SOCKS4 vs SOCKS5

SOCKS5 ist das fortschrittlichere und weithin empfohlene Proxy-Protokoll im Vergleich zu SOCKS4. Es bietet primär Unterstützung für UDP-Verkehr, IPv6 und verschiedene Authentifizierungsmethoden, während SOCKS4 auf TCP-Verbindungen und IPv4 beschränkt ist und keine Authentifizierung bietet.

Ein SOCKS (Socket Secure)-Proxy arbeitet auf Schicht 5 (der Sitzungsschicht) des OSI-Modells und fungiert als Vermittler zwischen einer Client-Anwendung und einem Server. Im Gegensatz zu anwendungsspezifischen Proxys (z. B. HTTP-Proxys) sind SOCKS-Proxys protokollunabhängig und leiten den gesamten Datenverkehr im Auftrag des Clients weiter, ohne das Netzwerkprotokoll selbst zu interpretieren. Dies ermöglicht es ihnen, verschiedene Arten von Datenverkehr, einschließlich HTTP, HTTPS, FTP und mehr, zu verarbeiten, indem sie eine Verbindung zum Zielserver herstellen und Daten weiterleiten.

SOCKS4 Protokoll

SOCKS4 ist eine ältere Version des SOCKS-Protokolls, die für einfachere Proxy-Anforderungen entwickelt wurde.

Kernfunktionalität

SOCKS4 unterstützt ausschließlich das Proxying von TCP (Transmission Control Protocol)-Verbindungen. Wenn ein Client eine Verbindung zu einem Zielserver über einen SOCKS4-Proxy herstellen möchte, sendet er eine Verbindungsanfrage an den Proxy-Server. Der Proxy stellt dann die Verbindung zum Ziel im Auftrag des Clients her und leitet Daten zwischen ihnen weiter.

Einschränkungen

• Nur TCP: SOCKS4 kann keinen UDP (User Datagram Protocol)-Verkehr verarbeiten, wodurch es für Anwendungen ungeeignet ist, die für die Kommunikation auf UDP angewiesen sind, wie z. B. Online-Gaming, Video-Streaming oder bestimmte VoIP-Dienste.
• Nur IPv4: Es ist ausschließlich für die Arbeit mit IPv4-Adressen konzipiert. Es unterstützt kein IPv6, was seine Nützlichkeit in modernen Netzwerkumgebungen, die zunehmend IPv6 einführen, einschränkt.
• Keine Authentifizierung: SOCKS4 bietet keine integrierten Authentifizierungsmechanismen. Jeder Client kann sich verbinden und den Proxy nutzen, was ihn für öffentliche oder gemeinsam genutzte Proxy-Dienste weniger sicher macht. Das Feld USERID in der SOCKS4-Anfrage ist lediglich ein Bezeichner und nicht für die Authentifizierung gedacht.
• Clientseitige DNS-Auflösung: Die Client-Anwendung muss den Ziel-Hostnamen in eine IPv4-Adresse auflösen, bevor sie die Anfrage an den SOCKS4-Proxy sendet. Der Proxy empfängt eine IP-Adresse, keinen Domainnamen.
• Begrenzte Befehle: SOCKS4 unterstützt primär einen einzigen Befehl zum Herstellen einer Verbindung.

SOCKS4a Erweiterung

Eine inoffizielle Erweiterung, SOCKS4a, wurde eingeführt, um die Einschränkung der clientseitigen DNS-Auflösung zu beheben. Mit SOCKS4a können Clients einen Domainnamen anstelle einer IP-Adresse senden. Der Proxy-Server führt dann die DNS-Auflösung durch. Trotz dieser Verbesserung behält SOCKS4a die anderen Einschränkungen von SOCKS4 bei, wie z. B. die Unterstützung nur für TCP und nur für IPv4.

SOCKS4 Anfragestruktur (Konzeptionell)

Eine SOCKS4-Verbindungsanfrage beinhaltet typischerweise, dass der Client eine Byte-Sequenz an den Proxy sendet.

