Shadowsocks

Shadowsocks, trafiği sıradan HTTPS gibi göstererek internet sansürünü aşmak amacıyla tasarlanmış, açık kaynaklı ve şifreli bir SOCKS5 proxy protokolüdür. Özellikle gelişmiş ağ filtrelemesinin uygulandığı bölgelerde güvenli internet erişimi için hafif, esnek ve yüksek performanslı bir araç olarak çalışır.

Shadowsocks'a Giriş

Shadowsocks, Çin'de "Great Firewall" (GFW) sistemine bir yanıt olarak ortaya çıkmış ve sansürü aşmak için yaygın biçimde benimsenen bir çözüme dönüşmüştür. Geleneksel VPN'lerin aksine Shadowsocks, yaygın VPN protokollerini tespit edip engelleyen derin paket inceleme (DPI) sistemleri tarafından daha zor fark edilecek şekilde tasarlanmıştır. Bunu, kullanıcı trafiğini şifreleyerek ve standart HTTPS gibi meşru web trafiğine benzeyecek şekilde gizleyerek başarır.

Mimariye Genel Bakış

Shadowsocks bir istemci-sunucu mimarisi kullanır:

1. Shadowsocks İstemcisi: Kullanıcının cihazına (bilgisayar, cep telefonu) kurulur. Yerel uygulama trafiğini yakalar, şifreler ve Shadowsocks sunucusuna iletir.
2. Shadowsocks Sunucusu: Genellikle kısıtlamasız internet erişimi olan bir bölgedeki uzak sunucuda barındırılır. İstemciden gelen trafiğin şifresini çözer ve internetteki hedefe iletir. İnternetten gelen yanıtlar da sunucu tarafından şifrelenip istemciye geri gönderilir.

Temel işlevsellik, uygulama katmanında çalışan bir SOCKS5 proxy'ye dayanır. Bu sayede belirli uygulamaların ya da sistem genelindeki trafiğin şifreli tünel üzerinden yönlendirilmesi mümkün olur.

Shadowsocks Nasıl Çalışır

Shadowsocks protokolü, ayrı bir VPN tüneli kurmak yerine şifrelemeyi doğrudan SOCKS5 proxy veri akışına entegre eder.

1. İstemci Tarafı:
   • Kullanıcının cihazındaki bir uygulama, yerel bir SOCKS5 proxy kullanacak şekilde yapılandırılır (örneğin 127.0.0.1:1080).
   • Shadowsocks istemcisi bu trafiği alır.
   • SOCKS5 isteğini ve içeriğini, önceden paylaşılmış bir anahtar ve AES-256-GCM veya ChaCha20-Poly1305 gibi bir AEAD (Authenticated Encryption with Associated Data) şifreleme algoritması ile şifreler.
   • Şifrelenen veri kapsüllenerek Shadowsocks sunucusuna gönderilir.
2. Sunucu Tarafı:
   • Shadowsocks sunucusu belirtilen bir portu dinler.
   • Şifreli veriyi aldığında, aynı önceden paylaşılmış anahtar ve şifreleme algoritmasıyla şifresini çözer.
   • Şifresi çözülen SOCKS5 isteği internetteki hedefe iletilir.
   • İnternetten gelen yanıtlar sunucu tarafından alınır, şifrelenir ve istemciye geri gönderilir.
3. Belirgin Bir El Sıkışma Yok: Shadowsocks'un temel tasarım özelliklerinden biri, belirgin bir protokol el sıkışmasının (handshake) bulunmamasıdır. Bu durum bilgisi tutmayan tasarım, otomatik sistemlerin ilk bağlantı dizilerini analiz ederek Shadowsocks trafik desenlerini tespit etmesini zorlaştırır ve onu tanınabilir el sıkışmalara sahip birçok VPN protokolünden ayırır.

Temel Tasarım İlkeleri

• Hafiflik: Shadowsocks minimum ek yük hedefiyle tasarlanmıştır; gerçek zamanlı uygulamalar ve büyük veri aktarımları için uygun yüksek performans sunar.
• Esneklik: Farklı şifreleme yöntemlerini destekler; kullanıcılar güvenlik gereksinimlerine ve performans değerlendirmelerine göre şifreleme algoritması seçebilir.
• Tespitten Kaçınma: Birincil tasarım hedefi ağ güvenlik duvarları tarafından tespit edilmemektir. Şifrelemeyi trafik gizleme (genellikle eklentiler aracılığıyla) ile birleştirerek varlığını maskeler ve DPI sistemlerinin onu sıradan şifreli web trafiğinden ayırt etmesini zorlaştırır.

Shadowsocks ile VPN Karşılaştırması

Hem Shadowsocks hem de geleneksel VPN'ler güvenli internet erişimi ve sansürü aşma imkânı sağlasa da, çalışma modelleri ve özellikleri önemli ölçüde farklıdır.

