1.引言
2025年9月11日星期四，中国防火长城（GFW）经历了其历史上最大规模的内部文件泄露事件。超过500 GB的源代码、工作日志和内部通信记录泄露，揭示了GFW的研发和运作细节。
这里泄露出GFW背后的一项重要技术力量：积至（海南）信息技术有限公司（Geedge Networks Ltd.）及中国科学院信息工程研究所（即：中科院信工所）第二研究室的处理架构组MESA。实验室文件显示，该公司不仅为新疆、江苏、福建等地政府提供服务，也是“周边”框架下向巴基斯坦、巴基斯坦、哈萨克斯坦以及一个先进识别的国家输出审查与监控技术。
此次泄漏事件意义重大且必然，由于资料体量庞大，GFW 报告将在当前页面，以及Net4People上持续更新我们的分析与发现。
2.下载链接
Enlace Hacktivista 提供了获取泄露数据的途径：
- BitTorrent：https://enlacehacktivista.org/geedge.torrent
- HTTPS 直接下载：https://files.enlacehacktivista.org/geedge/
泄漏文件总共约 600 GB。其中mirror/repo.tar单个文件，作为 RPM 服务器的存档就占了 500 GB。具体的文件的使用方法，David Fifield已经在 Net4People 上提供了更精彩的说明。
7206346 mirror/filelist.txt
497103482880 mirror/repo.tar
14811058515 geedge_docs.tar.zst
2724387262 geedge_jira.tar.zst
35024722703 mesalab_docs.tar.zst
63792097732 mesalab_git.tar.zst
71382 A HAMSON-EN.docx
16982 A Hamson.docx
161765 BRI.docx
14052 CPEC.docx
2068705 CTF-AWD.docx
19288 Schedule.docx
26536 TSG Solution Review Description-20230208.docx
704281 TSG-问题.docx
35040 chat.docx
27242 ty-Schedule.docx
111244 待学习整理-23年MOTC-SWG合同草本V.1-2020230320.docx
52049 打印.docx
418620 替票证明.docx
260551 领导修改版-待看Reponse to Customer's Suggestions-2022110-V001--1647350669.docx
3.安全注意事项
除这些泄露材料高度选择之外，我们强烈建议下载和分析他们的人采取适当的操作安全防护措施，并假设这些文件可能包含潜在的风险内容（例如在不安全的环境中存储或分析它们可能会导致监控或恶意软件攻击）。请考虑仅在无网络连接的隔离环境中分析这些文件（如虚拟机或不联网的主机）。
4.背景
中国的防火长城GFW是一系列互联网审查系统的系统称。其背后的研发、运维、硬件、管理、司其职、相互协作。除了固定的各部门政府（如国家互联网应急中心），根据每次的合同和标价，还会有不同的单位技术支撑。此次泄漏事件背后GFW背后的救援力量中的重要：积至和MESA。MESA实验室就是中国科学院信息工程研究所（简称：中科院信工所）第二研究室的处理组架构。
此次提前一切庆祝“防疫长城之父”的方滨兴来到北京，先是在2008年底成立信息内容安全国家工程实验室（NELIST），依托中国科学院计算技术研究所。后在2012年起依托中国科学院信息工程研究所。2012年1月，部分NELIST的人马在信工所组建团队，并于2012年6月将团队正式定名处理架构团队，中文名称MESA（Massive effective Stream）分析）。 下面是 MESA 介绍自我的一段摘录：
MESA大事记
2012年1月，刘庆云，孙永，郑超，杨嵘，秦鹏，刘洋，李佳在信工所组建团队；
2012年6月，团队正式定名处理架构团队，英文名称 MESA（Massive Effective Stream Analysis）；
2012年，刘庆云入选信工所首届“青年之星”人才培养计划；
2012年，杨威，周舟加入团队；
2012年，团队顺利完成“十八大”网络安全保障任务；
2013年1月，MESA培养的第一名博士柳厅文顺利毕业；
2013年，李舒，刘俊朋，刘学利加入团队；
2013年12月，MESA团队获得2013年度信工所重大科技进展奖；
2014年，周舟入选信工所“青年之星”人才培养计划；
2014年，MESA组件SAPP平台开始在工程中大规模应用；
2014年，张鹏，喻灵婧，贾梦蝶加入团队；
2015年，郑超入选信工所“青年之星”人才培养计划，张鹏入选信工所“引进优秀人才”培养计划；
2015年8月，MESA从农业局搬迁到华严北里办公区；
2015年7月，MESA培养的博士生沙泓州顺利毕业，刘晓梅获得优秀毕业生荣誉；
2016年，窦凤虎、朱宇佳、王凤梅、李钊、陆秋文、杜梅婕、沈岩、方绪鹏陆续加入MESA，团队规模迅速扩大；
2016年，团队承担多项重大工程项目，年收入合同额超过3500万；
