Fuite sans précédent de documents internes du Grand Firewall chinois (GFW) : analyse liée à Geedge et MESA
(gfw.report)- Fuite de plus de 500 Go de documents internes, code source et journaux de travail du GFW (Grand Firewall chinois)
- Les données divulguées proviennent de Geedge Networks et du MESA Lab, et incluent des technologies de censure et de surveillance utilisées en Chine et dans plusieurs autres pays
- Plus de 600 Go de fichiers variés ont été publiés ; une grande prudence de sécurité est nécessaire lors de l’accès et de l’analyse
- Geedge et le MESA Lab sont des organisations clés de R&D du GFW et sont également chargés de l’exportation technologique vers des institutions chinoises et des pays liés à l’initiative des Nouvelles Routes de la soie
- À ce stade, aucune analyse détaillée du code source n’a encore été menée ; des résultats supplémentaires devraient continuer à être publiés par GFW Report et d’autres
1. Introduction
- Le 11 septembre 2025, la plus importante fuite de documents internes de l’histoire du Grand Firewall chinois (GFW) a eu lieu
- Cette fuite comprend un vaste ensemble de données, dont plus de 500 Go de code source, journaux de travail et archives de communications internes
- Les documents proviennent de Geedge Networks (avec comme scientifique principal Fang Binxing), un groupe technologique central du GFW, ainsi que du MESA Lab (Institut d’ingénierie de l’information de l’Académie chinoise des sciences)
- D’après les documents, ces organisations exportent des technologies de censure et de surveillance non seulement dans des régions chinoises comme le Xinjiang, le Jiangsu et le Fujian, mais aussi vers le Myanmar, le Pakistan, l’Éthiopie, le Kazakhstan et d’autres pays via des cadres comme les Nouvelles Routes de la soie
- Compte tenu de l’ampleur des données et de leur impact, les analyses et mises à jour devraient se poursuivre sur GFW Report, Net4People et d’autres plateformes
2. Liens de téléchargement
- Environ 600 Go de fichiers divulgués sont accessibles via le site Enlace Hacktivista (torrent et téléchargement direct HTTPS)
- L’archive
mirror/repo.tarà elle seule représente 500 Go, et la liste complète des fichiers ainsi que leur taille sont fournies
- L’archive
- Des instructions détaillées sur l’utilisation des fichiers ont été publiées par David Fifield sur Net4People (GitHub)
3. Précautions de sécurité
- Il est souligné que les données divulguées sont extrêmement sensibles et qu’un environnement de sécurité opérationnelle est indispensable pour les télécharger et les analyser
- Comme les fichiers peuvent contenir des risques potentiels (surveillance, malware), il est recommandé de les analyser dans un environnement isolé, par exemple une machine virtuelle sans connexion Internet
4. Contexte
- Le Grand Firewall (GFW) désigne l’ensemble du système de censure d’Internet, avec une structure dans laquelle institutions et entreprises se répartissent les rôles et coopèrent via divers contrats
- La source de cette fuite est constituée par Geedge Networks et le MESA Lab, deux organisations clés de R&D du GFW
- Le MESA Lab dépend de l’Institut d’ingénierie de l’information de l’Académie chinoise des sciences et s’est développé à partir du NELIST (depuis 2008), dirigé par Fang Binxing
- Dans l’historique du MESA Lab figurent notamment : la dénomination officielle de l’équipe en 2012 (MESA), la conduite de grands projets de cybersécurité, des distinctions dans des programmes de talents, des déploiements d’ingénierie à grande échelle, le recrutement de chercheurs et l’obtention de multiples prix scientifiques et technologiques nationaux
- En 2018, Geedge Networks a été fondée, avec l’arrivée comme membres clés de talents issus de l’Académie chinoise des sciences et de grandes universités
5. Analyse des fichiers hors code source
- Parmi les fichiers divulgués, les documents autres que le code source ont déjà fait l’objet d’analyses détaillées par plusieurs équipes spécialisées
- David Fifield est en train de rassembler la couverture médiatique et les analyses techniques associées
- En revanche, l’analyse des fichiers de code source n’est pas encore terminée
6. Analyse des fichiers de code source
- La partie code source n’a pas encore fait l’objet d’une analyse systématique
- Étant donné l’importance et l’impact de cette fuite, les analyses devraient être mises à jour en continu sur la page en question, sur Net4People et ailleurs
- Les analyses, questions, avis et documents complémentaires sont recueillis et communiqués publiquement ou de manière privée via GFW Report
Référence
- Ce rapport a d’abord été publié par GFW Report, et l’état des analyses ainsi que les documents continuent d’être partagés sur Net4People et d’autres plateformes
8 commentaires
D’immenses régimes dictatoriaux s’entendent pour surveiller des centaines de millions de personnes... On dirait l’intrigue d’un roman de SF horrifique, mais c’est bien quelque chose qui se produit dans le monde réel.
