Comments 6
Я бы рекомендовал смотреть в сторону singbox просто невероятное количество работы каждый день , миллионы оптимизаций ежедневно , с версии 1.11.0 не побоялись и ради оптимизации изменили корневую архитектуру.
Ребята из xray хоть и первые , но как старые мамонты , работает не трож.
Кажется, сегодня утром я нашёл в Reality серьёзную уязвимость. Надеюсь, услышать от вас что я ошибаюсь. Смотрите. Для того, чтобы определить "свой" клиент, или "чужой" севрер Reality использует зашифрованные данные из Session ID TLS 1.3 ClientHello. Последний, как известно передаётся по Сети в открытом виде и без всякой подписи. Если третья сторона для всех TLS 1.3 ClientHello на выбранные IP адреса механически будет подменять Session ID на случайное значение, то TLS 1.3 соединение от этого не пострадает. Обычные сервера TLS 1.3 не проверяют Session ID, дабы в TLS 1.3 он не нужен. А это значит, что HTTPS от такой подмены не пострадает, а вот Reality сервер работать не будет. Все соединения от Reality-клиентов с правильными аутентификационными данными в случае подмены третьей стороной Session ID на случайное будут восприниматься, как "чужие" и отправляться на удалённый сервер. Получается, заинтересованным лицам вовсе не надо специально искать сервера с Reality, а просто на DPI подменять Session ID для TLS 1.3 на выбранные IP-адреса. Как хотелось бы, чтобы я оказался неправ.
Если третья сторона для всех TLS 1.3 ClientHello на выбранные IP адреса механически будет подменять Session ID на случайное значение, то TLS 1.3 соединение от этого не пострадает. Обычные сервера TLS 1.3 не проверяют Session ID, дабы в TLS 1.3 он не нужен. А это значит, что HTTPS от такой подмены не пострадает, а вот Reality сервер работать не будет.
Если я правильно всё понял, то здесь данную теорию опровергли
https://github.com/net4people/bbs/issues/473
Если коротко "tls тоже сломается, а с ним и легальный https"
С момента как в Китае началось внедрение новой системы цензурирование: белый список SNI
Это что-то новое, отстал я от жизни). Т.е. sitszinpin.cn TLS можно, а sitszinpin.com уже нельзя пока его не внесут в белый список?;)
Предлагаю назвать данную уязвимость (хоть и частично уже опровергнутую за счет влияния на хэш-сумму) - «ахВИЛЕССова пята»
Как XTLS Reality обходит whitelist? Анализ исходного кода Reality