2016年12月，MESA团队参与获得国家科技进步二等奖；
2018年，孙永、周舟荣获2017年国家保密科学技术二等奖；
到了2018年，方滨兴此时已经在海南也站稳了脚跟，积至（海南）信息技术有限公司（Geedge Networks Ltd.）就在同年诞生了。方滨兴担任首席科学家，“核心研发人员来自中科院、哈尔滨工业大学、北京邮电大学等高校和科研院所”。其中大部分血液就来自MESA，比如郑超担任CTO。细心的读者会发现，MESA大事记中许多导师和学生都会在浪费的积蓄至公司的 git commit 中出现。
5.非源码文件分析
其中泄漏文件的非源代码部分已经被多个专业团队详细分析，这些团队包括但不限于InterSecLab、国际特赦组织（Amnesty International）、Justice for Myanmar、环球邮报（The Globe and Mail）、Der Standard，以及Follow the Money。
David Fifield 已经收集并整理了这些报告并做了笔记。请注意泄漏文件的来源代码的部分还没有被分析：
- InterSecLab：互联网政变（The Internet Coup） (文档) PDF 76页(文档)
- 国际特赦组织（国际特赦组织）：控制的监管：巴基斯坦的审查与大规模监控 (档案) PDF 102页(档案)
- 缅甸正义：监控的丝绸之路（Silk Road of Surveillance） (文档) PDF 47 页(文档)
- 环球邮报（The Globe and Mail）：泄露文件显示一家中国公司正在出口“防火墙长城”的审查技术 （档案）
- Der Standard：中国如何将其全面的互联网监控出口到国外 （文件）
- 追随金钱：中国将审查技术出口至威权行为——在欧盟公司的协助下 （文档）
5.1 对报道的摘抄
以下为大卫·费菲尔德对报道的摘录：
以下是三篇新闻文章的笔记和重点。
环球邮报：泄露文件显示一家中国公司正在向海外出口防火长城的审查技术
泄露的内部文件显示，Geedge直接与各国政府和互联网服务提供商（ISP）合作，安装用于审查和监控的产品。他们提供的功能包括追踪用户位置和网络访问历史，以及封锁服务和翻墙系统。
……超过10万份与Geedge Networks有关的内部文件泄露。这是一家鲜为人知的中国公司，却悄然在开发防火墙长城和向世界各国政府提供类似的审查能力方面扮演了关键角色……这些文件不仅揭示了Geedge如何向专营客户出口先进的审查技术，使他们获得了原本不具备的能力，也揭示了防火墙本身的转变。其中包括过滤网站和应用程序的方案、实时在线监控、对特定地区进行网络限速或断网、通过在线痕迹识别匿名用户，以及封锁包括VPN内部的翻墙工具。
Geedge涉足五个国家：哈萨克斯坦、哈萨克斯坦、哈萨克斯坦（#369）、巴基斯坦，以及一个仅以代号A24出现的未公开国家。哈萨克斯坦是其2018年成立后的早期客户。
Geedge 成立于 2018 年后不久，雇佣客户之一是哈萨克斯坦政府，公司向其出售了产品「天狗安全网关」（TSG），产品具备类似中国防御行为长城的功能，监控和过滤所有经过的网络流量，并检测和阻止翻墙。同样的工具同时配置和部署，在军政府禁止 VPN 的过程中发挥了关键作用。在许多情况下，Geedge 与其他公司合作，包括至少的 Safaricom、多种的Frontiir和Ooredoo等ISP，共同实施政府审查。文件显示，这些ISP均未响应置评请求。
曼哈顿在“正义丝绸之路”报告中被特别提及。巴基斯坦则在国际特赦组织报告中被特别提及。
关于巴基斯坦，这篇环球邮报的指出文章，Geedge在Sandvine撤出后，把自己的新系统（包括TSG）安装在原有Sandvine留下的设备上。（Sandvine现在更名为AppLogic。）
Sandvine于2023年在迫切要求严格的审查下退出巴基斯坦，很快就被Geedge替代。文件显示，Geedge不仅利用了现有的Sandvine安装设备，还提供了解决新技术，驱动巴基斯坦的“网络监控系统”（该国的国家级防火墙）。AppLogic在声明中表示，他们并不理解Geedge，而且被重新利用的硬件都是“现成的设备”，并不具备Sandvine方案所排除的特殊功能。
文章引用了同一份招聘广告（曾在#369（评论）出现），其中提到了另外四个国家：马来西亚、巴林、阿尔及利亚和印度：
Geedge最近发布的一则招聘广告还提到了“一带一路”。该广告寻找“能说英语或其他外语”的竞选，并愿意赴“巴基斯坦、马来西亚、巴林、阿尔及利亚和印度”进行3至6个月的商务出差。
另外海外，文件显示Geedge一直在新疆、江苏和福建省有部署。这可能意味着一种更加多元化、区域化的防火墙系统，类似河南的情况，见#416和《一堵墙后的墙》墙。
Geedge 与中国科学院大学的 MESA 实验室关系密切。我们之前在#471（评论）的读书组帖子中提到过 MESA 的“SAPP”网络分析平台。Geedge 的首席技术官郑超是 MESA 2012 年 1 月的联合创始人。
Geedge文件中自豪地称方某为“防御长城之父”。公司其他高管，如CEO王远地和CTO郑超，被来自互联网审查相关论文的合作者，以及Geedge提交的专利的发明人。公司与中科院MESA保持密切的实验室关系，文件双方人员有定期合作。一位MESA研究员曾记录2024年7月月新疆会议内容，倡议运用“打击翻墙工具”技术，并建立“新疆分中心”作为“消防先锋”和“省级能力示范”。
