Shadowsocks: Co to jest, jak działa, porównanie z VPN, Wireguard, UDP

Czym jest Shadowsocks?

Shadowsocks to darmowe narzędzie dla osób chcących ominąć blokady w prosty, ale mniej popularny sposób. Jest to protokół sieciowy z szyfrowaniem danych. Pomaga również chronić ruch sieciowy oraz dane osobowe. Bazuje na technologii SOCKS5, a jego kod źródłowy jest dostępny na GitHub.

Projekt rozpoczął się w 2012 roku. Chiński deweloper Clowwindy opublikował pierwsze wersje Shadowsocks na GitHub. Protokół pomógł obejść ograniczenia "Wielkiego Firewalla" Chin. Projekt zyskał światową popularność po usunięciu go z GitHub, co zwróciło uwagę mediów. Dziennikarze zasugerowali powiązanie usunięcia z atakiem na GitHub, który miał miejsce kilka dni później.

Clowwindy przerwał rozwój projektu w 2015 roku na żądanie chińskich władz. Od tego czasu społeczność Shadowsocks kontynuuje rozwój projektu.

​

​

Mapa ze strony Freedom House pokazuje, w których krajach Shadowsocks będzie zdecydowanie przydatny.

Shadowsocks jest potrzebny do podobnych zadań jak VPN:

• Omijanie blokad. Protokół używany do dostępu do zablokowanych zasobów zarówno w kraju, jak i przez dostawców i operatorów.
• Ochrona danych osobowych. Trudniejsze jest przechwycenie ruchu i danych osobowych.
• Bezpieczne połączenie z niezabezpieczonych punktów — np. przez darmowe Wi-Fi.

Jak działa Shadowsocks? Wyjaśnienie protokołu​

W standardowym połączeniu sieciowym użytkownik łączy się z internetem bezpośrednio przez swojego dostawcę. Na przykład, jeśli chce odwiedzić konkretną stronę, najpierw łączy się z routerem dostawcy, a potem z samą stroną. Jeśli państwo chce zablokować tę stronę, prosi dostawcę o zablokowanie dostępu do jej adresu IP.

Aby obejść to ograniczenie, stosuje się proxy. W takim przypadku pomiędzy dostawcą a stroną tworzy się "pośrednik" — serwer proxy. Połączenie nadal przechodzi przez dostawcę, ale on wie tylko, że żądanie trafia do proxy. W związku z tym połączenie ze stroną nie jest ograniczone, a ruch wraca do urządzenia użytkownika. Jednak pojawia się kilka problemów, np.:

• Strony i dostawcy mogą wykryć, że korzystasz z narzędzi omijających blokady.
• Połączenie nie jest bezpieczne. Możesz jednak użyć proxy z szyfrowaniem lub VPN, który najczęściej szyfruje ruch.

Shadowsocks rozwiązuje te problemy. Szyfruje ładunki TCP/UDP przez tunel podobny do SOCKS5. Aby naprawdę naśladować nagłówki HTTPS lub HTTP, potrzebny jest dodatkowy plugin do zaciemniania (np. simple-obfs, cloak). Szyfruje dane i przedstawia je jako zwykły ruch HTML. Protokół bazuje na SOCKS5, o którym pisaliśmy w naszym blogu. Pomaga chronić połączenie za pomocą algorytmu AEAD.

AEAD używa tej samej zasady co tunelowanie SSH, ale w przypadku AEAD zaszyfrowane dane zawierają także informacje o nadawcy i odbiorcy. To utrudnia życie hakerom. Nawet jeśli przechwycą wiadomość, nie mogą manipulować transmisją danych.

Czy Shadowsocks jest bezpieczny?

Shadowsocks jest bezpieczny do podstawowego obejścia cenzury i zazwyczaj szybszy/lżejszy niż VPN. Nie zastępuje jednak w pełni audytowanego VPN, jeśli potrzebujesz gwarantowanej anonimowości, odporności na DPI czy bezpieczeństwa na poziomie korporacyjnym. AEAD (Authenticated Encryption with Associated Data) jak AES-GCM i ChaCha20-Poly1305 są standardami branżowymi i ogólnie uważane za bardzo bezpieczne. Choć na Stack Exchange toczy się dyskusja, czy AEAD jest mniej bezpieczny, to i tak wystarcza do niezawodnego połączenia i ochrony danych.

