WireGuard e AmneziaWG
WireGuard
WireGuard é o protocolo de roteamento criptografado conhecido por sua eficiência, código enxuto e baixo overhead de dados. O NymVPN o escolheu para seu Modo Rápido para otimizar o roteamento descentralizado de forma mais eficiente do que alternativas como OpenVPN ou IPSec. Confira o mergulho profundo da Nym no WireGuard para entender o que o torna um protocolo tão eficiente.
AmneziaWG
AmneziaWG é um fork do wireguard-go, a implementação oficial em espaço de usuário do WireGuard, projetado especificamente para proteger contra bloqueios de VPN via Inspeção Profunda de Pacotes.
Ao incorporar técnicas adicionais de ofuscação para disfarçar o tráfego VPN, o AmneziaWG permite que o tráfego VPN se misture ao tráfego comum da internet. A capacidade do AmneziaWG de mascarar seu tráfego VPN oferece uma camada adicional de proteção para usuários que precisam de acesso confiável a conteúdo irrestrito na internet sem o risco de sua conexão VPN ser bloqueada ou limitada. Importante: tudo isso é feito mantendo a arquitetura simplificada e o alto desempenho do WireGuard, garantindo que os usuários continuem se beneficiando da mesma velocidade e eficiência pelas quais o WireGuard é reconhecido.
Então, como as tecnologias de censura identificam e bloqueiam VPNs, e como o Amnezia ajuda a contornar isso?
Como as VPNs são bloqueadas?
Assim como os metadados alimentam a vigilância online, eles também são o que países e provedores de internet usam para bloquear o uso de VPNs e reforçar restrições de censura. Mesmo quando o conteúdo do nosso tráfego online está criptografado, há muitos dados visíveis sobre ele: os endereços IP do remetente e do destinatário, assinaturas de tempo, durações de conexão, etc. Esses metadados podem ser compilados para rastrear nossas comunicações, atividades e informações pessoais ao longo do tempo. Endereços IP também são o que os censores da internet usam para bloquear o acesso a domínios específicos.
O mesmo ocorre ao usar uma VPN: embora nosso IP pessoal possa estar oculto atrás do servidor proxy da VPN, o endereço IP público da empresa de VPN fica visivelmente vinculado ao nosso tráfego. Isso significa que países ou provedores de internet que aplicam medidas de censura podem identificar quando as pessoas estão usando serviços de VPN conhecidos. Muitos serviços de VPN estão agora bloqueados em países como China, Rússia e Índia, limitando significativamente as ferramentas disponíveis para as pessoas acessarem informações necessárias.
Agora imagine que você recorreu a uma VPN descentralizada como o NymVPN para um serviço proxy que é mais difícil de bloquear por vigilância ou censura. Comparada aos servidores de grandes empresas centralizadas de VPN, a rede de operadores independentes da Nym torna mais difícil identificar os IPs dos operadores de nós como parte de uma rede VPN. No entanto, mesmo uma VPN descentralizada ainda pode ser identificada por outras técnicas de vigilância além de colocar na lista negra o IP do servidor VPN ou do site censurado. Uma dessas técnicas é a Inspeção Profunda de Pacotes.
O que é Inspeção Profunda de Pacotes (DPI)?
DPI é uma técnica para analisar o tráfego de rede inspecionando pacotes de dados à medida que se movem por uma rede. Em redes abertas ou controladas por provedores de internet, o tráfego não criptografado pode ser lido, enquanto as VPNs criptografam os dados para protegê-los. No entanto, o DPI ainda consegue reconhecer protocolos VPN detectando padrões únicos de pacotes ou "assinaturas" no formato de criptografia. Isso permite que redes com políticas rígidas de censura ou filtragem identifiquem e bloqueiem o tráfego VPN, restringindo o acesso a esses serviços.
Embora o protocolo WireGuard seja reconhecido por sua velocidade e eficiência, sua assinatura de pacote distinta pode torná-lo vulnerável a essa detecção e bloqueio. É aqui que entra o AmneziaWG.
Como o AmneziaWG resiste ao DPI?
Como vimos, o DPI funciona analisando os metadados do tráfego roteado para identificar as assinaturas únicas de protocolos como WireGuard ou OpenVPN usados por apps de VPN. O AmneziaWG implementa várias técnicas para ofuscar ainda mais o tráfego VPN e evitar a detecção. Cada uma delas trata de um elemento de metadados no tráfego WireGuard que pode destacá-lo para a vigilância de censura.
Ao modificar estrategicamente as características dos pacotes durante o processo de conexão, o AmneziaWG ajuda a mascarar assinaturas identificáveis, reduzindo o risco de detecção e bloqueio.
Tamanhos de pacotes
A primeira forma de a vigilância DPI identificar o protocolo WireGuard é pelos tamanhos únicos dos pacotes de dados usados na iniciação do handshake. No roteamento criptografado, um handshake é simplesmente a etapa em que as partes em uma troca criptografada estabelecem uma conexão segura para trocar chaves de criptografia.
Com o AmneziaWG, pacotes de distração ou "lixo" podem ser enviados antes da iniciação do handshake, sendo tanto o número quanto o tamanho desses pacotes configuráveis. Além disso, bytes de distração podem ser adicionados antes das mensagens de iniciação e resposta do handshake, tornando a conexão mais difícil de identificar.
Cabeçalhos
A segunda forma de identificar o WireGuard via DPI é pelo tipo único de cabeçalho dos pacotes criptografados. Por padrão, os pacotes de dados do WireGuard compartilham o mesmo formato de cabeçalho, o que significa que o tráfego criptografado de diferentes usuários pode ser identificado como usando o mesmo protocolo de criptografia.
Com o AmneziaWG, os quatro valores de tipo de cabeçalho também podem ser remapeados para valores alternativos para adicionar mais complexidade. Na prática, isso significa que diferentes instâncias do AmneziaWG têm valores de cabeçalho distintos, tornando extremamente difícil associá-las com base em uma estrutura de cabeçalho universal.
Enquanto adicionar pacotes de distração requer apenas uma mudança no lado do cliente, o remapeamento dos valores de tipo de cabeçalho e as modificações nas mensagens de handshake exigem que tanto o cliente quanto o servidor executem o AmneziaWG com configurações correspondentes.
Implementação do AmneziaWG no NymVPN
Para o NymVPN, optamos por uma implementação do AmneziaWG no lado do cliente, que melhora efetivamente a privacidade sem a necessidade de configuração no lado do servidor, oferecendo uma solução eficiente que ainda fornece proteção aprimorada contra detecção. Isso significa que, no NymVPN, pacotes de distração são introduzidos antes da iniciação do handshake, porém os cabeçalhos não são modificados.
Como se beneficiar do AmneziaWG no NymVPN?
É simples: baixe o NymVPN, obtenha um código de acesso anônimo e ative o Modo Rápido. O AmneziaWG é agora o protocolo de roteamento criptografado padrão para todo o tráfego neste modo. Portanto, independente de onde você esteja no mundo ou o que estiver procurando, o NymVPN garante que seu tráfego não seja facilmente alvo de tecnologias de censura.
O que vem a seguir para a resistência à censura no NymVPN?
O AmneziaWG é apenas o começo de um extenso projeto de pesquisa e desenvolvimento na Nym para oferecer a tecnologia VPN de resistência à censura mais avançada disponível. A Nym continuará adicionando mais recursos para tornar as conexões pelo NymVPN mais seguras e resilientes contra bloqueios.