公司对翻墙系统和VPN进行专门研究，以便锁定它们。
文件显示，公司员工致力于对众多常见工具进行逆向工程，并寻找封锁方法。其中一组文件系列了九个商业VPN被“解决”，并已提供了识别和过滤流量的多种方式。这些功能与防御长城长期商业展示的能力一致，目前大多数VPN在中国境内无法访问，许多专用的翻墙工具也难以使用。
标准报：中国如何将全面网络监控出口海外
本文推出了 Geedge 技术的其他功能，除了追踪用户和诱导访问之外，还包括：在 HTTP 会话中注入恶意代码，以及直接发起 DDoS 流量攻击。
Geedge Networks 提供的技术极其强大，Intersec Lab 的 IT 安全专家的分析表明，它们能够精准识别并封锁 VPN 特定的数据流量。它们可以精准识别并封锁 VPN 特定的，而用户长期以来一直依赖 VPN 来规避威胁的数字审查。甚至可以向网站插入恶意代码，或发起 DDoS 攻击，使特定网站瘫痪。
文中还提到Geedge软件部署在巴基斯坦Sandvine硬件上。显然，Geedge特别强调软硬件解耦合。
后来，加拿大公司 Sandvine 向巴基斯坦提供了一套系统，使恐惧能够封锁不良网站。2023 年，Sandvine（后更名 Applogic Networks）退出巴基斯坦，但显然留下了部分硬件。调查显示，这些硬件至少最初被 Geedge Networks 重新利用。Applogic Networks 告诉《标准报》，对此他们毫不知情，并强调其技术无法解密用户数据或入侵间谍软件。
法国公司泰雷兹集团为Geedge提供许可管理。Geedge至少使用过一个服务器进行软件下载分发。（可能是为了避免服务器在中国境内会被防御德国长城干扰。）
一家法国公司——可能是无意中——成了Geedge的帮手。泰雷兹集团出售的软件可用于许可证管理。Geedge显然是利用该软件来控制售出的产品，比如限制软件的使用时间长。泰雷兹集团向《标准报》确认这家中国公司是其客户之一。但Geedge软件并不依赖法国产品才能运行。泰雷兹称自己与监控无关。，Geedge还利用德国服务器，通过下载链接向客户软件分发。其动机尚在坟墓，但高贵，中国防火长城正迫切限制海外访问中国网站。德国相关部门未对《标准报》的询问做出回应。
Follow the Money：中国向威权入境出口审查技术——欧盟企业亦有帮助
本文概述了 Geedge 的多种产品，这些产品可以压缩出售，也可以单独提供。“Cyber Narrator”是一个高层监控面板，非技术用户也可以直接使用。“天狗安全网关”（TSG）是实际执行网络监控和封锁的设备。TSG Galaxy 是数据存储和分析概述。“Network Zodiac”是一个对其他进行管理和监控的工具。
Geedge的产品组合包括多种技术。InterSecLab的数据分析显示，“Cyber Narrator”是客户的主要界面，即使非技术也能利用它监控特定区域的互联网用户（如示威期间）。其次是被认为是产品的“天狗安全网关”，它能封锁VPN，还能向网站注入恶意代码或发起攻击。另一个产品是“TSG Galaxy”，用于存储收集到的用户数据；而“Network Zodiac”则是监控其他所有系统，并报告错误。
Geedge的设备（如TSG）可能安装的范围远超接触偏移的国家，因为其官网声称“服务40+全球运营商”：
据中国媒体报道，2024年宾星在一次演讲中宣布，公司计划“拓展国际市场”，推动中国技术全球化。文件显示、巴基斯坦、巴基斯坦和哈萨克斯坦至少都持有旗舰产品TSG的许可证。此外，Geedge官网致力于服务“40+全球运营商”，暗示其影响远超泄露文件，如图所示。
2023 年 2 月的 Geedge 工单涉及当时的社交媒体封锁，与当时已知的封锁情况（#210）一致。
2023年2月，全国抗议浪潮期间，Geedge的一份工单显示其专家受到呼吁处理与YouTube、Twitter等社交媒体平台相关的问题。同一时间段，洼地也报道了这些平台的抗议情况。
至少有一个 Jira 工单显示了电子邮件明文拦截的证据：
内部文件显示，Geedge 的工具（包括 TSG）已在[巴基斯坦]使用——至少在一起案例中，某全球肥胖公司与一家巴基斯坦公司的电子邮件通信被拦截。
5.2 对报告的分析
以下为 David Fifield 对报告的摘录和分析：
InterSecLab 报告（PDF 76 页）写得非常好，包含大量具体的技术细节。它更详细地解释了 Geedge 的产品套件、其与MESA研究实验室的关系，以及在各地的部署时间线。
基于对全国超过10万份Geedge Networks文档泄露材料的分析（该材料被分享给InterSecLab），本研究揭示了Geedge Networks系统的功能与能力，包括深度包检测、对移动用户的实时监控、对互联网流量的精细化控制，以及可按地区定制的审查规则。泄露材料还揭示了Geedge Networks与学术实体Mesalab的，以及他们与客户政府之间的互动。对数据主权的影响十分重大，我们发现对监控关系与信息控制技术商品化的趋势引起了担忧。本研究利用了Geedge Networks在多个国家的系统的最新进展，包括已知的部署时间线。通过分析该公司的内部文档，InterSecLab记录了其商业化“国家防火墙”的传播，并在这些系统扩散的背景下，推测其对全球互联网未来的影响。
