شرح فنی Psiphon
2014/12/3 - 4 دقیقه مطالعه
به‌روزرسانی‌شده: 2021/6/4
در اینجا به‌روزرسانی برای پاسخ به دو پرسش اخیر ارائه شده است: به زبان ساده، Psiphon چیست و چه تفاوتی با یک سرویس VPN دارد؛ و از زمان آخرین به‌روزرسانی سند طراحی فنی، چه تغییراتی رخ داده است.
Psiphon 3 یک شبکه با مدیریت متمرکز و از نظر جغرافیایی متنوع متشکل از هزاران سرور پروکسی است. بیشتر زیرساخت ما نزد ارائه‌دهندگان ابری میزبانی می‌شود. Psiphon 3 دارای معماری «یک گام» (one hop) به همراه رمزگذاری پیوند امن بین کلاینت‌ها و سرورها است. ما کلاینت‌هایی را برای محبوب‌ترین پلتفرم‌ها ارائه می‌دهیم: Windows، Android و iOS (در نسخه آلفا).
Psiphon به صورت متن‌باز است. سرویس ما دارای یک سیاست حفظ حریم خصوصی قوی است؛ هیچ حساب کاربری وجود ندارد و آدرس‌های شبکه کاربران ثبت نمی‌شوند.
Psiphon به چند روش کلیدی با سرویس‌های استاندارد VPN متفاوت است:
- ما استراتژی‌هایی را برای توزیع زیرمجموعه‌هایی از سرورها بین کاربران به کار می‌گیریم با این هدف که به هر کاربر چند سرور قابل دسترس ارائه دهیم، در حالی که کل شبکه برای یک کاربر فاش نشود. برای دستیابی به این هدف، اندازه شبکه ما ــ و به ویژه تنوع آدرس‌های شبکه ما ــ صرفاً تابعی از بار ترافیکی ما نیست.
- ما از مبهم‌سازی پروتکل برای دور زدن مسدودسازی DPI استفاده می‌کنیم.
سند طراحی فنی Psiphon قدیمی شده است و آنچه در ادامه می‌آید خلاصه‌ای بسیار کوتاه از تغییرات فنی عمده‌ای است که از زمان راه‌اندازی پروژه در سال 2011 اعمال کرده‌ایم.
- ما پروتکل SSH مبهم‌سازی‌شده را برای کاهش اثرات انگشت‌نگاری DPI اضافه کردیم. این پروتکل با ظاهر کاملاً تصادفی، با یک کلید مبهم‌سازی منحصربه‌فرد برای هر سرور Psiphon مستقر شده است.
- ما یک پیشوند اختیاری HTTP به پروتکل خود اضافه کردیم تا قرارگیری ترافیک HTTP در لیست سفید مبتنی بر DPI را مهار کنیم. این پیشوند ساده برای DPI مبتنی بر عبارات باقاعده (nDPI و l7-filter) کافی است تا ترافیک Psiphon را به عنوان HTTP دسته‌بندی کند؛ و در زمان استقرار آن برای خنثی کردن یک مهاجم واقعی کافی بود.
- ما فهرست‌های سرور راه دور را برای تکمیل مفاهیم سرورهای تعبیه‌شده و اکتشافی اضافه کردیم. در حالی که اکتشاف تنها هنگام اتصال به یک سرور موجود انجام می‌شود، فهرست‌های سرور راه دور حتی زمانی که همه سرورها مسدود هستند نیز قابل دانلود هستند. فهرست‌های سرور راه دور در S3 توزیع می‌شوند و از طریق https://s3.amazonaws.com بدون نام باکت متمایز در URL قابل دسترسی هستند. به این ترتیب، مسدود کردن فهرست‌های سرور راه دور ما برای مهاجم دشوار است، مگر اینکه کل S3 را مسدود کند یا تحلیل ترافیک HTTPS را پیاده‌سازی کند.
- ایمیل اکنون یک سازوکار اصلی برای انتشار کلاینت است. ما یک پاسخ‌دهنده خودکار داریم که بسته به آدرس ایمیلی که کاربران به آن پیام ارسال می‌کنند، پیوندها و فایل‌های پیوست مربوط به کلاینت‌های سفارشی حامی/کانال Psiphon را بازمی‌گرداند.
- ما در سال 2012 یک کلاینت Android منتشر کردیم. نسخه اول شامل یک مرورگر تعبیه‌شده مبتنی بر WebView پلتفرم Android بود. در سال‌های 2012/2013 ما پشتیبانی از تونل‌سازی کل دستگاه را اضافه کردیم که تمام برنامه‌های Android را از طریق Psiphon تونل می‌کند. ما یک حالت کل دستگاه iptables داریم (برای دستگاه‌های روت‌شده دارای Android 2.2+)؛ و یک حالت کل دستگاه که از VpnService پلتفرم Android همراه با tun2socks استفاده می‌کند (برای هر دستگاه دارای Android 4+). قابلیت‌های اضافه شده دیگر شامل انتخاب منطقه خروجی و زنجیره‌سازی پروکسی است.
- ما اکنون یک کلاینت iOS در مرحله آزمایش آلفا داریم. این برنامه دارای یک مرورگر تعبیه‌شده است.
- سازوکار بازخورد درون‌برنامه‌ای ما، پیام‌ها و داده‌های عیب‌یابی اختیاری را از سوی کاربران برای ما ارسال می‌کند. این سیستم به ما کمک کرده است تا بسیاری از مشکلات پلتفرم و مشکلات مسدودسازی را برطرف کنیم.
- تغییرات در الگوریتم‌های اکتشاف: الگوریتم‌های اکتشاف ما به عنوان بخشی از یک فرایند مداوم برای بهینه‌سازی شبکه‌مان تکامل می‌یابند. تغییرات عمده شامل به اشتراک‌گذاری سرورهای اکتشافی در میان کانال‌های انتشار و افزودن زمان روز به عنوان یک بُعد است.
- بهینه‌سازی الگوریتم‌های اتصال: کلاینت‌های ما اکنون هنگام اتصال، به طور همزمان اتصال به چندین سرور را آغاز می‌کنند و «بهترین» اتصال را حفظ می‌کنند. این کار به توزیع بار و همچنین کاهش زمان انتظار کاربر کمک می‌کند، چرا که سرورهای مسدودشده به صورت انفرادی روند توالی اتصال را متوقف نمی‌کنند.
- ارتقای خودکار کلاینت برای استفاده از دانلود افزایشی و استفاده از سایت‌های دانلود خارج از باند (تأیید هویت شده با امضای دیجیتال) بهبود یافت. این تغییرات احتمال توزیع کلاینت جدید را در زمان مسدودسازی افزایش داد.