Wielki wyciek z „Wielkiego Firewalla”: 500+ GB danych o cenzurze ujawnionych

Wprowadzenie do problemu / definicja luki

1 listopada 2025 r. serwis DataBreaches opisał największy w historii wyciek materiałów związanych z chińską infrastrukturą cenzury sieciowej. Paczki danych liczące łącznie ponad 500 GB (szacunki ~600 GB) mają pochodzić od podmiotów powiązanych z „Wielkim Firewallem” (GFW) i zawierać m.in. kod źródłowy, dokumentację operacyjną, dzienniki prac oraz wewnętrzną korespondencję. Do incydentu miało dojść we wrześniu 2025 r.

W skrócie

• Skala: 500–600 GB materiałów z rdzenia ekosystemu cenzury (kod, runbooki, repozytoria buildów, logi).
• Podmioty: ślady prowadzą do Geedge Networks oraz laboratoriów MESA przy Chińskiej Akademii Nauk (IIE CAS).
• Technologie: moduły DPI, fingerprinting TLS/SSL, filtry SNI/ESNI, listy blokad, narzędzia do wykrywania i blokowania VPN/DoH/QUIC, system bramy Tiangou/TSG.
• Eksport cenzury: rozwiązania miały trafić m.in. do Mjanmy, Pakistanu, Etiopii i Kazachstanu.
• Znaczenie: materiały pomagają zrozumieć architekturę GFW oraz mogą przyspieszyć rozwój narzędzi antycenzurowych – i, paradoksalnie, kopii tego modelu cenzury.

Kontekst / historia / powiązania

Wyciek wpisuje się w szersze doniesienia o roli Geedge Networks w budowie i komercjalizacji rozwiązań „GFW-as-a-Service”. Wcześniejsze śledztwa dziennikarskie i badawcze opisywały, że Geedge rozwija skalowalne bramy cenzurujące i sprzedaje je rządom, a projekty wspierają jednostki powiązane z chińskimi władzami cybernetycznymi. W dokumentach przewija się marka Tiangou (Tiangou Secure Gateway, TSG).

Badacze z inicjatywy GFW Report opisali wrześniowy wyciek jako największy w historii GFW, podając, że paczki zawierały nie tylko kod i instrukcje, ale i dzienniki prac oraz komunikację wewnętrzną – czyli materiał unikatowy do analizy procesów wytwórczych i operacyjnych.

Analiza techniczna / szczegóły wycieku

Na bazie dostępnych opisów oraz wstępnych analiz:

• Kod i architektura: archiwa obejmują repozytoria budujące, skrypty CI/CD, „runbooki” operacyjne, dokumentację konfiguracji i modułów inspekcji pakietów. Wskazuje to na możliwość odwzorowania części pipeline’u kompilacyjno-wdrożeniowego GFW w warunkach laboratoryjnych.
• DPI i fingerprinting: komponenty odpowiedzialne za DPI oraz identyfikację ruchu po odciskach TLS/SSL (w tym mechanizmy analizy rozszerzeń ClientHello/JA3/JA4) i filtrację SNI. Opisy sugerują także bloki dla QUIC/HTTP/3, DoH/DoT i mechanizmy obalania VPN.
• Platforma TSG (Tiangou): brama cenzurująca klasy operatorkiej, łącząca inspekcję treści z politykami blokad, korelacją metadanych i funkcjami śledzenia użytkowników.
• Skala wdrożeń zagranicznych: w Mjanmie system miał działać w 26 centrach danych, monitorując nawet ~81 mln jednoczesnych połączeń TCP; w Pakistanie elementy Tiangou integrowano z WMS 2.0 do nadzoru sieci mobilnych w czasie rzeczywistym. (Dane pochodzą z analizy dziennikarskiej opartej na przeciekach).

Uwaga redakcyjna: pełne zbiory nie są publicznie „łatwe” do pobrania; część mirrorów powstała w kręgach badaczy i aktywistów. Wgląd wymaga ścisłych procedur bezpieczeństwa operacyjnego.

