Presentamos AmneziaWG para NymVPN

WireGuard y AmneziaWG

WireGuard

WireGuard es el protocolo de enrutamiento cifrado conocido por su eficiencia, su código compacto y su baja sobrecarga de datos. NymVPN lo ha elegido para su «Modo Rápido» con el fin de optimizar el enrutamiento descentralizado de forma más eficiente que alternativas como OpenVPN o IPSec. Echa un vistazo al análisis en profundidad de WireGuard de Nym para descubrir qué lo convierte en un protocolo tan óptimo.

AmneziaWG

AmneziaWG es una bifurcación de wireguard-go, la implementación oficial en espacio de usuario de WireGuard, diseñada específicamente para proteger contra el bloqueo de VPN mediante Deep Packet Inspection.

Al incorporar técnicas adicionales de ofuscación para camuflar el tráfico de VPN, AmneziaWG permite que este se mezcle con el resto del tráfico de Internet. La capacidad de AmneziaWG para enmascarar su tráfico VPN proporciona una capa adicional de protección a los usuarios que necesitan un acceso fiable a contenidos de Internet sin restricciones, sin correr el riesgo de que su conexión VPN sea bloqueada o limitada. Es importante destacar que todo esto se consigue manteniendo la arquitectura simplificada y el alto rendimiento de WireGuard, lo que garantiza que los usuarios sigan beneficiándose de la misma velocidad y eficiencia por las que WireGuard es tan conocido.

Entonces, ¿cómo identifican y bloquean las tecnologías de censura las VPN, y cómo ayuda Amnezia a sortear esto?

¿Cómo se bloquean las VPN?

Del mismo modo que los metadatos son el combustible de la vigilancia en línea, también son lo que los países y los proveedores de servicios de Internet utilizan para bloquear el uso de las VPN con el fin de imponer restricciones de censura. Incluso cuando el contenido de nuestro tráfico en línea está cifrado, hay muchos datos legibles al respecto: las direcciones IP del remitente y del destinatario, las firmas temporales, la duración de las conexiones, etc. Estos metadatos pueden recopilarse para realizar un seguimiento de nuestras comunicaciones, actividades e información personal a lo largo del tiempo. Las direcciones IP son también lo que utilizan los censores de Internet para bloquear el acceso a dominios específicos.

Lo mismo ocurre al utilizar una VPN: aunque nuestra IP personal pueda estar oculta tras el servidor proxy de la VPN, la dirección IP pública de la empresa de la VPN aparece visiblemente asociada a nuestro tráfico. Esto significa que los países o los proveedores de servicios de Internet que aplican medidas de censura pueden identificar cuándo los usuarios están utilizando servicios VPN conocidos. Muchos servicios de VPN están ahora incluidos en listas negras en países como China, Rusia y la India, lo que limita considerablemente las herramientas de que disponen los usuarios para acceder a la información que necesitan.

Ahora imagina que has recurrido a una VPN descentralizada como NymVPN para obtener un servicio de proxy que sea más difícil de bloquear mediante la vigilancia o la censura. En comparación con los servidores de las grandes empresas de VPN centralizadas, la red de operadores independientes de Nym dificulta la identificación de las direcciones IP de los operadores de nodos como parte de una red VPN. Sin embargo, incluso una VPN descentralizada puede identificarse mediante otras técnicas de vigilancia, más allá de incluir en una lista negra la IP del servidor de la VPN o del sitio web censurado. Una de estas técnicas es la inspección profunda de paquetes.

¿Qué es la inspección profunda de paquetes (DPI)?

El DPI es una técnica para analizar el tráfico de red mediante la inspección de los paquetes de datos a medida que se desplazan por la red. En redes abiertas o controladas por los proveedores de servicios de Internet (ISP), el tráfico no cifrado puede ser leído, mientras que las VPN cifran los datos para protegerlos. Sin embargo, el DPI sigue pudiendo reconocer los protocolos VPN mediante la detección de patrones de paquetes únicos o «firmas» en el formato de cifrado. Esto permite que las redes con políticas estrictas de censura o filtrado identifiquen y bloqueen el tráfico de VPN, restringiendo así el acceso a estos servicios.

