Signal versteckte seinen Datenverkehr in dem von Google, sodass das Blockieren der App bedeutete, Google zu blockieren

Im Dezember 2016 erreichte die Verschlüsselungs-App Signal, ein Favorit der Sicherheitscommunity, den Meilenstein, den jeder subversive Entwickler kennt: Repressive Regime begannen, sie zu blockieren. Ägypten und die VAE hatten sie innerhalb weniger Tage zueinander auf ihre schwarzen Listen gesetzt. Open Whisper Systems antwortete an jenem Mittwoch mit einem Android-Update, das in beiden Ländern den uneingeschränkten Zugang wiederherstellte, mithilfe eines Tricks namens Domain Fronting; eine iOS-Version folgte kurz darauf.

Gründer Moxie Marlinspike erklärte die Mechanik: Ein Land wie Ägypten, mit einigen wenigen kleinen, staatlich kontrollierten Internetdienstanbietern, kann jede direkte Anfrage an einen auf der schwarzen Liste stehenden Dienst blockieren. Doch innerhalb einer TLS-Verbindung zu Googles App Engine ist die Anfrage, die auf Signals Domain weiterleitet, verschlüsselt, sodass der Anbieter nur eine Verbindung zu google.com sieht. „Wenn Menschen in Ägypten oder den Vereinigten Arabischen Emiraten jetzt eine Signal-Nachricht senden, sieht sie identisch aus wie etwa eine Google-Suche“, sagte Marlinspike. „Wenn man Signal blockieren will, muss man Google blockieren.“

Signal erfand das nicht allein: Tor, Psiphon und Lantern nutzten Domain Fronting bereits, und es funktioniert über CDNs wie Cloudflare, Akamai und Amazon CloudFront. „All das zusammen stellt einen großen Teil des Internetverkehrs dar“, sagte Marlinspike – „Irgendwann beginnt das Deaktivieren von Signal zu ähneln dem Deaktivieren des Internets.“ Vollständige Abschaltungen kommen vor: Ägypten kappte während der Proteste des Arabischen Frühlings 2011 sein gesamtes Internet, und Brasilien blockierte WhatsApp während einer Drogenermittlung. Beide Blockaden waren kurzlebig; nur wenige Staaten sind bereit, das Internet für längere Zeit vollständig zu zensieren.

Marlinspike sagte, die Bekämpfung neuer Blockaden habe hohe Priorität – er hatte fünf Jahre zuvor für die Protestierenden des Arabischen Frühlings hastig arabische Versionen von Signals Vorgänger-Apps herausgebracht – und wettete darauf, dass die Technik in Ländern Bestand haben würde, die nicht bereit sind, das Internet vollständig abzuschalten: „Es ist möglich, dass diese Länder reagieren. Aber das Endspiel ist, dass wir gewinnen.“

Zensierten Datenverkehr durch einen Riesen leiten, den niemand zu blockieren wagt: Innerhalb von TLS ist der Hostname unsichtbar, sodass eine Signal-Nachricht wie eine Google-Suche aussieht.

TLS verschlüsselt den Hostnamen, sodass die Blockentscheidung des Zensors nur die IP-Adresse nutzen kann – und die IP gehört Google.

Geborgte Größe ist der Schutzschild: Die Front ist ein Dienst, von dem die eigene Bevölkerung des Zensors abhängt und den sie nicht leicht verlieren kann.

Der Trick ist übertragbar auf Google, Cloudflare, Akamai und CloudFront, sodass das Blockieren einer Front die anderen stehen lässt.

Tarnung schlägt Panzerung: Statt dem Zensor zu widerstehen, mache deinen Datenverkehr ununterscheidbar von Strömen, die zu blockieren sich der Zensor nicht leisten kann. Geborgte Größe ist ein Schutzschild, den keine schwarze Liste umgehen kann.

Android-Nutzer in Ägypten und den VAE konnten die Blockade sofort per Update umgehen, iOS folgte. Die Technik blieb im Werkzeugkasten zur Umgehung der Zensur, und Marlinspikes Formulierung – Signal blockieren oder Google blockieren – wurde zur kanonischen Aussage über das Dilemma des Zensors.