Drop koneksi ultrasurf dengan iptables

Berawal dari sebuah thread email yang panjang dengan judul Block Ultrasurf di jaringan di milis tanya-jawab@linux.or.id membuat penulis menjadi ingin tahu dan tertantang untuk memecahkan masalah yang selama ini memusingkan banyak network administrator atau admin jaringan yaitu bagaimana memblok koneksi yang tidak diinginkan dari agent anonymizer bernama ultrasurf. Mengapa admin jaringan (selanjutnya disingkat admin) ingin memblok koneksi ini ? Kebijakan kantor tempatnya bekerja kemungkinan melarang staff atau karyawan membuka atau mengakses situs-situs seperti pertemanan sosial misalnya facebook, myspace atau friendster, yang mengandung konten pornografi, game online, judi online, warez, dan lain-lain. Admin dengan bekal pengetahuan instalasi proxy seperti squid dan dns sehat dengan opendns atau dns nawala tentu tidak akan mengalami kesulitan untuk memblok koneksi tersebut apabila koneksinya menggunakan protokol yang default atau http (tcp port 80, 3128 atau 8080). Masalahnya menjadi lain apabila koneksi tersebut memakai protokol yang secure seperti ssl (secure socket layer).

Ultrasurf pada awalnya dibuat untuk menembus sensor atau firewall yang ketat yang dipasang oleh pemerintah Republik Rakyat China. Sensor ini dinamakan The Great Firewall yang ditujukan untuk membendung atau menutup akses ke situs-situs internet yang tidak diinginkan dari user internet di China. Menurut pembuatnya ultrasurf menyembunyikan ip address pemakai dan sekaligus lokasi geografisnya serta histroy akses di browser (privacy). Kedua, komunikasi data akan melalui enkripsi tingkat tinggi sehingga jauh lebih aman(security). Ketiga, bebas mengakses informasi yang dinginkan tanpa sensor (freedom). Ketiga faktor di atas yang rupanya sangat tidak disukai admin, meski tidak hidup di Republik Rakyat China :).

Pertanyaan yang sering mengganjal adalah mengapa koneksi ini susah diblok, didrop atau dicegah ?

1. Ultrasurf akan membuka koneksi terlebih dahulu dengan ip server ultrasurf melalui protokol ssl. Begitu terhubung, user bisa membuka situs, misal facebook, dengan browser iexplorer atau firefox. Komunikasi antara user dengan situs tujuan akan melalui ip server ini. IP server ini acak atau random.
2. Tukar menukar informasi antara user dengan situs tujuan akan melalui enkripsi tingkat tinggi yang amat susah untuk dipecahkan.

Gambar 1: Ultrasurf menembus firewall yang memungkinkan user membuka facebook.

Sebagai contoh, saat user membuka browser firefox dan mengetikkan alamat http://www.facebook.com, maka langkah-langkah yang dilakukan oleh firefox adalah:

1. Firefox akan request ke dns system alamat ip http://www.facebook.com
2. Setelah memperoleh ip address, firefox akan membuka komunikasi ke ip tersebut melalui protokol http
3. Server http://www.facebook.com memberi tanda kepada firefox untuk segera memulai pengiriman data. Firefox kirim data dengan isi kurang lebih sebagai berikut:

   GET / HTTP/1.1
   Host: www.facebook.com
   User-Agent: Mozilla/5.0 (X11; U; Linux i686; en-US; rv:1.9.1.2) Gecko/20090729 Firefox/3.5.2
   Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
   Accept-Language: en-us,en;q=0.5
   Accept-Encoding: gzip,deflate
   Accept-Charset: ISO-8859-1,utf-8;q=0.7,*;q=0.7
   Keep-Alive: 300
   Connection: keep-alive
   Cookie: locale=en_US; ...
   

4. Server facebook akan mengirimkan data yang diminta.

Jika admin ingin mencegah akses ke facebook maka salah satu alternatif di bawah ini bisa dilakukan:

1. Buat spoofing di mesin dns cache agar request untuk ip address http://www.facebook.com diarahkan ke ip lain, misal local adress 127.0.0.1.
2. Buat rule di mesin proxy transparent untuk mencegah akses ke situs http://www.facebook.com.
3. Buat rule firewall dengan iptables atau layer7 untuk mendrop paket yang mengandung string text “Host: http://www.facebook.com“.

