作者办理过几件售卖“科学上网”软件和节点的提供侵入计算机信息系统程序、工具案，发现很多司法人员没有研究过该软件的计算机运行原理，该类案件中的鉴定报告只是简单地将软件运行一遍，把上外网的过程记录下来，然后就认定软件能绕开限制访问外网，司法机关便以该鉴定报告作为定案的依据。作者仔细研究了“科学上网”软件的计算机运行原理，尝试从计算机专业方面说清楚该软件没有入侵计算机系统的原因，欢迎律师同行和计算机专家批评指正。

　　个人电脑配有主机、显示屏，使用网线连接路由器（内含交换机），路由器的功能是将局域网数据发送至互联网。每一台电脑都有端口、默认网关（MAC）、DNS服务器IP地址的配置信息，网民需要浏览网页时，请求浏览的数据必须经过电脑的0SI七层模型，也就是数据必须经过应用层、表示层、会话层、传输层、网络层、数据链路层、物理层进行传输。为了方便理解，经过简化归纳，可以总结为5层模型，即应用层、传输层、网络层、数据链路层、物理层。

　　首先，如果网民的电脑第一次访问百度网站时，就要在浏览器中输入“的域名，向百度的服务器请求访问，这个域名绑定了百度的IP地址，域名就像一个人的名字，是用来方便人类记忆的，而IP地址就像一个人的身份证号码，是用来标记这个网站的真实网络位置。当网民输入百度域名后，电脑向本地DNS服务器发送请求，会在应用层产生请求访问的协议，例如“请求访问的IP地址”。

　　第二步，传输层对应用层的数据进行封装，传输层对应的是端口数据，封装出源端口和目标端口的端口数据，例如本地电脑的端口是“404”，目标端口是“53”，形成404 53的传输层端口数据。

　　第三步，传输层的数据传至网络层，网络层对应的是IP数据，形成源IP和目标IP数据，源IP就是本地电脑的DNS服务器IP地址,目标IP就是网民想要访问的IP地址，例如本地电脑IP地址尾号是1.10，目标IP地址尾号为8.8.8。因为网民想要访问的是百度IP地址，而本地的DNS服务器发现网民想要访问的IP地址不在自己的网段范围之内，网络层就将数据传至第四层数据链路层。

　　第四步，在数据链路层对应的是MAC网关数据，形成源网关数据和目标网关数据，源网关数据就是本地电脑的MAC网关地址，例如“AA”，目标MAC网关地址就是本地路由器的MAC网关地址，例如“CC”，加上以上3层形成的传输数据，最后形成“AA（本地MAC） CC（目标MAC） 1.10（本地IP） 8.8.8（目标IP） 404（本地端口）53（目标端口）请求访问baidu.com的IP地址”的传输数据包。

　　第五步，最后形成的传输数据包通过物理层网线来到路由器，路由器对该组数据包改造成适合公网上传播的模式，也是“MAC数据 IP数据 端口数据 请求访问baidu.com的IP地址”的数据模式，改造后将该数据包通过路由器的wan口转发至公共互联网。

　　第七步，收到IP地址后，网民的电脑会重新发一个“请求访问百度首页内容”的数据，依然通过OSI数据传输模型传至路由器，再由路由器传至百度的Web服务器，百度Web服务器通过5层数据模型解析后，将首页内容数据传输至网民的电脑中解析，解析后网民的电脑便能看到百度的首页。

　　以上便是计算机联网的基本原理，本质上是本地计算机形成一个由MAC地址、IP地址、端口、请求内容组成的数据包，通过路由器发送至含有目标IP地址的个人计算机内，由该计算机通过数据包的方式将IP地址发送给请求联网的计算机内，获取IP地址后，请求联网的计算机通过OSI数据包的模式发送给该IP地址的服务器，目标IP服务器再通过OSI数据包的方式回传给请求联网的计算机，最后网民实现联网。如果网民曾经已经联过该目标IP网站，下一次联网时便会自动发送数据包给目标IP网站的服务器，而不需要向其他计算机索要IP地址。

　　二、“科学上网”软件没有避开、突破计算机信息系统安全保护措施，而是通过数据加密的方式“骗”过了国家防火墙（以下简称GFW）

　　“科学上网”软件的模式有两种，一种是VPN模式，另一种是代理模式，最早流行的“科学上网”模式是VPN模式。VPN即虚拟专用网络（英语：Virtual Private Network，缩写：VPN），功能是在公用网络上建立专用网络，进行加密通讯。通俗地说，原先GFW是看了到数据包中的请求内容、端口、IP地址、MAC数据的，VPN对所有数据加密后，形成一个加密通道，GFW就只能看到应用层“我要建立VPN连接”的内容，不知道网民真正传输的是什么数据，从而骗过GFW。