+----+----+----+----+----+----+----+----+----+----+....+----+
| VN | CD | DSTPORT |      DSTIP        | USERID       | NULL |
+----+----+----+----+----+----+----+----+----+----+....+----+
  1    1      2              4           variable      1

• VN: Versionsnummer (0x04 für SOCKS4)
• CD: Befehlscode (0x01 für CONNECT)
• DSTPORT: Zielport
• DSTIP: Ziel-IP-Adresse
• USERID: Benutzer-ID (variable Länge, nullterminiert)

Für SOCKS4a wird, wenn DSTIP 0.0.0.X ist (wobei X ungleich Null ist), der tatsächliche Domainname nach dem NULL-Byte, das auf USERID folgt, angehängt.

SOCKS5 Protokoll

SOCKS5 ist der aktuelle Standard und eine wesentliche Verbesserung gegenüber SOCKS4, die größere Flexibilität und Funktionen bietet.

Kernfunktionalität

SOCKS5 unterstützt sowohl TCP- als auch UDP-Verkehr. Diese doppelte Fähigkeit macht es für ein breiteres Spektrum von Anwendungen geeignet, einschließlich solcher, die Echtzeitkommunikation erfordern. Es führt auch eine Verhandlungsphase für Authentifizierungsmethoden ein, was eine sicherere Proxy-Nutzung ermöglicht.

Schlüsselverbesserungen

• TCP- und UDP-Unterstützung: SOCKS5 kann sowohl TCP- als auch UDP-Verbindungen proxen. UDP-Unterstützung ist entscheidend für Anwendungen wie VPNs (bei Verwendung von UDP-basierten Tunneln), Online-Gaming, Live-Streaming und DNS-Anfragen (wenn ein UDP-basierter DNS-Resolver verwendet wird).
• Authentifizierungsmethoden: SOCKS5 unterstützt mehrere Authentifizierungsmethoden, was die Sicherheit erhöht. Gängige Methoden sind:
  • Keine Authentifizierung (0x00): Ähnlich wie bei SOCKS4 sind keine Anmeldeinformationen erforderlich.
  • Benutzername/Passwort (0x01): Clients stellen dem Proxy einen Benutzernamen und ein Passwort zur Überprüfung zur Verfügung.
  • GSS-API (0x02): Ein robusterer, erweiterbarer Sicherheitsmechanismus, der typischerweise in Unternehmensumgebungen verwendet wird.
• IPv4- und IPv6-Unterstützung: SOCKS5 unterstützt nativ sowohl IPv4- als auch IPv6-Adressierung, wodurch es zukunftssicher und mit modernen Netzwerkinfrastrukturen kompatibel ist.
• Serverseitige DNS-Auflösung: Clients können einen Domainnamen direkt an den SOCKS5-Proxy senden, der dann die DNS-Auflösung durchführt. Dies entlastet den Client von der Auflösungsaufgabe und kann manchmal die Privatsphäre verbessern, indem lokale DNS-Anfragen verhindert werden.
• Erweiterte Befehle: SOCKS5 unterstützt drei primäre Befehle:
  • CONNECT (0x01): Stellt eine TCP-Verbindung zu einem Ziel her.
  • BIND (0x02): Wird für Protokolle verwendet, bei denen der Server eine Verbindung zum Client initiieren muss (z. B. einige FTP-Modi). Der Proxy lauscht im Auftrag des Clients auf eine eingehende Verbindung.
  • UDP ASSOCIATE (0x03): Stellt ein UDP-Relay her, das es dem Client ermöglicht, UDP-Pakete über den Proxy zu senden und zu empfangen.

SOCKS5 Anfragestruktur (Konzeptionell)

SOCKS5 beinhaltet eine anfängliche Verhandlungsphase für die Authentifizierung, gefolgt von der eigentlichen Verbindungsanfrage.

Authentifizierungsverhandlung (Client zu Proxy)

+----+----------+----------+
| VER | NMETHODS | METHODS  |
+----+----------+----------+
  1       1       1 to 255

• VER: Protokollversion (0x05 für SOCKS5)
• NMETHODS: Anzahl der vom Client unterstützten Authentifizierungsmethoden
• METHODS: Liste der unterstützten Authentifizierungsmethoden

Authentifizierungsantwort (Proxy zu Client)

+----+--------+
| VER | METHOD |
+----+--------+
  1      1

• VER: Protokollversion (0x05)
• METHOD: Ausgewählte Authentifizierungsmethode (0xFF, wenn keine akzeptable Methode)

Verbindungsanfrage (Client zu Proxy)

```
+----+-----+-------+------+----------+----------+
| VER | CMD | RSV | ATYP | DST.ADDR | DST.PORT |
+