Namun untuk mendrop akses ke facebook jika user menggunakan ultrasurf tidak semudah itu. Di bawah ini aliran paket data ultrasurf dari ip 172.16.2.62 yang ditangkap dengan perintah tcpdump. Perintah di bawah ini akan menangkap trafik tcp port 443 dari ip client 172.16.2.62:

tcpdump -A -X -s 0 -i eth1 tcp port 443 and host 172.16.2.62


16:45:04.970813 IP 172.16.2.62.43603 > 65.49.14.19.443: S 220713247:220713247(0) win 5840
        0x0000:  4500 003c 9a06 4000 4006 a323 ac10 023e  E..
        0x0010:  4131 0e13 aa53 01bb 0d27 d11f 0000 0000  A1...S...'......
        0x0020:  a002 16d0 5d89 0000 0204 05b4 0402 080a  ....]...........
        0x0030:  00a7 4b19 0000 0000 0103 0306            ..K.........
16:45:04.970928 IP 172.16.2.62.54844 > 219.84.177.187.443: S 228610802:228610802(0) win 5840
        0x0000:  4500 003c 19eb 4000 4006 e572 ac10 023e  E..
        0x0010:  db54 b1bb d63c 01bb 0da0 52f2 0000 0000  .T... 59.115.48.151.443: S 227881447:227881447(0) win 5840
        0x0000:  4500 003c 7afe 4000 4006 a565 ac10 023e  E..
        0x0010:  3b73 3097 b77c 01bb 0d95 31e7 0000 0000  ;s0..|....1.....
        0x0020:  a002 16d0 d264 0000 0204 05b4 0402 080a  .....d..........
        0x0030:  00a7 4b19 0000 0000 0103 0306            ..K.........
16:45:04.971306 IP 172.16.2.62.54003 > 65.49.14.51.443: S 218556728:218556728(0) win 5840
        0x0000:  4500 003c a221 4000 4006 9ae8 ac10 023e  E..
        0x0010:  4131 0e33 d2f3 01bb 0d06 e938 0000 0000  A1.3.......8....
        0x0020:  a002 16d0 1cd1 0000 0204 05b4 0402 080a  ................
        0x0030:  00a7 4b19 0000 0000 0103 0306            ..K.........
16:45:05.169198 IP 65.49.14.51.443 > 172.16.2.62.54003: S 2381962829:2381962829(0) ack 218556729 win 5792
        0x0000:  4500 003c 0000 4000 3306 4a0a 4131 0e33  E.........M...9
        0x0020:  a012 16a0 8965 0000 0204 0534 0402 080a  .....e.....4....
        0x0030:  2b16 fcab 00a7 4b19 0103 0307            +.....K.....
16:45:05.169247 IP 172.16.2.62.54003 > 65.49.14.51.443: . ack 1 win 92
        0x0000:  4500 0034 a222 4000 4006 9aef ac10 023e  E..4."@.@......>
        0x0010:  4131 0e33 d2f3 01bb 0d06 e939 8df9 de4e  A1.3.......9...N
        0x0020:  8010 005c cdc4 0000 0101 080a 00a7 4b4a  ...\..........KJ
        0x0030:  2b16 fcab                                +...
16:45:05.172175 IP 172.16.2.62.54003 > 65.49.14.51.443: F 1:1(0) ack 1 win 92
        0x0000:  4500 0034 a223 4000 4006 9aee ac10 023e  E..4.#@.@......>
        0x0010:  4131 0e33 d2f3 01bb 0d06 e939 8df9 de4e  A1.3.......9...N
        0x0020:  8011 005c cdc2 0000 0101 080a 00a7 4b4b  ...\..........KK
        0x0030:  2b16 fcab                                +...
16:45:05.174003 IP 65.49.14.19.443 > 172.16.2.62.43603: S 4161793464:4161793464(0) ack 220713248 win 5792
        0x0000:  4500 003c 0000 4000 5506 282a 4131 0e13  E.....S.....'..
        0x0020:  a012 16a0 8a39 0000 0204 0534 0402 080a  .....9.....4....
        0x0030:  cd35 20ee 00a7 4b19 0103 0308            .5....K.....
...

