La TSPU russa contro Tor: cinque anni di throttling, blocchi e alternative
Il 1° dicembre 2021, utenti di diversi provider internet russi hanno scoperto che la rete Tor aveva smesso di funzionare. Il bloccatore non era un firewall nazionale unico, ma uno strato di hardware di ispezione approfondita dei pacchetti noto come TSPU — «mezzi tecnici di contrasto alle minacce» — installato all'interno dei provider stessi. Cinque anni dopo, la documentazione delle misurazioni racconta una storia chiara: le connessioni Tor dirette in Russia sono calate di circa il novanta per cento, mentre le connessioni via bridge sono diventate la principale via di accesso alla rete per gli utenti rimasti nel paese.
L'ondata di blocchi del dicembre 2021
Il rapporto di OONI ha documentato l'inizio: dal 1° dicembre 2021 alcuni ISP russi hanno iniziato a bloccare l'accesso a Tor. Su più di 65 reti testate, 15 mostravano segni di blocco, applicato soprattutto scartando le connessioni verso gli IP dei relay e i bridge obfs4 predefiniti fino al timeout. L'applicazione era disomogenea: su alcune reti era toccata solo a parte degli utenti, e le tecniche andavano dalle pagine di blocco alle interferenze TLS. Il rapporto ha ricostruito anche la pressione sul sito del progetto Tor: alcuni provider bloccavano www.torproject.org già da settembre 2021 e, dopo un avviso di Roskomnadzor del 6 dicembre, il sito è entrato nella lista nazionale di blocco il 7 dicembre. All'epoca la Russia aveva la seconda base di utenti Tor al mondo, con oltre 300.000 utenti al giorno. «Subito dopo aver pubblicato questo articolo, il governo russo ha ufficialmente bloccato il nostro sito principale in Russia». — Progetto Tor, 7 dicembre 2021
Nella stessa settimana il progetto ha lanciato una campagna chiedendo a volontari di gestire bridge. Il registro degli eventi correlati di Tor Metrics per la Russia annota l'ondata come blocco di directory authority, relay, bridge obfs4 predefiniti, meek-azure e Snowflake su alcuni ISP, con una sospensione temporanea del blocco per meno di un giorno a partire dall'8 dicembre 2021: un'interferenza intermittente piuttosto che un muro permanente. Cosa si degrada
Per le connessioni dirette il degrado è tecnico e misurabile. Lo studio della TSPU di Censored Planet, presentato all'Internet Measurement Conference del 2022, descrive i dispositivi come collocati sul percorso del traffico e con stato, con blocchi innescati dai nomi di dominio nel campo SNI del TLS, dagli indirizzi IP e dalle impronte del traffico QUIC. Il nodo di ingresso Tor degli stessi ricercatori a Parigi è stato bloccato fuori registro — al di fuori di ogni lista ufficiale — da dicembre 2021, e il blocco residuo del suo IP è persistito a lungo dopo lo spegnimento del nodo nel marzo 2022. Sui indirizzi bloccati le connessioni in uscita passano, ma le risposte tornano con il payload ripulito e reset iniettati; finanche i ping vengono scartati. Il throttling è la variante più silenziosa. A marzo 2021 la Russia ha applicato il throttling a Twitter a livello nazionale — il primo uso documentato su larga scala e mirato del throttling come censura — innescato dai nomi di dominio nell'handshake TLS e limitando il traffico a 130-150 kbps scartando i pacchetti che superavano la soglia. Applicato a Tor, lo stesso metodo non produce una pagina di errore pulita; produce handshake lenti e circuiti che si interrompono a metà trasferimento. Censored Planet ha osservato questo throttling su reti russe tra il 26 febbraio e il 4 marzo 2022, dopodiché il comportamento è stato sostituito dal blocco secco. Cosa continua a funzionare
I bridge. L'ondata del 2021 ha colpito anche quelli predefiniti: il progetto Tor ha riferito che i bridge predefiniti, inclusi i bridge obfs4 forniti tramite Moat e Snowflake, non funzionavano in alcune regioni russe. La campagna dei bridge ha raggiunto l'obiettivo di 200 nuovi bridge obfs4 e superato quota 400, e i bridge privati non elencati restano la via affidabile, perché un censore non può enumerare ciò che non conosce. Tor Metrics contava circa 310.000 utenti al giorno in connessione diretta in Russia a fine novembre 2021; a fine gennaio 2022 la cifra era scesa a circa 165.000-175.000. Nell'ottobre 2026 gli utenti diretti oscillano tra 18.000 e 23.000 al giorno. L'uso dei bridge racconta la storia opposta: tra circa 89.000 e 98.000 al giorno nell'ottobre 2026, diverse volte il dato diretto. La maggior parte dei russi che usa ancora Tor lo fa tramite bridge anziché connessioni dirette. La macchina dietro
La ricerca di Censored Planet spiega perché l'evasione è difficile. Prendendo le impronte dei comportamenti di frammentazione TCP, lo studio del 2022 ha identificato oltre un milione di endpoint in 650 sistemi autonomi russi disposti dietro dispositivi TSPU, e ha rilevato che il 70 per cento di questi era a due hop di rete al massimo dall'utente finale — abbastanza vicini da ispezinare praticamente tutto. I comportamenti di throttling e blocco erano coerenti tra ISP diversi, il che punta a un coordinamento centrale. Gli autori notano che la TSPU è passata dall'idea al dispiegamento in tre anni e avvertono che l'architettura potrebbe diventare un modello per sistemi di censura altrove. Dove siamo
A cinque anni di distanza la situazione è stabile in modo infelice. Le connessioni Tor dirette restano represse a poche decine di migliaia di utenti al giorno, l'applicazione varia da rete a rete e la via dei bridge porta il grosso del carico. Nessuna fonte pubblica ha registrato una formale inversione della politica. Ciò che la documentazione mostra è adattamento: ogni giro di blocchi ha spinto gli utenti verso trasporti che il censore non aveva ancora imparato a riconoscere, e la maggior parte vi è rimasta. La campagna russa è un caso di un repertorio più ampio. La nostra panoramica dei pattern nazionali di blocco colloca l'era della TSPU nel contesto, accanto a come gli altri paesi provano a filtrare Tor.