吉吉产品
天狗安全网关（Tianou Secure Gateway）
天狗安全网关（TSG）是多用途防火墙和监控设备的名称。TSG包含所有主要的DPI、过滤、跟踪、限速和攻击功能。TSG提取的数据会进入TSG Galaxy进行存储与分析。
TSG的能力非常广泛，具备通过深度包检测进行监控与审查、识别并封锁VPN和各种翻墙工具、限速流量、监控、跟踪、标记并封锁互联网个体用户，以及以恶意软件感染用户等功能。
TSG 可以安装在称为TSGX的标准化硬件平台上，也可以配合客户的现有硬件运行。（报告称在巴基斯坦，Geedge 的 TSG 安装在 Sandvine 留下的上设备上。）TSG 运行称为TSG-OS的操作系统，其基于 Red Hat Enterprise Linux 和 Docker（参见郑超等人的《A Flexible and Efficient Container-based NFV Platform for Middlebox Networking》）。
可安装任意数量的 TSG 节点，称为Ether Fabric的分流设备会按 5 元组哈希在所有节点之间做负载均衡。用于管理 TSG 集群的系统称为Central Management或“毕方”（Bifang）。
TSG 依赖于 MARSIO 的用户态网络系统。与之相比，它自行进行路由与报文处理，为了效率而绕过 Linux 内核。它使用了DPDK。（再次参见 2018 年的《“灵活高效的基于容器的中间盒网络 NFV 平台”。）
TSG 银河
TSG Galaxy 是一个数据存储与汇聚系统（提取-转换-加载 的数据仓库），保存有诸如 TCP 与 UDP 及其会话协议（包括 TLS、SIP、DNS、QUIC）的元数据。Galaxy 中的信息可以通过 Cyber Narrator 进行查询。
TSG Galaxy 是 Geedge Networks 的 ETL（抽取、转换、加载）数据仓库方案，为互联网规模的大规模监控而设计，在客户国家收集并汇集互联网上所有互联网用户及其在互联网上传输的数据的大量信息。它构建在开源的 Apache Kafka 流处理平台之上，这是一种常见的数据处理软件，常被在线兼职和广告商用于提供分析客户。本次研究分析的数据包括一个 TSG Galaxy 的 SQL 架构，表明 TSG Galaxy 用于全国范围内所有 TCP与 UDP 会话的记录——这些传输协议广泛用于宽带与移动数据——以及所有的 SIP 会话。SIP 是一种用于 VoIP（网络语音通信）的协议，是大多数现代电话网络的基础。这意味着 TSG Galaxy 不仅允许监控互联网上的网络流量和内容，还允许监控电话通话。
TSG Galaxy 采用 IP 流信息导出（IPFIX）来分析流量，并使用深度包检测（DPI）提取元数据。通过 DPI，他们可以提取详细的指纹信息，包括 TLS 与 QUIC 的 SNI、DNS 以及头电子邮件。TSG Galaxy 还实现了连接指纹技术，例如 JA3 缓存，使 Cyber Narrator 能够识别模式来帮助判断用户使用网络以及连接所用的应用程序。详细查询技术可以用于识别用户是否使用 VPN等翻墙工具来隐藏流量或绕过审查。在 TSG Galaxy 内部，所有这些信息与来自互联网服务的信息相结合，通过多种标识符（包括 IP 地址、用户的修改户 ID、IMEI 和 IMSI）关联到具体的互联网用户。来自 TSG Galaxy 的元数据会被发送到一个数据库，客户可以通过 Cyber Narrator 进行查询。
网络叙述者
Cyber Narrator 是一个为非技术用户设计的用户界面，用于与显示由 TSG 收集、存储在 TSG Galaxy 中的信息。可以在 Cyber Narrator 中控制对服务与协议的封装，并提供对特定的用户自定义的功能的替换访问。Cyber Narrator 使用名为 WebSketch 的远程服务，为 IP 地址等标识来自第三方添加查询商或 Geedge 自身内容研究的元数据注释。
Cyber Narrator 是一款强大的工具，能够在各个客户层面跟踪网络流量，并可以通过将活动与特定小区（小区 ID）关联起来并实时标识识别移动用户的断层。该系统还允许客户查看聚合的网络流量。
……Cyber Narrator 可以让客户政府与安全力量更容易地利用翻墙工具或访问其他被其视为潜在恶意的应用或网页的个体用户标记出来。Cyber Narrator 的分析能力可用于特定流行的网站或 VPN 服务的访问。通过 Cyber Narrator，客户政府还可以在限制访问相关内容或服务之前识别个人。
网络星座（网络星座）
Network Zodiac，或称哪吒（Nezha），是一个监控其他组件的系统，类似于Grafana。看起来Network Zodiac的仪表板具备SSH到任意其他主机（如某个TSG节点）的能力——显然，如果某台Network Zodiac主机被攻陷，这将带来巨大的风险集中。
