cbeuw/cloakUn outil de contournement de la censure pour échapper à la détection par des adversaires étatiques autoritaires
Cloak est un transport enfichable qui améliore les outils proxy traditionnels comme OpenVPN pour contourner la censure sophistiquée et la discrimination des données.
Cloak n'est pas un programme proxy autonome. Il fonctionne en faisant passer le trafic proxyé pour des activités de navigation web normales. Contrairement aux outils traditionnels qui ont des empreintes de trafic très visibles et peuvent être bloqués par des règles de filtrage simples, il est très difficile de cibler précisément Cloak avec peu de faux positifs. Cela augmente les dommages collatéraux des actions de censure, car les tentatives de blocage de Cloak pourraient également endommager les services dont dépend l'État censeur.
Pour tout observateur tiers, un hôte exécutant un serveur Cloak est impossible à distinguer d'un serveur web innocent. À la fois en observant passivement le flux de trafic vers et depuis le serveur, ainsi qu'en sondant activement les comportements d'un serveur Cloak. Ceci est réalisé grâce à une série de techniques de stéganographie cryptographique.
Cloak peut être utilisé avec tout programme proxy qui tunnelise le trafic via TCP ou UDP, comme Shadowsocks, OpenVPN et Tor. Plusieurs serveurs proxy peuvent fonctionner sur le même hôte serveur et le serveur Cloak agira comme un proxy inverse, faisant le pont entre les clients et leur proxy de destination.
Cloak multiplexe le trafic via plusieurs connexions TCP sous-jacentes, ce qui réduit le blocage de tête de ligne et élimine la surcharge d'établissement de liaison TCP. Cela rend également le modèle de trafic plus similaire à celui des sites web réels.
Cloak offre un support multi-utilisateurs, permettant à plusieurs clients de se connecter au serveur proxy sur le même port (443 par défaut). Il offre également des fonctionnalités de gestion du trafic telles que le crédit d'utilisation et le contrôle de la bande passante. Cela permet à un serveur proxy de servir plusieurs utilisateurs même si le logiciel proxy sous-jacent n'a pas été conçu pour plusieurs utilisateurs.
Cloak prend également en charge le tunnelage via un serveur CDN intermédiaire tel qu'Amazon Cloudfront. Ces services sont si largement utilisés que les tentatives de perturbation de leur trafic peuvent entraîner des dommages collatéraux très élevés pour le censeur.
Pour déployer rapidement Cloak avec Shadowsocks sur un serveur, vous pouvez exécuter ce script écrit par @HirbodBehnam
git clone https://github.com/cbeuw/Cloak
cd Cloak
go get ./...
make
Les binaires compilés se trouveront dans le dossier build.
Des exemples de fichiers de configuration se trouvent dans le dossier example_config.
RedirAddr est l'adresse de redirection lorsque le trafic entrant ne provient pas d'un client Cloak. Idéalement, elle doit être définie sur un site majeur autorisé par le censeur (par exemple www.bing.com).
BindAddr est une liste d'adresses sur lesquelles Cloak se liera et écoutera (par exemple [":443",":80"] pour écouter sur les ports 443 et 80 sur toutes les interfaces).
ProxyBook est un objet dont la clé est le nom de la méthode proxy utilisée côté client (sensible à la casse). Sa valeur est un tableau dont le premier élément est le protocole et le second élément est une chaîne IP:PORT du serveur proxy amont vers lequel Cloak transmettra le trafic.
Exemple :
{
"ProxyBook": {
"shadowsocks": [
"tcp",
"localhost:51443"
],
"openvpn": [
"tcp",
"localhost:12345"
]
}
}
PrivateKey est la clé privée statique Diffie-Hellman curve25519 encodée en base64.
BypassUID est une liste d'UID autorisés sans aucune restriction de bande passante ou de crédit.
AdminUID est l'UID de l'utilisateur admin en base64. Vous pouvez laisser ce champ vide si vous n'ajoutez que des utilisateurs à BypassUID.
DatabasePath est le chemin vers userinfo.db, qui est utilisé pour stocker les informations d'utilisation et les restrictions des utilisateurs. Cloak créera le fichier automatiquement s'il n'existe pas. Vous pouvez laisser ce champ vide si vous n'ajoutez que des utilisateurs à BypassUID. Ce champ est également sans effet si AdminUID n'est pas un UID valide ou est vide.
KeepAlive est le nombre de secondes à attendre après une inactivité avant d'envoyer des sondes TCP KeepAlive au serveur proxy amont. Une valeur nulle ou négative désactive cette fonction. La valeur par défaut est 0 (désactivé).
UID est votre UID en base64.
Transport peut être direct ou CDN. Si l'hôte du serveur souhaite que vous vous connectiez directement, utilisez direct. Si un CDN est utilisé, utilisez CDN.
PublicKey est la clé publique curve25519 statique en base64, fournie par l'administrateur du serveur.
ProxyMethod est le nom de la méthode proxy que vous utilisez. Cela doit correspondre exactement à l'une des entrées de ProxyBook du serveur.
EncryptionMethod est le nom de l'algorithme de chiffrement que vous souhaitez utiliser avec Cloak. Les options sont plain, aes-256-gcm (synonyme de aes-gcm), aes-128-gcm et chacha20-poly1305. Remarque : Cloak n'a pas pour but de fournir une sécurité de transport. L'intérêt du chiffrement est de masquer les empreintes des protocoles proxy et de rendre la charge utile statistiquement aléatoire. Vous ne devez le laisser en plain que si vous êtes certain que votre outil proxy sous-jacent fournit à la fois le chiffrement et l'authentification (via AEAD ou des techniques similaires).
ServerName est le domaine que vous souhaitez faire croire à votre FAI ou pare-feu que vous visitez. Idéalement, il doit correspondre à RedirAddr dans la configuration du serveur, un site majeur autorisé par le censeur, mais ce n'est pas obligatoire. Utilisez random pour randomiser le nom du serveur pour chaque connexion.