Amazon obliga a Signal a dejar de utilizar domain fronting si quieren seguir en AWS

Los responsables de la aplicación de mensajería Signal, aseguran que Amazon les ha amenazado con sacarlos de CloudFront si siguen utilizando la técnica llamada "domain fronting". Dicha técnica permite a los desarrolladores de aplicaciones y páginas web engañar a las herramientas de censura. Sirve para que el tráfico parezca que procede de una fuente diferente, permitiendo evitar las prohibiciones de ciertos países.

[#1 --550559--]

No sabía que la pasta de dientes usaba esas cosas... Me voy a pasar a Colgate.

[#2 Arkhan]

¿Y eso será un problema técnico para Amazon o simplemente buscan tener contentos a los gobiernos de según qué países para no tener problemas con ellos en un futuro?

[#3 katinka_aäå]

Controlan nuestras comunicaciones y no quieren que escapemos a otros canales.

Recomiendo usar Whatsapp, que tiene la ventaja de que en Rusia no está prohibido.

[#4 --3362--]

El artículo tambien dice que Google lo prohibio hace tiempo. El problema no parece que sea que Amazon lo prohiba, sino que no hay alternativas.

[#5 KaborlllLLLONE]

#3

[#6 --165145--]

#2, lo mismo el país puede responsabilizar en parte al proveedor del hosting o similar. Veo sentido a que Amazon quiera que no se hagan cosas "ilegales" a través de ellos sin tener que implicar motivos oscuros detrás.

[#7 elgranmago]

#2 Si lo siguieran permitiendo, el pais de turno podría decidir bloquear toda la red en la que se encuentra el dominio que se pretende capar, en este caso el de Signal, con lo que en la práctica supondría que la mitad de AWS, Google Cloud, o lo que fuera no funcionaría en ese país al completo, una gracia para el resto de clientes. Tratan de evitar efectos colaterales al resto de clientes (o eso parece).

[#8 --561349--]

eso viene porque rusia si bloqueo una parte de google, azure y amazon por culta de este truco, las empresas afectadas se quejan a los que dan el servicio como es de esperar

[#9 --561349--]

#3 deberías usar ring.cx

[#10 --551540--]

DNS over TLS

jaque mate, censores.

[#11 keyrn]

#4 aunque un navegador no va a hacer uso de esta técnica, si alguien es capaz de usar domain fronting desde una web, podría enmascarar peticiones a a dominios lícitos y enrutarlas a sus propios servidores.

AWS y Google están aplicando parches para evitar que sus CFNs permitan esto por las consecuencias de seguridad.

También está el problema de que gobiernos cómo Irán, corten acceso a dominios lícitos usados por Signal para evitar la censura, dejando a estas empresas algo cabreadas con sus proveedores, Amazon y Google.

Es sin duda un tema muy interesante por ser usado para temas de libertad de expresión pero al mismo tiempo ser un exploit.

[#12 keyrn]

#10 eso no resuelve este problema. El problema está en TLS que necesita en público el nombre del dominio y TLS es parte de TCP.

[#13 --551540--]

#12 no

DNS over TLS es una nueva especificación del protocolo DNS que aún no está extendida, pero que cuando lo ese, la resolución del dominio DNS será cifrada punto a punto.

[#14 --230508--]

#3 Miradlo, ¿no es adorable?

[#15 --228360--]

Eso pasa por usar servidores que no están bajo tu control.
Lo que van a tener que hacer es montar sus propias granjas de equipos.  

[#16 keyrn]

#13 en eso estamos de acuerdo.
1. DNS over TLS te da la ip a llamar
2. Iniciar a TLS handshake a la ip
3. Censor puede ver el dominio en la primera request de TLS porque va sin cifrar

2 debe incluir el dominio para especificar que certificado y CA es esperada.

[#18 --551540--]

#16 la ip siempre va sin cifrar, el protocolo tpc-ip es de más bajo nivel que HTTPS

Incluso usando domain fronting, el censor sabe a qué ip haces las peticiones.

No creo que sea posible un protocolo IP, en el que la IP va cifrada punto a punto, no sería posible enrutar la petición.

A no ser que el paquete se propagase inicialmente en todas direcciones, y solo el que sabe que es para él, respondiese en sentido inverso marcando la ruta... no sé... no soy teleca, pero me parece ciencia ficción un IP cifrado punto a punto.

[#19 --434871--]

Joooder, me lo instalé hace 2 dias escapando de Telegram y ya empiezan?

[#20 tul]

#2 los gobiernos de segun que paises? se reducen a uno, el de gringolandia que es el que sostiene al gobierno golpista de egipto.