与流行的开源解决方案相比，一个显着的差异化特性是其集成的Web终端，使得网络管理员能够通过SSH远程连接到任何被监控的端点。该功能为客户提供了对网络设备进行故障排查和管理的直接访问。然而，也使客户面临巨大的安全风险。在最紧急的情况下，黑客可能获得对全国范围内部署的所有安全设备的访问权。
TSG的能力
TSG具备典型的多协议深度包检测与锁定能力，同时还具有令人惊讶的限速、注入、跟踪与攻防功能。
镜像模式与在线模式
TSG 与 Ether Fabric 可以以旁路（“镜像”或“被动”）模式部署，也可以以内联（可爆发流量或“主动”）模式部署。
Geedge系统可在两种主要模式下部署——镜像与在线——以帮助控制互联网。在镜像模式下（文档中有时称为“通路”），数据通过网络TAP被镜像到Geedge设备。具体来说，该网络TAP是一种光旁路交换机。数据包无需等待处理即可继续前往目的地。这种模式下，就是Geedge发生系统故障，互联网仍可继续运作。该模式的优势在于不会因处理延迟或拥塞而增加网络时延。在镜像模式下，客户无法通过阻止特定流量，不得不依赖数据包注入来爆发连接。在线模式（文档中也称为“主动”模式）要求流量在继续前往目的地必须先通过Geedge设备……该模式的优势在于彻底阻止特定流量通过网络之前。通常，这是那些希望获得绝对控制的客户所选择的方案，但代价是可以与网络优先的升级。
将其与2024年巴基斯坦一位官员的说法对比：
但为了监控本地流量，新的防火墙将采用所谓的“内联网络”，其类似的安检点每个，数据作用包都必须被检查，并被通过或被包围——相反仅观察并记录流量而不影响其流量的另一种机制。据ISP官员称，使用内联网络“必然会降低网速”。
深度包检测
报告提到的协议包括 HTTP、DNS、 email、TLS、QUIC 和 SIP。
可从 TLS 与 QUIC 中提取服务器名称指示（SNI）。（基于 QUIC SNI 的中国审查，参见《揭露和规避基于 SNI 的 QUIC Censorship of the Great Firewall of China 》。）
使用DPI，他们可以提取指纹信息，包括TLS详细与QUIC的SNI、DNS查询以及电子邮件头。
如果在客户端安装 MITM 证书，TLS 流量可被解密；否则 TSG 必须依赖于加密流量的分类暗示方式：
TSG 能够通过两种主要方法分析传输层安全（TLS）流量。第一种方法是使用中间人（MITM）技术进行完全解密，这需要修改用户安装自签名的根 CA 证书。第二种方法采用 DPI 与机器学习技术，从加密流量中提取元数据。这更常用，因为它对互联网用户不可见，从而需要用户安装 CA 证书或配置代理设置。……负责实施 TLS MITM 攻击的组件被称为天沟前端引擎（TFE）。
流量限速
TSG集成了流量整形能力，能够对特定服务的流量进行优先级分配或限速，从而在不直接占用的情况下降低服务质量。这可以通过直接的流量整形来实现，也可以通过应用差分服务代码点（DSCP）标记来实现，瞬时限制或优先处理流量的行业标准。
注入与修改
TSG能够注入与流量。它既可以用于封锁目的，也可以用于以恶意软件感染用户，或诱饵对目标发起DDoS攻击，构成“大炮”（Great Cannon）。
TSG 可以通过诸如伪造请求响应、修改头部、注入脚本、替换文本与覆盖响应体等技术，实时修改 HTTP 会话。
TSG 配备了在线注入能力，允许在通过网络传输的文件中插入恶意代码。Geedge Networks 明确表示该功能旨在在互联网流量经过 TSG 系统时插入恶意软件。TSG 的在线注入能力系统允许对特定用户进行精细化定向，可对多种文件格式进行“即时”多种，包括 HTML、CSS 和 JavaScript，以及 Android APK、Windows EXE、macOS DMG 镜像和 Linux RPM 包。此外，TSG 还可以修改图像格式（如JPG、GIF、PNG 与 SVG）以及各种归档格式（如 ZIP 与 RAR），以及办公文档、PDF、JSON 与 XML 文件。Cyber Narrator 还提供了分析功能，能够识别最合适的劫持 URL 和感染特定个体。例如，它可以针对那些未使用 TLS 的、其他的高频访问网站。
在泄露数据中识别出的Geedge Networks最令人困惑的产品之一是DLL主动防御（DLL Active Defence），这种产品通常可以在网络犯罪黑市中见到。乍看之下，它似乎是一个用于防御DDoS攻击的系统；然而更仔细的检视表明，它实际上是一个针对被视为政治上不流行的网站与其他互联网DDoS攻击的服务平台。这看起来是Geedge自己实现的中国“大炮”，正如2015年公民13 DLL通过利用互联网扫描来识别流量放大点（例如梯度DNS服务器），这些放大点可作为反射式拒绝服务攻击的发射台。它利用TSG的在线注入能力，有效地“”不知情的用户参与攻击，从而形成一个僵尸网络。这一次首次有网络安全公司向客户端提供本质上是“肉鸡租用”（booter）的DDoS攻击服务。
将网络流量提升至真实身份
Sanity Directory（SAN）或用户流量管理系统是一种订户业务系统，旨在将 TSG 与 ISP 现有的信令与 AAA（认证、授权与设备）协议（包括 RADIUS、3GPP 与 CGNAT）无缝集成。该集成有助于将流量流量迁移到真实身份。
