Psiphon-un Texniki Təsviri
03.12.2014 - 3 dəqiqəlik oxu
Yenilənib: 04.06.2021
Son vaxtlar verilən iki sualı cavablandırmaq üçün yeniləmə təqdim edirik: sadə dillə desək, Psiphon nədir və VPN xidmətindən nə ilə fərqlənir; həmçinin texniki dizayn sənədinin sonuncu yenilənməsindən bəri nələr dəyişib.
Psiphon 3 minlərlə proksi serverindən ibarət mərkəzləşdirilmiş şəkildə idarə olunan, coğrafi cəhətdən müxtəlif bir şəbəkədir. İnfrastrukturumuzun böyük hissəsi bulud provayderlərində yerləşdirilmişdir. Psiphon 3 müştərilər və serverlər arasında təhlükəsiz keçid şifrələməsinə malik "bir keçidli" arxitekturadır. Ən populyar platformalar üçün müştəri tətbiqləri təklif edirik: Windows, Android və iOS (alfa mərhələsində).
Psiphon açıq mənbəlidir. Xidmətimiz güclü məxfilik siyasəti təklif edir; heç bir istifadəçi hesabı yoxdur və istifadəçilərin şəbəkə ünvanları qeydə alınmır.
Psiphon bir neçə əsas cəhətdən standart VPN xidmətlərindən fərqlənir:
- Bütün şəbəkəni bir istifadəçiyə aşkar etmədən hər bir istifadəçiyə daxil ola biləcəyi bir neçə server təqdim etmək məqsədilə serverlərin alt dəstlərini istifadəçilərə paylama strategiyalarını tətbiq edirik. Bu məqsədə çatmaq üçün şəbəkəmizin ölçüsü — xüsusilə də şəbəkə ünvanlarımızın müxtəlifliyi — təkcə trafik yükümüzün funksiyası deyil.
- DPI bloklamasından yan keçmək üçün protokol obfuskasiyasından istifadə edirik.
Psiphon-un texniki dizayn sənədi köhnəlib və aşağıda layihənin 2011-ci ildə fəaliyyətə başlamasından bəri həyata keçirdiyimiz əsas texniki dəyişikliklərin çox qısa xülasəsi verilmişdir.
- DPI barmaq izlərinin tanınmasını azaltmaq üçün obfuskasiya edilmiş SSH protokolunu əlavə etdik. Tamamilə təsadüfi görünən bu protokol hər Psiphon serveri üçün unikal obfuskasiya açarı ilə tətbiq olunur.
- HTTP trafikinin DPI əsaslı ağ siyahıya salınmasını zəiflətmək üçün protokolumuza istəyə bağlı HTTP prefiksi əlavə etdik. Bu sadə prefiks regex əsaslı DPI-ın (nDPI və l7-filter) Psiphon trafikini HTTP kimi təsnif etməsi üçün kifayətdir; və onu tətbiq etdiyimiz vaxtda real maneəni dəf etmək üçün yetərli idi.
- Quraşdırılmış və aşkarlama serverləri konsepsiyalarını genişləndirmək üçün uzaq server siyahılarını əlavə etdik. Aşkarlama yalnız mövcud serverə qoşulduqda baş versə də, uzaq server siyahıları bütün serverlər bloklandıqda belə endirilə bilər. Uzaq server siyahıları S3 üzərində paylanır və URL-də fərqləndirici səbət adı olmadan https://s3.amazonaws.com vasitəsilə əldə edilir. Bu yolla, rəqibin bütün S3-ü bloklamadan və ya HTTPS trafik analizini həyata keçirmədən uzaq server siyahılarımızı bloklaması çətinləşir.
- E-poçt artıq tətbiqin əsas yayılma mexanizmidir. İstifadəçilərin məktub göndərdiyi e-poçt ünvanından asılı olaraq xüsusi sponsor/kanal Psiphon müştəri tətbiqlərinə keçidlər və əlavələr qaytaran avtomatik cavablandırıcımız var.
- 2012-ci ildə Android müştəri tətbiqini təqdim etdik. İlk versiyaya Android-in WebView texnologiyasına əsaslanan quraşdırılmış brauzer daxil idi. 2012/2013-cü illərdə bütün Android tətbiqlərini Psiphon vasitəsilə tunelləyən tam cihaz tunelləməsi dəstəyini əlavə etdik. Bizdə iptables əsaslı tam cihaz rejimi (root olunmuş Android 2.2+ cihazları üçün); və VpnService xidmətindən tun2socks ilə istifadə edən tam cihaz rejimi var (istənilən Android 4+ cihazı üçün). Əlavə edilmiş digər funksiyalara çıxış regionunun seçilməsi və proksi zəncirlənməsi daxildir.
- Hazırda alfa sınaq mərhələsində olan iOS müştəri tətbiqimiz var. Bu tətbiqin daxili brauzeri var.
- Tətbiqdaxili rəy mexanizmimiz istifadəçilərdən bizə mesajlar və istəyə bağlı diaqnostika məlumatları göndərir. Bu sistem bir çox platforma və bloklanma problemlərini aradan qaldırmağa kömək etmişdir.
- Aşkarlama alqoritmlərindəki dəyişikliklər: aşkarlama alqoritmlərimiz şəbəkəmizin optimallaşdırılması üzrə davam edən prosesin bir hissəsi kimi inkişaf edir. Əsas dəyişikliklərə aşkarlama serverlərinin yayılma kanalları arasında paylaşılması və günün saatının bir meyar kimi əlavə edilməsi daxildir.
- Qoşulma alqoritmlərinin optimallaşdırılması: müştəri tətbiqlərimiz qoşularkən artıq eyni vaxtda bir çox serverlə əlaqə yaradır və "ən yaxşı" bağlantını saxlayır. Bu, yükün balanslaşdırılmasına kömək edir, həmçinin fərdi şəkildə bloklanmış serverlər qoşulma ardıcıllığını ləngitmədiyi üçün istifadəçinin gözləmə vaxtını azaldır.
- Müştəri tətbiqinin avtomatik yenilənməsi artımlı endirmədən və şəbəkədənkənar endirmə saytlarından (rəqəmsal imzalarla təsdiqlənmiş) istifadə etmək üçün təkmilləşdirildi. Bu dəyişikliklər bloklanma zamanı yeni tətbiqin paylanma ehtimalını artırdı.