در رقابت فنی مداوم میان سامانه‌های کنترل ترافیک و روش‌های امن‌سازی ارتباطات، رمزگذاری ساده داده‌ها دیگر به تنهایی ضامن پایداری ارتباط نیست. در شبکه‌هایی با نظارت سختگیرانه، دیواره‌های آتش از تجهیزات بازرسی عمیق بسته‌ها (DPI) استفاده می‌کنند. این سامانه‌ها به جای تلاش برای شکستن الگوریتم‌های پیچیده رمزنگاری، به بررسی الگوهای زمانی، اندازه بسته‌ها و ساختار دست‌تکانی ترافیک می‌پردازند تا عبور بسته‌های پروکسی را شناسایی کنند.

برای سال‌ها، راه‌حل معمول بسته‌بندی ترافیک در لایه‌ای از پروتکل استاندارد TLS بود تا جریان داده مشابه وب‌گردی معمول HTTPS به نظر برسد. اما سامانه‌های DPI امروزی الگوریتم‌هایی برای تشخیص این ساختار تو در تو توسعه داده‌اند که به چالش شناسایی TLS در TLS معروف است. برای مقابله با این الگو، معماری شبکه به سمت استتار مستقیم حرکت کرده است. پیشگام این تحول پروتکل REALITY است که در VPNRice با نام اختصاصی RiceGuardX پیاده‌سازی شده است.

سازوکار فنی شناسایی ترافیک رمزنگاری‌شده تو در تو

برای فهم چگونگی کشف این پروتکل‌ها، باید تغییرات رفتاری بسته‌های داده را در لایه فیزیکی شبکه بررسی کرد.

۱. ساختار رمزگذاری دوگانه

هنگامی که ترافیک از مسیر یک پروکسی HTTPS معمولی عبور داده می‌شود: ۱. نفق خارجی: نرم‌افزار یک دست‌تکانی اولیه TLS با سرور پروکسی انجام می‌دهد. ۲. جریان داده داخلی: در درون این نفق، کاربر وب‌سایت‌های دیگر را باز می‌کند و دست‌تکانی دومی میان دستگاه و سایت نهایی صورت می‌پذیرد.

برای ناظران ساده، تمامی این داده‌ها تصادفی به نظر می‌رسد، اما پردازنده‌های DPI متوجه الگوهای مشخصی در این ساختار می‌شوند.

۲. شکستگی سوابق و اختلال در توزیع تصادفی داده‌ها

پروتکل TLS 1.3 ضوابط سختگیرانه‌ای در مدیریت سوابق دارد:

  • توزیع اندازه بسته‌ها: در یک وب‌گردی معمولی، بسته‌های شروع ارتباط دارای اندازه‌های مشخصی هستند.
  • تداخل سوابق تو در تو: هنگامی که دست‌تکانی داخلی در بسته‌های خارجی قرار می‌گیرد، الگوهای طولی و محاسباتی با وب‌گردی عادی تفاوت پیدا کرده و سیستم‌های فیلترینگ این وضعیت را تشخیص می‌دهند.

۳. ناهمخوانی اثرانگشت دست‌تکانی‌های JA3 و JA4

مرورگرهای اینترنتی پارامترهای مشخصی در فیلد ClientHello دارند. ابزارهای پروکسی معمولاً از کتابخانه‌های نرم‌افزاری متفاوتی استفاده می‌کنند که چینش کلیدها در آن‌ها متفاوت بوده و شناسه‌های مشکوکی تولید می‌نماید.

۴. راستی‌آزمایی از طریق کاوش فعال (Active Probing)

با مشکوک شدن به یک ارتباط، سامانه نظارتی اقدام به ارسال بسته‌های کاوشگر به سرور می‌کند:

  • اگر سرور پاسخ نامتعارف داده یا ارتباط را به یکباره قطع کند، فایروال سرور را مسدود می‌سازد.

نوآوری معماری فناوری REALITY

پروتکل REALITY شیوه‌های سنتی را کنار گذاشته و امکان اتصال بدون تولید گواهی‌های ساختگی را فراهم کرده است.

استفاده از گواهی‌های دامنه‌های معتبر جهانی

در روش‌های قدیمی، نیاز به ثبت دامنه و دریافت گواهی‌های رسمی وجود داشت که ردپای مشخصی به جا می‌گذاشت.

فناوری REALITY این کاستی را برطرف ساخته است:

  • استفاده از هویت دامنه‌های معتبر: سرور نیازی به گواهی اختصاصی ندارد، بلکه از مشخصات گواهی‌های عمومی شرکت‌های بزرگ نظیر www.apple.com یا www.microsoft.com بهره می‌برد.
  • عدم جلب توجه سامانه‌های فیلترینگ: ترافیک در ظاهر به سمت مقاصد کاملاً رسمی و مجاز هدایت می‌شود.

احراز هویت با استفاده از رمزنگاری منحنی بیضوی

چگونه سرور کاربر واقعی را بدون داشتن کلید خصوصی دامنه اصلی تشخیص می‌دهد؟

  • نرم‌افزار کاربر یک کلید عمومی موقت را در فیلدهای بسته ClientHello قرار می‌دهد.
  • سرور RiceGuardX با استفاده از کلید خصوصی خود کاربر را احراز هویت می‌نماید.
  • پس از تایید هویت، داده‌ها مستقیماً وارد نفق VLESS می‌شوند.

هدایت کامل بسته‌های کاوشگر به مقصد واقعی

اگر سرور درخواستی از سوی کاوشگر فایروال دریافت کند:

  • بسته ارسالی را بدون تغییر به سمت سرور واقعی شرکت اپل هدایت می‌کند.
  • کاوشگر پاسخی رسمی و معتبر از زیرساخت اپل دریافت می‌نماید.
  • فایروال نتیجه می‌گیرد سرور متعلق به خدمات معمول وب است و مانع از مسدودسازی آن می‌شود.

قابلیت‌های پروتکل RiceGuardX در VPNRice

در شبکه VPNRice، فناوری RiceGuardX ابزار اصلی برای برقراری ارتباط پایدار است:

  • فعالیت بر روی پورت TCP 443: استفاده از پورت پیش‌فرض وب‌سایت‌های جهانی، ترافیک را کاملاً شبیه ارتباطات وب عادی می‌کند.
  • تغییر مداوم دامنه‌های استتار: دامنه‌های مورد استفاده برای استتار به صورت پویا تغییر می‌کنند.
  • پشتیبانی در تمامی اپلیکیشن‌ها: این فناوری در برنامه‌های اندروید و ویندوز VPNRice به صورت پیش‌فرض گنجانده شده است.

وضعیت شبکه خود را با ابزار رایگان بررسی نشانی IP ارزیابی کنید. برای کسب اطلاعات بیشتر، مقالات شناسایی پروتکل WireGuard توسط DPI و بررسی جامع پروتکل VLESS REALITY را مطالعه فرمایید.

دریافت VPNRice.