Kurulum ve Yapılandırma

Sunucu Tarafı Yapılandırma

Shadowsocks sunucusu genellikle Linux tabanlı bir sanal özel sunucuya (VPS) kurulur. shadowsocks-libev veya shadowsocks-rust uygulamaları yaygın olarak kullanılır.

ss-server için örnek config.json:

{
    "server": "0.0.0.0",
    "server_port": 8388,
    "password": "your_strong_password",
    "method": "aes-256-gcm",
    "timeout": 300,
    "fast_open": true,
    "plugin": "obfs-server",
    "plugin_opts": "obfs=tls;failover=www.google.com"
}

• server: Tüm arayüzleri dinler.
• server_port: Sunucunun dinlediği port.
• password: Şifreleme için önceden paylaşılan anahtar.
• method: Şifreleme algoritması (örneğin aes-256-gcm, chacha20-poly1305).
• plugin: İsteğe bağlı gizleme eklentisi (örneğin simple-obfs için obfs-server).
• plugin_opts: Seçilen eklentiye ait seçenekler.

İstemci Tarafı Yapılandırma

Shadowsocks istemcileri çeşitli platformlarda mevcuttur (Windows, macOS, Linux, Android, iOS). Yapılandırma genellikle sunucu adresi, port, parola, şifreleme yöntemi ve varsa eklenti bilgilerinin girilmesinden oluşur.

Linux için örnek ss-local komutu:

ss-local -s your_server_ip -p 8388 -l 1080 -k your_strong_password -m aes-256-gcm --plugin obfs-local --plugin-opts "obfs=tls;obfs-host=www.google.com" -f /var/run/shadowsocks-local.pid

• -s: Sunucu IP adresi veya ana bilgisayar adı.
• -p: Sunucu portu.
• -l: Yerel SOCKS5 proxy dinleme portu (örneğin 1080).
• -k: Parola.
• -m: Şifreleme yöntemi.
• --plugin: Gizleme eklentisi (örneğin simple-obfs için obfs-local).
• --plugin-opts: Eklenti seçenekleri.

İstemci çalışmaya başladıktan sonra uygulamalar SOCKS5 proxy: 127.0.0.1:1080 kullanacak şekilde yapılandırılabilir.

Gizleme Teknikleri (Eklentiler)

Gelişmiş DPI tekniklerine karşı koymak için Shadowsocks sıklıkla, şifreli trafiği daha da gizleyerek yaygın ve meşru protokoller gibi göstermesini sağlayan eklentiler kullanır.

• simple-obfs: Bu eklenti Shadowsocks trafiğini sıradan HTTP veya TLS trafiği gibi gösterebilir.
  • obfs=http: Trafik standart HTTP isteklerini taklit eder.
  • obfs=tls: Trafik TLS el sıkışmalarını ve verisini taklit eder; çoğu zaman meşru HTTPS gibi görünür.
• v2ray-plugin: Bu eklenti daha gelişmiş gizleme seçenekleri sunar:
  • TLS üzerinden WebSocket: Shadowsocks trafiğini, TLS ile güvence altına alınan WebSocket bağlantıları içinde kapsüller. Bu, trafiği bir CDN veya bulut hizmeti açısından tipik şifreli web trafiğinden ayırt edilemez hâle getirir.
  • TLS üzerinden HTTP/2: WebSocket'e benzer, ancak HTTP/2 protokolünü kullanır.

Bu eklentiler, beklenen desenlere uymayan şifreli trafiğin bile tespit edilip engellenebildiği ortamlarda kritik öneme sahiptir. Şifreli Shadowsocks içeriğinin etrafına meşru görünen protokol başlıkları ve desenlerinden oluşan bir dış katman ekleyerek çalışırlar.

Güvenlik Değerlendirmeleri

• Şifreleme Gücü: Shadowsocks güçlü ve modern AEAD şifreleme algoritmalarına dayanır; aktarım hâlindeki kullanıcı verisi için gizlilik ve bütünlük sağlar.
• Protokol Tasarımı: Durum bilgisi tutmayan yapısı ve belirgin bir el sıkışmasının olmaması, aktif sondalama ve desen tabanlı tespite karşı savunmasızlığını azaltır.
• Sunucuya Duyulan Güven: Bir Shadowsocks bağlantısının güvenliği büyük ölçüde sunucu operatörünün güvenilirliğine bağlıdır. Sunucu tüm trafiğin şifresini çözüp yeniden şifrelediği için, sunucu operatörünün şifrelenmemiş veriye erişimi vardır.
• Trafik Analizi: Shadowsocks veriyi şifreleyip protokol imzasını gizleyebilse de, kendiliğinden anonimlik sağlamaz. Sunucunun IP adresi bilinir ve gelişmiş trafik analizi, özellikle başka anonimleştirme katmanlarıyla (örneğin Tor) birleştirilmediğinde trafik desenlerini ilişkilendirebilir.
• Yapılandırma: Güçlü parolalar ve güncel şifreleme yöntemleri dâhil olmak üzere doğru yapılandırma, güvenliğin korunması için kritiktir. Eskimiş şifreleme algoritmaları veya zayıf parolalar bağlantıyı tehlikeye atabilir.