Como pode qualquer empresa “substituir o seu DNS e ver o netflix de outro país” trabalhar com tráfego HTTPS?

Question

Existem muitos serviços, como "unblock-us.com", que possibilitam o uso de serviços com restrição geográfica de outros países. A configuração é sempre a mesma: basta substituir o DNS e pronto.

Minha pergunta é: como funciona?

Para o tráfego HTTP é muito simples - o DNS precisa retornar o IP de algum servidor que esteja na área geográfica correta, aceitar solicitações HTTP e encaminhá-las para o servidor conhecido no cabeçalho HOST.

Para tráfego HTTPS - o tráfego HTTP é enviado por SSL, portanto, teoricamente, qualquer proxy só pode ver que alguém enviou um blob de dados criptografados com destino desconhecido. Como isso funciona?

    

Answer 1

O serviço Smart DNS não precisa se preocupar com o conteúdo real da solicitação. Apenas redireciona toda a conexão como está. Obviamente, isso requer um mapeamento 1: 1 entre o nome de domínio redirecionado e o endereço IP.

Se você deseja acessar netflix.com , o servidor DNS inteligente "forja" a resposta e direciona você para, digamos, 1.2.3.4 . Este servidor está localizado nos EUA, para enganar o Netflix. Ele apenas troca alguns cabeçalhos no tráfego durante a mediação entre os servidores netflix.com reais e seu PC. Para a Netflix, parece que está se comunicando com 1.2.3.4 .

O servidor sabe que quando o tráfego chega por 1.2.3.4 , é para o Netflix. Pode haver outro endereço, 1.2.3.5 , para o Youtube.

    

Answer 2

A maioria dos softwares modernos é capaz de descriptografar e criptografar novamente o tráfego SSL, configurando o proxy como um intermediário. Dessa forma, a cadeia de confiança do certificado SSL / TLS é realmente quebrada, mas é um pouco mais sofisticada, então o usuário nem sabe que foi.

No meu caso, usei Squid3 para fazer uma configuração semelhante para um proxy transparente, e há um recurso chamado Squid-in-the-middle SSL Bump , que resume isso. Isso (como você verá neste link ) envolve algumas questões morais e legais, já que pode ser ilegal dependendo em qual país / estado você mora. No entanto, lembre-se de que, quando o proxy gera um certificado dinâmico, ele deve ser aceito pelo usuário em qualquer caso.

Há um link muito interessante que descreve isso em profundidade e é fácil de ler, então espero que ajude você a entender como esses proxies transparentes são feitos.

• Proxy do Squid com Bump SSL