cbeuw/cloakUna herramienta de elusión de censura para evadir la detección por parte de adversarios estatales autoritarios
Cloak es un transporte conectable que mejora herramientas proxy tradicionales como OpenVPN para evadir la censura sofisticada y la discriminación de datos.
Cloak no es un programa proxy independiente. En cambio, funciona disfrazando el tráfico proxy como actividades normales de navegación web. En contraste con las herramientas tradicionales que tienen huellas de tráfico muy prominentes y pueden ser bloqueadas por simples reglas de filtrado, es muy difícil apuntar a Cloak con precisión y con pocos falsos positivos. Esto aumenta el daño colateral de las acciones de censura, ya que los intentos de bloquear Cloak también podrían dañar servicios de los que depende el estado censor.
Para cualquier observador externo, un servidor que ejecuta Cloak es indistinguible de un servidor web inocente. Tanto al observar pasivamente el flujo de tráfico hacia y desde el servidor, como al sondear activamente los comportamientos de un servidor Cloak. Esto se logra mediante el uso de una serie de técnicas de esteganografía criptográfica.
Cloak puede utilizarse junto con cualquier programa proxy que tunelice tráfico a través de TCP o UDP, como Shadowsocks, OpenVPN y Tor. Se pueden ejecutar múltiples servidores proxy en el mismo servidor anfitrión y el servidor Cloak actuará como un proxy inverso, conectando a los clientes con su extremo proxy deseado.
Cloak multiplexa el tráfico a través de múltiples conexiones TCP subyacentes, lo que reduce el bloqueo de cabeza de línea y elimina la sobrecarga del handshake TCP. Esto también hace que el patrón de tráfico sea más similar al de sitios web reales.
Cloak proporciona soporte multiusuario, permitiendo que múltiples clientes se conecten al servidor proxy en el mismo puerto (443 por defecto). También ofrece funciones de gestión de tráfico, como crédito de uso y control de ancho de banda. Esto permite que un servidor proxy sirva a múltiples usuarios incluso si el software proxy subyacente no fue diseñado para múltiples usuarios.
Cloak también soporta túneles a través de un servidor CDN intermediario como Amazon Cloudfront. Estos servicios son tan ampliamente utilizados que los intentos de interrumpir su tráfico pueden causar un daño colateral muy alto para el censor.
Para implementar rápidamente Cloak con Shadowsocks en un servidor, puede ejecutar este script escrito por @HirbodBehnam
git clone https://github.com/cbeuw/Cloak
cd Cloak
go get ./...
make
Los binarios compilados estarán en la carpeta build.
Los ejemplos de archivos de configuración se pueden encontrar en la carpeta example_config.
RedirAddr es la dirección de redirección cuando el tráfico entrante no proviene de un cliente Cloak. Idealmente debería configurarse en un sitio web importante permitido por el censor (por ejemplo, www.bing.com).
BindAddr es una lista de direcciones a las que Cloak se vinculará y escuchará (por ejemplo, [":443",":80"] para escuchar en los puertos 443 y 80 en todas las interfaces).
ProxyBook es un objeto cuya clave es el nombre del ProxyMethod utilizado en el lado del cliente (sensible a mayúsculas y minúsculas). Su valor es un arreglo cuyo primer elemento es el protocolo y el segundo elemento es una cadena IP:PORT del servidor proxy ascendente al que Cloak reenviará el tráfico.
Ejemplo:
{
"ProxyBook": {
"shadowsocks": [
"tcp",
"localhost:51443"
],
"openvpn": [
"tcp",
"localhost:12345"
]
}
}
PrivateKey es la clave privada Diffie-Hellman estática curve25519 codificada en base64.
BypassUID es una lista de UIDs autorizados sin restricciones de ancho de banda o crédito.
AdminUID es el UID del usuario administrador en base64. Puede dejar esto vacío si solo agrega usuarios a BypassUID.
DatabasePath es la ruta a userinfo.db, que se utiliza para almacenar la información de uso y las restricciones del usuario. Cloak creará el archivo automáticamente si no existe. Puede dejar esto vacío si solo agrega usuarios a BypassUID. Este campo tampoco tiene efecto si AdminUID no es un UID válido o está vacío.
KeepAlive es la cantidad de segundos que se le indica al SO que espere después de la inactividad antes de enviar sondas TCP KeepAlive al servidor proxy ascendente. Un valor cero o negativo lo desactiva. El valor predeterminado es 0 (desactivado).
UID es su UID en base64.
Transport puede ser direct o CDN. Si el anfitrión del servidor desea que se conecte directamente a él, use direct. Si en su lugar se usa un CDN, use CDN.
PublicKey es la clave pública estática curve25519 en base64, proporcionada por el administrador del servidor.
ProxyMethod es el nombre del método proxy que está utilizando. Debe coincidir exactamente con una de las entradas en el ProxyBook del servidor.
EncryptionMethod es el nombre del algoritmo de cifrado que desea que use Cloak. Las opciones son plain, aes-256-gcm (sinónimo de aes-gcm), aes-128-gcm y chacha20-poly1305. Nota: Cloak no está diseñado para proporcionar seguridad en el transporte. El propósito del cifrado es ocultar las huellas de los protocolos proxy y hacer que la carga útil sea estadísticamente aleatoria. Solo puede dejarlo como plain si está seguro de que su herramienta proxy subyacente ya proporciona TANTO cifrado como autenticación (a través de AEAD o técnicas similares).
ServerName es el dominio que desea que su ISP o firewall piensen que está visitando. Idealmente debería coincidir con RedirAddr en la configuración del servidor, un sitio importante permitido por el censor, pero no es obligatorio. Use random para aleatorizar el nombre del servidor en cada conexión.
AlternativeNames es un arreglo que se utiliza junto con ServerName para alternar entre diferentes ServerNames en cada nueva conexión. Esto puede entrar en conflicto con el modo de transporte CDN si el proveedor de CDN prohíbe el domain-fronting y rechaza los dominios alternativos.
Ejemplo:
{
"ServerName": "bing.com",
"AlternativeNames": ["cloudflare.com", "github.com"]
}