SSL 设计目标:
- 防内容篡改
- 防冒充服务器身份
- 加密通信内容
而翻墙的目标:
- 不被检测出客户端在访问什么网站
- 不被检测出服务器在提供翻墙服务
SSL 和这个目标还是有一些出入。其中最大的问题是，2. 防冒充服务器身份 这个功能多余了。他会导致墙嗅探出证书信息，继而墙会知道服务器身份。如果墙知道一个服务器身份是用来翻墙的，它要做的仅仅是封掉使用这个证书的所有 IP。
墙看见的 SSL 握手响应头部如下：
Last active
September 3, 2024 01:24
-
-
Save clowwindy/5947691 to your computer and use it in GitHub Desktop.
为什么不应该用 SSL 翻墙
This file contains bidirectional Unicode text that may be interpreted or compiled differently than what appears below. To review, open the file in an editor that reveals hidden Unicode characters.
Learn more about bidirectional Unicode characters
| QMQڑ????β????!AFf?a?1??[? | |
| ? G | |
| 0???R???̙G!GfX-??5?k ??Q? | |
| u | |
| q | |
| 0??1 *?H?? n?0?|0?d?"?7??^??eĵ??F0 | |
| 0 UUS10U | |
| VeriSign, Inc.10U | |
| VeriSign Trust Network1;09U | |
| 140510235959Z0?10 2Terms of use at https://www.verisign.com/rpa (c)061402U+VeriSign Class 3 Extended Validation SSL CA0 | |
| +?7<US10 | |
| +?7Delaware10Private Organization10U43374461 | |
| 0 UUS10 | |
| U9410710U | |
| San Francisco1!0U 795 Folsom St, Suite 60010U | |
| Twitter, Inc.10U | |
| Twitter Security10U | |
| ?0? *?H?? twitter.com0?"0 | |
| ???w? ?tSmZ ?T#7Tn,?l\C???? | |
| ??^d?L?*q? ???\n*???*?X?[?????-?b?V?Ic[[ݙn??D??i;?j~,亵Ȯu?z۴Jz9qr??כ????G?#???u2j?7_;?3[Y?&?P???P?@?U?N?,?Tx?e?N???SVߝ???*!Po???Q???!??sIpҒ#`H??U'?"^?*?7 | |
| _?>???Z|`W?.p_??????p????v2?p????0?0'U 0?www.twitter.com? | |
| twitter.com0 U00U?x?Fy?n?]@H?G???(?1?0 | |
| U?0BU;0907?5?3?1http://EVSecure-crl.verisign.com/EVSecure2006.crl0DU =0;09 | |
| `?H??E0*+https://www.verisign.com/rpa0U%+0U#0???P???%Z{U?O?c??XkC0+p0n0+0?!http://EVSecure-ocsp.verisign.com0+0?1http://EVSecure-aia.verisign.com/EVSecure2006.cer0+ | |
| b0`?^?\0Z0X0V image/gif0!00+Kk?(? | |
| ? ??*?H??K?!0&$http://logo.verisign.com/vslogo1.gif0 | |
| ??Z | |
| GD?𥛄8ݫ?NJnJXn?????]?? -";J?#O???? | |
| <r?Q&?.??;? F | |
| ?????K??Fq?mD?-?Sl??=3???]?.??=v?I??? | |
| ???ѱ??)i?Y!K?L???GC??rI0IR??f!~ | |
| b4˼??]?b?????_5a=?-B¹ax???rif߰?j?[??j?????3???d?Ўo | |
| kS | |
| ?m'?9????X?H???`ln?n%???ߍ5G?H?!w?+x: | |
| ?u?86K?[,!?z?ipŵh?4uf????/N? Dt?'\??d+A???]?? ??gqP???V{?0c?1??mKǫ??o; |
致敬前辈，TLS1.3正在普及中——ESNI功能将域名也加密了。有了依附的自由，今后流量伪装更方便了。
esni已经被封了
偶然进到这个链接.
我来更新一句最近的状况吧.
很多地方的GFW在TLS握手过程中, 针对SNI信息进行屏蔽.
于是, xray搞了个功能, 对TLS client hello包,在SNI处截断. 这样, 目前的情况是, GFW探测不出来了.
等哪天领导在天安门喊上一句话 "中华人民共和国 天朝局域网 正式 · 成立啦啊啊啊啊啊啊啊" 到时候看你们这些妖魔鬼怪 飞天遁地 八仙过海 各显神通 能不能飞得出老佛爷的五指山 :XD
这不废话嘛。。物理拔网线还玩毛
Sign up for free
to join this conversation on GitHub.
Already have an account?
Sign in to comment
https://www.iyouport.org/%E6%8A%A5%E5%91%8A%EF%BC%9A%E4%B8%AD%E5%9B%BD%E7%9A%84%E9%98%B2%E7%81%AB%E9%95%BF%E5%9F%8E%E5%B7%B2%E7%BB%8F%E5%B0%81%E9%94%81%E5%8A%A0%E5%AF%86%E6%9C%8D%E5%8A%A1%E5%99%A8%E5%90%8D%E7%A7%B0%E6%8C%87/
GFW开始研究ESNI了