中国のファイアウォールとシンプルなSSL接続
私は、SSL接続を使用してヨーロッパ/アメリカに配置されたサーバーと対話するアプリを持っています。アプリはTCP/IPの上に構築されたカスタムプロトコルを使用します。アプリは、自己署名証明書を使用して、SSLハンドシェイク中にサーバーをチェックします（クライアントアプリには、チェックサーバーへのルート証明書があり、証明書をチェックするためにサードパーティは必要ありません）。
GFCはそのような接続をブロックしますか？
[〜＃〜]更新[〜＃〜]
- ヨーロッパ/米国に配置されたサーバー
- 中国に配置されたクライアント
- TLS1.2で暗号化されたTCP-IPの上に構築されたカスタムバイナリプロトコル。 HTTPSまたはその他の既知のプロトコルではありません。
- サーバーの認証に使用される自己署名証明書。つまりクライアントには、サーバーの証明書を確認するために使用されるルート証明書（数KB）があります。チェックに合格した場合-TLS1.2接続が確立されました。
- 使用されるサーバーポートの範囲は10000〜20000です。つまり443などのよく知られていないポート（1から1000の範囲のポートが使用される場合、答えは変わりますか？）
- 中国にはターゲット地域がありません。通常、アプリは中国のどの地域からでもサーバーに接続できる必要があります
問題はファイアウォールだけではないので、ここで実際に保証できるかどうかはわかりません。実際の問題は、すべてのレイヤーで厳しく制御されている環境での処理で、ファイアウォールが1つのコンポーネントにすぎないことです。ファイアウォールが単に検査できない、または懸念のある接続を単純にブロックする可能性は非常に高いですが、「Comodoスタイル」のMItMシナリオで使用できる政府の証明書をダウンロードしてインストールするようクライアントに要求する可能性はさらに高いでしょう。 。
私の推測では、接続が実際に認識され、実際に問題があると見なされているかどうかによって異なります。対処する人口の規模と政府が監視する必要のあるデータ/接続の量を考慮すると、何かが適切な人々の注意を引くためにあなたがしていることをもたらさない限り、あなたの計画は合理的に安全になるでしょう。しかし、あなたのつながりに気づき、さらに詳しく調べたいという欲求がある場合、すべての賭けは無効になります。
1つの機関がネットワークのすべてのレイヤーを制御し、クライアントがネットワークアクセスを許可される前に何らかのアクションをインストールまたは実行するように要求できる環境では、接続をセキュリティで保護することは望めません。政府がそれを見たいなら、彼らは方法を見つけることができるでしょう。
本当の質問は、期待される関心のレベルが何であるかによって決まります。中国政府でさえ資源は限られています。あるレベルで、彼らが持っているリソースに対して何が最大の結果を得るかについて決定を下さなければなりません。人口の大部分が使用するサービスについて話していて、その使用が支配権に有害であると感じられ、その権力がすべてのインフラストラクチャを制御していると感じられた場合、それらが確実にサービスを提供することができます。データにアクセスする方法を見つけます。一方、これが少数のユーザーのみが使用するものである場合、またはその使用が低脅威であると見なされる場合は、おそらく何もしないでしょう。
すべては、実際には両側からのリスク/利益分析に帰着します。実際の問題は、一方の側がすべてのクライアント側インフラストラクチャを制御することです。彼らが望めば、彼らは道を見つけるでしょう。