Cloak è un trasporto collegabile che migliora strumenti proxy tradizionali come OpenVPN per eludere la censura sofisticata e la discriminazione dei dati.

Cloak non è un programma proxy autonomo. Piuttosto, funziona mascherando il traffico proxy come normali attività di navigazione web. A differenza degli strumenti tradizionali, che hanno impronte di traffico molto evidenti e possono essere bloccati da semplici regole di filtraggio, è molto difficile colpire Cloak con precisione con pochi falsi positivi. Questo aumenta il danno collaterale delle azioni di censura, poiché i tentativi di bloccare Cloak potrebbero danneggiare anche i servizi da cui lo Stato censore dipende.

Per qualsiasi osservatore terzo, un host che esegue il server Cloak è indistinguibile da un server web innocuo. Sia durante l'osservazione passiva del flusso di traffico verso e dal server, sia durante il probing attivo dei comportamenti di un server Cloak. Ciò è ottenuto attraverso l'uso di una serie di tecniche di steganografia crittografica.

Cloak può essere utilizzato insieme a qualsiasi programma proxy che tunnelizza il traffico tramite TCP o UDP, come Shadowsocks, OpenVPN e Tor. Più server proxy possono essere eseguiti sullo stesso host server e il server Cloak agirà come proxy inverso, collegando i client con il loro proxy finale desiderato.

Cloak multiplexa il traffico attraverso più connessioni TCP sottostanti, riducendo il blocco di testa di linea ed eliminando l'overhead dell'handshake TCP. Questo rende anche il modello di traffico più simile a quello dei siti web reali.

Cloak fornisce supporto multiutente, permettendo a più client di connettersi al server proxy sulla stessa porta (443 di default). Fornisce anche funzionalità di gestione del traffico come il credito di utilizzo e il controllo della larghezza di banda. Ciò permette a un server proxy di servire più utenti anche se il software proxy sottostante non è stato progettato per più utenti.

Cloak supporta anche il tunneling attraverso un server CDN intermedio come Amazon Cloudfront. Tali servizi sono così ampiamente utilizzati che i tentativi di interrompere il traffico verso di essi possono causare danni collaterali molto elevati per il censore.

Avvio Veloce

Per distribuire rapidamente Cloak con Shadowsocks su un server, puoi eseguire questo script scritto da @HirbodBehnam

Indice dei contenuti

• Avvio Veloce
• Compilazione
• Configurazione
  • Server
  • Client
• Setup
  • Server
    • Per aggiungere utenti
      • Utenti senza restrizioni
      • Utenti soggetti a controlli di larghezza di banda e credito
  • Client
• Supportami

Compilazione

git clone https://github.com/cbeuw/Cloak
cd Cloak
go get ./...
make

I binari compilati si troveranno nella cartella build.

Configurazione

Esempi di file di configurazione si trovano nella cartella example_config.

Server

RedirAddr è l'indirizzo di reindirizzamento quando il traffico in entrata non proviene da un client Cloak. Idealmente dovrebbe essere impostato su un sito web importante consentito dal censore (ad es. www.bing.com)

BindAddr è un elenco di indirizzi a cui Cloak si legherà e ascolterà (ad es. [":443",":80"] per ascoltare sulla porta 443 e 80 su tutte le interfacce)

ProxyBook è un oggetto la cui chiave è il nome del ProxyMethod utilizzato lato client (case-sensitive). Il suo valore è un array il cui primo elemento è il protocollo e il secondo elemento è una stringa IP:PORT del server proxy upstream a cui Cloak inoltrerà il traffico.

Esempio:

{
  "ProxyBook": {
    "shadowsocks": [
      "tcp",
      "localhost:51443"
    ],
    "openvpn": [
      "tcp",
      "localhost:12345"
    ]
  }
}

PrivateKey è la chiave privata Diffie-Hellman statica curve25519 codificata in base64.

BypassUID è un elenco di UID autorizzati senza limiti di larghezza di banda o credito.

AdminUID è l'UID dell'utente amministratore in base64. Puoi lasciarlo vuoto se aggiungi solo utenti a BypassUID.

DatabasePath è il percorso di userinfo.db, usato per memorizzare le informazioni sull'utilizzo degli utenti e le restrizioni. Cloak creerà il file automaticamente se non esiste. Puoi lasciarlo vuoto se aggiungi solo utenti a BypassUID. Questo campo non ha effetto nemmeno se AdminUID non è un UID valido o è vuoto.

KeepAlive è il numero di secondi da indicare al sistema operativo di attendere dopo nessuna attività prima di inviare sonde TCP KeepAlive al server proxy upstream. Un valore zero o negativo lo disabilita. Il default è 0 (disabilitato).

Client

UID è il tuo UID in base64.

Transport può essere direct o CDN. Se l'host server desidera che tu ti connetta direttamente, usa direct. Se invece viene usato un CDN, usa CDN.

PublicKey è la chiave pubblica curve25519 statica in base64, fornita dall'amministratore del server.

ProxyMethod è il nome del metodo proxy che stai utilizzando. Deve corrispondere esattamente a una delle voci in ProxyBook del server.

EncryptionMethod è il nome dell'algoritmo di crittografia che vuoi utilizzare per Cloak. Le opzioni sono plain, aes-256-gcm ( sinonimo di aes-gcm), aes-128-gcm e chacha20-poly1305. Nota: Cloak non è pensato per fornire sicurezza del trasporto. Lo scopo della crittografia è nascondere le impronte dei protocolli proxy e rendere il carico utile statisticamente simile a casuale. Puoi lasciarlo su plain solo se sei certo che il tuo strumento proxy sottostante fornisca già sia crittografia che autenticazione (tramite AEAD o tecniche simili).

ServerName è il dominio che vuoi far credere al tuo ISP o firewall che stai visitando. Idealmente dovrebbe corrispondere a RedirAddr nella configurazione del server, un sito importante che il censore permette, ma non è obbligatorio. Usa random per randomizzare il nome del server per ogni connessione effettuata.

AlternativeNames è un array usato insieme a ServerName per mescolare diversi ServerNames per ogni nuova connessione. Questo potrebbe essere in conflitto con la modalità di trasporto CDN se il provider CDN proibisce il domain fronting e rifiuta i domini alternativi.

Esempio:

{
  "ServerName": "bing.com",
  "AlternativeNames": ["cloudflare.com", "github.com"]
}