Onderzoekers hebben een substantieel lek van meer dan 500 GB aan interne documenten, broncode, werklogboeken en communicatie met betrekking tot China’s Great Firewall bevestigd. De datadump, die op 11 september online opdook, legt de interne werking van het Chinese nationale verkeersfiltersysteem bloot.
Er wordt aangenomen dat de gelekte bestanden afkomstig zijn van Geedge Networks, een bedrijf dat banden heeft met Fang Binxing, vaak de ‘vader’ van de Grote Firewall genoemd, en het MESA-lab van het Institute of Information Engineering, een onderzoeksafdeling van de Chinese Academie van Wetenschappen. Het lek onthult wat lijkt op complete bouwsystemen voor deep packet inspection (DPI)-platforms, evenals codemodules die zijn ontworpen om specifieke omzeilingstools te identificeren en af te remmen. Volgens onderzoekers van het Great Firewall Report richt een aanzienlijk deel van de technologie zich op DPI-gebaseerde VPN-detectie, SSL-vingerafdrukken en logboekregistratie van volledige sessies.
De documenten beschrijven de interne architectuur van een commercieel platform genaamd “Tiangou”, dat op de markt wordt gebracht als een kant-en-klare “Great Firewall in a box” voor internetproviders (ISP’s) en grensgateways. Bij de eerste implementaties van Tiangou werd naar verluidt gebruik gemaakt van HP- en Dell-servers voordat vanwege sancties werd overgegaan op Chinese hardware. Uit een uitgelekt implementatieoverzicht blijkt dat het systeem is geïmplementeerd in 26 datacenters in Myanmar, met live dashboards die 81 miljoen gelijktijdige TCP-verbindingen monitoren. Het systeem werd beheerd door het staatstelecommunicatiebedrijf van Myanmar en geïntegreerd in de belangrijkste internetuitwisselingspunten, waardoor massablokkering en selectieve filtering mogelijk werd.
De gevolgen van dit lek strekken zich uit tot buiten de Chinese grenzen. Rapporten van WIRED en Amnesty International suggereren dat de DPI-infrastructuur van Geedge is geëxporteerd naar andere landen, waaronder Pakistan, Ethiopië en Kazachstan, vaak gebruikt in combinatie met legale onderscheppingsplatforms. In Pakistan zou de apparatuur van Geedge deel uitmaken van een groter systeem dat bekend staat als WMS 2.0, dat in staat is tot algemene surveillance op mobiele netwerken in realtime.
Het lek biedt een zeldzame inkijk in de techniek en commercialisering van het Chinese censuurapparaat. Uit de gelekte documenten blijkt ook dat het systeem van Geedge niet-versleutelde HTTP-sessies kan onderscheppen. Onderzoekers analyseren nu het broncodearchief, waarbij de aanwezigheid van buildlogs en aantekeningen van ontwikkelaars potentieel zwakke punten op protocolniveau of operationele misstappen aan het licht brengen die tools voor het omzeilen van censuur zouden kunnen misbruiken.
Het hele archief wordt momenteel gespiegeld door Enlace Hacktivista en anderen. Vanwege potentiële beveiligingsrisico’s mag het archief alleen worden gedownload of onderzocht in VM’s met air-gapping of andere sandbox-omgevingen.
Het openbaar maken van deze informatie zou aanzienlijke gevolgen kunnen hebben voor internetcensuur en surveillancepraktijken wereldwijd.
