走近科學：全面了解朝鮮Naenara（我的國家）瀏覽器
責編：admin ｜2015-01-13 16:28:38Naenara瀏覽器是朝鮮紅星(Red Star)操作系統中的瀏覽器，也是基于Firefox瀏覽器某個歷史版本的修改版。眾所周知，朝鮮牢牢控制著國民的通信和活動情況，想必也會牢牢控制著互聯網。美國白帽實驗室的Robert Hansen近日撰寫了一篇博文，深入探究了這款朝鮮制造的瀏覽器。
朝鮮版Firefox：Naenara瀏覽器
Naenara(意為：我的國家)瀏覽器是朝鮮紅星(Red Star)操作系統的內置瀏覽器，是朝鮮版本的Firefox。最近我試用了了Naenara瀏覽器3.5版本。我的第一印象是，這貨就是Firefox的某個歷史版本啊，Firefox在此之后應該已經有過6，7次重大更新了。從這款瀏覽器的菜單來看，我覺得這瀏覽器應該是5年之前的了。
不過這也不算很奇怪，對于一個這么小的團隊，要讓他們一直更新瀏覽器的確有些強人所難，我知道他們肯定還有很多別的事要做。
當我第一眼看到瀏覽器的圖片的時候我震驚了，我發現它首次啟動時是向http：//10.76.1.11/發送的請求。如果你有點常識，就知道這是個局域網地址。
朝鮮國家網絡就是局域網
局域網也就意味著朝鮮所有國家網絡都在一個不可路由的IP段里。是的，他們的全國互聯網就類似中小企業的局域網。朝鮮全國的網絡是一個A類(16，777，216個IP地址)網絡。我以為他們是假裝擁有共有IP段，通過一份接入控制列表選擇性地屏蔽出口瀏覽。顯然我錯了……
然后我開始深入研究瀏覽器的配置，接著發現了以下這些寶貴信息：
他們使用與Google相同的追蹤系統，創建不同的Key。
所有的瀏覽器崩潰報告都會被發送到10.76.1.1。所以每當瀏覽器崩潰時，他們就能夠得到信息。這些信息對程序調試很有用，對于尋找Firefox漏洞也很有用，信息當然不會反饋給Mozilla。
非常奇怪的是，當瀏覽器無法連接指定的網址時，它自動添加的后綴是“.com”而非“.com.kp”。這實在是太奇怪了，如果有人打錯了網址，瀏覽器可能就會去連接國外的主機。
很多地方指向了http：//10.76.1.11站上的“.php”地址。這個站大部分的東西都應該是用PHP寫的。
我還發現了一個網址：http：//10.76.1.11/naenarabrowser/%LOCALE%.www.mozilla.com/%LOCALE%/firefox/geolocation/。這是用戶開啟位置定位(geolocation)功能時的警告。但是如果你去掉前面那段朝鮮的URL，就剩下%LOCALE%.www.mozilla.com/%LOCALE%/firefox/geolocation/，然后你把%LOCALE%替換成“ko”，你上的就是Mozilla的韓語官網了。
有沒有可能http：//10.76.1.11/naenarabrowser/的功能就是代理服務器呢？有沒有可能朝鮮人民實際上是通過一個大型的代理服務器訪問互聯網？
我還發現很多類似的網址，如：
http：//10.76.1.11/naenarabrowser/safebrowsing.clients.google.com/safebrowsing/diagnositc？client=%NAME%&hl=%LOCALE%&site=
很明顯瀏覽器可以安裝部分拓展、插件和主題，但不清楚是能夠安裝全部的插件還是說只能安裝部分他們自己的插件：
http：//10.76.1.11/naenarabrowser/%LOCALE%/%VERSION%/extensions/ http：//10.76.1.11/naenarabrowser/%LOCALE%/%VERSION%/plugins/
http：//10.76.1.11/naenarabrowser/%LOCALE%/%VERSION%/themes/
顯然，所有發自朝鮮的郵件會經由10.76.1.11。這樣的做法很奇怪，而且容易遭到中間人攻擊，或者被嗅探，但我想可能朝鮮沒人有秘密，有秘密也不會放在郵件里：http：//10.76.1.11/naenarabrowser/mail/？To=%s。
日歷也是這樣：http：//10.76.1.11/naenarabrowser/webcal/？refer=ff&url=%s。
Naenara沒有默認Google搜索引擎
更加離奇的是我發現Wifi位置索引的網址是https：//www.google.com/loc/json。Google的Wifi小車從來沒有開進過朝鮮，而且這個網址居然沒有經過“代理”，網址還是HTTPS，難道朝鮮允許出口的HTTPS流量嗎？
Naenara的默認搜索引擎不是Google，我不知道這是不是又是一個代理。搜索字串的編碼是UTF-8，而非什么BIG5、ISO-2022-KR或者SHIFT_JIS。搜索網址是http：//10.76.1.11/se/search/？ie=UTF-8&oe=UTF-8&sourceid=navclient&gfns=1&keyword=，通過比對我發現/search？ie=UTF-8&oe=UTF-8&sourceid=navclient&gfns=1實際上就是Google進行搜索時的參數。是不是10.76.1.11充當代理，把Google的搜索結果返回給用戶呢？
通過查看瀏覽器所支持的證書，我驚訝地發現瀏覽器只接受朝鮮政府發行的證書。
瀏覽器可能被政府利用
瀏覽器會自動更新，自動更新不能被關閉?？赡懿皇菫榱吮Ｗo用戶，而是為了讓政府在必要時向用戶安裝惡意軟件。
雖然整個互聯網(可能)都通過了代理服務器，瀏覽器中還是有個默認的UserAgent：“Mozilla/5.0 (X11； U； Linux i686； ko-KP； rv： 19.1br) Gecko/20130508 Fedora/1.9.1-2.5.rs3.0 NaenaraBrowser/3.5b4″。
盡管紅星系統把很多功能禁掉了，它的文件管理器只能顯示一部分目錄，他們關閉了“打開”(Command O)功能，去除了omnibar，但還是有辦法的。用戶可以通過瀏覽器訪問file：///來查看文件。
系統默認安裝了Snort入侵檢測系統，可能是為了保證安全，也有可能是為了要監控網民的活動。
“很奇怪，他們居然通過一個IP地址做那么多事，這會使訪問變得很慢，”作者稱，“我猜想朝鮮使用一個代理并且把各個核心功能通過URL分離，交由一個主機群處理。”
最后附上福利：Red Star 3.0 桌面版 下載
校驗值：
acf53d2b50ecb1391044b343502becf5 redstar_desktop3.0_sign.iso
3eb7ca51105614f3716ceb7dad0ceda9ba0f906a redstar_desktop3.0_sign.iso
895ad0e01ae0d35a65e9ac42dd34d0a1d685d6dfa331ce5b4f24bbc753439be3 redstar_desktop3.0_sign.iso