Metoda szyfrowania Shadowsocks

Shadowsocks używa Authenticated Encryption with Associated Data (AEAD) jako podstawowej metody szyfrowania, zapewniającej poufność, integralność i autentyczność w jednej operacji. Najczęściej wspierane szyfry AEAD to:

• ChaCha20-Poly1305
• AES-128-GCM
• AES-256-GCM

Przegląd protokołu Shadowsocks. Jak działa Shadowsocks

Zasada działania Shadowsocks: dla programów SS jest on zorganizowany jak zwykły SOCKS5, ale z adresem IP 127.0.0.1. Ten adres to Localhost, a połączenie jest lokalne. Oznacza to, że dowolny program, np. przeglądarka, łączy się z tym samym urządzeniem, na którym działa. Następnie nawiązywane jest połączenie między lokalnym komponentem Shadowsocks a serwerem, a ruch jest już zaszyfrowany.

Więcej szczegółów można znaleźć w filmie o omijaniu Wielkiego Firewalla Chin.

Można też podłączyć inne aplikacje do Shadowsocks, a proxy będzie działać tylko dla wybranych aplikacji. Jeśli któraś ich nie obsługuje, można użyć np. Proxifiera.

​

​

Aby zainstalować i skonfigurować Shadowsocks, trzeba mieć pewną wiedzę o połączeniach. Co jest potrzebne na start:

• Kup i skonfiguruj serwer VPS w kraju, gdzie pożądane treści nie są blokowane, lub użyj gotowego serwera proxy dostępnego na stronach z proxy Shadowsocks.
• Klient-serwer. Jest aplikacja mobilna w Google Play, program na PC można pobrać dla Windows oraz Linuxa.

​

Następnie wystarczy zainstalować i uruchomić klienta, a potem skonfigurować połączenie z serwerem: dodać adres IP serwera, port, hasło i metodę szyfrowania.

Shadowsocks oferuje trzy tryby połączenia.

1. Tryb bezpośredni nie przekierowuje ruchu przez serwer proxy. Niektóre aplikacje mają predefiniowane ustawienia działające w tym trybie.
2. Tryb PAC: ruch przechodzi przez serwer proxy podczas dostępu do zablokowanych stron.
3. W trybie globalnym cały ruch jest przekierowywany przez serwer proxy.

Shadowsocks może symulować połączenie HTTPS do zdalnego serwera. Jest to potrzebne do maskowania ruchu. Wtedy dostawca nie zrozumie, co użytkownik ogląda i jakie blokady omija. Ten trik jest możliwy po zainstalowaniu na serwerze pluginu do zaciemniania simple-obfs.

Obfuscation to maskowanie i zaciemnianie ruchu. Dzięki temu można go chronić przed wykryciem: dostawca nie będzie wiedział, że używasz Shadowsocks. Zwykle osiąga się to poprzez szyfrowanie kodu, zamianę nazw zmiennych na bezsensowne, dodanie niepotrzebnego kodu lub stosowanie rozwiązań takich jak Cloak, Stunnel, OpenVPN Scramble i innych.

Chińczycy potrafią śledzić działanie Shadowsocks poprzez pasywną analizę ruchu i aktywne "probowanie", a następnie blokują połączenia mimo zaciemniania. Najpierw firewall szuka potencjalnych połączeń Shadowsocks; w drugim etapie łączy się z serwerami z własnych adresów IP, udając klienta Shadowsocks i obserwuje odpowiedzi serwera.

Szczegóły i mechanizmy rozwiązania problemu można przeczytać na GitHub, ale i tak Shadowsocks działa lepiej niż VPN.​

Zalety

1) Selektywne maskowanie ruchu. Można określić, który ruch wysłać przez dostawcę, a który przez Shadowsocks. Pomaga to omijać blokady i jednocześnie zachować dostęp do niektórych usług.

Przykład: jednoczesne korzystanie z serwisów takich jak Instagram i usług państwowych online. Instagram może być niedostępny w twoim kraju, a usługi państwowe działają tylko z lokalnych adresów IP. VPN pozwala na korzystanie z Instagrama, ale blokuje usługi lokalne. Niektóre VPN obsługują split tunneling. Shadowsocks rozwiązuje ten problem: możesz maskować ruch Instagrama i korzystać równocześnie z innych usług.

2) Ochrona przed DPI. DPI to technologia inspekcji pakietów do monitorowania aplikacji. Shadowsocks jest trudny do wykrycia i zablokowania, bo imituje zwykłe połączenie HTTPS. Jednak jest podatny na aktywne testy i wykrywanie wzorców. W przeciwieństwie do bardziej zaawansowanych transportów pluggable (np. Obfs4), może być i był wykrywany oraz blokowany przez zaawansowane firewalle.

