WireGuard und AmneziaWG
WireGuard
WireGuard ist das verschlüsselte Routing-Protokoll, das für seine Effizienz, seinen schlanken Code und seinen geringen Datenaufwand bekannt ist. NymVPN hat diesen Modus für seinen „Fast Mode“ ausgewählt, um das dezentrale Routing effizienter als Alternativen wie OpenVPN oder IPSec zu optimieren. Schauen Sie sich Nyms ausführliche Analyse zu WireGuard an, um zu erfahren, was dieses Protokoll so optimal macht.
AmneziaWG
AmneziaWG ist ein Fork von wireguard-go, der offiziellen User-Space-Implementierung von WireGuard, die speziell zum Schutz vor VPN-Blockierung durch Deep Packet Inspection entwickelt wurde.
Durch die Einbindung zusätzlicher Verschleierungstechniken zur Tarnung des VPN-Datenverkehrs ermöglicht AmneziaWG, dass sich der VPN-Datenverkehr nahtlos in den Hintergrund des Internetdatenverkehrs einfügt. Die Fähigkeit von AmneziaWG, seinen VPN-Datenverkehr zu verschleiern, bietet eine zusätzliche Schutzebene für Nutzer, die einen zuverlässigen Zugang zu uneingeschränkten Internetinhalten benötigen, ohne das Risiko einzugehen, dass ihre VPN-Verbindung blockiert oder gedrosselt wird. Wichtig ist, dass all dies unter Beibehaltung der vereinfachten Architektur und der hohen Leistung von WireGuard erfolgt, wodurch sichergestellt wird, dass Nutzer weiterhin von derselben Geschwindigkeit und Effizienz profitieren, für die WireGuard bekannt ist.
Wie identifizieren und blockieren Zensurtechnologien also VPNs, und wie hilft Amnezia dabei, diese zu umgehen?
Wie werden VPNs blockiert?
So wie Metadaten der Nährboden für Online-Überwachung sind, nutzen sie Länder und Internetdienstanbieter auch dazu, die Nutzung von VPNs zu blockieren, um Zensurbeschränkungen durchzusetzen. Selbst wenn der Inhalt unseres Online-Datenverkehrs verschlüsselt ist, gibt es viele Daten, die darüber lesbar sind: die IP-Adressen von Absender und Empfänger, Zeitsignaturen, Verbindungsdauern usw. Diese Metadaten können zusammengetragen werden, um unsere Kommunikation, Aktivitäten und personenbezogenen Daten im Laufe der Zeit nachzuverfolgen. IP-Adressen werden auch von Internet-Zensoren genutzt, um den Zugriff auf bestimmte Domains zu blockieren.
Das Gleiche gilt bei der Nutzung eines VPN: Während unsere persönliche IP-Adresse hinter dem VPN-Proxy-Server verborgen sein mag, ist die öffentliche IP-Adresse des VPN-Anbieters sichtbar mit unserem Datenverkehr verknüpft. Das bedeutet, dass Länder oder Internetdienstanbieter, die Zensurmaßnahmen durchsetzen, erkennen können, wenn Nutzer bekannte VPN-Dienste verwenden. Viele VPN-Dienste stehen mittlerweile in Ländern wie China, Russland und Indien auf der Sperrliste, was die Möglichkeiten der Menschen, auf benötigte Informationen zuzugreifen, erheblich einschränkt.
Stellen Sie sich nun vor, Sie hätten sich für ein dezentrales VPN wie NymVPN entschieden, um einen Proxy-Dienst zu nutzen, der von Überwachungs- oder Zensurmaßnahmen weniger leicht blockiert werden kann. Im Vergleich zu den Servern größerer, zentralisierter VPN-Anbieter erschwert das Netzwerk unabhängiger Betreiber von Nym die Identifizierung der IP-Adressen von Knotenbetreibern als Teil eines VPN-Netzwerks. Allerdings kann selbst ein dezentrales VPN über andere Überwachungstechniken identifiziert werden, die über das Aufnehmen der IP-Adresse des VPN-Servers oder der zensierten Website in eine Blacklist hinausgehen. Eine dieser Techniken ist Deep Packet Inspection.
Was ist Deep Packet Inspection (DPI)?
DPI ist eine Technik zur Analyse des Netzwerkverkehrs, bei der Datenpakete während ihrer Übertragung durch ein Netzwerk untersucht werden. In offenen oder ISP-kontrollierten Netzwerken kann unverschlüsselter Datenverkehr eingesehen werden, während VPNs Daten verschlüsseln, um sie zu schützen. Allerdings kann DPI VPN-Protokolle weiterhin erkennen, indem es einzigartige Paketmuster oder „Signaturen“ im Verschlüsselungsformat identifiziert. Dadurch können Netzwerke mit strengen Zensur- oder Filterrichtlinien VPN-Datenverkehr identifizieren und blockieren und so den Zugriff auf diese Dienste einschränken.