　　因为VPN模式会和国外服务器产生大量、长时间的流量，很容易被GFW注意到，从而将该VPN中网络层的IP地址列入黑名单，这样就无法骗过GFW实现“科学上网”。目前VPN模式的“科学上网”软件已经被陆续淘汰，现在比较流行的“科学上网”模式是shadowsocks5模式，如下是该模式的运行原理：

　　第一步，该模式首先要在境外有一个VPS代理服务器，该服务器监听了一个端口，例如端口为“8388”。

　　第二步，网民在手机或者计算机上安装客户端软件（“科学上网”软件），例如Shadowrocket(苹果端)、Surfboard(安卓端)、Clash(安卓端)，该软件会有一个端口，例如“1080”，同时在浏览器上设置同样的“1080”代理端口，网民在浏览器上输入“请求访问谷歌”后，该请求便会发送到客户端软件（“科学上网”软件）。

　　第三步，客户端收到请求后会在应用层对该请求内容进行加密，接着通过传输层、网络层、数据链路层形成“x x x x（本地IP） x. x. x. x（境外代理服务器IP） 1080（原端口） 8388（目标端口）请求内容（加密）”的数据包，因为“x. x. x. x（境外代理服务器IP）”不在GFW的黑名单中，防火墙又看不到加密后的请求内容，所以GFW放行通过该数据包。

　　两高《关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释》第二条规定，具有下列情形之一的程序、工具，应当认定为刑法第二百八十五条第三款规定的“专门用于侵入、非法控制计算机信息系统的程序、工具”：

　　（一）具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权获取计算机信息系统数据的功能的；

　　（二）具有避开或者突破计算机信息系统安全保护措施，未经授权或者超越授权对计算机信息系统实施控制的功能的；

　　（三）其他专门设计用于侵入、非法控制计算机信息系统、非法获取计算机信息系统数据的程序、工具。

　　根据该司法解释规定，需要同时具备4个条件才能认定一项计算机程序、工具具有侵入、非法控制计算机的功能：首先是具有避开、突破的功能，二是避开、突破的是计算机安全保护措施，三是未经授权或者超越授权，四是获取计算机系统数据或者控制计算机系统。

　　根据4个条件一一对照“科学上网”的过程，“科学上网”软件不是专门侵入计算机系统的程序和工具：

　　第二，计算机安全保护措施是保护具体某个计算机不受到恶意入侵的系统，而GFW是网络审查系统，不是计算机安全保护措施，国外网站都是合法登录、浏览，不需要突破计算机安全保护措施；

　　第三，国内没有授权个人上外网的授权机制，没有授权更谈不上未经授权或者超越授权，而且像谷歌、推特等国外网站都是公开的，可以注册登录浏览，也可以不注册作为游客浏览，不需要授权；

　　第四，“科学上网”软件只是将传输的数据进行加密通讯，没有获取GFW的数据，也没有获取外网的数据，更没有控制GFW和外网计算机系统。

　　综上，从计算机运行原理上来看，“科学上网”软件没有避开、突破计算机安全保护措施，没有未经授权、超越授权获取计算机系统数据或者控制计算机系统，它不是专门侵入计算机信息系统的程序和工具，本质上是GFW作为我国网络审查机制的工具，起到限制国内数据连接外网数据的功能。

　　浙江厚启律师事务所成立于2015年9月1日，是一家以商事犯罪辩护与商事法律服务为特色的合伙制律所。

　　厚启所的业务领域包括：金融犯罪辩护与金融法务、税收犯罪辩护与税收法务、数字网络犯罪辩护与数字网络法务、食环药犯罪辩护与食环药法务、知识产权犯罪辩护与知识产权法务、职务犯罪辩护、普通犯罪辩护、刑事控告与代理、刑事民事行政交叉事务、企业合规与反舞弊等。

　　厚启的使命，是“为维护人的自由与尊严而优雅地战斗”。财产、精神、人身与生命的自由，是人之为人的核心权利，是人维持尊严的底线要求。厚启律师的核心使命，是在法律服务中，以法律骑士的精神，穷尽一切法律手段为当事人争取权利，以维护其自由与尊严。

　　厚启的愿景，是打造一家“学术为基、技能为本、规模适度、辐射全国的精品所”。厚启律师注重学术研究，精研法律技术，不追求最大的规模与最高的收费，力求以最专业的服务为当事人谋取最大的法律利益。

　　厚启的价值观，是“专业精神、道德勇气与社会担当”。厚启律师将专业作为立所之本，精益求精clash安卓版，不断锤炼；厚启律师恪守职业伦理，为维护当事人的法律利益勇于坚持原则；厚启律师积极承担社会责任，以委托案件标准办理法律援助案件，通过公益课程与原创成果的无私分享，促进法律服务行业水准的提升。返回搜狐，查看更多