CDN के पीछे मौजूद साइट ईरान में होस्ट है या नहीं, यह जाँचने की “Boobs check” विधि

• CDN के पीछे मौजूद किसी साइट के ईरान के अंदरूनी सर्वर पर होस्ट होने की पुष्टि के लिए एक सरल रिक्वेस्ट तरीका है, जिसमें curl -i https://domain/boobs.jpg रिक्वेस्ट का इस्तेमाल किया जाता है
• यदि रिक्वेस्ट परिणाम 403 Forbidden हो और बॉडी में 10.10.34.x रेंज की IP दिखाई दे, तो इसका मतलब है कि ट्रैफिक ईरान की अंदरूनी फिल्टरिंग सिस्टम से होकर रिस्पॉन्स किया गया है
• इसे ईरान में मूलभूत सेंसरशिप फिल्टरिंग लागू होने पर दिखने वाला सामान्य रिस्पॉन्स पैटर्न बताया गया है
• CDN मौजूद होने पर भी, लक्षित साइट अगर वास्तव में भौतिक रूप से ईरान के अंदर स्थित हो तो इस पैटर्न के दिखने की संभावना बहुत अधिक होती है

[GN⁺]

Hacker News राय

• यह व्यवहार केवल तब काम करता है जब reverse proxy या CDN इस तरह कॉन्फ़िगर किया गया हो
  Proxy/CDN: HTTPS(443) → origin server: HTTP(80)
  उदाहरण के लिए Cloudflare का Flexible mode इसी तरह काम करता है
  अगर origin server सही TLS configuration इस्तेमाल करता है (यहाँ तक कि self-signed certificate भी), तो यह तरीका काम नहीं करता
  यानी यह केवल तब सफल होता है जब upstream connection encrypted न हो
  टेस्ट करने के लिए यह कमांड चलाकर जाँचा जा सकता है
  curl [http://www.digiboy.ir/boobs.jpg](http://www.digiboy.ir/boobs.jpg) -v

  • आह, Cloudflare। जैसे दुनिया का सबसे व्यापक रूप से तैनात decryption appliance हो
  • DigiNotar घटना की तरह, यह तब भी काम करता है जब ईरान के National Information Network में स्वीकृत एकमात्र root CA का उपयोग किया जाता है
  • यह सही नहीं लगता। reverse proxy या CDN origin server के TLS इस्तेमाल करने पर भी पूरा request URL देख सकता है (जब तक mTLS न हो)
    फ़िल्टरिंग proxy/CDN पर हो रही है या origin पर, यह निश्चित नहीं है। दोनों संभव हैं
  • मैंने भी ऐसा ही एक configuration चलाया है
    client → LB(nginx) → LB पर TLS termination → proxy_pass के जरिए backend nginx तक फ़ॉरवर्ड
    सेटअप हैरान करने वाली हद तक आसान था। समझ नहीं आता कि लोग अब भी HTTP क्यों इस्तेमाल करते हैं
    घर पर भी मैंने सभी local domains के लिए Let's Encrypt certificates लगा रखे हैं
    वैसे nginx HTTPS load balancing में HTTP/2 सपोर्ट नहीं करता, इसलिए मैं haproxy पर जाने की सोच रहा हूँ
  • Digiboy enterprise software का खज़ाना है। मैंने वहाँ से pirated HPE iLO license लिया था

• मैं सोच रहा हूँ कि HTTPS में यह कैसे काम करता है
  बीच के hops को path नहीं दिखना चाहिए, तो क्या इसका मतलब है कि ईरानी सीमा पर TLS terminate करके proxy किया जा रहा है?
  अगर ऐसा है, तो इसका मतलब होगा कि ईरान के भीतर सभी sites केवल HTTP पर होस्ट की गई हैं, और इसका अर्थ कहीं बड़ा है
  क्या ऐसा हो सकता है कि certificate authorities को ईरानी संगठनों को private certificates जारी करने की अनुमति नहीं है? Let's Encrypt सहित?

