FakeTLS
MTProto проксиінің құпиясөзінде ee префиксі бар режимі
Прокси қосылымды нағыз сайтпен қарапайым TLS алмасуы ретінде бастайтын режим — сүзгі сайтқа кіруді көреді.
Қалай тануға болады
FakeTLS режиміндегі прокси құпиясөзі ee деп басталады. Одан кейін 16 байт кілт (32 он алтылық таңба) және hex түрінде жазылған бүркемелеу домені келеді. Домен сүзгіге SNI өрісінде көрінеді. mtg өз құжаттамасында келтіретін мысал — google.com үшін құпиясөз:
ee473ce5d4958eb5f968c87680a23854a0676f6f676c652e636f6d
Қалай жұмыс істейді
Клиент қосылымды қарапайым TLS алмасуы ретінде бастайды: сайт атауы бар ClientHello жібереді. Прокси «өзін» осы хабарламаның ішіндегі деректерден таниды — оларды тек құпиясөзді білетін адам тексере алады — және сервер ретінде жауап береді; басқаларды танымайды да, бүркемелеу баптауына сай нағыз сайтқа жібереді — мысалы, mtg сұранысты жасырын сайтқа ретрансляциялайды. Мекенжайды тексеріп жатқан кездейсоқ бақылаушыға бұл қарапайым веб-сервер болып көрінеді.
Рукопожатиені қадамдап талдау — «FakeTLS: прокси сайт болып қалай көрінеді» мақаласында.
dd-ден және қарапайым режимнен айырмашылығы
Қарапайым режим ағынның мазмұнын жасырады (obfuscated2), бірақ қосылымның басы мен пакеттер ырғағы танылатын күйінде қалады. dd префиксі пакеттерге кездейсоқ толықтырғыш қосады, сонда өлшемдер проксиді ашпайды. FakeTLS қосылымның өзінің басын өзгертеді. Telegram құжаттамасында прокси иелеріне мүмкін болса padding пен TLS emulation-ды екеуін де қосуды кеңес береді.
Жиі араласып кететін жайт
FakeTLS — VPN емес және бөлек шифрлау да емес: ол прокси қосылымы сайтқа кіру сияқты көрінуі үшін TLS алмасуының басын еліктейді. Telegram хабарламалары режимге қарамастан өз кілтімен қорғалған, ал бұл режимдегі прокси бұрынғыдай тек Telegram үшін жұмыс істейді.
Қайда бар
ee режимін mtg және telemt қолдайды: mtg-де ол жалғыз режим, telemt-те tls = true параметрімен [general.modes] бөлімінде қосылады. Ресми MTProxy README-інде тек dd режимі сипатталған, ал Telegram құжаттамасы padding-пен бірге «TLS emulation» қосуды кеңес береді.
Шектеулер
FakeTLS проксиді көрінбейтін етпейді. telemt FAQ бойынша, DPI мұндай трафикті SNI, ALPN және энтропия арқылы тани алады, ал нәтиже Telegram клиентінің нұсқасына, доменге және серверге дейінгі жолға байланысты. IP-мекенжай немесе порт бұғатталса, бүркемелеу көмектеспейді.
- Құпиясөзді толық енгізіңіз,
eeпрефиксімен бірге: онсыз клиент қарапайым режимде қосылады. - Сервер сол компанияға тиесілі болмаса, ірі брендті алмаңыз: доменнің мекенжайға сәйкессіздігін тексеру оңай.
- Серверде доменді ауыстырғаннан кейін ескі сілтемелер жұмыс істемейді.