リアリティ・プロトコルとは

リアリティプロトコルとは

REALITYは従来のTLSサービスに代わるものです。従来のTLSサービスは、サーバー側のTLSフィンガープリント機能を排除しながらも、Forward Secrecyなどの機能を維持し、証明書チェーン攻撃も無効化します。こうしたセキュリティは従来のTLSをはるかに上回ります。REALITYを使用すると、ドメイン名を購入したり、TLSサーバーを自分で設定したりすることなく、他者のウェブサイトにリンクできるため、利便性が向上します。同時に、指定されたSNIを仲介者に提示するフルプロセスのリアルTLSも実現します。

uzbox

2024-02-21

Xray-coreの新プロトコルRealityの導入

現実従来のTLSサービスを置き換えることで、サーバー側のTLSフィンガープリント機能を排除しながらも、Forward Secrecyなどの機能を維持し、証明書チェーン攻撃も無効化できます。こうしたセキュリティは従来のTLSをはるかに上回ります。REALITYを利用すれば、ドメイン名の購入やTLSサーバーの設定を自分で行う必要がなく、他者のウェブサイトへの接続も容易になります。同時に、指定されたSNIを仲介者に提示するフルプロセスのリアルTLSも実現します。

この設計により、安全レベルが最大化され、人間の制御範囲が制限され、人的要因の影響が最小限に抑えられます。
クライアントではなくサーバーを信頼し、クライアントが保持するすべてのノード情報が漏洩していると想定する
サーバーはクライアントを厳選し、例えば、バージョンが低いクライアントを拒否します。 X線コア -core接続は、古いクライアントが不適切な実装（古いフィンガープリントなど）によってサーバーに損害を与えるのを防ぐためである。
将来的には、サーバーはクライアントに情報を送信して、新しいバージョンが利用可能であることをクライアントに通知したり、バージョンが低すぎるため更新が必要であること、そうしないと一定期間後にサポートされなくなることをクライアントに通知したりすることもできます。

通常、プロキシ目的で使用されます。対象ウェブサイトの最低基準は、TLSv1.3とH2をサポートする海外ウェブサイトであり、ドメイン名がリダイレクトに使用されていないことです（wwwへのリダイレクトにはメインドメイン名が使用される場合があります）。ボーナスポイントとしては、対象IPがプロキシIPに近い（より類似性が高く、レイテンシが低い）、Server Hello後のハンドシェイクメッセージで一緒に暗号化されている（dl.google.comなど）、OCSP Staplingが実装されているなどが挙げられます。

設定上は中国への折り返し通信を禁止し、TCP/80やUDP/443などのポートをフォワーディングする（REALITYは外部からはポートフォワーディングに見え、対象IPが人気のないIPの場合はその方が良いかもしれない）。

REALITY は XTLS 以外のプロキシプロトコルでも使用できますが、TLS の特性において明白かつターゲットを絞った TLS を備えているため、推奨されません。
REALITYの次の大きな目標は「プレビルドモード」です。これは、対象となるウェブサイトの機能を事前に収集することを意味します。XTLSの次の大きな目標は0-RTTです。

REALITY は CDN をサポートしていません。

リアリティ・プロトコルサーバー側の実装は、最新の Go tls パッケージのフォークです。

お客様は以下の点にご注意ください。https://github.com/XTLS/Xray-core/blob/main/transport/internet/reality/reality.go。

REALITY を TLS の代わりに使用すると、サーバー側の TLS フィンガープリント機能を削除でき、前方秘匿性を初期化でき、証明書チェーン攻撃が無効になり、セキュリティが通常の TLS を超えます。
他の人のウェブサイトを指し示し、独自のドメイン名を使用し、TLSサーバーを便利に設定し、指定されたSNIを運ぶ仲介者への実際のTLSプロセス全体を実現できます。

通常、プロキシとして使用され、対象ウェブサイトの最低基準：海外のウェブサイト、TLSv1.3およびH2をサポート、ドメイン名はリダイレクトに使用されません（メインドメイン名はwwwへのリダイレクトに使用される場合があります）
ボーナスポイント: IPは類似している（可能性が高い、レイテンシが低い）、Server Hello後のハンドシェイクメッセージは一緒に暗号化されている（dl.google.comなど）、OCSP Staplingが利用可能
設定ボーナス: 戻りトラフィックを禁止し、TCP/80、UDP/443 も転送されます (実際はポート転送として外部に現れ、ターゲット IP が人気のない IP であったり、美しい IP であったりする可能性があります)

REALITY は XTLS 以外のプロキシプロトコルでも使用できますが、これらのプロトコルには明白でよく知られた TLS 署名があるため、推奨されません。
REALITYの次の大きな目標は「プレビルドモード」です。これは、対象となるウェブサイトの機能を事前に収集することを意味します。XTLSの次の大きな目標は0-RTTです。