Shadowsocks 2022

Shadowsocks 2022, Colitu Adaptive Connect'in Android ve iOS'ta denediği beşinci ve son moddur; Windows ve Linux'ta ise bağlanma süresine göre sıralanan TCP modlarından biridir. Diğer dördünden farklı olarak hiçbir şeye benzemeye çalışmaz: bir Shadowsocks bağlantısı ilk bayttan itibaren rastgele veri gibi görünür.

#Nedir?

Shadowsocks, en eski açık kaynak şifreli proxy protokollerinden biridir. "2022", önceki sürümlerin zayıflıklarını gideren yeniden tasarım olan SIP022 belirtimini ifade eder. Bu belirtim parola yerine güçlü bir ön paylaşımlı anahtar şart koşar, oturum anahtarlarını türetmek için BLAKE3 kullanır ve zaman damgasına dayalı tekrar koruması ekler. Belirtim hem TCP'yi hem UDP'yi kapsar. Colitu sunucuları onu sing-box ile 2022-blake3-aes-256-gcm yöntemiyle ve çok kullanıcılı modda çalıştırır: bir sunucu anahtarı ve her kullanıcının bağlantı bilgilerinde ayrı bir anahtar.

#Nasıl çalışır?

1. Anahtarlar. Uygulamada sunucu anahtarı ve kendi kullanıcı anahtarı bulunur; ikisi de 256 bittir ve oturum açtıktan sonra şifreli bir kanalla gelir.
2. Her bağlantıya yeni anahtar. İstemci her bağlantı için 32 baytlık rastgele bir tuz seçer ve anahtarla tuzdan BLAKE3 ile bir oturum alt anahtarı türetir. Böylece her oturum yeni bir şifreleme anahtarı kullanır.
3. İstek başlığı. İlk mesaj; mesaj türünü, bir zaman damgasını ve uzunluğu içeren sabit uzunlukta bir başlık, ardından hedef adresi ve isteğe bağlı dolguyu içeren değişken uzunlukta bir başlık taşır. Hepsi AES-256-GCM ile şifrelenir ve doğrulanır.
4. Tekrar koruması. Sunucu, zaman damgası kendi saatinden fazla uzak olan istekleri reddeder (SIP022 30 saniyeye izin verir) ve yakın zamanda görülen tuzları hatırlar; böylece kaydedilmiş bir bağlantı yeniden oynatılamaz.
5. Yanıt. Sunucunun ilk yanıtı istemcinin tuzunu içerir; bu, yanıtı tam olarak o isteğe bağlar.
6. Veri. Bundan sonra veri şifreli ve doğrulanmış parçalar hâlinde akar. Hiçbir aşamada tanınabilir bir el sıkışma yoktur.

#Colitu neden kullanıyor?

Shadowsocks 2022 hafiftir: TLS el sıkışması yoktur, paket başına ek yük azdır ve hızlı başlar. Ayrıca diğer modların hiçbirine benzemez. TLS'e ya da QUIC'e göre ayarlanmış filtrelerin yakalayacağı tanıdık bir şey yoktur; bu yüzden kendi nedenleriyle tanımadığı adreslere giden TLS'e veya QUIC'e müdahale eden bir ağda yine de geçebilir. Sıranın son modu olarak Adaptive Connect'e bambaşka türden bir seçenek daha sunar.

#Güçlü olduğu yerler

• Filtrelemenin hafif olduğu ağlar: çok düşük ek yük ve düşük gecikme.
• Özellikle TLS'e ya da QUIC'e müdahale eden ağlar: müdahale edilecek bir TLS ya da QUIC el sıkışması yoktur.
• Düşük güçlü cihazlar: AES-GCM, modern işlemcilerin çoğunda donanımla hızlandırılır.

#Sınırları ve en iyi seçim olmadığı durumlar

• Kamuflaj yok. "Rastgele veri gibi görünmek" kendi başına bir işarettir. Araştırmacılar, tamamen şifreli trafiği sezgisel yöntemlerle işaretleyen filtreleme sistemlerini belgelemiştir. Agresif DPI yapan ağlarda Reality tabanlı modların çalışma olasılığı daha yüksektir; Shadowsocks 2022'nin mobilde en sonda olmasının nedeni budur.
• Sertifika yok. Güvenlik tamamen ön paylaşımlı anahtarların gizli kalmasına dayanır; sunucunun açık anahtara dayalı bir kimliği yoktur.
• İleri gizlilik (forward secrecy) yok. Geçici bir anahtar değişimi yoktur: oturum anahtarları uzun ömürlü anahtarlardan türetilir, bu anahtarları ele geçiren biri kaydedilmiş oturumları çözebilir. TLS tabanlı modlarda bu zayıflık yoktur.
• Yoklamaya gösterecek bir şey yok. Sunucu yoklayana işe yarar bir yanıt vermez, ama Reality'nin aksine arkasında gerçek bir web sitesi de yoktur.
• Kayıplı hatlarda TCP. Mobil veride ya da kötü Wi-Fi'da her TCP protokolü gibi yavaşlar; orada Hysteria2 genellikle daha hızlıdır.

#Adaptive Connect nasıl kullanıyor?

Android ve iOS'ta Shadowsocks 2022; Hysteria2, VLESS Reality, VLESS XHTTP ve Trojan'dan sonra en son sıradadır. Diğer dört moddan hiçbiri trafik kontrolünü geçemediğinde denenir. Windows ve Linux'ta ölçülen bağlanma süresine göre diğer TCP modlarıyla birlikte sıralanır. Shadowsocks 2022 de kontrolü geçemezse ağ beş moddan hiçbirine izin vermiyor demektir; sonra neyi kontrol edeceğinizi VPN bağlanmıyor rehberi anlatır.

#Güvenlik ve şifreleme

• Şifre: AES-256-GCM, bir AEAD şifresidir: her parça hem şifrelenir hem doğrulanır, bu yüzden her türlü değişiklik fark edilir.
• Anahtar türetme: BLAKE3, her bağlantı için ön paylaşımlı anahtardan ve rastgele bir tuzdan yeni bir oturum alt anahtarı türetir.
• Tekrar koruması: zaman damgaları ve yakın zamanda kullanılan tuzların önbelleği.
• Kullanıcı başına anahtar: her kullanıcının bağlantı bilgileri, sunucu anahtarına ek olarak ayrı bir anahtar içerir.
• Anahtar yönetimi: anahtarlar uygulamaya şifreli olarak iletilir, hiçbir yerde yayınlanmaz.
• Erişim günlüğü yok: bkz. güvenlik sayfası.

#Kaynaklar

• SIP022: Shadowsocks 2022
• sing-box belgeleri

#Deneyin

Shadowsocks 2022, son yedek olarak her Colitu uygulamasında bulunur ve ayarlanacak hiçbir şey yoktur. Colitu'yu indirin ya da sunucu konumlarına bakın.