はじめに（この記事で分かること）#

Torへの直接接続は、DPI（Deep Packet Inspection）によって検知され、遮断されることがある。検閲環境では、Torの通信パターン自体がブロックの対象になる。

ブリッジは、Torの入口リレーを検閲者から隠す中継点である。Pluggable Transport（PT）は、ブリッジへの通信を検閲者から見えにくくする変換技術である。この記事では、各PTの仕組みと使い分けを整理する。

前提: 脅威モデルの整理#

検閲回避が有効な相手は、脅威モデル入門で整理した5種類の相手のうち、ISPである。

検閲環境のISPは、Torの通信パターン（特徴的な暗号化プロトコル、既知のリレーIPアドレスへの接続）を検知し、遮断する。ブリッジとPTは、この検知を回避するための技術である。

ブリッジとは#

ブリッジは、Torの入口リレーとして機能する中継点であるが、Torの公開リレーリストには掲載されない。検閲者は、既知のTorリレーのIPアドレスリストをブロックすることができるが、ブリッジのIPアドレスは公開リストにないため、ブロックできない。

ブリッジ単独では、通信パターンがTor特有のものとして検知される可能性が残る。Pluggable Transportは、この通信パターンを変換する技術である。

Pluggable Transportの種類#

obfs4#

obfs4は、Torの通信パターンを無相関のランダムデータに変換するPluggable Transportである。検閲者は、obfs4の通信をパターンマッチングで識別できない。

obfs4は、現在Tor Browserのデフォルトのブリッジオプションの一つである。obfs4ブリッジは、BridgeDBから取得できる。

obfs4の弱点は、アクティブプロービングによる検出である。検閲者がobfs4ブリッジのIPアドレスに対して直接接続を試みると、通常のWebサーバーとは異なる応答が返る。この差分から、obfs4ブリッジが検出される可能性がある。

WebTunnel#

WebTunnelは、Torの通信を標準的なHTTPSトラフィックに変装するPluggable Transportである。WebTunnelブリッジは、通常のHTTPS Webサーバーとして振る舞うため、アクティブプロービングによる検出がobfs4より困難である。

WebTunnelは、2024年にTor Browserのデフォルトブリッジオプションに追加された。検閲環境でobfs4が遮断された場合の代替手段として有効である。

Snowflake#

Snowflakeは、WebRTCを利用したP2P接続を利用したPluggable Transportである。ボランティアのブラウザがプロキシとして機能し、利用者はボランティアを経由してTorネットワークに接続する。

Snowflakeの強みは、利用可能なボランティアプロキシが大量に存在することである。ボランティアは、Tor Browserを開いているだけでSnowflakeプロキシとして機能する。検閲者がすべてのボランティアを遮断することは困難である。

弱みは、WebRTCの通信パターンが検閲環境によっては遮断されることと、速度が遅いことである。

meek#

meekは、CDN（Cloudfront、Azure）のドメインフロンティングを使ったPluggable Transportである。Torの通信は、AmazonやMicrosoftのCDNに向かうHTTPSリクエストに変装される。

meekの強みは、CDN自体は遮断されにくいことである。検閲者がAmazonやMicrosoftのCDN全体を遮断することは、通常のインターネット利用にも影響するため、現実的ではない。

弱みは、速度が非常に遅いことと、CDNのコストがTor Projectの負担になることである。

Conjure#

Conjureは、レジストラの未割り当てIPアドレスを利用したPluggable Transportである。検閲者がConjureブリッジを特定するには、膨大なIPアドレスを走査する必要がある。

Conjureは、実験的な段階にあり、Tor Browserの標準ブリッジオプションには含まれていない。

使い分け#

検閲環境で最初に試すべきPTはobfs4である。obfs4が遮断された場合、WebTunnelを試す。WebTunnelも遮断された場合、Snowflakeを試す。Snowflakeも遮断された場合、meekを試す。

この順序は、Tor Project Supportが案内する順序と一致する。

ブリッジの入手方法は、Tor Browserの「接続の設定」画面からBridgeDBにリクエストする方法と、BridgeDBのメール自動応答（bridges@torproject.orgにGet bridgesと送信）による方法がある。

限界と残るリスク#

Pluggable Transportと検閲技術は、競争関係にある。検閲者が新しい検知手法を導入すれば、PT側がそれに対応する変換技術を開発する。この競争は継続的であり、今日有効なPTが明日には遮断される可能性がある。

ブリッジのIPアドレスは、長期間使用していると検閲者に発見される可能性がある。定期的に新しいブリッジを取得することが推奨される。

まとめ#

検閲環境でTorを使うには、ブリッジとPluggable Transportが必要である。obfs4、WebTunnel、Snowflake、meekの順で試すことが、Tor Project Supportの案内する手順である。

検閲技術と回避技術の競争は継続的であり、PTの有効性は地域と時期によって変わる。複数のPTを試し、動作するものを確認することが、検閲環境でのTor使用の前提である。

VPNとTorの組み合わせについては、VPN over Tor / Tor over VPNで、順序の違いが意味を変えることを説明する。検閲環境でのTorの使用には、ブリッジのほうがVPNより適切な場合がある。

出典#