Praktyczne konsekwencje / ryzyko

• Broń obosieczna: dostęp do kodu i runbooków może przyspieszyć rozwój narzędzi antycenzurowych (np. tuneli przypominających normalny ruch, domain fronting 2.0, NI/ESNI-aware), ale równocześnie ułatwi replikację i twardnienie cenzury w innych krajach.
• Ekspansja modelu „Digital Authoritarianism-as-a-Service”: wyciek potwierdza ofertę komercyjnych rozwiązań cenzurujących i ich eksport. Organizacje prowadzące działalność w tych jurysdykcjach muszą zakładać agresywną filtrację, blokady szyfrowanych protokołów i inspekcję metadanych.
• Ryzyko wtórnych kompromitacji: analiza kodu może ujawnić błędy implementacyjne w modułach DPI/TSG i interfejsach zarządczych, co stwarza zarówno możliwości obejścia cenzury, jak i ryzyko przejęcia tych urządzeń przez przestępców/npa.

Rekomendacje operacyjne / co zrobić teraz

Dla zespołów bezpieczeństwa i dostawców usług:

1. Model zagrożeń per jurysdykcja: identyfikuj lokalne punkty cenzury (IXP, bramy operatorskie) i utrzymuj katalog technik blokad (SNI, JA3/JA4, QUIC/DoH).
2. Higiena transportowa: wymuszaj TLS 1.3 z ECH (Encrypted ClientHello), ESNI-like oraz paddingiem; fallback kontrolowany. Rotuj JA3/JA4 (np. diversified TLS fingerprints).
3. Tunelowanie adaptacyjne: rozważ pluggable transports (obfs4-next, uTLS, meek-like/fronting alternatywny), QUIC-morphism i shape-shifting ruchu pod „dobry profil” (CDN-y, VoIP).
4. Wykrywanie i reagowanie: mierz wskaźniki cenzury (TCP RST, niesymetryczne RTT, fiasko SNI/TLS-Alert), automatycznie przełączaj ścieżki/pośredników.
5. Bezpieczeństwo analizy wycieku: izoluj środowiska (VM bez sieci, snapshoty, skan AV, przegląd artefaktów), nie ufaj binariom ani skryptom z paczek.

Dla organizacji pracujących w krajach objętych cenzurą:

• Segmentacja i kanały awaryjne: utrzymuj alternatywne łącza (np. sat-based, multi-ISP), gotowe profile VPN/transportów, rotację domen i kluczy.
• Higiena aplikacyjna: minimalizuj „leaki” metadanych (SNI, ALPN, User-Agent), wdrażaj DoT/DoH-over-obfs, rozważ split-tunneling tylko po stronie niskiego ryzyka.
• Szkolenia: uświadamiaj użytkowników dot. blokad i obejść zgodnych z prawem lokalnym.

Różnice / porównania z innymi przypadkami (jeśli dotyczy)

W przeciwieństwie do wcześniejszych, punktowych wycieków konfiguracji czy list słów kluczowych, obecny incydent dostarcza pełnego przekroju – od kodów źródłowych przez pipeline’y buildowe po dokumenty wdrożeniowe i mapy projektów eksportowych. To zbliża go do głośnych przecieków narzędzi operacyjnych (np. wcześniej w innych ekosystemach), ale ze specyfiką cenzury na poziomie operatora/państwa.

Podsumowanie / kluczowe wnioski

• Historyczna skala: 500–600 GB danych daje bezprecedensowy wgląd w technologie i praktyki GFW.
• Globalny wymiar: „pakiety” cenzury są produktem eksportowym – to zmienia krajobraz ryzyka dla firm działających na rynkach wschodzących.
• Okno możliwości: zrozumienie mechaniki DPI/fingerprinting może przyspieszyć badania nad odpornością i obejściami – przy jednoczesnym ryzyku wzmocnienia cenzury przez reżimy kopiujące rozwiązania.

Źródła / bibliografia

1. DataBreaches – „Massive Great Firewall Leak Exposes 500GB of Censorship Data” (01.11.2025). (DataBreaches.Net)
2. GFW Report – „Geedge & MESA Leak: Analyzing the Great Firewall’s Largest Document Leak” (12.09.2025). (GFW Report)
3. DomainTools (DTI) – „Inside the Great Firewall, Part 1: The Dump” (30–31.10.2025). (DomainTools Investigations | DTI)
4. WIRED – „Massive Leak Shows How a Chinese Company Is Exporting the Great Firewall to the World” (08.09.2025). (WIRED)
5. Tom’s Hardware – przegląd ujawnionych modułów i wdrożeń (09.2025). (Tom’s Hardware)