[#21 keyrn]

#18 si lees él post de Signal, la censura se hace al inicio de TLS.
El primer paquete de TCP es un CONNECT {domain}, y este va en claro. Como parte de esta retirar va hacer un upgrade a TLS, por lo que el segundo paquete intercambiado ya va cifrado.

Es en ese primer paquete dónde Irán estaba cortando la comunicación, leyendo el dominio de Signal. Para evitarlo, habían puesto un dominio tercero con alojamiento en un CDN que le el header con el forwarding. Es hacer una especie de túnel haciendo TCP/TLS

[#22 Aokromes]

#17 usaba, lo tuvieron que quitar.

[#23 --494665--]

#19 Te pasa por hipster

[#24 ladycygna]

#7 Sep, suena a efectos colaterales del bloqueo por parte de Rusia de chorrocientos millones de IP's de Amazon y Google tratando de bloquear Telegram.

#20 pues precisamente aquí hablamos de Rusia...

[#25 Aokromes]

#19 escapando de telegram por? incluso en rusia o iran donde estan prohibidos funcionan si usas i2p o proxys.
Tambien un grupo ha sacado
github.com/Moonshotgroup/TelegramDR--AndroidNative
play.google.com/store/apps/details?id=org.telegram.digitalresistance
(hice un diff, mas de 400.000 lineas de diferencia entre el fuente de ese repositorio y el oficial de android)

[#26 ann_pe]

#19 Si no vas o te comunicas con alguien de los países de los que habla la noticia técnicamente para ti no cambiará nada (aunque está bien preocuparse por lo que le pasa a otra gente).

[#27 tul]

#24 y que tiene que ver rusia con signal? en serio piensas que han sido los rusos los que han puesto firme a bezos? no me hagas reir.

[#28 keyrn]

#21 hpbn.co/transport-layer-security-tls/ el problema esta con Server Name Indication (SNI)

[#30 katinka_aäå]

#14 #5 Los navegadores web están preparados para formatear correctamente documentos html en los que faltan etiquetas de cierre implícitas, como por ejemplo </p> o </sarcasm>.

[#31 --551540--]

#28 ummmm

parece que tienes razón

[#32 Lok0Yo]

#15 muchisimo mas facil de bloquear. precisamente el objtivo de tener servicios cloud es que puedes cambiar IP cada hora por ejemplo.

[#33 z3t4]

#18 En tor los paquetes van encapsulados, como muñecas matrosca, cuando un nodo recibe un paquete quita una capa y solo sabe quien se lo ha mandado y a quien debe pasárselo, desconoce el inicio y el final del circuito (salvo que seas nodo de entrada o salida, claro) y el contenido, el siguiente nodo hace lo mismo .

[#34 --551540--]

#33 en TOR el nodo que inicia la comunicación no decide qué nodo va a ser el que finalmente envíe el paquete a internet

No creo que pueda aplicarse el modelo de TOR a un sistema que conecte de punto específico a punto específico

¿paso algo por alto?

[#35 --228360--]

#32 ¡Cierto!
Supongo que lo ideal es llegar a algún equilibrio entre equipos propios y equipos "cloud".

[#36 SegFault]

#10 Cuando inicias una conexión HTTPS con un servidor se envía en plano el nombre de la máquina a la que vas a conectarte, lo que incluye el dominio. Ese nombre va en plano en la negociación, como parte del SNI en.wikipedia.org/wiki/Server_Name_Indication y un firewall que analice el tráfico puede decidir bloquear si ve que te conectas a un dominio "prohibido".

[#37 frg]

#2 No es un problema técnico. Están lamiendo las manos que deben lamer.

[#38 frg]

#9 O riot.im

[#39 z3t4]

#34 No, simplemete elige el destino final del paquete, la red elige por que nodos va a pasar, los miembros de esa red no saben el origen o fin del circuito, el nodo de salida del circuito tampoco sabe del origen por lo que se mantiene su privacidad, solo los nodos de salida están expuestos.

[#40 --561349--]

#38 matrix no es p2p debes pagar el server o confiar en uno

[#41 frg]

#40 Nos es p2p, pero es federado. Todavía no veo una mensajería instantanea p2p.

[#42 --561349--]

#41
1 el hecho de que sea federado es irrelevante si el servidor esta comprometido adios a la seguridad/privacidad
2 arriba de dicho ring.cx si las vídeo llamadas con son "instantáneas" no se lo que es

[#43 frg]

#42 Me voy a mirar mejor "ring.cx", pero que actualmente funcione rápido, no significa que escale bien. A ver como logran lidiar con multitud de usuarios, sin petar el sistema.

Mientras tanto seguiré con riot.im y mi servidor federado, ya que es el que utilizan mis contactos.