Geedge 的 Sanity Directory 组件的核心特性能够将流量精准到特定的 SIM 卡。这不仅使大规模监控成为可能，也使在巴基斯坦和 Geedge 经营的其他国家对特定个人进行高度定向的针对性监控成为可能。
识别与封锁翻墙工具
Geedge 购买了 VPN 账户，并运营一个安装了 VPN 应用的移动设备集群，以研究其网络行为：
TSG 还采用 DPI 全面识别与 VPN 与翻墙工具的协议，如 OpenVPN 与 WireGuard。此外，它允许客户与 Geedge Networks 合作制定规则集以封锁特定服务模块；Geedge 在运营一个移动设备群中，受控环境中安装并运行 VPN 应用。
为了这些封锁规则，Geedge Networks逆向工程，采用静态与动态分析。静态分析涉及反编译源代码以找到返回服务器列表的API，因此创建使用封锁。动态分析在运行VPN应用的同时分析其网络流量，以识别可用于封锁的模式。泄露证据显示，Geedge Networks与流行的VPN优先保留付费账户，用于分析并屏蔽其应用。TSG硬件还可以识别流行应用的VPN协议，如IPSec、OpenVPN与WireGuard。
有一个叫做AppSketch的应用网络指纹数据库，包含具体大量应用（如各家VPN服务）的指纹。见上图截图。
关于收集AppSketch指纹的脚注10提到了我们之前讨论过的SAPP（#471）与Maat（#444）等技术。
为了提取这些（AppSketch）指纹，Geedge 和 Mesalab 的学生使用了他们所谓的 tcpdump_mesa 的开源工具 tcpdump 的修改版。此外，这些指纹被转化为规则集，使用四种 DPI 系统之一：SAPP（Stream Analytics Process Platform，一种 C 语言的数据包解析与填充库）；Stellar（一个比 SAPP 抽象层更高的有状态防火墙插件平台）；或 Maat（一个声明式系统）。与 SAPP与 Stellar 不同，Maat 在开发新规则时不需要编程知识。Maat 能匹配常见的连接指纹，包括 IP 地址、域名、TLS SNI、JA3/JA4 指纹——这些都以 JSON 文件指定形式。通过使用 Redis 数据库，Maat 规则会在 TSG 集群的各节点之间进行同步，从而保证规则应用的一致性。
一个有趣且令人惊讶的能力是：通过观察既往已知的 VPN 用户的行为来发现新的 VPN 端点。（让人联想到 MESA 成员参与的《“通过图形表示的行为识别 VPN 服务器”》。）
另外，Geedge Networks的产品能够将特定的个人识别为已知的VPN用户。一旦这些已知的翻墙工具用户尚未被封锁的新服务成立，Geedge Networks就可以观察其流量，并利用其留下的“轨迹”来识别未来要封锁的新VPN。
进一步地，系统可以将个别订户识别为已知的VPN用户，并跟踪他们的互联网使用情况，将任何未来未知的高带宽流量归为可疑。这种个性化的分类可能导致在互联网用户切换到新的VPN时，识别并锁定先前尚未识别的服务，从而不仅牵连该用户，也牵连使用该服务的所有其他用户。
无法识别的高带宽流量也可以用于指导托管：
补充 TSG 无法识别用户活动所的具体应用或服务，它也可以将任何异常的大流量标记为可疑。此后，系统可被配置为在预设时间（例如 24 小时）后锁定被标记的流量。该做法与 GFW 的上线相对应：补充为无法识别具体流量类型，GFW 同等在一定持续时间后封锁高带宽的加密流量。
报告（p.63）讨论了 Tor 的桥接、Snowflake 与WebTunnel。报告暗示 Geedge 具备枚举 Tor 桥的办法，但尚不确定是内部能力还是志愿者。Cyber Narrator 的一张宣传截图包含“Snowflake”字样。泄露材料包含 MESA 学生关于 WebTunnel 的研究，但目前尚未发现屏蔽技术。
Geedge 有一个专门用于枚举 Psiphon 端点的工具，名为 Psiphon3-SLOK。它与 2024 年 5 月 Geedge 进入同期时在当地观察到的 Psiphon 连接变化相一致。
据透露，Geedge Networks 似乎尝试通过开发一款名为 Psiphon3-SLOK 的内部工具来绕过这一防护措施。我们与 Psiphon 团队交流了解到，2024 年 5 月下旬，来自中部地区的用户数量呈上升趋势，客户端选择服务器的方式也发生了变化，这与服务器计数与定向硬盘的情况一致。此恰逢 Geedge 系统正在迁移部署。
对客户网络的远程访问
存储在 TSG Galaxy 中的客户数据实际上对 MESA 的学生和研究人员可访问，并可能被用于研究。
本研究的一个重要发现是：在政府客户现场收集到并存储于 TSG Galaxy 的所有用户互联网数据似乎对 Geedge Networks 是可用的。数据还显示，真实客户数据的快照有时会被分享给员工与 Geedge Networks 密切的中国科学院 Mesalab。数据表明，Mesalab 的工程专业学生曾使用真实世界的客户信息开展研究，旨在更好地理解并阻断互联网审查漏洞。
此外，Geedge Networks 的员工似乎具备在其办公室内部创建一个 Wi-Fi 网络的能力，使任何设备能够远程连接到客户网络。该功能使他们能够在真实世界场景中验证封锁机制是否有效运行。