3) Niezawodność. Shadowsocks nie znika nawet przy zerwaniu połączenia, jeśli konfiguracja jest tylko przez niego. Przy utracie połączenia z serwerem VPN ruch przechodzi bezpośrednio, a dostawca widzi wszystkie dane. KillSwitch częściowo rozwiązuje ten problem: przycisk awaryjny odcina internet, gdy zniknie połączenie z VPN. Czasem jednak nie działa lub brak takiej funkcji.

4) Dobre pasmo. Przy odpowiedniej konfiguracji Shadowsocks działa szybciej niż inne metody szyfrowania, takie jak tunelowanie SSH czy VPN. Utrata prędkości to około 3–5%.

5) Uniwersalność. Dostępne są programy-klienci na wszystkie systemy operacyjne – Windows, MacOS, Linux (różne dystrybucje), Android i iOS.

6) Zmniejszone obciążenie przy szyfrowaniu. Z punktu widzenia klienta oszczędza baterię (ważne dla urządzeń mobilnych), a z punktu widzenia serwera – zasoby VPS/VDS dla Shadowsocks.

7) Oszczędność kosztów. Najtańszy serwer VPS nadaje się do Shadowsocks. Idealnie, jeśli hosting zapewnia nieograniczony transfer. Jest to dużo tańsze niż płatne usługi VPN. Można też korzystać z cudzych proxy, ale oferty typu WannaFlix, 12VPN są znacznie droższe niż własny serwer, około 10 USD miesięcznie.

Dla porównania: VPS z 5 GB pamięci, 0,5 GB RAM i nieograniczonym transferem kosztuje 0,87 USD. To wystarcza dla Shadowsocks. Najtańsze usługi VPN kosztują około 2 USD miesięcznie, czyli dwa razy drożej, a abonament trzeba opłacić z góry na 2–3 lata. Darmowe VPN nie są brane pod uwagę – ograniczają dane, prędkość i transfer.

Wady

1) Złożoność użytkowania. Trzeba rozumieć działanie komputerów i połączeń, choć konfiguracja mieści się w kilku linijkach. VPN jest znacznie łatwiejszy.

2) Ryzyko spadku prędkości. W zależności od użytych obfuscatorów, Shadowsocks może znacznie zmniejszyć prędkość internetu.

3) Ograniczona użyteczność. Shadowsocks można próbować używać do zmiany regionu Netflix, ale ta metoda nie działa długo, bo serwis monitoruje różne sposoby omijania. Nie jest też dobrym rozwiązaniem dla torrentów: jeśli wynajmujesz serwer, łatwo można znaleźć twoje dane i oskarżyć o naruszenie praw autorskich.

4) Ograniczona dostępność. Mimo popularności, trudno jest kupić lub połączyć się z niezawodnymi serwerami VPS w niektórych regionach.

5) Brak oficjalnego audytu. Wielu specjalistów sprawdziło kod źródłowy Shadowsocks, ale nie przeszedł on oficjalnego audytu jak np. OpenVPN. Audyt mogłaby przeprowadzić OSTIF (Open Source Technology Improvement Fund), która powstała, by poprawiać bezpieczeństwo podobnych projektów. Kod Shadowsocks jest dość prosty, co stwarza ryzyko dystrybucji fałszywego oprogramowania.

Shadowsocks vs WireGuard

Czym jest WireGuard?

WireGuard to nowoczesne narzędzie VPN, które pomaga zabezpieczyć twoje połączenie internetowe. Można to sobie wyobrazić jako prywatny tunel między twoim urządzeniem (laptopem lub telefonem) a internetem. Wszystko, co wysyłasz lub odbierasz, przechodzi przez ten tunel, więc hakerzy lub podsłuchiwacze w publicznym Wi-Fi nie widzą, co robisz. WireGuard jest zaprojektowany tak, by być:

• Szybki: Minimalne spowolnienie w porównaniu z tradycyjnymi VPN.
• Prosty: Wystarczy zainstalować, dodać "serwer" lub "peer" i przełączyć połączenie.
• Bezpieczny: Używa nowoczesnego szyfrowania, aby chronić dane.

WireGuard możesz używać w publicznym Wi-Fi, gdy chcesz wyglądać na użytkownika z innego kraju lub po prostu chronić swoją prywatność online.

Pakiet kryptograficzny WireGuard

• Wymiana kluczy: Curve25519
• Szyfrowanie i uwierzytelnianie: ChaCha20-Poly1305 AEAD
• Hashowanie: BLAKE2s dla integralności danych i HMAC

Architektura WireGuard

• Jeden port UDP na interfejs, minimalizujący powierzchnię ataku i ułatwiający przejście przez firewall.
• Stateless handshake z kluczami efemerycznymi: peerzy tworzą nowe klucze sesji co 120 sekund bez utrzymywania stanu połączenia.

