procéder dépend de votre système d'exploitation, mais un guide doit être facile à trouver.

Une autre méthode de filtrage Web consiste à utiliser l'adresse IP elle-même. Les FAI configurent simplement leurs pare-feu pour bloquer tout le trafic vers l'adresse IP de example.com . Un tel filtre est plus difficile à contourner qu'un filtre DNS, mais cause beaucoup plus de dommages collatéraux. Les grands hébergeurs hébergent souvent des milliers, voire des millions de sites Web totalement indépendants sur la même adresse IP. Lorsque les FAI bloquent par IP, ils ne peuvent pas bloquer un site spécifique sans bloquer également tous les autres qui partagent l'IP.

Lorsque vous vous connectez à un site Web HTTPS, le nom d'hôte du site Web auquel vous vous connectez est transmis sur le réseau en texte clair dans le cadre de la négociation TLS. Le certificat du serveur contient toujours le nom d'hôte, car c'est ainsi que le serveur s'authentifie auprès du client: "Je suis le serveur qui est autorisé à diffuser du contenu pour www. foo.example , selon Jim-Bob's Bait Shop and Certificate Authority. " Les navigateurs modernes ¹ envoient également le nom d'hôte en texte clair du client au serveur , dans le champ " Indication du nom du serveur "message qui permet d'héberger de nombreux sites Web HTTPS sur une seule adresse IPv4.

Ceci est nécessaire en raison de la façon dont les calculs de configuration d'un canal sécurisé fonctionnent. Fondamentalement, le serveur doit faire une déclaration cryptographiquement infalsifiable de son nom d'hôte (et d'autres éléments, surtout sa "clé publique"), en texte clair, avant que le processus de "contrat de clé" ne commence, sinon le client ne peut pas être sûr que il n'y a aucun homme au milieu qui intercepte les communications.

Mais l'inconvénient est qu'un pare-feu "d'inspection approfondie des paquets" peut apprendre que vous essayez de vous connecter à un site Web spécifique, et bloquer l'accès (par exemple en forgeant des paquets TCP RST) même s'il n'a pas pu écouter le contenu de vos communications avec ce site, et même si vous ne révélez jamais le nom d'hôte du site que vous souhaitez communiquer avec de toute autre manière.

¹ dans ce cas, "tout ce que vous êtes susceptible de rencontrer de nos jours, à l'exception flagrante d'IE sous Windows XP, et du navigateur Android d'origine avant à 3.0; malheureusement, ces deux éléments sont plus courants que nous ne le souhaiterions.

HTTPS ne masque pas et ne peut pas masquer l'adresse IP et le nom d'hôte d'un site Web ou le fait que vous vous y connectez. Il crypte uniquement le trafic envoyé sur cette connexion une fois qu'elle est établie .

Compte tenu de cela, il est trivial pour quelqu'un contrôlant la ligne de mettre fin à toute connexion pour un site particulier. Ce que HTTPS (espérons-le) les empêche de faire, c'est de surveiller ou de modifier les informations échangées avec le site, mais le fait que vous vous y connectez est toujours visible.

Institutions et entreprises [par exemple. fournisseurs de points d'accès] traitent généralement cela de deux manières:

• Demander aux serveurs DNS de pointer vers d'autres IP: c'est un faible obstacle, car les utilisateurs techniquement avertis peuvent facilement changer leur service DNS, et utilisé lorsque ce n'est pas vraiment important de bloquer un site. Je pense que c'est ce que fait, par exemple, le gouvernement italien: les FAI nationaux sont invités à changer leurs serveurs DNS afin que les demandes de sites interdits soient redirigées vers une page hébergée par le gouvernement.
• Blocage des connexions sur une base IP, plutôt que sur une base de domaine: cela nécessite normalement un proxy transparent (surtout utilisé par les fournisseurs de hotspots et autres) ou un pare-feu avec une inspection approfondie des paquets (par exemple le pare-feu chinois). Pour empêcher l'utilisateur de se connecter à des adresses IP interdites, quelques techniques sont alors utilisées - parmi elles, l'injection de paquets de réinitialisation TCP, la redirection de paquets ou simplement leur suppression.

Il est possible que le site cible lui-même vous empêche d'y accéder à partir de la plage d'adresses IP source en question.

Je connais de première main de nombreuses grandes organisations qui bloquent des pays pour une autre raison que pour minimiser l'exposition aux pirates informatiques venant de cette région.