StageVPN بروتوكول VPN الآمن للتطبيق، 8 أسئلة و8 إجابات

س: ما هو بروتوكول VPN لتطبيق StageVPN؟

إنه بروتوكول VPN مفتوح المصدر وتم إصدار تنفيذه في عام 2017. وكان الهدف هو تقليل عدد عناصر التكوين، وتثبيت طريقة التشفير في عنصر واحد، وجعله بحجم يمكن للخبراء قراءة ومراجعة الكود بأكمله.

بروتوكول VPN عبارة عن مجموعة من القواعد للأجهزة والخوادم للتعرف على بعضها البعض ومشاركة مفاتيح التشفير وحزم البيانات وتبادلها. تحتوي البروتوكولات الحالية على العديد من الخيارات وخطوات التفاوض للتكيف مع البيئات المختلفة. المزيد من الخيارات تؤدي إلى رمز أكبر. تزداد أيضًا إمكانية إنشاء تكوين ضعيف بسبب أخطاء التكوين. وقد اتخذ هذا البروتوكول الاتجاه المعاكس. لقد قمنا بتقليل عدد الاختيارات وجعلنا الكود أقصر.

يعتمد حجم الكود على التنفيذ والتوقيت. لذلك، لا ينبغي قراءة "حوالي 4000 سطر" على أنها القيمة الحالية الدقيقة، ولكن على أنها "بمرتبة أصغر من تطبيقات VPN الأخرى". يستخدم تطبيق StageVPN التطبيق الرسمي لهذا البروتوكول على iPhone·iPad وAndroid. إن ملحق Chrome StageVPN لمتصفح Chrome هو وكيل HTTPS وليس هذا البروتوكول. الفرق بين الطريقتين هو متصفح VPN مقابل تطبيق VPNإنه مغطى

س: بأي ترتيب يتم إنشاء اتصالات VPN؟

يتم إنشاء الاتصال من خلال مصافحة رسالتين، رحلة واحدة ذهابًا وإيابًا. عندما يرسل البادئ رسالة بدء ويقوم المستجيب بإرجاع رسالة استجابة، يقوم كلا الجانبين بحساب نفس مفتاح الجلسة وتبادل البيانات على الفور.

المصافحة هي عملية يقوم من خلالها الطرفان بالتعرف على بعضهما البعض والاتفاق على مفتاح التشفير قبل بدء الاتصال. تتبع المصافحة في هذا البروتوكول نمط IK الخاص بإطار الضوضاء. يتطلب نمط IK أن يعرف البادئ المفتاح العام للمستجيب مسبقًا. يفي تطبيق StageVPN بهذا الشرط لأنه يتلقى المفتاح العام للخادم للاتصال به في تكوين VPN.

يمنع الطابع الزمني الموجود في رسالة بدء التشغيل هجمات إعادة التشغيل. هجوم إعادة التشغيل هو هجوم يسجل فيه المهاجم رسالة عادية ويعيد إرسالها لاحقًا. يتجاهل الخادم الرسالة إذا كان الطابع الزمني أقدم من الإرسال السابق من نفس الجهاز.

يمكن إنشاء أول MAC من خلال معرفة المفتاح العام للخادم. لذلك، لا يستجيب الخادم للحزم المرسلة بواسطة الماسحات الضوئية التي لا تعرف المفتاح العام للخادم. من الخارج، من الصعب معرفة ما إذا كان هناك خادم VPN على هذا المنفذ. عندما يتم تحميل الخادم بشكل زائد، يتم إرسال استجابة ملف تعريف الارتباط أولاً قبل إجراء عمليات حسابية ثقيلة. وهو جهاز يعالج فقط الطلبات التي تم التأكد من صحة عنوان مصدرها، مما يمنع الهجمات التي تجعل الخادم مشغولاً بالعناوين المزيفة.

س: ما هي تقنية التشفير التي تستخدمها؟

قم بتعيين طريقة تشفير واحدة فقط لكل دور واستخدمها دون تفاوض. إذا تم العثور على مشكلة في إحدى التقنيات، فبدلاً من إضافة خيارات، نقوم بتغيير إصدار البروتوكول بحيث تتحرك جميع عمليات التنفيذ معًا.