Różnice między Shadowsocks a WireGuard

Shadowsocks jest idealny, jeśli potrzebujesz szybkiego rozwiązania per aplikacja do obejścia cenzury (np. odblokowanie strony lub usługi streamingowej) bez zmiany ustawień VPN w systemie. WireGuard jest lepszy do ochrony całego urządzenia, bezpiecznych tuneli site-to-site lub gdy potrzebujesz solidnego, audytowanego VPN z minimalnym opóźnieniem i silnymi gwarancjami kryptograficznymi dla całej sieci.

Shadowsocks vs OpenVPN

Czym jest OpenVPN?

OpenVPN to popularna i zaufana technologia VPN (Wirtualnej Sieci Prywatnej), która tworzy bezpieczne, zaszyfrowane połączenie (często zwane "tunelem") między Twoim urządzeniem a inną siecią przez internet. Tunel chroni Twoje dane przed podsłuchem, umożliwia prywatne przeglądanie i może sprawić, że będziesz widoczny jako użytkownik z innej lokalizacji. OpenVPN to otwartoźródłowy protokół VPN i oprogramowanie implementujące bezpieczne połączenia punkt-punkt lub site-to-site z użyciem SSL/TLS do wymiany kluczy.

Ludzie używają OpenVPN, aby:

• Chronić swoją prywatność w publicznym Wi-Fi
• Uzyskać dostęp do treści ograniczonych regionalnie
• Bezpiecznie łączyć się z siecią firmową zdalnie

Szyfrowanie OpenVPN: Obsługuje silne algorytmy kryptograficzne, takie jak AES, dla poufności danych.

Uwierzytelnianie OpenVPN: Używa certyfikatów X.509 do wzajemnej autoryzacji oraz opcjonalnie nazwy użytkownika/hasła i kluczy pre-shared.

Protokoły transportowe OpenVPN: Działa na UDP lub TCP, co zapewnia elastyczność w różnych środowiskach sieciowych i umożliwia przechodzenie przez firewalle.

Tunneling OpenVPN: Działa na warstwie sieciowej (Layer 3), tworząc wirtualny interfejs sieciowy (TUN) lub łącząc ramki Ethernet (TAP).

Różnice między Shadowsocks a OpenVPN

Shadowsocks jest świetny do lekkiego, dedykowanego aplikacji obejścia cenzury z minimalnym opóźnieniem, szczególnie w restrykcyjnych środowiskach. OpenVPN to solidne, dobrze audytowane rozwiązanie VPN do tunelowania całego urządzenia lub sieci, oferujące silniejsze zabezpieczenia i szersze zastosowania, ale z większą złożonością konfiguracji i wyższym zużyciem zasobów.

Shadowsocks vs ShadowsocksR

Czym jest ShadowsocksR (SSR)

Obecnie Shadowsocks posiada społeczność i własną stronę. Dzięki temu entuzjaści mogą tworzyć własne rozwiązania na jego bazie. Na przykład po zamknięciu Shadowsocks w 2015 roku inny deweloper, breakwa11, stwierdził, że SS jest łatwo wykrywalny. Stworzył ShadowsocksR bazujący na Shadowsocks z obsługą zaciemniania ruchu. Tak więc ShadowsocksR to gałąź oryginalnego protokołu, napisana w Pythonie, z zaciemnianiem ruchu i odpornością na wykrywanie.

Jednak częściej zaleca się korzystanie z aktualnej wersji Shadowsocks-Rust opartej na Rust.

Kluczowe punkty dotyczące ShadowsocksR:

• Zaawansowane zaciemnianie: SSR dodaje metody zaawansowanego zaciemniania ruchu, by ukryć ruch proxy, utrudniając wykrycie i zablokowanie przez systemy DPI, takie jak Wielki Firewall Chin.
• Wiele protokołów i opcji zaciemniania: W przeciwieństwie do Shadowsocks, który używa prostego proxy SOCKS5 z szyfrowaniem, SSR obsługuje różne wtyczki protokołu i zaciemniania, które modyfikują nagłówki pakietów, losowo zmieniają wzorce ruchu i omijają popularne metody filtrowania.
• Zgodność wsteczna: SSR jest w dużej mierze kompatybilny z klientami Shadowsocks, ale wymaga własnych klientów lub kompatybilnego oprogramowania dla pełnej funkcjonalności.
• Brak oficjalnego wsparcia: SSR to projekt społecznościowy z kilkoma niezależnie utrzymywanymi wersjami; nie jest częścią oficjalnego repozytorium Shadowsocks.
• Kontrowersje: Niektórzy obrońcy prywatności kwestionują bezpieczeństwo i status utrzymania SSR, zalecając oficjalny Shadowsocks lub nowocześniejsze narzędzia, jak V2Ray, dla silniejszych, audytowanych rozwiązań proxy.