  • यह बात कुछ और है। सवाल यह है कि backend server ईरान के अंदर है या बाहर, इसका पता लगाना
    TLS backend network को URL पढ़ने से नहीं रोकता
  • पहले Cloudflare के काफी upstream connections plaintext में हुआ करते थे
    इसलिए CF की आलोचना होती थी कि वह केवल client–CF लिंक पर TLS लगाता है और CF–server लिंक plaintext छोड़ देता है
  • हाँ। ईरान के National Information Network(NIN) में वैध sites या तो I.R.Iran CA इस्तेमाल करती हैं या बस HTTP पर चलती हैं
    क्योंकि NIN registration में लगभग कोई anonymity नहीं है, xkcd 538 यहाँ काफ़ी उपयुक्त तुलना है

• मैं सोच रहा हूँ कि कोई व्यक्ति क्यों जानना चाहेगा कि कोई site ईरान में host की गई है

  • शायद foreign propaganda sites की पहचान करने के लिए
    सोशल मीडिया पर घूमने वाली कई कम-ज्ञात news sites वास्तव में विदेशी psychological operations sites होती हैं
    लेख में बताया गया तरीका ईरान-आधारित sites को blacklist करने के लिए इस्तेमाल किया जा सकता है
  • अमेरिकी कंपनियों के लिए ईरान के साथ व्यापार करना अवैध है
  • मैं भी व्यक्तिगत रूप से उनके साथ business नहीं करना चाहूँगा
  • शायद इसका संबंध protest-related actions से हो, लेकिन मुझे ठीक-ठीक नहीं पता

• मैं जानना चाहता हूँ कि क्या कोई sample site है जो ऐसा response लौटाती हो

  • मैं भी कोई ऐसी sample site जानना चाहूँगा जहाँ request सच में सफलतापूर्वक process हो ;)
  • उदाहरण के तौर पर tehranpich.com है। वह Cloudflare के पीछे है
  • क्या आप पूछ रहे हैं कि इंटरनेट पर boobs की तस्वीरें हैं या नहीं? (मज़ाकिया प्रतिक्रिया)

• तो क्या ईरान पूरे HTTP traffic के सामने reverse proxy लगा रहा है?
  iframe के अंदर का webpage क्या कहता है, यह जानने में भी दिलचस्पी है

  • एक मानक DPI firewall के लिए इतना करना पूरी तरह संभव है। कोई समस्या नहीं

• बहुत पहले मैंने दोस्तों के साथ एक “warning” image देखी थी जिसमें English और Arabic मिली हुई थीं
  वह ईरानी सरकार के censorship department की चेतावनी जैसी लगती थी, और मज़े के लिए हमने forum requests के 1% पर वही image दिखाने के लिए सेट कर दिया था :)

• मैंने लेख पढ़ा, लेकिन समझ नहीं आया कि हुआ क्या था। क्या कोई समझा सकता है?

  • शायद कुछ ऐसा
    अगर आप GET [https://somedomain.com/boobs.jpg](https://somedomain.com/boobs.jpg) request भेजते हैं
    तो ईरान के बाहर का server 404(Not Found) लौटाता है,
    लेकिन ईरान के अंदर का server firewall द्वारा “boobs” शब्द पकड़े जाने पर request को block कर देता है और 403(Forbidden) लौटाता है
    यानी request webserver तक पहुँचती ही नहीं, firewall पर ही फ़िल्टर हो जाती है

• क्या इससे Scunthorpe problem नहीं होगी?
  सोच रहा हूँ कि क्या birdwatchers जब ‘boobies’ नाम के पक्षी को खोजें, तो वह भी ‘boobs.jpg’ की तरह block हो जाएगा

• तो क्या 10.x.x.x range ईरान के भीतर publicly routed है?
  समझ नहीं आता कि सरकार अपना खुद का IP space क्यों नहीं इस्तेमाल करती

  • IP addresses महँगे होते हैं, कम से कम अगर आप अमेरिका नहीं हैं तो।
    शायद यह किसी सामान्य enterprise filtering product का पुनः उपयोग हो सकता है।
    आखिरकार ईरान का इंटरनेट एक विशाल private network की तरह काम करता है
  • मैंने भी कुछ ईरानी sites टेस्ट कीं, लेकिन मुझे न 403 मिला न iframe दिखा

• इस विचार को आगे बढ़ाते हुए, मैं सोच रहा हूँ कि ऐसे मानवीय कंटेंट वाले Wikipedia links की सूची बनाई जाए जिनके censored regimes में block होने की संभावना अधिक हो
  जैसे: तियानआनमेन घटना, Wen Jiabao corruption case, Epstein emails आदि
  Netflix के Fast.com की तरह, ऐसा प्रोजेक्ट censorship systems को उन्हीं के खिलाफ इस्तेमाल करने जैसा होगा