康橋大學的電腦專家稱，他們不僅突破了中國的偉大的防火牆，而且還找到了一種方法可以利用這個防火牆對中國具體的IP地址實施拒絕服務攻擊。
這個防火牆的部分任務是使用思科提供的路由器檢查網路通訊中的中國政府需要審查的某些關鍵詞，包括中國政府不能接受的政治思想和組織。
康橋大學的研究小組發出包含敏感詞彙的數據包來測試這個防火牆。研究人員發現，通過忽略中國的路由器發出的虛假的傳輸控制協議重置信號可以繞過中國的入侵檢測系統。
康橋大學電腦實驗室的Richard Clayton表示，中國的那些機器允許數據包進出，但是，如果這些機器發現一些特殊的關鍵詞，就會發出一些重置的指令關閉這些連接。如果你向連接的兩端同時發出所有的這些重置數據包，網頁的傳輸就非常好。而這樣做是非常容易的。
Clayton補充說，這就意味著中國的防火牆能夠用來對中國內部的具體IP地址實施拒絕服務攻擊，包括中國政府本身的IP地址。
中國的入侵檢測系統使用一種無國籍的伺服器。這種伺服器檢查單獨進出防火牆的數據包，這些數據包與以前的任何請求都沒有關係。通過偽造包含一個“敏感的關鍵詞”的數據包的源地址，人們可以引發這個防火牆封鎖源地址和目標地址之間的通訊，每次封鎖時間可達一個小時。
如果攻擊者識別出這些機器是地區政府辦公室使用的，他們就可以封鎖訪問Windows更新，或者阻止境外的中國大使館訪問具體的中國網站的內容。
Clayton表示，由於這個防火牆的設計，一位官員講話中關鍵詞的數據包就可能阻止他們的網站的訪問。
儘管這個技術只能封鎖互聯網上兩點之間的通訊，但是，研究人員推算，一個單獨的攻擊者使用一個撥號網路就能夠發動“有很大影響”的拒絕服務攻擊。如果一個攻擊者每秒鐘能夠發出100個可以引發攻擊的數據包，每個數據包可以引起20分鐘的網路通訊中斷，每一次攻擊就可以造成12萬對端點無法進行通訊。
Clayton表示，研究人員已經把他們的研究結果報告給了中國電腦應急反應小組。
(e129)
