Shadowsocks

Shadowsocks é um protocolo de proxy SOCKS5 criptografado e de código aberto, projetado principalmente para contornar a censura na internet mascarando o tráfego como HTTPS comum. Funciona como uma ferramenta leve, flexível e de alto desempenho para acesso seguro à internet, especialmente em regiões com filtragem de rede sofisticada.

Introdução ao Shadowsocks

O Shadowsocks surgiu na China como resposta ao "Great Firewall" (GFW) e evoluiu para uma solução amplamente adotada para contornar a censura. Ao contrário das VPNs tradicionais, o Shadowsocks foi projetado para ser menos detectável por sistemas de inspeção profunda de pacotes (DPI), que costumam identificar e bloquear os protocolos de VPN mais comuns. Ele consegue isso criptografando o tráfego do usuário e disfarçando-o para que se pareça com tráfego web legítimo, como o HTTPS padrão.

Visão geral da arquitetura

O Shadowsocks utiliza uma arquitetura cliente-servidor:

1. Cliente Shadowsocks: Instalado no dispositivo do usuário (computador, celular). Ele intercepta o tráfego dos aplicativos locais, criptografa e encaminha para o servidor Shadowsocks.
2. Servidor Shadowsocks: Hospedado em um servidor remoto, normalmente em uma região com acesso irrestrito à internet. Ele descriptografa o tráfego vindo do cliente e o encaminha para o destino pretendido na internet. As respostas da internet são então criptografadas pelo servidor e devolvidas ao cliente.

A funcionalidade central se apoia em um proxy SOCKS5, que opera na camada de aplicação. Isso permite rotear aplicativos específicos ou o tráfego de todo o sistema pelo túnel criptografado.

Como o Shadowsocks funciona

O protocolo Shadowsocks integra a criptografia diretamente ao fluxo de dados do proxy SOCKS5, em vez de estabelecer um túnel VPN separado.

1. No lado do cliente:
   • Um aplicativo no dispositivo do usuário é configurado para usar um proxy SOCKS5 local (por exemplo, 127.0.0.1:1080).
   • O cliente Shadowsocks recebe esse tráfego.
   • Ele criptografa a requisição SOCKS5 e seu payload usando uma chave pré-compartilhada e uma cifra AEAD (Authenticated Encryption with Associated Data), como AES-256-GCM ou ChaCha20-Poly1305.
   • Os dados criptografados são então encapsulados e enviados ao servidor Shadowsocks.
2. No lado do servidor:
   • O servidor Shadowsocks escuta em uma porta definida.
   • Ao receber os dados criptografados, ele os descriptografa usando a mesma chave pré-compartilhada e a mesma cifra.
   • A requisição SOCKS5 descriptografada é então encaminhada ao destino na internet.
   • As respostas da internet são recebidas pelo servidor, criptografadas e devolvidas ao cliente.
3. Sem handshake distinto: Um aspecto central do design do Shadowsocks é a ausência de um handshake de protocolo distinto. Esse design sem estado dificulta que sistemas automatizados identifiquem os padrões de tráfego do Shadowsocks analisando as sequências iniciais de conexão, diferenciando-o de muitos protocolos de VPN que possuem handshakes identificáveis.

Principais princípios de design

• Leveza: O Shadowsocks foi projetado para ter sobrecarga mínima, oferecendo alto desempenho adequado a aplicações em tempo real e a grandes transferências de dados.
• Flexibilidade: Suporta diversos métodos de criptografia, permitindo que o usuário escolha as cifras conforme requisitos de segurança e considerações de desempenho.
• Evasão: O objetivo principal do design é evitar a detecção por firewalls de rede. Ao combinar criptografia com ofuscação de tráfego (frequentemente via plugins), ele mascara sua presença, dificultando que sistemas DPI o diferenciem do tráfego web criptografado comum.

Shadowsocks vs. VPNs

Embora tanto o Shadowsocks quanto as VPNs tradicionais possibilitem acesso seguro à internet e a evasão da censura, seus modelos operacionais e características diferem significativamente.

Implantação e configuração

Configuração do lado do servidor

Um servidor Shadowsocks normalmente é implantado em um servidor privado virtual (VPS) baseado em Linux. As implementações shadowsocks-libev ou shadowsocks-rust são as mais comuns.

