아웃라인 프로젝트의 Shadowsocks 프록시 구현인outline-ss-server 1.4 릴리스

아웃라인-ss-server 1.4 프록시 서버가 출시되었습니다. Shadowsocks 프로토콜을 사용하여 트래픽의 특성을 숨기고 방화벽을 우회하며 패킷 검사 시스템을 속이는 것입니다. 서버는 아웃라인 프로젝트에 의해 개발되고 있으며, 이는 클라이언트 애플리케이션의 프레임워크와 공용 클라우드 환경 또는 자체 장비에서 아웃라인-ss-서버 기반의 다중 사용자 Shadowsocks 서버를 신속하게 배포할 수 있는 제어 인터페이스를 추가로 제공합니다. 웹 인터페이스를 통해 관리하고 키로 사용자 액세스를 구성합니다. 이 코드는 검열을 우회하고 정보의 자유로운 교환을 조직하기 위한 도구를 개발하기 위해 만들어진 Google 내 부서인 Jigsaw에서 개발하고 유지 관리합니다.

아웃라인-ss-서버는 Go로 작성되었으며 Apache 2.0 라이선스에 따라 배포됩니다. 기본으로 사용되는 코드는 Shadowsocks 개발자 커뮤니티에서 만든 프록시 서버 go-shadowsocks2입니다. 최근 Shadowsocks 프로젝트의 주요 활동은 Rust 언어로 된 새로운 서버 개발에 집중되어 있으며 Go 언어로의 구현은 XNUMX년 넘게 업데이트되지 않았으며 기능면에서 눈에 띄게 뒤떨어져 있습니다.

outline-ss-server와 go-shadowsocks2의 차이점은 하나의 네트워크 포트를 통해 여러 사용자를 연결하는 지원, 연결을 수신하기 위해 여러 네트워크 포트를 여는 기능, 연결을 끊지 않고 핫 재시작 및 구성 업데이트 지원, 내장 기능으로 귀결됩니다. prometheus 플랫폼 .io를 기반으로 한 모니터링 및 트래픽 수정 도구입니다.

outlook-ss-server는 또한 프로브 요청 및 트래픽 재생 공격에 대한 보호 기능을 추가합니다. 테스트 요청을 통한 공격은 프록시 존재 여부를 확인하는 것을 목표로 합니다. 예를 들어 공격자는 다양한 크기의 데이터 세트를 대상 Shadowsocks 서버로 보내고 오류를 감지하고 연결을 닫기 전에 서버가 읽을 데이터의 양을 분석할 수 있습니다. 트래픽 재생 공격은 클라이언트와 서버 간의 세션을 가로채고 가로채는 데이터를 재전송하여 프록시가 있는지 확인하는 방식을 기반으로 합니다.

테스트 요청을 통한 공격으로부터 보호하기 위해,outline-ss-server 서버는 잘못된 데이터가 도착하더라도 연결을 중단하지 않고 오류를 표시하지 않고 계속해서 정보를 수신하여 일종의 블랙홀 역할을 합니다. 재생을 방지하기 위해 마지막 수천 개의 핸드셰이크 시퀀스(최대 40개, 크기는 서버가 시작될 때 설정되고 시퀀스당 20바이트의 메모리를 소비함)에 대해 저장된 체크섬을 사용하여 클라이언트로부터 수신된 데이터의 반복 여부를 추가로 확인합니다. 서버의 반복 응답을 차단하기 위해 모든 서버 핸드셰이크 시퀀스는 32비트 태그와 함께 HMAC 인증 코드를 사용합니다.

트래픽 숨기기 수준 측면에서,outline-ss-server 구현의 Shadowsocks 프로토콜은 Tor 익명 네트워크의 Obfs4 플러그인 전송에 가깝습니다. 이 프로토콜은 중국의 트래픽 검열 시스템(“중국의 만리 방화벽”)을 우회하기 위해 만들어졌으며 다른 서버를 통해 전달되는 트래픽을 상당히 효과적으로 숨길 수 있습니다(랜덤 시드 첨부 및 시뮬레이션으로 인해 트래픽 식별이 어렵습니다). 연속적인 흐름).

SOCKS5는 요청 프록시를 위한 프로토콜로 사용됩니다. SOCKS5를 지원하는 프록시가 로컬 시스템에서 실행되어 요청이 실제로 실행되는 원격 서버로 트래픽을 터널링합니다. 클라이언트와 서버 간의 트래픽은 암호화된 터널(인증된 암호화는 AEAD_CHACHA20_POLY1305, AEAD_AES_128_GCM 및 AEAD_AES_256_GCM 지원)에 배치되며 생성 사실을 숨기는 것이 Shadowsocks의 주요 작업입니다. TCP 및 UDP 터널 구성이 지원될 뿐만 아니라 Tor의 플러그인 전송을 연상시키는 플러그인을 사용하여 SOCKS5에 의해 제한되지 않는 임의 터널 생성도 지원됩니다.

출처 : opennet.ru