Tidak mudah atau mustahil untuk mendrop akses ke facebook dari user ultrasurf. Yang bisa dilakukan adalah mendrop koneksi dari agent ultrasurf itu sendiri, yaitu saat ultrasurf membuka koneksi dengan ip servernya, tepatnya saat agent ultrasurf sudah melewati TCP 3-Way Handshake dan sebuah paket baru yang berisi data “Client Hello” dikirim ke ip server. Di samping tcpdump, alat bantu yang berguna untuk analisa paket data adalah wireshark. Penjelasan lengkap mengenai tcpdump dan wireshark bisa dibaca di blog penulis tcpdump dan wireshark untuk sniffing network.

SSL Handshake Protocol Flow

The SSL Handshake Protocol has two major phases. The first phase is used to establish private communications. The second phase is used for client authentication.

Phase 1
The first phase is the initial connection phase where both parties communicate their “hello” messages. The client initiates the conversation by sending the CLIENT-HELLO message. The server receives the CLIENT-HELLO message and processes it responding with the SERVER-HELLO message.

At this point both the client and server have enough information to know whether or not a new master key is needed. When a new master key is not needed, both the client and the server proceed immediately to phase 2.

When a new master key is needed, the SERVER-HELLO message will contain enough information for the client to generate it. This includes the servers signed certificate (more about that later), a list of bulk cipher specifications (see below), and a connection-id (a connection-id is a randomly generated value generated by the server that is used by the client and server during a single connection). The client generates the master key and responds with a CLIENT-MASTER-KEY message (or an ERROR message if the server information indicates that the client and server cannot agree on a bulk cipher).

It should be noted here that each SSL endpoint uses a pair of ciphers per connection (for a total of four ciphers). At each endpoint, one cipher is used for outgoing communications, and one is used for incoming communications. When the client or server generate a session key, they actually generate two keys, the SERVER-READ-KEY (also known as the CLIENT-WRITE-KEY) and the SERVER-WRITE-KEY (also known as the CLIENT-READ-KEY). The master key is used by the client and server to generate the various session keys (more about that later).

Finally, the server sends a SERVER-VERIFY message to the client after the master key has been determined. This final step authenticates the server, because only a server which has the appropriate public key can know the master key.
Referensi: The SSL Protocol

Sekarang kita bahas lihat saja yang dilakukan client – server saat phase 1:

client-hello C -> S: challenge, cipher_specs
server-hello S -> C: connection-id,server_certificate,cipher_specs
client-master-key C -> S: {master_key}server_public_key
client-finish C -> S: {connection-id}client_write_key
server-verify S -> C: {challenge}server_write_key
server-finish S -> C: {new_session_id}server_write_key
Referensi: The SSL Protocol

Kali ini tcpdump akan menyimpan hasilnya ke file dump agar nanti dibaca wireshark, sebelumnya keluar dari program ultrasurf dahulu, dan jalankan tcpdump seperti contoh di bawah:
tcpdump -w dump -s 0 -i eth1 tcp port 443 and host 172.16.2.62
Jalankan ultrasurf, setelah terhubung dengan servernya maka akan tampil gambar seperti di bawah ini:

Gambar 2: Ultrasurf konek dengan sukses ke server

Gambar 3: Packet sumary ultrasurf

Gambar di atas pada baris 42 memperlihatkan paket tcp ssl dari ip 172.16.2.62 ke ip 114.44.124.59 yang berisi pesan Client Hello . Pada koneksi baru, paket ini belum mengandung “session_id”. Deskripsi mengenai isi paket ditunjukkan pada gambar di bawah:

Gambar 4: Deskripsi paket tcp ssl ultrasurf

Paket tcp ssl ini mengandung data dengan panjang 70 (Len: 70). Saat koneksi baru, Session ID Length berisi karakter null. Panjang handshake protocol ini sebesar 65. Isi data paket tcp ditampilkan secara tabel HEX dan ASCII pada gambar 5 di bawah:

