FakeTLS: bu nədir — MTProto lüğəti

Necə tanımaq

FakeTLS rejimində proksinin secret-i ee ilə başlayır. Sonra 16 bayt açar (32 onaltılıq simvol) və hex-də yazılmış maskalanma domeni gəlir. Domen filtrə SNI sahəsində görünür. mtg sənədlərindəki nümunə — google.com üçün secret:

ee473ce5d4958eb5f968c87680a23854a0676f6f676c652e636f6d

Necə işləyir

Klient bağlantını adi TLS mübadiləsi kimi başlayır: saytın adı ilə ClientHello göndərir. Proksi «öz» klientini bu mesajın içindəki, yalnız secret-i bilənin yoxlaya biləcəyi məlumatlardan tanıyır və server kimi cavab verir; qalanlarını tanımır və maskalanma ayarına görə həqiqi sayta ötürür — məsələn, mtg sorğunu örtük saytına ötürür. Təsadüfi müşahidəçi üçün, ünvanı yoxlayanda, bu adi veb serverdir.

Əl sıxmanın addım-addım təhlili «FakeTLS: proksi özünü necə sayt kimi göstərir» məqaləsindədir.

dd və adi rejimdən fərqi

Adi rejim axının məzmununu gizlədir (obfuscated2), amma bağlantının başlanğıcı və paketlərin ritmi tanınan qalır. dd prefiksi ölçülər proksini ələ verməsin deyə paketlərə təsadüfi əlavə qoşur. FakeTLS isə bağlantının başlanğıcının özünü dəyişir. Proksi sahiblərinə Telegram sənədlərində imkan olduqda həm padding-i, həm də TLS emulation-u qoşmağı məsləhət görürlər.

Tez-tez qarışdırılır

FakeTLS VPN deyil və ayrıca şifrələmə də deyil: o, TLS mübadiləsinin başlanğıcını təqlid edir ki, proksiyə bağlantı sayta girişə bənzəsin. Telegram mesajları rejimdən asılı olmayaraq öz açarı ilə qorunur, bu rejimdə proksi isə yenə də yalnız Telegram üçün işləyir.

Harada var

ee rejimini mtg və telemt dəstəkləyir: mtg-də o yeganədir, telemt-də [general.modes] bölməsində tls = true parametri ilə qoşulur. Rəsmi MTProxy-nin README-sində yalnız dd rejimi təsvir olunub, Telegram sənədləri isə padding ilə birlikdə «TLS emulation»-u qoşmağı məsləhət görür.

Hüdudlar

FakeTLS proksini görünməz etmir. telemt FAQ-na görə, DPI belə trafiki SNI, ALPN və entropiyaya görə tanıya bilər, nəticə isə Telegram klientinin versiyasından, domendən və serverə gedən yoldan asılıdır. IP ünvan və ya port bloklanıbsa, maskalanma kömək etməyəcək.

Secret-i bütövlükdə, ee ilə birlikdə daxil edirlər: onsuz klient adi rejimdə qoşulacaq.
Server həmin şirkətə məxsus deyilsə, iri brend götürməyin: domenin ünvana uyğun gəlməməsini yoxlamaq asandır.
Serverdə domen dəyişdirildikdən sonra köhnə linklər işləməyi dayandırır.