Podsumowując, ShadowsocksR został opracowany, aby utrudnić wykrywanie i blokowanie ruchu Shadowsocks, ale jest mniej używany i oficjalnie wspierany niż oryginalny Shadowsocks.

Shadowsocks vs SOCKS5

Shadowsocks działa na protokole SOCKS5. Mówiąc prosto, to jak twoja ulubiona aplikacja działająca na iOS. Shadowsocks dodaje więcej bezpieczeństwa do SOCKS5.

Oto różnice między Shadowsocks a SOCKS5:

Shadowsocks vs UDP over TCP

Czym jest UDP over TCP?

UDP over TCP odnosi się do tunelowania ruchu UDP (który jest bezpołączeniowy i używany np. w grach, VoIP, DNS) wewnątrz połączeń TCP (które są połączeniowe i niezawodne). Robią to czasem VPN lub proxy, które obsługują tylko TCP, by przesyłać pakiety UDP. Powoduje to opóźnienia, jitter i spadek wydajności, ponieważ retransmisja i uporządkowanie TCP nie pasują do niskolatencyjnej natury UDP. Czasem jednak pomaga, bo niektóre sieci lub firewalle blokują UDP lub pozwalają tylko TCP.

Główne różnice między UDP over TCP a Shadowsocks

VPN vs Shadowsocks

VPN i Shadowsocks to różne narzędzia. Pierwszy to wirtualna sieć prywatna, o której pisaliśmy na blogu, drugi to protokół proxy. Technicznie oba:

• Szyfrują ruch
• Pomagają omijać blokady

Jednak Shadowsocks zakłada prostsze szyfrowanie i nie pozwala na anonimowość w internecie. Projekt powstał pierwotnie nie tyle dla bezpieczeństwa, co dla obejścia chińskiego firewalla. Problem ten częściowo rozwiązuje ShadowsocksR, o którym piszemy na końcu artykułu. VPN zwykle używa złożonego algorytmu AES-256.

Usługi VPN często mają wiele dodatkowych funkcji, np. KillSwitch. VPN to „tunel”, więc jeśli przestanie działać, ruch idzie bezpośrednio, co może ujawnić prawdziwy adres IP. KillSwitch chroni przed tym, odcinając natychmiast połączenie internetowe, gdy zniknie dostęp do serwera VPN.

VPN ma ogromną sieć serwerów. Możesz korzystać z internetu z różnych krajów — adres IP zmienia się na kraj serwera, do którego się łączysz.

Podsumowując: VPN jest wygodniejszy, bezpieczniejszy i łatwiejszy w użyciu. Jeśli masz do niego dostęp i spełnia twoje potrzeby, korzystaj z VPN. Jeśli są problemy, Shadowsocks rozwiąże je lepiej — działa dobrze w krajach, gdzie VPN jest blokowany i obowiązują surowe ograniczenia. Dane wyglądają jak ruch HTTPS i nie wzbudzają podejrzeń. Wiele połączeń TCP pomaga osiągnąć dużą szybkość. To bardziej opłacalne rozwiązanie do prostego omijania blokad.

Główne różnice między Shadowsocks i VPN

Shadowsocks vs Proxy mobilne

Czym są proxy mobilne?

Proxy mobilne to prawdziwe adresy IP sieci komórkowych dostarczane przez operatorów za pomocą urządzeń z dedykowanymi kartami SIM, oferujące bardzo zaufane, dynamiczne i przypisane do lokalizacji IP, które znacznie trudniej wykryć lub zablokować.

Tabela porównawcza proxy mobilnych i Shadowsocks

Co powinienem wybrać: Shadowsocks czy proxy mobilne?

Do omijania cenzury i szyfrowanego proxy — Shadowsocks.

Do autentycznych mobilnych IP, zaufanego dostępu opartego na lokalizacji i niskiego ryzyka wykrycia — proxy mobilne są lepsze, szczególnie do zastosowań biznesowych i automatyzacji.

Podsumowanie

Shadowsocks to niedrogie i wygodne narzędzie do omijania blokad. Może być również przydatne do ochrony połączeń. Oczywiście ma mniej funkcji niż usługa VPN, ale jest trochę szybszy. Do prostych zadań, takich jak przywracanie dostępu do zablokowanych stron, jest optymalny. Łatwy w użyciu i konfiguracji, w internecie jest wiele instrukcji.