L’affaire Edward Snowden est encore très présente dans les mémoires, et voilà qu’il faudrait encore que je voie ici des commentaires du genre sur les dictateurs — ce serait pas encore un 2-jjik, par hasard ? S’il vous plaît, ne faites pas que coder enfermés dans votre chambre et allez voir un peu le monde, ici et ailleurs ~
En laissant de côté la politique, qu’essayez-vous exactement de dire ?
Je ne comprends absolument pas l’enchaînement ni le contexte des phrases.
Je ne vois rien sur la Corée ici, donc je ne comprends pas pourquoi on s'est soudainement mis à parler de politique coréenne.
Veuillez quitter ce site.
Ce genre d'obsession politique n'a pas sa place dans cette communauté.
À vous entendre, on dirait que vous vivez depuis longtemps dans le monde d’Internet et que vous n’arrivez pas vraiment à communiquer avec qui que ce soit dans la vie réelle.
Au lieu de rester dans votre coin à poster ce genre de commentaires, vous feriez mieux de sortir un peu et d’aller à la rencontre de « vraies personnes ».
Le code source de Big Brother a fuité !
Commentaires Hacker News
Il y a ici une analyse et une discussion intéressantes
Parmi les premiers clients de Geedge après sa création en 2018 figurait le gouvernement du Kazakhstan, à qui l’entreprise vendait son produit phare, Tiangou Secure Gateway (TSG)
Cette solution surveille et filtre tout le trafic web à la manière du Great Firewall chinois, et contrôle même les tentatives de contournement
Le même outil a aussi été déployé en Éthiopie et au Myanmar, où il a servi à faire respecter efficacement l’interdiction des VPN. Geedge a collaboré avec des opérateurs télécoms locaux (Safaricom, Frontiir, Ooredoo, etc.) pour mettre en place des systèmes nationaux de censure
La fuite de documents internes a révélé comment les employés de Geedge ont rétroconçu les principaux outils VPN pour trouver des moyens de les bloquer. Plus précisément, 9 VPN commerciaux auraient été « résolus », et diverses techniques auraient été appliquées pour détecter et bloquer leur trafic
En Chine, la plupart des VPN commerciaux sont inaccessibles, et les principaux outils anticensure sont eux aussi très difficiles d’accès
Les documents divulgués contiennent même des informations de capture d’e-mails en clair
Il est supposé que la récente dynamique de blocage des VPN en Russie utilise elle aussi ce type de technologie
En voyant la mention de la capture d’e-mails en clair, on se dit qu’il serait étonnant que les pays occidentaux ne fassent pas eux aussi quelque chose de similaire
Il est souligné que lorsque les gouvernements introduisent des dispositifs de contrôle technique contre leurs citoyens, le pouvoir de contrepoids que possédait la population face à l’État disparaît
La censure de masse, la surveillance et les atteintes à la vie privée sont incompatibles avec la dignité humaine
La logique utilitariste de la censure en ligne au nom de « l’intérêt public », qu’il s’agisse du terrorisme ou de la protection de l’enfance, ne regarde que les effets de premier ordre et ignore les conséquences au-delà
Une fois qu’un gouvernement a goûté à la douceur de la censure, il ne remet jamais le bouchon sur la bouteille
Au final, on ne s’arrête pas au blocage des seuls contenus dangereux ou offensants : la censure s’étend arbitrairement au service des intérêts de ceux qui cherchent à conserver le pouvoir
On espère que cette fuite liée au Great Firewall aidera chercheurs et militants à trouver de nouvelles manières de résister à la censure
Quelqu’un fait une brève remarque disant que tu comprends fondamentalement mal le champ de bataille
En prenant pour exemple un incident au début du mois où des jeunes Népalais ont incendié eux-mêmes des bâtiments et chassé des députés en réponse à un vaste blocage des réseaux sociaux par le gouvernement, il est dit que, parfois, on a bel et bien remis le bouchon sur cette « bouteille »
En rappelant le cas allemand, quelqu’un met en garde contre l’optimisme selon lequel la fuite du GFW serait utile
On en vient à se demander quel genre d’être humain raté choisit d’utiliser son talent pour fabriquer de tels outils
Quelqu’un partage son expérience passée de vie dans un pays utilisant autrefois le GFW
Avant l’apparition de v2ray, utiliser un protocole arbitraire permettait souvent de contourner le blocage
En transformant une connexion SSH en socks5 et en l’enveloppant dans du ROT13 ou un chiffrement ROTn arbitraire, on pouvait éviter le symptôme où le pare-feu réduisait progressivement le débit après quelques Ko
