Çin Güvenlik Seddi
Engelleme yöntemleri > Aktif filtreleme

Güvenlik Seddi'nin işlevlerinden biri, içeriğe erişimi seçici olarak engellemektir. Bu iş, çoğunlukla Cisco, Huawei ve Semptian donanımı tarafından gerçekleştirilir. Tüm hassas içerikler engellenmez; 2007'de akademisyen Jedidiah R. Crandall ve diğerleri, otosansürü teşvik etmek için asıl amacın tamamen engellemek değil, içeriği işaretlemek ve uyarmak olduğunu savundu. Açıklayıcı, ancak tamami olmayan bir taktik listesi şunları içerir:
| Yöntem | Tanım |
| --- | --- |
Kara delikler kullanarak IP aralığı yasağı: Çin Güvenlik Seddi, otomatik olarak bırakılan (ağ kara deliği) IP aralıklarının bir listesini tutar. Dinamik IP'lere sahip geniş, güncel bir yasaklı ağ listesinin sürdürülmesinin karmaşıklığı nedeniyle (ve bu yöntemin içerik dağıtım ağlarını kullanan hizmetlerle uyumlu olmadığı kanıtlanmıştır), genellikle son çare olarak kullanılır ve diğer engelleme yöntemleri tercih edilir. (QoS'ye dayalı filtreleme gibi).
DNS spoofing, filtreleme ve yeniden yönlendirme: Güvenlik Seddi'nin bir kısmı, yalancı DNS sunucularından ve yanlış IP adresleri döndüren DNS korsanlarından oluşur. Araştırmalar, bu sansürün anahtar kelimeye dayalı olduğuna işaret ediyor gibi görünüyor. Yaygın inanışın aksine, Google Public DNS IP adresi 8.8.8.8 gibi yabancı DNS çözümleyicilerinin ülke içinde doğru şekilde çalıştığı bildirilmektedir; ancak bu DNS sunucuları da bağlantıları şifreli olmadığından ele geçirilebilir: DNS sorguları DNS sunucusuna ulaşır, ancak istek yasaklanmış bir anahtar kelimeyle eşleşirse, güvenlik duvarı meşru DNS yanıtı gelmeden önce sahte bir DNS yanıtı enjekte eder. Bu sahte yanıtların büyük çoğunluğu, Facebook, Twitter ve Dropbox dahil olmak üzere ABD şirketlerinin genel IP adreslerini içerir. Bu yöntemi atlatmak için tipik olarak kullanılan yöntemler sunucu dosyasını değiştirmek, bir Web tarayıcısında alan adı yerine IP adresini yazmak veya TLS/HTTPS üzerinden DNS kullanmaktır.
Şeffaf vekiller kullanarak URL filtreleme: Güvenlik Seddi, web trafiğini filtreleyen şeffaf vekillerden yapılmıştır. Bu vekiller, hedef anahtar sözcükler için istenen URI'yi, "Ana Bilgisayar" başlığını ve web sayfasının içeriğini (HTTP istekleri için) veya Server Name Indication'ı (HTTPS istekleri için) tarar.[kaynak belirtilmeli] DNS filtrelemede olduğu gibi, bu yöntem de anahtar kelime tabanlıdır. Server Name Indication'ı şifreleme, bu filtreleme yöntemini atlamak için kullanılabilir. Bu yöntem şu anda İMGG  tarafından geliştirilmektedir ve Firefox'ta bir ayar olarak sunulmaktadır.
