Protokol QUIC a VPN | Vliv komunikačních technologií nové generace
Vysvětlení základních stavebních prvků a základů architektury serverů VPN. Mechanismy vyvažování zátěže a redundance. Technologie VPN se každým dnem vyvíjí a nové protokoly a metody šifrování jsou vyvíjeny za účelem zajištění bezpečnější a rychlejší komunikace. V tomto článku podrobně rozebíráme základy architektury serverů VPN z technického hlediska.
Protokol Shadowsocks využívaný SecureSS VPN je proxy protokol navržený speciálně pro obcházení cenzury. Používá jiný přístup než standardní protokoly VPN (OpenVPN, WireGuard apod.) a klade důraz na skrývání komunikačních vzorců.
Základní pojmy protokolů
Komunikační protokoly VPN a proxy se skládají z mnoha technických prvků, jako jsou metoda šifrování dat, způsob ověřování a mechanismus tunelování. Výběr protokolu výrazně ovlivňuje rovnováhu mezi úrovní bezpečnosti, rychlostí komunikace a odolností vůči cenzuře.
Tradiční protokoly VPN (PPTP, L2TP/IPsec, OpenVPN) byly navrženy především pro budování bezpečných komunikačních tunelů. Na druhé straně byl Shadowsocks navržen s ohledem na použití v prostředí čínského GFW a klade důraz na maskování komunikace jako běžného provozu HTTPS.
Klasifikace hlavních protokolů
| Protokol | Šifrování | Rychlost | Odolnost vůči cenzuře |
|---|---|---|---|
| Shadowsocks | AES-256-GCM | Rychlý | Vysoká |
| OpenVPN | AES-256-CBC/GCM | Střední | Nízká |
| WireGuard | ChaCha20-Poly1305 | Velmi rychlý | Nízká |
| IKEv2/IPsec | AES-256 | Rychlý | Nízká |
Podrobnosti technického mechanismu
Shadowsocks je klient-server proxy protokol. Klientská aplikace běžící na zařízení uživatele funguje jako lokální proxy SOCKS5, šifruje veškerou komunikaci a předává ji na server Shadowsocks. Na straně serveru je komunikace dešifrována a předána na cílové webové stránky nebo služby.
Výhodou tohoto návrhu je integrace šifrování a obfuskace komunikace. Standardní protokoly VPN mají charakteristické VPN vzorce handshake, což usnadňuje jejich identifikaci pomocí DPI, ale komunikace Shadowsocks vypadá jako náhodná sekvence bajtů, což ztěžuje detekci rysů protokolu.
Průběh šifrování
- Inicializace klienta: odvození klíče šifrování relace z předsdíleného klíče (PSK)
- Šifrování dat: šifrování čistých dat pomocí AES-256-GCM (s ověřovacím tagem)
- Přenos: odeslání šifrovaných dat přes TCP/UDP
- Dešifrování na straně serveru: dešifrování šifrovaného textu stejným klíčem a předání na cíl
- Šifrování odpovědi: odpověď serveru je také šifrována a odeslána klientovi
Optimalizace výkonu
V komunikaci VPN je výkon velmi důležitým faktorem. Přestože je režie vyplývající ze zpracování šifrování nevyhnutelná, návrh protokolu a optimalizace serveru mohou minimalizovat dopad na výkon.
Shadowsocks má výhodu menší režie ve srovnání se standardními protokoly VPN díky své konstrukci založené na proxy. Zejména šifrování AES-256-GCM je akcelerováno sadou instrukcí AES-NI (Advanced Encryption Standard New Instructions) nejnovějších procesorů, takže šifrování a dešifrování probíhá na hardwarové úrovni.
Faktory ovlivňující rychlost
- Vzdálenost k serveru: geograficky bližší servery mají nižší latenci a vyšší rychlost
- Zatížení serveru: servery s velkým počtem souběžných připojení mají tendenci ke snížení rychlosti
- Metoda šifrování: AES-256-GCM umožňuje rychlé zpracování díky hardwarové akceleraci
- Síťové prostředí: původní rychlost připojení a přetížení sítě mají velký vliv
Hodnocení bezpečnosti
Při hodnocení protokolů VPN je třeba vzít v úvahu nejen sílu šifrování, ale také metodu ověřování, bezpečnost výměny klíčů a přítomnost dokonalého dopředného utajení (Forward Secrecy).
Šifrování Shadowsocks využívá AEAD (Authenticated Encryption with Associated Data), čímž současně zajišťuje důvěrnost i integritu šifrovaného textu. Díky tomu je detekováno nejen odposlouchávání komunikačních dat, ale také jejich modifikace.
SecureSS VPN využívá tyto technické výhody a kombinuje vysokou bezpečnost s pohodlnou rychlostí komunikace. I netechničtí uživatelé mohou snadno využívat pokročilou bezpečnost Shadowsocks pouhým zaregistrováním odkazu na předplatné SecureSS VPN.