向中国境外国家的部署
对吉奇在哈萨克斯坦、巴基斯坦、巴基斯坦与巴基斯坦的部署的报告给出了详细的总结。关于巴基斯坦与巴基斯坦，还有更详细的信息参见控制的阴影与监视的丝绸之路。
部署 Geedge 设备涉及 Geedge 员工亲赴目标 ISP 的场所，与该 ISP 人员直接合作。（顺带一提，这一事实揭穿了像劳动力的 Frontiir 这样的 ISP 的谎言：当问及时他们否认与 Geedge 有关，p.53。）
在一个新的国家或省份启动部署时，Geedge 会前往客户总部，在政府与当地 ISP 所拥有的场所内安装硬件。当地 ISP 是 Geedge 系统搭建基站的一环。ISP 需要在安装期间向 Geedge 员工开放其场所，并提供员工网络方案，说明 Geedge 硬件如何集成到 ISP 现有系统。用于采集与存储海量数据的 Geedge 硬件被安装在各个 ISP 的数据中心内部。
在泄露材料中，各地以代号标识。除一个代号（A24）外，其余均已对应到具体国家。大多数情况下，代号由国家名称的首字母与第二个年份组成（显然并不总与首次使用年份一致）。
哈萨克斯坦（代号K18、K24）
Geedge成立于2018年。泄漏材料显示，哈萨克斯坦政府是其中央客户，从2019年开始。报告将Geedge的部署与该国推动全国范围的TLS MITM的愿景联系起来，这一点我们曾在#6、#56与#339中展示。
Geedge 的产品 Tiangou Secure Gateway（TSG）能够实施类似政府颁发根证书的攻击，这可能是 Geedge 最初接触哈萨克斯坦政府时的卖点之一。一张日期为 2020 年 10 月 16 日的图片已订购了一个国家中心及其他 17 个城市的 IP 地址，这些地点运行着不同的 Geedge 产品：Bifang（集中管理）、Galaxy（TSG-Galaxy 的早期）与 Nezha（Network Zodiac） Geedge 的一份不完整的网络规划文档开始于 2020 年 9 月记录某与哈萨克国家中心相关的事件。该记录日志至 2022 年 10 月，并包含一张表格，列出与项目相关的修订情况，包括日期、版本号、修改内容以及修改负责人。
东南亚（代号E21）
Geedge于2021年在前期开展工作。
本直接节点名了郑超：
一条 2022 年 12 月的日志记录：Geedge CTO 郑超批准了位于亚的斯亚贝巴的两座 Safaricom 区域数据中心的相关工作。
我们提到，TSG 可在已镜像模式或在线模式下进行。报告称，从镜像切换到在线运行可能先于一次断网，并将其与2023 年 2 月的社交媒体封锁联系起来。
Geedge的修订日志显示，从镜像模式切换到在线模式与政府准备实施断网之间存在相关性。例如，切换到在线配置可能表明断网即将到来；从总体上看，镜像模式更优化于监控，而在线模式更适合断网。日志总体显示在今年发生了18次切换为在线模式的变更，其中两次发生在2023年2月之前断网、位于Safaricom数据中心。
巴基斯坦（代号P19）
Geedge于2023年进入巴基斯坦，同年Sandvine退出该国。在Shadows of Control报告中，国际特赦组织将Geedge运营商的防火墙称为“WMS 2.0”（网络管理/监控系统2.0），以所取代的早期版本WMS区分。
Geedge在巴基斯坦的存在与双方有关中国参与国家防火墙的报道一致；巴基斯坦总理的存在与Geedge的TSG已知能力相一致：
接受半岛电视台采访的一位巴基斯坦资深ISP高管所使用的语言与Geedge的营销材料高度契合。51这位未具名的高管称，新的WMS部署不仅在国家互联网关口 ，也部署在移动服务与ISP的本地数据中心。[52]由于的系统监控只能出入境的内容，巴基斯坦无法审查由Netflix与Meta等运行的内容本地托管CDN所托管的。对比WMS 1.0与WMS 2.0，这前面表示：“与Sandvine系统不同，新的基于DPI的系统现在能够监控本地互联网流量”，它使用“内联网络”，这也更可能降低用户的上网速度。该尖端还指出，这个中国（Geedge）技术提供了在“细粒度层面”管理应用与网站的能力，特性与Sandvine不同。
Geedge 的 Sanity Directory 具备将网络行为精准到特定 SIM 卡的能力。在巴基斯坦，SIM 卡又与现实身份相绑定：
……自 2015 年起，该国每张发放给移动用户的新 SIM 卡都必须注册到特定用户名下，并通过国家数据库与登记局（NADRA）登记的生物特征（包括指纹）绑定。人们需要 NADRA 档案才能获得医疗、银行与教育等基本服务。NADRA 档案还与其他数据库相连，如病人登记与税务记录，并为每个公民建立了一份全面记录。[57] Geedge 的理智目录组件的核心功能之一，就是将流量精准到特定的SIM卡。
中部（代号M22）
丝绸之路的重要性，是因为这是Geedge首次在国外的作品被公开知识产权，当时由Justice for Myanmar报道。
除了刚才报道过的Frontiir之外，泄露材料还收购了所有ISP的数据中心。 双方，当被询问时，Frontiir曾有意否认参与任何监控项目。
