Исследователи собрали и запустили в лаборатории коммерческую систему интернет-цензуры Tiangou Secure Gateway, используя утекший исходный код. Китайская платформа распознает VPN и другие средства обхода блокировок, замедляет трафик, обрывает соединения и перенаправляет запросы. Сравнение с реальными блокировками показало вероятную связь TSG с частью Великого китайского файрвола.
В сентябре 2025 года в открытый доступ попали более 100 тысяч внутренних файлов разработчика Geedge Networks. Архив содержал исходный код, переписку, конфигурации, свыше 500 Git-репозиториев и историю изменений за пять лет. Авторы исследования назвали утечку первым известным сливом исходного кода коммерческой системы глубокого анализа трафика. Команда из четырех университетов и проекта GFW Report восстановила последнюю релизную версию TSG из архива и запустила рабочую сборку в изолированной среде.
Geedge Networks основал в 2018 году один из ключевых создателей Великого китайского файрвола. Материалы связывают TSG с проектами в Мьянме, Пакистане и Эфиопии. Компания помогала внедрять комплекс, обучала операторов и предоставляла техническую поддержку.
TSG разбирает DNS, TLS и QUIC, распознает приложения и применяет заданные оператором правила. Платформа может отбрасывать пакеты, отправлять команды сброса TCP, замедлять передачу данных и перенаправлять HTTP- и DNS-запросы. Комплекс также поддерживает отслеживание пользователей на уровне интернет-провайдера.
Правила фильтрации учитывают IP-адреса, домены, отпечатки JA3 и JA4, поля сертификатов, длину пакетов и отдельные последовательности байтов. Среди целей фигурировали ExpressVPN, NordVPN, Psiphon, Tor и другие средства обхода блокировок. Во внутреннем журнале Geedge 21 из 29 сигнатур получили максимальный, пятый уровень риска.
Два из трех основных модулей распознавания приложений опирались на сторонние компоненты. Glimpse использовал открытую библиотеку libprotoident, а QDPI работал на базе коммерческого движка Qosmos ixEngine.
Внутренние задачи Jira показали, как запросы заказчиков влияли на разработку фильтров. Проект в Мьянме требовал научить TSG блокировать Signal при включенном режиме обхода цензуры. При проверке правила для Psiphon в Эфиопии разработчики обнаружили риск ошибочной блокировки TikTok, BBC, CNN и New York Times. Популярные домены пришлось добавить в список исключений.
Связь с Великим китайским файрволом лучше всего проявилась при обработке DNS. Внутри DNS-пакета повторяющиеся части доменного имени можно заменять служебными ссылками. TSG успешно разбирала специально сформированный запрос с цепочкой из 17 ссылок, но не распознавала запрос с 18 ссылками. Идентичное ограничение вместе с другими особенностями ответов обнаружилось у одного из китайских DNS-инжекторов.
Еще два компонента Великого китайского файрвола использовали значение 13 в алгоритме формирования пакетов сброса соединения. Значение совпало с настройкой TSG по умолчанию. Авторы считают найденные совпадения веским признаком применения кода TSG или близкой версии в инфраструктуре Великого китайского файрвола.
Утекший код и восстановленную сборку публиковать не стали из-за этических рисков. Доступ по запросу смогут получить ответственные исследователи и организации, не связанные с развертыванием систем цензуры.