防火墙

各位讀者到中國的時候，為了使用 Facebook 或者電郵服務，相信會準備 VPN 來翻牆，但翻到了牆就代表安全嗎？Google 前資訊安全工程師 Marc Bevand 早前到中國旅行，當然他與我們一樣有翻牆，但他發現我們常用的 VPN 或許沒有想像中的安全。作為一個資訊安全工程師，Bevand 在網誌說能夠挑戰中國的防火長城感到好奇。此外身為行家，他當然是用「自己的方式」來翻牆，他在網誌分享了翻牆的過程。透過種種測試，他認為防火長城採用了機器學習來屏蔽可疑的連線。連線保護太弱　中國或暗中監視用戶但「自己的方式」只可以為電腦翻牆，Bevand 外出時手機仍然需要使用 VPN 。當他使用常用的翻牆工具 ExpressVPN 時發現，雖然確實能翻牆，但連線只用 RSA 1024 bit 加密。他認為 ExpressVPN 的保護太弱，中國政府有可能已解密和監聽 ExpressVPN 用戶的連線。Bevand 指中國政府很輕易便可以阻止 ExpressVPN 的服務，對於政府默許 ExpressVPN 和其他 VPN 的服務感到奇怪。他認為其中一個原因是中國政府在監視 ExpressVPN 的連線，但為了讓他們誤以為私隱受保障，政府不會干預。如果政府出手，用戶就會改用更安全的 VPN 服務，使政府無法監視。ExpressVPN 表示會在下月更新。除了 ExpressVPN ，另一個熱門 VPN 服務 Astrill 也有安全憂隱，因為第一個根認證亦只得 1024 bit。Bevand 認為資訊安全界不應再用 1024 bit RSA 加密，至少也要 2048 bit。他特別提到 ShadowSocks、Obfsproxy 和 Softether 的表現較好，但 ShadowSocks 的作者在中國當局的壓力下已把程式碼從 GitHub 下架。最後他更表示要挑戰世界各地的防火長城。翻墙技术博客订阅地址及社交帐号

来源：http://blog.zorinaq.com/?e=81Marc Bevand 的 Blog：http://www.zorinaq.com/G+ : https://plus.google.com/+MarcBevand信息安全专家体验防火长城一位信息安全专业人员（ Marc Bevand ）首次访问了中国，获得了防火长城的第一手经验，发现防火长城能使用机器学习识别流量模式。他在博客上描述了他的经历：他预加载了Google地图，结果发现由于中国的GPS飘移问题地图根本就没有用；为了绕过防火长城，他在宾馆首先设立了SSH隧道，在笔记本上连接美国数据中心的一台服务器，结果前几分钟还行，后几分钟就出现了严重的丢包问题；他在服务器上运行一个Web代理，利用SSH端口重定向访问代理，结果和SSH隧道相同，几分钟后又出现丢包；他改用TLS连接直接访问代理，这一次可以成功访问很长时间，但当他通过代理访问HTTPS网站后防火长城探测到了代理，丢包问题再次出现；他进行了一番实验，确认防火长城能利用TLS的旁路泄露观察数据包特征识别代理服务器，于是利用随机填充修改请求和握手中间发送的数据包大小，结果显示可以正常浏览被审查的HTTP和HTTPS网站，关闭随机填充丢包问题则会立即再现。作者称，防火长城现在利用了机器学习算法自动的学习、发现和屏蔽VPN和代理。他在手机上使用了一个中国可以正常访问的VPN服务ExpressVPN，发现它的Root CA证书使用的是1024位RSA算法加密，而如此长度的RSA密钥中国政府有能力破解，他怀疑中国政府已经这么做了，并利用破解的密钥监视部分用户。他疑惑为什么中国没有屏蔽ExpressVPN。翻墙技术博客订阅地址及社交帐号

来源：https://gist.github.com/yefuchs/4648713方滨兴部分论文：基于 Linux 系统的报文捕获技术研究非常规突发事件中网络舆情的生成及管理基于随机博弈模型的网络攻防量化分析方法网络监听与反监听非常规突发事件网络舆情热度评价指标体系构建BitTorrent 流量的捕获方法及自相似性的评价利用ARP 伪装在交换以太网捕包并行网络蠕虫模拟中任务优化划分的研究StegoP2P: 一种基于P2P 网络的隐蔽通信方法The Great Firewall (GFW) Contributors List注：数据来源为 dblp 和 cndblp, 下面括号中的数字表示 dblp 中显示的跟方滨兴合作论文的数量Binxing Fang (方滨兴)中国工程院院士,北京邮电大学教授,中国科学院计算技术研究所网络方向首席科学家http://en.wikipedia.org/wiki/Fang_BinxingGang Xiong (熊刚)xionggang@ict.ac.cnInstitute of Information Engineering, Chinese Academy of Science, China 高级工程师, 研究方向为信息安全Weili Han (韩伟力)复旦大学软件学院副教授http://crypto.fudan.edu.cn/people/weili/http://homepage.fudan.edu.cn/wlhan/enJiao Meng (孟姣)mengjiao@software.ict.ac.cn硕士研究生,研究方向为信息安全Zigang Cao (曹自刚)博士研究生Key Laboratory of Trustworthy Distributed Computing and Service (BUPT), Ministry of Education, Beijing, ChinaYong Wang (王勇)高级工程师Li Guo 郭莉 (22)正研级高工Institute of Information Engineering, Chinese Academy of Science, ChinaShoufeng CaoNational Computer Network Emergency Response Technical Team / Coordination Center of China, ChinaPeipei FuHongli Zhang 张宏莉 (28)Weizhe Zhang 张伟哲 (13)Mingzeng Hu 胡铭曾 (12)Yang Li 李洋 (8)Xueqi Cheng 程学旗 (6)Lihua Yin 殷丽华 (6)Yu Zhang 张玉?张宇? (5)Yuzhong Sun 孙毓忠 (5)Zhibin Zhang 张志斌 (5)Xiao Xu 许笑 (5)Wei Wang 王巍?王威?