Gambar 5: Detail paket tcp ssl ultrasurf dalam tabel HEX dan ASCII

Sampai sejauh ini kita baru mengumpulkan 1 buah paket tcp ssl yang berisi pesan Client Hello untuk koneksi baru (session_id belum ada). Apakah ada kemiripan pola bila kita kumpulkan sebanyak mungkin paket ini ? Berikut ini hasil tangkapan tcpdump yang penulis kumpulkan dari beberapa koneksi ultrasurf ke ip server yang berbeda-beda:

Gambar 6: Paket data tcp ssl “Client Hello” ke beberapa ip server ultrasurf

Beberapa kemiripan yang mencolok sekali adalah:

1. Semua data mempunya panjang 70.
2. Sebelas data pertama mempunyai karakter hexadecimal yang mirip: 16 03 01 00 41 01 00 00 3d 03 01.

   TLSv1 Record Layer: Handshake Protocol  : Client Hello
           Content Type: Handshake (22)    : 16    
           Version: TLS 1.0 (0x0301)       : 03 01 
           Length: 65                      : 00 41
           Handshake Protocol: Client Hello
                   Handshake Type: Client Hello (1): 01    
                   Length: 61                      : 00 00 3D
                   Version: TLS 1.0 (0x0301)       : 03 01 
                   Random                          : ...
                   Session ID Length: 0            : 00    
                   Cipher Suites Length: 22        : 00 16  
                   Cipher Suites (11 suites)       : ...
                   Compression Methods Length: 1   : 01    
                   Compression Methods (1 method)  : 00
   

3. Cipher suite yang mirip: 00040005000a00090064006200030006001300120063

Sampai di sini pola hexadecimal untuk pencarian paket tcp ssl koneksi baru ultrasurf sudah kita peroleh yaitu 16030100410100003d0301. Namun bagaimana dengan paket tcp ssl dari agent non ultrasurf seperti browser IExplorer atau Firefox ? Apakah ada kemungkinan paketnya mempunyai pola hexadecimal yang mirip ?

• Isi data paket tcp ssl “Client Hello” ke https://ibank.klikbca.com/ dari browser IExplorer.
  
0000 80 4c 01 03 00 00 33 00 00 00 10 00 00 04 00 00 .L....3.........
0010 05 00 00 0a 01 00 80 07 00 c0 03 00 80 00 00 09 ................
0020 06 00 40 00 00 64 00 00 62 00 00 03 00 00 06 02 ..@..d..b.......
0030 00 80 04 00 80 00 00 13 00 00 12 00 00 63 d5 3b .............c.;
0040 28 8b 4a ac 52 1a 81 f8 a5 99 89 15 be 3b (.J.R........;

• Isi data paket tcp ssl “Client Hello” ke https://help.ubuntu.com/ dari browser Opera.
  
0000 16 03 01 00 70 01 00 00 6c 03 01 4b cd 60 42 c3 ....p...l..K.`B.
0010 65 a2 5a 38 46 d5 b0 cf 40 a0 d7 a9 a2 58 c0 cd e.Z8F...@....X..
0020 8d 5a 5a af 9b 3a c8 dd 54 5c b6 00 00 22 00 39 .ZZ..:..T\...".9
0030 00 38 00 37 00 36 00 35 00 33 00 32 00 31 00 30 .8.7.6.5.3.2.1.0
0040 00 2f 00 05 00 04 00 13 00 0d 00 16 00 10 00 0a ./..............
0050 01 00 00 21 00 00 00 14 00 12 00 00 0f 68 65 6c ...!.........hel
0060 70 2e 75 62 75 6e 74 75 2e 63 6f 6d 00 05 00 05 p.ubuntu.com....
0070 01 00 00 00 00 .....

• Isi data paket tcp ssl “Client Hello” ke https://login.yahoo.com/ dari browser Firefox.
  