QoS filtreleme: 2012'den beri ÇGS, derin paket inceleme kullanarak kullanıcıları trafik davranışına göre "öğrenebilir, filtreleyebilir ve engelleyebilir". Bu yöntem başlangıçta VPN'leri engellemek için geliştirildi ve ÇGS'nin standart filtreleme sisteminin bir parçası olacak şekilde genişletildi. Bu yöntem, tüm trafiği (bir ağ musluğu kullanarak) özel bir analitik birimine yansıtarak çalışır; bu birim, daha sonra bağlantının ne kadar şüpheli kabul edildiğine bağlı olarak her hedef IP için bir puan verir. Bu puan daha sonra Güvenlik Seddi'nin yönlendiricileri tarafından uygulanacak bir paket kayıp oranını belirlemek için kullanılır ve bu da istemci tarafında bağlantının yavaşlamasına neden olur. Yöntem, trafiği istemci tarafında isteği zaman aşımına uğrayacak ve böylece hizmeti tamamen bloke etmeyi etkin bir şekilde başaracak şekilde yavaşlatmayı amaçlamaktadır. Analitik sisteminin, bir bağlantının ne kadar şüpheli olduğunu tahmin etmek için yan kanalı (el sıkışma başlıkları ve paket boyutları gibi) kullandığına inanılıyor. Trafik protokollerini (SSH tüneli oluşturma, VPN veya Tor protokolleri gibi) algılayabilir ve şifreli üzerinden şifreli trafiği (bir SSL tüneli üzerinden HTTPS gibi) algılamak için paketlerin entropisini ölçebilir. Bu saldırıya, "masum" trafiği taklit etmek için takılabilir bir aktarım kullanılarak karşı konulabilir ve atlatma yazılımı her zaman açıkken "şüpheli" IP'lere asla bağlanmaz, ancak vekil engellenmemiş içeriğe sahip olmaz ve yazılımın kendisi hiçbir zaman doğrudan merkezi bir sunucuya bağlanmaz.
Paket sahteleme ve TCP sıfırlama saldırıları: Güvenlik Seddi, paket sahteciliği kullanarak TCP aktarımlarını isteğe bağlı olarak sonlandırabilir. Engelleme, bir TCP sıfırlama saldırısı kullanılarak gerçekleştirilir. Bu saldırı, TCP isteklerini veya TCP yanıtlarını engellemez, ancak gönderene bağlantı sonu simülasyonu yaparak kötü amaçlı bir TCP RST paketi gönderir. Yan kanal analizi, TCP sıfırlamalarının, QoS filtreleme yönlendiricileriyle aynı yerde bulunan veya paylaşılan bir altyapıdan geldiğini gösteriyor gibi görünüyor. Bu altyapı, puanlama sistemini güncelliyor gibi görünüyor: önceki bir TCP bağlantısı filtre tarafından engellenirse, her iki taraftan gelecek bağlantı girişimleri de kısa süreler için (birkaç saate kadar) engellenebilir. Bu yönteme karşı verimli bir atlatma yöntemi, güvenlik duvarı tarafından gönderilen sıfırlama paketini yoksaymaktır. Bu amaçla FreeBSD için bir yama geliştirilmiştir.
TLS ile man-in-the-middle saldırıları: Çin Ulusal İstihbarat Kanunu, teorik olarak Çin hükûmetinin geçerli sertifikalarla MITM saldırıları yapmak için CNNIC gibi herhangi bir Çin sertifika yetkilisinden  kök sertifika talep etmesine ve kullanmasına izin verir. Yasanın oluşturulmasından önce, son onyılda çok sayıda TLS olayı meydana geldi. 26 Ocak 2013 tarihinde GitHub SSL sertifikası, Çin'de ÇGS tarafından kendinden imzalı bir sertifika ile değiştirildi. 20 Ekim 2014'te iCloud SSL sertifikası, Çin'de kendinden imzalı bir sertifikayla değiştirildi. Çin hükûmetinin Apple cihazlarında bir güvenlik açığı keşfettiğine ve bunu istismar ettiğine inanılıyor. 20 Mart 2015'te Google, Google için Mısır'da CNNIC tarafından imzalanmış geçerli sertifikalar tespit etti. Bu olaya cevaben ve daha derin bir araştırmanın ardından CNNIC sertifikası, bazı tarayıcılar tarafından kaldırıldı. Kaldırma işleminin şüpheye değil, kanıta dayalı olması nedeniyle, başka hiçbir Çinli sertifika yetkilisi web tarayıcılarından kaldırılmadı ve o zamandan beri bazıları da eklendi. Bu tür saldırılar, Sertifika Şeffaflığı ve OCSP zımbalama uygulayan web siteleri tarafından veya tarayıcı uzantıları kullanılarak önlenebilir.