该规划文档列出了中国所有ISP（无论国营或中小企业）所在的数据中心。“四大”ISP（MyTel、Ooredoo、MPT 与 ATOM）列在其中，同时也列出了少量的服务商，如 Frontiir、Global Technology Group、Golden TMH Telecom、Stream Net、IM-Net、Myanmar Broadband Telecom、Myanmar Te communications Network Public Company Limited、Campana 与中国联通。文档还包括所有 ISP这些报告提供了 2024 年不同日期进行的网站调用性测试信息。测试目标似乎是评估各个 ISP 网络上的审查效果。
Frontiir 的先驱承认其曾“在其网络上构建、规划或设计过任何与监控相关的内容”。然而，泄露文档表明，Geedge 硬件安装在所有 ISP 的机房中，包括 Frontiir。
有关政府希望封锁的应用程序与 VPN 列表的信息：
泄漏文档还包含关于封锁 VPN、Tor（尤其是由 Tor 驱动的移动应用 Orbot）与 Psiphon 的详细信息。与哈萨克斯坦或哈萨克斯坦等其他客户国家提供的 VPN 封锁清单相比，构成的“欲封锁 VPN 清单”更长。记录文档制定了“高优先级应用”封锁规则的流程，其中包含 55 款应用，包括消息应用 Signal 与 WhatsApp。
代号A24
有一位 Geedge 客户仅与代号 A24 为人相同。在泄露发生时，可能的业务关系显然还是一个早期阶段。
虽然泄露文档包含与本报告中所列已知客户国家相关的具体地点和/或ISP，但与A24相关的数据并不包含这些可用于识别客户关系的信息。关于A24身份的唯一线索只有首字母A与年份2024。此外，信息显示，继泄漏发生时，A24与Geedge的还涉及早期。为向客户澄清两种模式的差异，进行了双重Geedge设备的概念验证部署：一次为镜像模式，一次为在线模式。
中国的区域性防火墙
报告显示Geedge参与了中国的区域（省级）防火墙建设，尤其是在新疆。
除与国际客户政府合作外，本研究还提供了证据，显示中国正在出现一种补充国家级“防火墙长城”的省级防火墙模式。Geedge Networks正与中国多个框架合作建设省级防火墙，其审查规则可能因地区而异。InterSecLab已识别出在新疆、福建与江苏的中国区域性省级防火墙项目。
新疆（代号J24）
新疆 的代号为J24。泄露文档直接指示：作为新疆的区域防火墙将中国全国部署的样板。
泄漏材料包含2024年6月22日在中国科学院新疆分中心的语音记录。该语音的笔记（很可能由Geedge员工所记）写道，Geedge的项目“旨在将区域中心打造成预防的先锋力量，尤其是在翻墙压制方面”。笔记提到，“国家（防火墙）正向演进方式集中”，而新疆区域板中心旨在“成为一次可复制或可重建的省级（防火墙）建设样”。
与大多数其他Geedge配置类似，新疆的配置遵循一个由“中央指挥中心”连接“运营商”数据中心的结构。
与更早的项目相比，J24 规模更加庞大，且不再通过 ISP 作为用户来操作。相反，它遵循与 Geedge 在国外客户地区类似的结构：由一个“国家中心”（在新疆，Geedge 将其称为中央指挥中心）来监测周围的区域中心（Geedge 称为运营商中心）。接下来，这些运营商中心分布在中国电信、中国移动、中国广电和中国联通的机房中。与上述国家中心类似，中央指挥中心可以远程管理部署在运营商站点的监控设备。根据一份文档显示，这些运营商的设施中心共有17个运营商中心。
新疆的需求表现出强烈的入侵性监控，这与我们所了解的该地区的现状相一致。
在题为“CBNR-J24需求组织”的文档中，Geedge概述了要在Cyber Narrator中为新疆部署加入的一系列功能。Geedge Networks希望在Cyber Narrator中支持对用户互联网行为、模式与他们的总结与分析功能的关系。还希望加入根据目标交流对象关系构建图谱的能力，并按照用户所用应用或网站对人群进行访问进行分组。未来开发需求还提到，加入检查连接至特定移动基站的用户能力，以通过这些基站进行位置三角定位，并检测在特定地区出现的大量人群聚集。项目计划加入创建人群地理的能力，当特定个体指定进入区域时触发相应。还强调了查询历史位置以信息追踪过去活动的功能。Geedge应标记间隙更换SIM卡、拨打国际电话或使用翻墙工具与境外社交媒体应用的。J24项目还包括面向特定群体的功能。这些功能将允许在地图上被监控群体的地理分布，并检测群体在特定地点的异常聚集情况。这样进行操作员追踪并预判大规模抗议与事件的形成。
福建、江苏等省份
有关于Geedge在福建 与江苏 开展工作的文档，但其他地区缺少一些相关信息。
文档显示，Geedge Networks于2022年在福建开展了类似的省级防御重点项目——福建位于台湾海峡对岸的一个省份。然而，与其他部署相比，有关该项目的信息相对有限。泄露文档中，该争议没有代号，仅被称为“福建项目”。
几个文档还提到了江苏这个中国东部沿海省份。Geedge与当地机关（江苏省公安厅，JPSB）合作的动机是网络诈骗。沟通记录显示，JPSB对允许Geedge构建一套大数据集群持怀疑态度，更倾向于让Geedge工具部署在现有基础设施上。一个名为“江苏南京”的初始测试环境于2023年2月开始运行，“江苏反诈骗项目”似乎在2024年3月15日转入生产模式。
评论
发表评论