Deep Packet Inspection (DPI): Mitä se on ja miksi VPN-käyttäjien tulisi välittää siitä

Mitä se on

Kun data kulkee internetissä, se liikkuu pieninä paloina, joita kutsutaan paketeiksi. Jokaisessa paketissa on kaksi osaa: otsikko (perustietoja reitityksestä, kuten lähde ja kohde) sekä hyötykuorma (varsinainen sisältö). Perinteiset palomuurit tarkastelevat vain otsikkoa — kuin lukisivat kirjekuoren osoitteen avaamatta sitä.

Deep Packet Inspection menee pidemmälle. Se avaa kirjekuoren ja lukee sen sisällön. DPI-teknologia analysoi jokaisen datapaketin koko sisällön sen kulkiessa verkon tarkastuspisteen läpi — reaaliajassa ja suurella nopeudella. Tämä antaa tarkastuspisteen hallitsijalle — internet-palveluntarjoajalle, viranomaiselle tai yrityksen IT-osastolle — poikkeuksellisen laajan näkyvyyden siihen, mitä teet verkossa.

Miten se toimii

DPI otetaan tyypillisesti käyttöön verkon pullonkaulakohdissa: internet-palveluntarjoajan infrastruktuurissa, kansallisissa internet-yhdyskäytävissä tai yrityspalomuurissa. Perusprosessi on seuraava:

  1. Pakettien kaappaus — Liikenne kulkee DPI-laitteen (laitteiston tai ohjelmiston) läpi.
  2. Protokollan tunnistus — Järjestelmä tunnistaa liikenteen tyypin: HTTP, DNS, BitTorrent, VoIP, videostriimaus jne.
  3. Sormenjälkien vertailu — DPI vertaa pakettimalleja tunnettujen sovellusten ja protokollien "sormenjälkitietokantaan".
  4. Toimenpide — Käytännön mukaan järjestelmä voi sallia, estää, kirjata, uudelleenohjata tai rajoittaa liikenteen.

Nykyaikaiset DPI-moottorit pystyvät käsittelemään liikennettä linjan nopeudella, eli riittävän nopeasti aiheuttamatta havaittavia viiveitä. Jotkin kehittyneet järjestelmät hyödyntävät koneoppimista tunnistamaan liikennemalleja, vaikka sisältö itsessään olisi salattua — analysoimalla ajoitusta, pakettien kokojakaumaa ja yhteyskäyttäytymistä.

Tämä viimeinen seikka on ratkaiseva: pelkkä salaus ei aina riitä ohittamaan DPI:tä. Vaikka internet-palveluntarjoaja ei pystyisi lukemaan VPN-liikennettäsi, se saattaa silti pystyä tunnistamaan, että käytät VPN:ää — ja estämään tai rajoittamaan yhteyden sen perusteella.

Miksi tämä on tärkeää VPN-käyttäjille

DPI on keskeinen tekijä monissa ongelmissa, joita VPN-käyttäjät kohtaavat säännöllisesti.

VPN:n estäminen. Kiina, Venäjä ja Iran käyttävät DPI:tä kansallisella tasolla VPN-protokollien havaitsemiseen ja estämiseen. Tavallisilla OpenVPN- tai WireGuard-yhteyksillä on tunnistettavat liikenteen sormenjäljet, mikä tekee niiden tunnistamisesta ja estämisestä suhteellisen helppoa.

Kaistanleveyden rajoittaminen. Internet-palveluntarjoajat käyttävät DPI:tä tunnistamaan suuren kaistanleveyden toiminnot, kuten striimauksen ja torrentoinnin, ja hidastavat kyseistä liikennettä tarkoituksella. Tämä on yksi pääsyistä, miksi ihmiset käyttävät VPN:ää — estääkseen internet-palveluntarjoajaa muokkaamasta yhteyttä sen perusteella, mitä he tekevät verkossa.

Yritysten valvonta. Työnantajat ja organisaatiot ottavat DPI:n käyttöön sisäisissä verkoissaan seuratakseen työntekijöiden toimintaa, estääkseen tiettyjä sovelluksia ja valvoakseen hyväksyttävän käytön käytäntöjä.

Sensuuri. Viranomaisvalvontainen DPI ylläpitää kansallisia palomuureja suodattamalla poliittisesti arkaluonteista sisältöä, estettyjä palveluita ja ulkomaisia uutissivustoja.

Miten VPN:t vastaavat DPI:hin

Koska DPI pystyy tunnistamaan VPN-liikenteen sen sormenjäljen perusteella, monet VPN-palveluntarjoajat ovat kehittäneet obfuskaatiotekniikoita — menetelmiä, joilla VPN-liikenne naamioidaan näyttämään tavalliselta HTTPS-selailulta. Työkalut kuten Shadowsocks, V2Ray sekä valmistajakohtaiset obfuskaatiokerrokset (joita käyttävät esimerkiksi NordVPN ja ExpressVPN) on kehitetty nimenomaan DPI-pohjaisen eston kiertämiseen.

Kun valitset VPN:ää käytettäväksi voimakkaasti sensuurin alaisella alueella tai yksinkertaisesti estämään internet-palveluntarjoajan kaistanrajoitukset, kannattaa tarkistaa, tukeeko palveluntarjoaja obfuskoituja palvelimia tai obfuskaatioprotokollia.

Käytännön esimerkkejä

  • Kiinassa asuva käyttäjä yrittää muodostaa yhteyden tavalliseen VPN:ään — DPI havaitsee OpenVPN-kättelykuvion ja katkaisee yhteyden. Obfuskoidun palvelimen avulla liikenne näyttää HTTPS:ltä ja pääsee läpi havaitsematta.
  • Internet-palveluntarjoaja huomaa asiakkaan striimauksen 4K-videota tuntikausia. DPI tunnistaa liikenteen striimaukseksi ja rajoittaa sen nopeutta. VPN:n avulla internet-palveluntarjoaja näkee vain salattua dataa, eikä pysty rajoittamaan nopeutta sisältötyypin perusteella.
  • Yrityksen IT-osasto käyttää DPI:tä estämään Zoomin, pakottaen työntekijät käyttämään hyväksyttyä kokoustyökalua sen sijaan.

DPI:n ymmärtäminen auttaa selittämään, miksi hyvä VPN on enemmän kuin pelkkä salaus — kyse on myös siitä, kuinka hyvin salattu liikenne sulautuu muuhun liikenteeseen.