0000 00 25 9c 2f a6 67 00 1c bf 27 75 65 08 00 45 00 .%./.g...'ue..E.
0010 00 d8 94 28 40 00 40 06 0b 4c ac 10 02 3e 42 a3 ...(@.@..L...>B.
0020 a9 ba ac b9 01 bb 65 ad 9d af 26 a4 27 2d 80 18 ......e...&.'-..
0030 00 5c 85 a9 00 00 01 01 08 0a 00 9d 09 ba b7 45 .\.............E
0040 6e 8c 16 03 01 00 9f 01 00 00 9b 03 01 4b f3 b3 n............K..
0050 c4 15 ed 40 55 89 3d 0f 4b dc 58 83 24 de 80 3c ...@U.=.K.X.$..<
0060 62 99 57 58 11 8e 9e 11 93 f6 73 80 55 00 00 44 b.WX......s.U..D
0070 c0 0a c0 14 00 88 00 87 00 39 00 38 c0 0f c0 05 .........9.8....
0080 00 84 00 35 c0 07 c0 09 c0 11 c0 13 00 45 00 44 ...5.........E.D
0090 00 33 00 32 c0 0c c0 0e c0 02 c0 04 00 41 00 04 .3.2.........A..
00a0 00 05 00 2f c0 08 c0 12 00 16 00 13 c0 0d c0 03 .../............
00b0 fe ff 00 0a 01 00 00 2e 00 00 00 14 00 12 00 00 ................
00c0 0f 6c 6f 67 69 6e 2e 79 61 68 6f 6f 2e 63 6f 6d .login.yahoo.com
00d0 00 0a 00 08 00 06 00 17 00 18 00 19 00 0b 00 02 ................
00e0 01 00 00 23 00 00 ...#..


Diihat sekilas dari panjang datanya saja semuanya tidak ada yang sama dengan panjang paket data tcp ssl ultrasurf. Sebelum memblok atau mendrop paket data ini dengan iptables, kita tangkap dulu paketnya dan kirim hasilnya ke log. Rule iptables di bawah ini bekerja di mesin router:

iptables -I FORWARD -p tcp --dport 443 -m string --hex-string '|16 03 01 00 41 01 00 00 3D 03 01|' --algo bm -j LOG --log-prefix "ultrasurf: "

Paket yang tertangkap akan terlihat hasilnya di output dmesg atau di /var/log/messages

[15671.107102] ultrasurf: IN=eth0 FORWARD=eth1 SRC=172.16.2.62 DST=220.136.214.27 LEN=122 TOS=0x00 PREC=0x00 TTL=64 ID=25853 DF PROTO=TCP SPT=37293 DPT=443 WINDOW=92 RES=0x00 ACK PSH URGP=0 
[15679.664967] ultrasurf: IN=eth0 FORWARD=eth1 SRC=172.16.2.62 DST=65.49.14.13 LEN=122 TOS=0x00 PREC=0x00 TTL=64 ID=1374 DF PROTO=TCP SPT=47758 DPT=443 WINDOW=92 RES=0x00 ACK PSH URGP=0 
[15693.381204] ultrasurf: IN=eth0 FORWARD=eth1 SRC=172.16.2.62 DST=65.49.14.12 LEN=122 TOS=0x00 PREC=0x00 TTL=64 ID=54363 DF PROTO=TCP SPT=47003 DPT=443 WINDOW=92 RES=0x00 ACK PSH URGP=0 

Paket yang tertangkap itu semuanya mempunyai tcp flags diset ACK,PSH. Kemudian untuk tidak membebani kerja router sebaiknya kita batasi batas pencarian datanya sampai 77 bytes (pola hexadecimal 11 bytes ditambah link layer+ip header+tcp header). Apabila sudah yakin sebaiknya didrop saja:

iptables -I FORWARD -p tcp --dport 443 --tcp-flags SYN,ACK,FIN,RST,PSH ACK,PSH -m string --to 77 --hex-string '|16030100410100003d0301|' --algo bm -j DROP

Gambar-gambar di bawah ini memperlihatkan agent ultrasurf sudah tidak berkutik atau tidak dapat menghubungi servernya lagi setelah paket “Client Hello”-nya di-DROP oleh iptables meski demikian browsing ke beberapa situs ssl tidak terpengaruh dan dapat berlangsung dengan lancar :).

Gambar 7: Koneksi ultrasurf didrop oleh iptables

Gambar 8: Aplikasi SSL BCA banking lolos meski ultrasurf didrop

Gambar 9: Login webmail yahoo via ssl lolos meski ultrasurf didrop

Gambar 10: Aplikasi ssl bank mandiri lolos meski ultrasurf didrop

Last update: 2013-02-16 14:30 +07:00