Aunque el protocolo WireGuard es conocido por su velocidad y eficiencia, su firma de paquetes distintiva puede hacerlo vulnerable a este tipo de detección y bloqueo. Aquí es donde entra en juego AmneziaWG.

¿Cómo se resiste AmneziaWG al DPI?

Como hemos visto, el DPI funciona analizando los metadatos del tráfico enrutado para identificar las firmas únicas de protocolos como WireGuard u OpenVPN utilizados por las aplicaciones VPN. AmneziaWG implementa varias técnicas para ocultar aún más el tráfico de la VPN y evitar su detección. Cada uno de ellos se refiere a un metadato del tráfico de WireGuard que puede hacer que destaque ante la vigilancia censora.

Al modificar estratégicamente las características de los paquetes durante el proceso de conexión, AmneziaWG ayuda a enmascarar las firmas identificables, reduciendo así el riesgo de detección y bloqueo.

Tamaños de los paquetes

La primera forma en que la vigilancia DPI identifica el protocolo WireGuard es a través de los tamaños únicos de los paquetes de datos utilizados en el inicio del protocolo de enlace. En el enrutamiento cifrado, un «handshake» es simplemente el paso en el que las partes de un intercambio cifrado establecen una conexión segura para intercambiar claves de cifrado.

Con AmneziaWG, se pueden enviar paquetes señuelo o «basura» antes de que se inicie el protocolo de enlace, pudiendo configurarse tanto el número como la longitud de estos paquetes. Además, se pueden anteponer bytes de señuelo tanto al mensaje de inicio del protocolo de enlace como a los de respuesta, lo que dificulta la identificación de la conexión.

Encabezados

La segunda forma de identificar WireGuard mediante DPI es a través del tipo de encabezado único de los paquetes cifrados. Por defecto, los paquetes de datos de WireGuard comparten el mismo formato de encabezado, lo que significa que el tráfico cifrado de diferentes usuarios puede identificarse como si utilizara el mismo protocolo de cifrado.

Con AmneziaWG, los cuatro valores de tipo de encabezado también se pueden reasignar a valores alternativos para añadir mayor complejidad. En la práctica, esto significa que los distintos AmneziaWG tienen valores de encabezado diferentes, lo que hace extremadamente difícil asociarlos basándose en una estructura de encabezado universal.

Aunque añadir paquetes señuelo solo requiere un cambio en el lado del cliente, la reasignación de los valores de tipo de encabezado y las modificaciones en los mensajes de establecimiento de conexión requieren que tanto el cliente como el servidor ejecuten AmneziaWG con los mismos ajustes de configuración.

Implementación de AmneziaWG en NymVPN

En el caso de NymVPN, hemos optado por una implementación de AmneziaWG del lado del cliente, que mejora eficazmente la privacidad sin necesidad de configuración del lado del servidor, ofreciendo una solución optimizada y eficiente que sigue proporcionando una protección mejorada contra la detección. Esto significa que, con NymVPN, se introducen paquetes señuelo antes de que se inicie el protocolo de enlace, aunque no se modifican las cabeceras.

¿Cómo sacar partido a AmneziaWG en NymVPN?

Es muy sencillo: descarga NymVPN, obtén un código de acceso anónimo y activa el Modo Rápido. AmneziaWG es ahora el protocolo de enrutamiento cifrado predeterminado para todo el tráfico en este modo. Así que, independientemente de dónde te encuentres en el mundo o qué estés buscando, NymVPN se encarga de que tu tráfico no sea fácilmente blanco de las tecnologías de censura.

¿Cuál es el siguiente paso en la resistencia a la censura con NymVPN?

AmneziaWG es solo el comienzo de un amplio proyecto de investigación y desarrollo en Nym para ofrecer la tecnología VPN más avanzada y resistente a la censura disponible. Nym seguirá añadiendo continuamente más funciones para que las conexiones a través de NymVPN sean más seguras y resistentes al bloqueo.