Специалисты по кибербезопасности выявили серьезную структурную уязвимость в популярном прокси-протоколе XTLS VLESS REALITY, которая позволяет осуществлять идентификацию серверов по специфическому «отпечатку». Проблема безопасности ставит под удар конфиденциальность пользователей, позволяя цензорам и администраторам сетей эффективно обнаруживать использование данного метода обхода блокировок.
Технические причины возникновения уязвимости
Исследование показало, что корень проблемы кроется в особенностях реализации сетевого стека. Разработчики протокола использовали прямое копирование кода из стандартной библиотеки Go crypto/tls, что привело к возникновению уникального идентификатора на уровне протокола TLS.
- Максимальный порог счетчика записей ChangeCipherSpec в XTLS жестко ограничен значением 16.
- В наиболее распространенных реализациях TLS, таких как OpenSSL и BoringSSL, этот лимит составляет 32.
- Разница в обработке специфических пакетов позволяет однозначно отличить легитимный веб-сервер от прокси-сервера REALITY.
Метод активного обнаружения
На основе найденного несоответствия исследователи разработали метод активного зондирования. Суть атаки заключается в отправке серии специально сформированных запросов к целевому серверу. Если стек протокола демонстрирует поведение, характерное для лимитов библиотеки Go вместо стандартных параметров OpenSSL, система идентификации подтверждает наличие службы XTLS VLESS REALITY.
Уязвимость позволяет с высокой точностью определять работу прокси-службы, основываясь на фундаментальных различиях в поведении стека протокола TLS, что нивелирует основные преимущества технологии скрытия трафика.
Рекомендации для пользователей
На данный момент техническое сообщество ожидает выхода обновленной версии протокола, в которой будут скорректированы параметры обработки записей для соответствия стандартам OpenSSL. Специалистам по сетевой безопасности рекомендуется следить за обновлениями репозиториев и подготовиться к оперативному патчу серверов, так как обнаруженная брешь позволяет автоматизировать процесс блокировки серверов на государственном уровне или в корпоративных сетях.
В текущих условиях эксплуатация протокола REALITY остается рискованной, так как «отпечаток» стека стал публично известным инструментом для анализа трафика.