Издаване на outline-ss-server 1.4, внедряване на Shadowsocks прокси от проекта Outline

Прокси сървърът outline-ss-server 1.4 беше пуснат, използвайки протокола Shadowsocks, за да скрие естеството на трафика, да заобиколи защитните стени и да измами системите за проверка на пакети. Сървърът се разработва от проекта Outline, който допълнително предоставя рамка от клиентски приложения и контролен интерфейс, който ви позволява бързо да разположите многопотребителски сървъри Shadowsocks на базата на outline-ss-сървър в обществени облачни среди или на вашето собствено оборудване, управлявайте ги чрез уеб интерфейс и организирайте потребителския достъп чрез ключове. Кодът е разработен и поддържан от Jigsaw, подразделение в Google, създадено за разработване на инструменти за заобикаляне на цензурата и организиране на свободния обмен на информация.

Outline-ss-server е написан на Go и се разпространява под лиценза Apache 2.0. Кодът, използван като основа, е прокси сървърът go-shadowsocks2, създаден от общността на разработчиците Shadowsocks. Напоследък основната дейност на проекта Shadowsocks е насочена към разработването на нов сървър на езика Rust, а имплементацията на езика Go не е актуализирана повече от година и забележимо изостава във функционалността.

Разликите между outline-ss-server и go-shadowsocks2 се свеждат до поддръжка за свързване на множество потребители през един мрежов порт, възможност за отваряне на няколко мрежови порта за получаване на връзки, поддръжка за горещ рестарт и актуализации на конфигурацията без прекъсване на връзките, вграден инструменти за мониторинг и модифициране на трафика, базирани на платформата prometheus .io.

outline-ss-server също така добавя защита срещу заявка за сонда и атаки за повторение на трафика. Атаката чрез тестови заявки има за цел да определи наличието на прокси; например, атакуващият може да изпрати набори от данни с различни размери към целевия сървър на Shadowsocks и да анализира колко данни ще прочете сървърът, преди да открие грешка и да затвори връзката. Атаката за повторение на трафика се основава на прихващане на сесия между клиент и сървър и след това опит за повторно предаване на прихванатите данни, за да се определи наличието на прокси.

За да се предпази от атаки чрез тестови заявки, сървърът outline-ss-server, когато пристигнат неправилни данни, не прекъсва връзката и не показва грешка, но продължава да получава информация, действайки като вид черна дупка. За защита срещу повторно възпроизвеждане данните, получени от клиента, се проверяват допълнително за повторения, като се използват контролни суми, съхранени за последните няколко хиляди последователности на ръкостискане (максимум 40 хиляди, размерът се задава при стартиране на сървъра и консумира 20 байта памет на последователност). За да блокират повтарящи се отговори от сървъра, всички последователности на ръкостискане на сървъра използват HMAC кодове за удостоверяване с 32-битови тагове.

По отношение на нивото на скриване на трафика, протоколът Shadowsocks в изпълнението на outline-ss-server е близък до транспорта на добавките Obfs4 в анонимната мрежа Tor. Протоколът е създаден, за да заобиколи системата за цензуриране на трафик в Китай („Великата китайска защитна стена“) и ви позволява доста ефективно да скриете трафика, препратен през друг сървър (трафикът е труден за идентифициране поради прикачването на произволно семе и симулация на непрекъснат поток).

SOCKS5 се използва като протокол за прокси заявки - на локалната система се стартира прокси с поддръжка на SOCKS5, който тунелира трафика към отдалечен сървър, от който реално се изпълняват заявките. Трафикът между клиента и сървъра се поставя в криптиран тунел (поддържа се удостоверено криптиране AEAD_CHACHA20_POLY1305, AEAD_AES_128_GCM и AEAD_AES_256_GCM), скриването на факта на неговото създаване е основната задача на Shadowsocks. Поддържа се организирането на TCP и UDP тунели, както и създаването на произволни тунели, неограничени от SOCKS5 чрез използването на плъгини, напомнящи плъгин транспорти в Tor.

Източник: opennet.ru