跳轉到

主要發現

中國「防火長城」模式的大規模輸出

本報告清楚呈現 Geedge Networks（積至公司）如何把防火長城（GFW）的能力賣給哈薩克、衣索比亞、巴基斯坦與緬甸政府，以及另一個尚未查明的國家。Geedge Networks 可能把自己包裝成一般的資安公司，提供標準的網路管理硬體與軟體方案，跟市面上其他系統相當。實際上，Geedge Networks 的產品可以做到全面的監控與審查。政府客戶用這些系統，既能大規模監控民眾、切斷網路，也能精細監控個別網路使用者，針對特定目標封鎖與審查。這些產品明確鎖定威權政府推銷，推銷時毫不顧及公民個人資料的隱私與安全。

中國境內的防火長城區域化

除了跟各國的政府客戶合作，本研究也找到證據，顯示中國出現省級防火牆的模式，用來補強國家級的防火長城。Geedge Networks 正與中國幾個地方政府合作建置省級防火牆，各地的審查規則可能不同。InterSecLab 已經確認新疆、福建與江蘇的省級防火牆專案。

監控能力的商品化

Geedge Networks 提供的整套產品，讓政府客戶可以前所未有地存取網路使用者的資料，再用這些資料管控全國與地方的網路。這些能力包括用深度封包檢測對應用程式與使用者的流量做進階分類、攔截與竄改，以及即時監控行動網路用戶的地理位置。系統可以分析特定地區的整體網路流量，例如抗議或活動期間的流量，也能把不尋常的流量模式標成可疑。政府客戶可以量身設定封鎖規則，讓人無法連上某個網站或應用程式，例如 VPN（虛擬私人網路）或規避工具，也可以替特定服務的流量限速。其他能力還有找出造訪網站、使用規避工具或 VPN 的個別網路使用者，依線上活動給個別網路使用者信譽分數，以及在傳輸路徑上注入惡意軟體、感染使用者。

VPN 與規避工具的辨識

政府客戶用 Geedge Networks 的整套產品，可以偵測許多不同的 VPN，以及 Tor、Psiphon 等其他規避工具。InterSecLab 檢視的文件顯示，Geedge Networks 的政府客戶可以回頭查網路使用者過去的活動，看他們有沒有造訪過後來才封鎖的網站，這似乎違反法律不溯及既往的基本原則。此外，Geedge Networks 的產品可以把特定個人認定為已知的 VPN 使用者。已知的規避工具使用者一旦換到還沒封鎖的新供應商，Geedge Networks 就能觀察他們的流量，順著留下的痕跡找出之後要封鎖的新 VPN。

隨作業系統定期更新擴張的數位威權

客戶可以提出功能與能力的需求，請 Geedge Networks 在新版監控軟體裡優先開發。Geedge Networks 推出軟體更新之後，每個政府客戶都能使用新的能力。Geedge Networks 似乎正在討論、測試的新能力包括 DDoS 租用服務（DDoS-for-hire），還有建立人際關係圖、標記經常更換 SIM 卡或撥打國際電話的使用者，以及替特定使用者設定地理圍欄（geofence）。

資料分享與使用的法律與倫理防護缺口

InterSecLab 沒有找到證據，顯示 Geedge Networks 提供稽核紀錄（audit logging）之類的功能，讓人了解產品的使用情形（以及可能的濫用），或了解網路使用者的個人資料如何儲存、分享。在所有客戶國家，系統都是祕密部署，也缺乏讓大眾監督使用情形的問責機制。

對資料主權的重大影響

系統仰賴 Geedge Networks 在中國的員工遠端管理，對各國的資料主權有令人憂心的影響。各國網路使用者的資料，Geedge Networks 的員工似乎都能存取，資料看來也分享給 Mesalab 實驗室的學生。Mesalab（Massive and Effective Stream Analysis）是中國科學院（中科院）的研究實驗室。學生用這些資料的樣本開發產品、做研究，目的是更了解、也更有效地阻擋規避網路審查的做法。Geedge Networks 與它的關係企業會把資料保留多久，目前仍不清楚。

與商用硬體互通、不易受制裁的設計

Geedge Networks 設計產品時，似乎就考慮到如何承受針對性的制裁。產品可以跟許多硬體廠商的設備互通，不限定廠牌。客戶國家的 ISP（網路服務供應商）網路裡原本裝的是哪一家的網路設備，都可以搭配。整合方式以開放標準為基礎。這也代表制裁鎖定特定公司時（例如巴基斯坦的 Sandvine 案例），Geedge Networks 已經跟那家公司的政府客戶合作，填補空缺，在既有的基礎設施上繼續建置。

牽涉其中、受國際資金挹注的 ISP

Geedge Networks 直接跟 ISP 合作安裝產品。資料在 ISP 資料中心的機房裡擷取、儲存，政府人員再從指揮控制中心遠端存取。ISP 如果想在某個國家繼續營運，可能沒有拒絕在資料中心安裝 Geedge Networks 設備的餘地。不過，特定業者也因此牽涉其中，例如緬甸的 Frontiir，它曾公開否認跟政府合作審查與監控。此外，Frontiir、Safaricom 等跟政府客戶及 Geedge Networks 合作的 ISP，都接受來自西方國家、企業與金融機構的外國直接投資。這些 ISP 跟 Geedge Networks 合作的內容，有多少向西方投資人與股東揭露，仍是未解的問題。

既有商業產品與開源程式碼的抄襲與延伸

本研究清楚顯示，Geedge Networks 經常仿製西方公司開發的現有產品。Geedge Networks 似乎抄襲了某些商業產品，例如 GreyNoise 的服務與 Fortinet 的網路設備。他們也用可能違反授權條款的方式納入開源程式碼。Geedge 似乎靠這些手法取得競爭優勢，更快推出能力與領先對手相當的整套產品，同時增強承受制裁的能力。