China está bloqueando el tráfico HTTPS con TLS 1.3 y ESNI

Tras una actualización a finales de julio del conocido como «The Great Firewall» (GFW), varias organizaciones han apuntado que el Gobierno chino está bloqueando conexiones que utilizan esta versión del protocolo.

El pasado 30 de julio, un miembro de la organización iYouPort reportó que las conexiones TLS con la implementación ESNI (Encrypted Server Name Indication) estaban siendo bloqueadas en China, llegando a suspender posteriores conexiones TCP desde dicha IP durante varios minutos.

La extensión SNI (Server Name Indication) sobre el protocolo TLS permite a un cliente indicar a qué host se intenta conectar al inicio del proceso de handshake, de manera que el servidor puede seleccionar la cadena de confianza necesaria para establecer la conexión. En la versión TLS 1.3, que cada vez acapara mayor porcentaje de uso en el tráfico de red, este campo es encriptado a través de ESNI para que aplicaciones de terceros no puedan espiar qué sitios son visitados por los usuarios.

El uso de ESNI dificulta al GFW el filtrado y control del tráfico HTTPS para decidir qué contenidos son accesibles por los ciudadanos chinos. En consecuencia, todas las conexiones que utilizan esta tecnología están siendo rechazadas. Las comunicaciones que utilicen versiones anteriores del protocolo como TLS 1.1 o 1.2 no están siendo bloqueadas.

Un grupo de investigadores de la Universidad de Maryland han descubierto que este bloqueo es bidireccional, es decir, enviar un handshake con ESNI desde fuera de China puede ser bloqueado de igual manera que si se envía desde dentro. Junto a esto, han encontrado hasta el momento seis maneras de eludir estas restricciones tanto del lado del cliente como del servidor, aunque no aseguran que sea una solución a largo plazo debido a que GFW seguirá perfilando sus capacidades para censurar comunicaciones.

Más información:

Mailing con reporte inicial de iYouPort y análisis del bloqueo de GFW: https://mailarchive.ietf.org/arch/msg/tls/Dae-cukKMqfzmTT4Ksh1Bzlx7ws/

Informe de la Universidad de Maryland: https://geneva.cs.umd.edu/posts/china-censors-esni/esni/