Exemplo de config.json para ss-server:

{
    "server": "0.0.0.0",
    "server_port": 8388,
    "password": "your_strong_password",
    "method": "aes-256-gcm",
    "timeout": 300,
    "fast_open": true,
    "plugin": "obfs-server",
    "plugin_opts": "obfs=tls;failover=www.google.com"
}

• server: Escuta em todas as interfaces.
• server_port: A porta em que o servidor escuta.
• password: A chave pré-compartilhada usada na criptografia.
• method: A cifra de criptografia (por exemplo, aes-256-gcm, chacha20-poly1305).
• plugin: Plugin de ofuscação opcional (por exemplo, obfs-server para o simple-obfs).
• plugin_opts: Opções do plugin escolhido.

Configuração do lado do cliente

Existem clientes Shadowsocks para diversas plataformas (Windows, macOS, Linux, Android, iOS). A configuração normalmente consiste em informar o endereço do servidor, a porta, a senha, o método de criptografia e os detalhes de qualquer plugin.

Exemplo de comando ss-local para Linux:

ss-local -s your_server_ip -p 8388 -l 1080 -k your_strong_password -m aes-256-gcm --plugin obfs-local --plugin-opts "obfs=tls;obfs-host=www.google.com" -f /var/run/shadowsocks-local.pid

• -s: Endereço IP ou hostname do servidor.
• -p: Porta do servidor.
• -l: Porta local de escuta do proxy SOCKS5 (por exemplo, 1080).
• -k: Senha.
• -m: Método de criptografia.
• --plugin: Plugin de ofuscação (por exemplo, obfs-local para o simple-obfs).
• --plugin-opts: Opções do plugin.

Com o cliente em execução, os aplicativos podem ser configurados para usar SOCKS5 proxy: 127.0.0.1:1080.

Técnicas de ofuscação (plugins)

Para neutralizar técnicas avançadas de DPI, o Shadowsocks costuma usar plugins que ofuscam ainda mais o tráfego criptografado, fazendo com que ele pareça um protocolo comum e legítimo.

• simple-obfs: Este plugin consegue disfarçar o tráfego do Shadowsocks como tráfego HTTP ou TLS comum.
  • obfs=http: O tráfego imita requisições HTTP padrão.
  • obfs=tls: O tráfego imita handshakes e dados TLS, muitas vezes parecendo HTTPS legítimo.
• v2ray-plugin: Este plugin oferece uma ofuscação mais avançada, incluindo:
  • WebSocket sobre TLS: Encapsula o tráfego do Shadowsocks em conexões WebSocket, que por sua vez são protegidas por TLS. Isso torna o tráfego indistinguível do tráfego web criptografado típico de um CDN ou serviço em nuvem.
  • HTTP/2 sobre TLS: Semelhante ao WebSocket, mas usa o protocolo HTTP/2.

Esses plugins são essenciais em ambientes onde até o tráfego criptografado que não segue os padrões esperados pode ser identificado e bloqueado. Eles funcionam adicionando uma camada externa de cabeçalhos e padrões de protocolo com aparência legítima em torno do payload criptografado do Shadowsocks.

Considerações de segurança

• Força da criptografia: O Shadowsocks se apoia em cifras AEAD modernas e robustas, garantindo confidencialidade e integridade dos dados do usuário em trânsito.
• Design do protocolo: A natureza sem estado e a ausência de um handshake distinto reduzem sua suscetibilidade à sondagem ativa e à detecção baseada em padrões.
• Confiança no servidor: A segurança de uma conexão Shadowsocks depende fortemente da confiabilidade de quem opera o servidor. O servidor descriptografa e recriptografa todo o tráfego, ou seja, o operador do servidor tem acesso aos dados não criptografados.
• Análise de tráfego: Embora o Shadowsocks criptografe os dados e possa ofuscar sua assinatura de protocolo, ele não oferece anonimato por si só. O endereço IP do servidor é conhecido, e uma análise de tráfego sofisticada pode, em tese, correlacionar padrões de tráfego, especialmente se não houver outras camadas de anonimização combinadas (por exemplo, Tor).
• Configuração: Uma configuração adequada, com senhas fortes e métodos de criptografia atualizados, é crítica para manter a segurança. Cifras desatualizadas ou senhas fracas podem comprometer a conexão.