Obwohl das WireGuard-Protokoll für seine Geschwindigkeit und Effizienz bekannt ist, kann es aufgrund seiner charakteristischen Paketsignatur anfällig für eine solche Erkennung und Blockierung sein. Hier kommt AmneziaWG ins Spiel.
Wie wehrt sich AmneziaWG gegen DPI?
Wie wir gesehen haben, analysiert DPI die Metadaten des weitergeleiteten Datenverkehrs, um die eindeutigen Signaturen von Protokollen wie WireGuard oder OpenVPN zu identifizieren, die von VPN-Apps verwendet werden. AmneziaWG setzt verschiedene Techniken ein, um den VPN-Datenverkehr weiter zu verschleiern und eine Erkennung zu vermeiden. Jedes davon betrifft ein Metadatenelement im WireGuard-Datenverkehr, das diesen für Zensurüberwachung auffällig machen kann.
Durch die strategische Änderung von Paketmerkmalen während des Verbindungsaufbaus hilft AmneziaWG dabei, identifizierbare Signaturen zu verschleiern, wodurch das Risiko der Erkennung und Sperrung verringert wird.
Paketgrößen
Die erste Möglichkeit für die DPI-Überwachung, das WireGuard-Protokoll zu identifizieren, besteht in den einzigartigen Größen der Datenpakete, die bei der Einleitung des Handshakes verwendet werden. Bei verschlüsseltem Routing ist ein Handshake einfach der Schritt, bei dem die Parteien eines verschlüsselten Austauschs eine sichere Verbindung herstellen, um Verschlüsselungsschlüssel auszutauschen.
Mit AmneziaWG können vor der Einleitung des Handshakes Köder- oder „Junk“-Pakete gesendet werden, wobei sowohl die Anzahl als auch die Länge dieser Pakete konfigurierbar sind. Zudem können sowohl der Handshake-Initiierungs- als auch der Antwortnachricht „Decoy-Bytes“ vorangestellt werden, wodurch die Verbindung schwerer zu identifizieren ist.
Die zweite Möglichkeit, WireGuard mittels DPI zu identifizieren, besteht in dem eindeutigen Header-Typ verschlüsselter Pakete. Standardmäßig haben WireGuard-Datenpakete dasselbe Header-Format, was bedeutet, dass der verschlüsselte Datenverkehr verschiedener Nutzer als Verwendung desselben Verschlüsselungsprotokolls identifiziert werden kann.
Bei AmneziaWG können die vier Werte vom Typ „Header“ zudem auf alternative Werte umgeleitet werden, um die Komplexität weiter zu erhöhen. Im Endeffekt bedeutet dies, dass verschiedene AmneziaWG unterschiedliche Header-Werte aufweisen, was es extrem schwierig macht, sie anhand einer universellen Header-Struktur einander zuzuordnen.
Während das Hinzufügen von Täuschungspaketen lediglich eine Änderung auf Client-Seite erfordert, setzen die Neuzuordnung von Header-Typ-Werten und Änderungen an den Handshake-Nachrichten voraus, dass sowohl auf dem Client als auch auf dem Server AmneziaWG mit übereinstimmenden Konfigurationseinstellungen ausgeführt wird.
AmneziaWG-Implementierung auf NymVPN
Für NymVPN haben wir uns für eine clientseitige Implementierung von AmneziaWG entschieden, die den Datenschutz effektiv verbessert, ohne dass eine serverseitige Konfiguration erforderlich ist, und eine optimierte und effiziente Lösung bietet, die dennoch einen verbesserten Schutz vor Erkennung gewährleistet. Das bedeutet, dass bei NymVPN vor der Einleitung des Handshakes Köderpakete eingefügt werden, die Header jedoch nicht verändert werden.
Wie kann man von AmneziaWG auf NymVPN profitieren?
Es ist ganz einfach: NymVPN herunterladen, einen anonymen Zugangscode erhalten und den Fast Mode aktivieren. AmneziaWG ist nun das standardmäßige verschlüsselte Routing-Protokoll für den gesamten Datenverkehr in diesem Modus. Egal, wo auf der Welt Sie sich befinden oder wonach Sie suchen – NymVPN sorgt dafür, dass Ihr Datenverkehr nicht ohne Weiteres von Zensurtechnologien ins Visier genommen wird.
Wie geht es weiter mit der Zensurresistenz bei NymVPN?
AmneziaWG ist nur der Anfang eines umfangreichen Forschungs- und Entwicklungsprojekts bei Nym, um die modernste verfügbare zensurresistente VPN-Technologie bereitzustellen. Nym wird kontinuierlich weitere Funktionen hinzufügen, um Verbindungen über NymVPN sicherer und widerstandsfähiger gegen Sperrungen zu machen.
