Was ist Reality Protocol

Einführung in die Realität des neuen Protokolls von Xray-core

WIRKLICHKEIT Durch den Ersatz des herkömmlichen TLS-Dienstes kann die serverseitige TLS-Fingerabdruckfunktion eliminiert werden, während Forward Secrecy und andere Funktionen erhalten bleiben. Auch Zertifikatskettenangriffe sind wirkungslos. Diese Sicherheit übertrifft die von herkömmlichem TLS. Mit REALITY können Sie auf Websites anderer verweisen, ohne Domänennamen erwerben und TLS-Server selbst konfigurieren zu müssen – das ist komfortabler. Gleichzeitig wird der vollständige TLS-Prozess realisiert, der dem Mittelsmann die angegebene SNI präsentiert.

1. Das Design maximiert das Sicherheitsniveau, begrenzt den Umfang menschlicher Kontrolle und minimiert die Auswirkungen menschlicher Faktoren.
2. Vertrauen Sie dem Server, nicht dem Client, und gehen Sie sogar davon aus, dass alle vom Client gespeicherten Knoteninformationen durchsickern
3. Der Server geht selektiv mit dem Client um und lehnt beispielsweise Clients mit niedrigeren Versionen ab Röntgenkern Verbindung, um zu verhindern, dass veraltete Clients unsachgemäß implementiert werden und den Server beschädigen, wie beispielsweise veraltete Fingerabdrücke
   Zukünftig kann der Server auch Informationen an den Client senden, die den Client darüber informieren, dass eine neue Version verfügbar ist bzw. den Client darüber informieren, dass die Version zu niedrig ist und ein Update erforderlich ist, da sie sonst nach einer bestimmten Zeit nicht mehr unterstützt wird.

Wird üblicherweise für Proxy-Zwecke verwendet. Der Mindeststandard für die Zielwebsite ist eine ausländische Website, die TLSv1.3 und H2 unterstützt. Der Domänenname wird nicht für die Weiterleitung verwendet (der Hauptdomänenname kann für die Weiterleitung auf www verwendet werden). Bonuspunkte sind: Die Ziel-IP liegt nahe an der Proxy-IP (ähnlich und mit geringer Latenz), wird in der Handshake-Nachricht nach Server Hello gemeinsam verschlüsselt (z. B. dl.google.com) und verfügt über OCSP-Stapling.

In Bezug auf die Konfiguration ist der Verkehr zurück nach China verboten und Ports wie TCP/80 und UDP/443 werden weitergeleitet (REALITY erscheint nach außen als Portweiterleitung und ist möglicherweise besser, wenn die Ziel-IP unbeliebt ist).

REALITY kann auch mit anderen Proxy-Protokollen als XTLS verwendet werden, dies wird jedoch nicht empfohlen, da diese offensichtliche und gezielte TLS-in-TLS-Eigenschaften aufweisen.
Das nächste große Ziel von REALITY ist der „vorgefertigte Modus“, d. h. das Sammeln der Funktionen der Zielwebsite im Voraus. Das nächste große Ziel von XTLS ist 0-RTT.

REALITY unterstützt kein CDN.

Reality ProtocolDie serverseitige Implementierung ist ein Fork des neuesten Go-TLS-Pakets.

Kunden sollten Folgendes beachten:https://github.com/XTLS/Xray-core/blob/main/transport/internet/reality/reality.go.

Wenn REALITY als Ersatz für TLS verwendet wird, kann die serverseitige TLS-Fingerabdruckfunktion eliminiert werden, Forward Secrecy kann initialisiert werden und Zertifikatskettenangriffe sind ungültig, wobei die Sicherheit die von regulärem TLS übertrifft.
Sie können auf die Websites anderer Personen verweisen, Ihren eigenen Domänennamen verwenden, den TLS-Server bequem konfigurieren und den gesamten Prozess von echtem TLS bis zum Mittelsmann realisieren, um das angegebene SNI zu übertragen

Wird normalerweise als Proxy verwendet. Der Mindeststandard der Zielwebsite: Ausländische Websites, Unterstützung von TLSv1.3 und H2, Domänenname wird nicht zur Umleitung verwendet (der Hauptdomänenname kann zur Umleitung auf www verwendet werden).
Bonuspunkte: Die IP ist ähnlich (höchstwahrscheinlich, und die Latenz ist gering), Handshake-Nachrichten nach Server Hello werden gemeinsam verschlüsselt (z. B. dl.google.com), OCSP-Stapling ist verfügbar
Konfigurationsbonus: Rückverkehr verbieten, TCP/80, UDP/443 werden ebenfalls weitergeleitet (die REALITÄT manifestiert sich extern als Portweiterleitung, die Ziel-IP kann unbeliebt oder schön sein)

REALITY kann auch mit anderen Proxy-Protokollen als XTLS verwendet werden, dies wird jedoch nicht empfohlen, da diese über offensichtliche und bekannte TLS-Signaturen verfügen.
Das nächste große Ziel von REALITY ist der „vorgefertigte Modus“, d. h. das Sammeln der Funktionen der Zielwebsite im Voraus. Das nächste große Ziel von XTLS ist 0-RTT.

REALITY-Kunden sollten dieTemporärer Authentifizierungsschlüssel"Ausgegeben"Temporäre vertrauenswürdige Zertifikate“, aber Folgendes erhält das echte Zertifikat der Zielwebsite:

1. REALITÄT Der Server hat den Client des Clients abgelehnt. Hallo, der Datenverkehr wurde auf die Zielwebsite umgeleitet.
2. Der Kunde des Kunden wird vom Mittelsmann auf die Zielwebsite umgeleitet
3. Ein Man-in-the-Middle-Angriff, der von der Zielwebsite unterstützt werden kann, oder ein Zertifikatskettenangriff

Der REALITY-Client kann perfekt zwischen temporären vertrauenswürdigen Zertifikaten, echten Zertifikaten und ungültigen Zertifikaten unterscheiden und über die nächste Aktion entscheiden:

1. Wenn das temporäre vertrauenswürdige Zertifikat empfangen wird, ist die Verbindung verfügbar und alles läuft wie gewohnt
2. Wenn Sie das echte Zertifikat erhalten, wechseln Sie in den Crawler-Modus
3. TLS-Alarm beim Empfang eines ungültigen Zertifikats