У безперервному протистоянні систем мережевого контролю та технологій захищеного зв'язку звичайного шифрування вже давно замало для надійного захисту з'єднання. На суворих мережах оператори використовують апаратні комплекси глибокого аналізу пакетів (DPI). Замість спроб зламати криптографічні ключі ці системи аналізують часові проміжки між пакетами, розміри блоків та параметри рукостискання для виявлення проксі-трафіку.

Тривалий час стандартним рішенням було загортання даних у протокол TLS для маскування під звичайний веб-серфінг HTTPS. Проте сучасні комплекси DPI навчилися виявляти вкладені з'єднання — це явище отримало назву проблеми детекції TLS у TLS (TLS-in-TLS). Щоб подолати цей бар'єр, мережева інженерія створила протоколи прямого маскування. Вершиною цієї технології є протокол REALITY, реалізований у VPNRice під фірмовою назвою RiceGuardX.

Технічні механізми виявлення структури TLS у TLS

Щоб зрозуміти, чому традиційні проксі потрапляють під обмеження, слід проаналізувати поведінку вкладеного трафіку на рівні фізичного каналу.

1. Принцип подвійного шифрування

Під час використання звичайного проксі HTTPS:

  1. Зовнішнє з'єднання: Додаток встановлює первинне рукостискання TLS із сервером проксі.
  2. Внутрішній потік: Усередині цього тунелю користувач переглядає сайти, що ініціює вторинне рукостискання TLS між гаджетом і кінцевим сервером.

Для стороннього спостерігача весь потік складається з випадкових зашифрованих символів. Проте аналізатори DPI помічають чіткі аномалії у такій структурі.

2. Розрив структури записів та специфічна ентропія

Стандарт TLS 1.3 регламентує структуру службових записів:

  • Розподіл розмірів пакетів: Під час стандартного серфінгу пакети початкового зв'язку мають типові розміри та заповнення.
  • Спотворення вкладених записів: Коли внутрішнє рукостискання пакується у зовнішні блоки TLS, сукупні довжини та ентропія різко відхиляються від стандартних показників браузера, дозволяючи фільтрам виявити прихований тунель.

3. Відмінності відбитків JA3 та JA4

Браузери формують чіткі послідовності полів ClientHello. Сторонні клієнти проксі часто створені на базі інших мов програмування з іншим порядком шифрів, що утворює підозрілі відбитки.

4. Метод активного зондування (Active Probing)

Зафіксувавши підозрілий потік, система перевірки надсилає тестові запити на адресу сервера:

  • Якщо вузол відповідає невідомим сертифікатом або несподівано розриває зв'язок, екран підтверджує наявність проксі та блокує IP-адресу.

Архітектурний прорив технології REALITY

Проєкт Project X запропонував протокол REALITY, який повністю відмовляється від створення штучних сертифікатів і приховує сліди проксі.

Запозичення сертифікатів авторитетних ресурсів

У старих схемах потрібно було купувати домен та реєструвати сертифікати, що залишало сліди у публічних базах.

REALITY усуває цю проблему:

  • Маскування під великі портали: Сервер REALITY не має власного сертифіката. Він запозичує публічні сертифікати, поле SNI та набори шифрів авторитетних компаній, таких як www.apple.com або www.microsoft.com.
  • Природність трафіку: Для систем контролю передача виглядає як звернення до офіційних ресурсів із бездоганною репутацією.

Асиметрична автентифікація через еліптичні криві

Як сервер ідентифікує справжнього користувача без приватного ключа чужого домену?

  • Додаток передає тимчасовий публічний ключ і перевірочний хеш у розширеннях пакета ClientHello.
  • Сервер RiceGuardX за допомогою свого ключа перевіряє користувача до завершення з'єднання.
  • Після підтвердження трафік спрямовується у безпечний тунель VLESS.

Бездоганна переадресація активних перевірок

Якщо сервер отримує сторонній запит від системи фільтрації:

  • Він автоматично перенаправляє його на справжній сервер Apple.
  • Перевіряюча система отримує офіційну відповідь від інфраструктури Apple.
  • Автоматичний сканер робить висновок, що це звичайний веб-сервер, зберігаючи IP-адресу від блокування.

Протокол RiceGuardX в інфраструктурі VPNRice

У сервісі VPNRice технологія RiceGuardX є ключовим інструментом для надійного зв'язку:

  • Робота через порт TCP 443: Повністю відповідає загальному світовому трафіку HTTPS.
  • Динамічна ротація ресурсів маскування: Сервіс оновлює домени прикриття для збереження природного вигляду з'єднання.
  • Вбудована підтримка у додатках: RiceGuardX доступний у застосунках VPNRice для Windows, Android та інших платформ.

Перевірити статус підключення можна через інструмент Яка моя IP-адреса. Докладніше читайте у статтях про виявлення WireGuard системами DPI та архітектуру протоколу VLESS REALITY.

Завантажити VPNRice.