OpenSSH révélait son nom et sa version en clair lors de la connexion, ce qui le rendait facile à identifier
Avec le temps, le pare-feu est devenu plus agressif et a commencé à ralentir immédiatement les protocoles non identifiés
En imitant du trafic HTTP légitime, par exemple en faisant semblant de télécharger un fichier favicon.ico, on pouvait échanger en sécurité uniquement les paquets de contenu
Le projet Iodine avait tenté quelque chose de similaire avec des paquets ping, mais c’était plus lent
Aujourd’hui, v2ray recommande même de faire ressembler au maximum le trafic à du vrai trafic, y compris avec l’apparence d’une page web valide et un certificat
Une fois qu’il a commencé à gagner de l’argent, il a aussi envisagé d’envoyer le trafic en round-robin sur plusieurs IP, car une IP constante permet de construire une empreinte
Il ne vit plus dans ce pays, donc il n’a pas pu tester cette hypothèse, mais en voyant les sources fuitées il pense que cela pourrait faire un projet de week-end intéressant
Alors que des décodeurs de trafic pour TCP, HTTP, QUIC, etc. étaient explicitement mentionnés, il n’y en avait pas pour UDP, sans que cela change le contournement. Il suppose qu’une limitation de débit par IP identique s’appliquait probablement aussi à UDP à un niveau inférieur
Pour ajouter à mon expérience, j’ai exploité un serveur Outline sur la même IP pendant 3 ans, et le GFW bloquait toujours cette IP après environ 3 jours
Quelqu’un demande plus d’explications sur l’idée d’envelopper une connexion SSH dans du ROT13 ou du ROTn pour éviter le blocage du pare-feu
On se demande qui est le « Snowden chinois » à l’origine de cette fuite
Quelqu’un dit savoir que le trafic QUIC ne peut pas être attaqué via une technique MITM, et se demande comment le GFW le traite : blocage total ou simple filtrage
Il est répondu qu’il en va de même non seulement pour QUIC, mais aussi pour TLS et les autres canaux chiffrés
Selon le rapport https://gfw.report/publications/usenixsecurity25/en/#3, le pare-feu chinois renifle les informations SNI dans le handshake, comme pour TLS, afin de bloquer
Quelqu’un se demande pourquoi QUIC serait différent de HTTP1.1 ou 2 du point de vue des attaques MITM
Il est affirmé qu’un trafic QUIC chiffré n’empêche pas réellement le MITM
En général, on s’appuie plutôt sur les métadonnées comme l’IP de connexion, ou sur des attaques par rétrogradation
L’idée est avancée que si de tels systèmes de censure sont installés un peu partout, c’est le résultat d’un effort coordonné
J’ai juste besoin d’un pare-feu simple qui bloque les publicités
Au début, quelqu’un s’inquiétait de voir des pays occidentaux comme le Royaume-Uni imiter ce type de système
Il ne pense pas que tout le monde cherche activement à le copier immédiatement, mais ce n’est pas non plus une inquiétude totalement excessive
En réalité, nous nous rapprochons de plus en plus de ce genre de système
Le fait que le Parti communiste chinois doive mobiliser un système aussi massif pour empêcher l’accès des citoyens à l’information et l’expression d’opinions dissidentes montre que le régime a de sérieux problèmes
Nous avons de la chance de vivre dans une société relativement libre
Internet recule progressivement face à l’intervention des gouvernements et à la censure. Ce n’est pas souhaitable
Le but de ce type de système n’est pas de bloquer à la source toute désobéissance ou toute prise de conscience, mais de ralentir la vitesse à laquelle des rumeurs ou des informations de propagande deviennent virales
Quelqu’un mentionne avoir écouté le podcast politique britannique Not Another One, où il est dit que la politique britannique de blocage de la pornographie, avec son contrôle excessif de l’accès à certains contenus, attire aussi l’attention de responsables politiques étrangers
À l’origine, le GFW aurait été construit par Cisco, et l’Occident dispose déjà de toutes les technologies nécessaires
En réalité, presque toutes les entreprises utilisent déjà en interne une partie de ce type de système (proxy, pare-feu, filtre de contenu)
À l’interprétation selon laquelle le régime du Parti communiste chinois serait faible au point de devoir bloquer l’opinion des citoyens, quelqu’un répond en prenant l’exemple d’OpenAI
Toute cette discussion donne l’impression d’être remplie d’avocats du diable