В России начали блокировать протоколы DoH и DoT С середины августа у абонентов «Билайна», «Ростелекома», «Дом.ру» и других зашифрованный DNS от Google и Cloudflare перестал отвечать. Дальше начинается странное. Автор берёт DoT, шлёт запрос и получает мгновенный RST, обрыв сессии. Берёт DoH — TCP поднимается, ClientHello уходит, а потом тишина. Ни ответа, ни сброса. Клиент просто ждёт и падает по таймауту. Одна и та же цель, оба протокола шифрованные, а ломаются совершенно не одинаково. Разгадка в том, что видно фильтру снаружи шифрования. Один протокол торчит на своём отдельном порту, второй прячется в общем потоке HTTPS, и вылавливать его приходится по косвенным признакам. И то, за что DPI цепляется во втором случае, — это поле, которое сам протокол оставляет открытым.

🔁🌐 TRANSLATED REPOST ➖➖➖ Утечка исходного кода раскрыла китайскую «цензуру как услугу» Инструменты обхода блокировок · 17.08.2026 Утечка века случилась ещё в сентябре 2025 года, но только теперь исследователи разобрали её по кирпичикам: 100 000 документов от Geedge Networks — китайской DPI-компании, тесно связанной с «Великим китайским файрволом» — включая исходный код, более 500 Git-репозиториев и пятилетнюю историю коммитов. Это первая в истории утечка кода коммерческой системы цензуры, и команда из Мичигана, GFW Report, Падерборна, UMass Amherst и Колорадо-Боулдера, не раздумывая, собрала этого Франкенштейна локально и запустила его. Немного контекста, от которого хочется присесть: компания была основана в 2018 году Фан Биньсином — да, тем самым Фан Биньсином, человеком, которого называют «отцом Великого китайского файрвола». Судя по всему, он решил, что одного файрвола на страну мало, пора масштабировать бизнес. И масштабировал: продукт TSG (Tiangou Secure Gateway) поставлялся в Казахстан, Мьянму, Пакистан и Эфиопию — с полным пакетом «под ключ»: интеграция, обучение операторов, техподдержка. Настоящая франшиза цензуры. Что внутри. TSG умеет блокировать VPN и обфускацию по отпечаткам JA3/JA4, длине пакетов и сертификатам — в журнале сигнатур 21 из 29 инструментов помечены максимальным уровнем риска 5, включая ExpressVPN, NordVPN, Psiphon и Tor. При этом два из трёх модулей распознавания трафика — это просто заимствованный код: открытая библиотека libprotoident и проприетарный Qosmos ixEngine. Так что даже вендор при поддержке государства и с деньгами не стал заморачиваться и строить DPI с нуля — проще взять что-нибудь готовое. Отдельно радуют тикеты в Jira. Заказчик из Мьянмы жаловался, что Signal с включённым обходом цензуры не удаётся заблокировать, а Эфиопия была расстроена тем, что блокировка Psiphon заодно вырубала TikTok, BBC и CNN — из-за чего команде пришлось наспех соорудить «белый список» популярных доменов, чтобы не так очевидно попадаться на нанесении сопутствующего ущерба. И вишенка на торте: сопоставив извлечённый код с реальными измерениями трафика, авторы обнаружили почти идеальное совпадение с DNS-инженерией— Источник: https://www.usenix.org/system/files/usenixsecurity26-ablove.pdf ➖➖➖ 🔁🌐 Repost & Translated from: Brandmauer Report