John Ashe ，被控收受来自中国商人的超过100万美元贿赂涉嫌行賄聯合國官員的樸虹（右），在應訊後離開紐約法院。　美聯社在一起与前联合国大会主席John Ashe相关的复杂贿赂案中，52岁的朴虹在纽约曼哈顿联邦地区法院承认，她曾以中间人身份参与向John Ashe支付秘密款项。Ashe被控收受来自中国商人的超过100万美元贿赂，借自身职务帮助商人获得商业利益。她在去年10月与另外五人一起被起诉，除Ashe外，被告还包括澳门地产富豪吴立胜、多美尼加共和国驻联合国副大使Francis Lorenzo、名为“全球可持续发展基金会”的机构华裔总裁严雪瑞以及吴立胜的私人助理等。朴虹是此案中第一个认罪的被告，其余五人均否认控罪。朴虹是全球可持续发展基金会的财务总监.。据美联社引述法院文件指，身兼中美洲岛国安提瓜和巴布达驻联合国大使的Ashe还同意借其职权帮助在安巴推动一个“国家互联网安全系统”。FBI的文件将涉及的中国公司称为CC-2，严和朴安排Ashe、CC-2和安提瓜官员会面，商讨2000万美元的防火墙系统交易，在Ashe的帮助下，CC-2和安提瓜政府达成了一个谅解备忘录去推进这个项目。Ashe将部分贿赂转给了总理。涉及此案的中国公司还有CC-1和CC-3。华裔女商人朴虹认罪承认贿赂联合国官员美国之音 2016.01.15 20:12在纽约的一个基金会的前财务总监朴虹(英文名Heidi Hong Piao，又名Heidi Park)星期四在纽约认罪，承认向联合国官员行贿。路透社报道说，朴虹是美国检察官起诉前联合国大会主席约翰·阿什受贿案当中第一个认罪的被告。今年52岁的朴虹承认协同他人向阿什提供非法报酬。她在纽约曼哈顿联邦法院说，“提供那些报酬的目的是影响阿什，其中包括影响担任公职的阿什。”检察官指控在2013-4年担任联合国大会主席的阿什从华裔商人那里接受一百三十万美元的贿赂。参与贿赂案的华人还包括澳门房地产开发商吴立胜，“全球可持续发展基金会”（Global Sustainability Foundation）的机构华裔总裁严雪瑞（Sheri Yan）。朴虹是上述基金会的前财务总监。吴立胜和严雪瑞抗辩无罪。涉联合国官员贿赂案华裔女商人认罪BBC中文网2016年 1月 15日已归化为美国公民的华裔女商人朴虹被控在一宗腐败案中参与贿赂前联合国大会主席，她在美国一所法院承认有罪。52岁的朴虹于当地时间周四（1月14日）在纽约曼哈顿联邦地区法院承认，她曾以中间人身份参与向前联合国大会主席约翰·阿什（John Ashe）支付秘密款项，这是一宗更广大的案件的一部分——阿什被控收受来自中国商人的超过100万美元贿赂，从而借自身职务帮助商人获得商业利益。“这是钱款支付的目的，是有意图对约翰·阿什施加影响，包括借其职权（获得利益），”路透社引述朴虹在法庭上说。她在去年10月与另外五人一起被起诉，除阿什外，被告还包括澳门地产富豪吴立胜（Ng Lap Seng）、目前被停职的多美尼加共和国驻联合国副大使弗朗西斯·劳朗索（Francis Lorenzo）、一个名为“全球可持续发展基金会”（Global Sustainability Foundation）的机构华裔总裁严雪瑞（Sheri Yan）以及吴立胜的私人助理等。朴虹是此案中第一个认罪的被告，其余五人均否认控罪。美联社引述检控官布里特·巴拉拉（Preet Bharara）指，这一案件反映“困扰太多地方和国家政府的腐败毒瘤也蔓延到了联合国”。英文名为“Heidi”的朴虹是全球可持续发展基金会的财务总监，她被控以贿赂、洗钱等多项罪名，其中包括作为中间人向阿什支付20万美元，以换取阿什以联合国官员身份出席一个由中国地产商主办的私人会议并发表讲话。此外，据美联社引述法院文件指，身兼中美洲岛国安提瓜和巴布达（Antigua and Barbuda）驻联合国大使的阿什还同意借其职权帮助在安巴推动一个“国家互联网安全系统”。吴立胜在2015年11月到纽约法院出席庭审，他被检控方指是阿什贿赂案的主要行贿者之一。据路透社报导，检控方指曾在2013至2014年担任联合国大会主席的阿什从中国商人那里收受了总共130万美元的贿赂，帮助他们在联合国和安巴获得商业利益。检控方称，阿什获得的贿款有至少50万美元是来自68岁的澳门地产富商、中国政协委员吴立胜，后者希望换取61岁的阿什帮助，在中国领土澳门兴建一座由联合国赞助、造价数十亿美元的会议中心。劳朗索则被控收受吴立胜贿赂，支持在澳门的项目，也被指是阿什受贿的中间人之一。《纽约时报》在10月曾形容这一宗贿赂案案情“复杂”，而朴虹在周四认罪并答应与司法当局合作以换取从轻判决，路透社指这是阿什腐败案的一大突破。这可能意味着，此前仅被正式控告逃税一项罪名的阿什可能面临更进一步的起诉。（编写：列尔 责编：萧尔）翻墙技术博客订阅地址及社交帐号