الاسم الكامل للمصافحة كما هو مكتوب في الوثائق الرسمية هو Noise_IKpsk2_25519_ChaChaPoly_BLAKE2s. الاسم هو المخطط. يرمز IK إلى نمط المصافحة، ويرمز psk2 إلى المفتاح الاختياري المشترك مسبقًا، ويرمز 25519 إلى منحنى تبادل المفاتيح، ويرمز ChaChaPoly إلى تشفير البيانات، ويرمز BLAKE2s إلى التجزئة.

ومن المهم أن نلاحظ أنه لا توجد مرحلة التفاوض. في البروتوكولات التي تتبادل قوائم التشفير، مثل TLS أو IKEv2، تمت دراسة هجمات الرجوع إلى إصدار أقدم لخداع المهاجمين لاختيار شفرات ضعيفة. ليس لدى هذا البروتوكول قائمة خاصة به للاختيار من بينها. لذلك، لا يوجد أي معنى لإثبات مثل هذا الهجوم.

يعد psk2، أو المفتاح المشترك مسبقًا، ميزة اختيارية. ومن خلال إضافة طبقة من المفاتيح المتماثلة أعلى تشفير المفتاح العام، يعد هذا دفاعًا إضافيًا لحماية محتوى الاتصال حتى لو قام كمبيوتر كمي مستقبلي بكسر Curve25519. هذه ميزة اختيارية، لذا يختلف مدى توفرها حسب الخدمة. لا تقدم StageVPN تشفيرًا مقاومًا للكم كميزة مقدمة.

تمت مراجعة سلامة التصميم أكاديميًا عدة مرات. أبحاث التحقق الرسمية متاحة للعامة، بما في ذلك التحقق الرمزي باستخدام مُثبت Tamarin والإثبات الحسابي باستخدام CryptoVerif. ومع ذلك، التحقق الرسمي هو دليل على تصميم البروتوكول. نحن لا نضمن جودة التنفيذ أو تشغيل الخادم لكل تطبيق. لذلك لا يزال من الضروري تحديث التطبيق والتحقق من سياسة التسجيل الخاصة بالمشغل.

س. كم مرة تتغير مفاتيح الجلسة؟

يتم استبدال مفاتيح الجلسة بمصافحة جديدة كل دقيقتين تقريبًا. ويتم الاستبدال أثناء الاتصال بالمفتاح الموجود، بحيث لا يلاحظ المستخدمون أي انقطاع.

السبب وراء تغيير المفتاح بشكل متكرر هو الأمان الأمامي. الأمان الأمامي هو خاصية تمنع إصدار محتويات الاتصال الخاصة بجلسة منتهية بالفعل حتى إذا تم الكشف عن المفتاح الخاص طويل المدى للجهاز لاحقًا. يقوم هذا البروتوكول بإنشاء مفتاح مؤقت جديد لكل مصافحة ويمسح أي مفاتيح مستخدمة من الذاكرة. حتى لو تم تسريب مفتاح جلسة واحدة، فإن نطاق التأثير سيكون محدودًا بالدقائق القليلة التي تم فيها استخدام المفتاح.

هناك أيضًا قواعد لمحاولات المصافحة. إذا لم يكن هناك استجابة، فإنه يحاول مرة أخرى كل 5 ثوان (REKEY_TIMEOUT). إذا لم تكن هناك استجابة لمدة 90 ثانية (REKEY_ATTEMPT_TIME)، فستتوقف المحاولة. إذا لم تكن هناك بيانات لإرسالها خلال 10 ثوانٍ (KEEPALIVE_TIMEOUT) من تلقي البيانات، فسيتم إرسال حزمة Keepalive فارغة حتى يتمكن الطرف الآخر من تأكيد الاستجابة.

تم تصميم هذا البروتوكول بحيث لا يقوم بالمصافحة في حالة عدم وجود بيانات لإرسالها. ومع ذلك، غالبًا ما تستخدم الأجهزة الموجودة خلف أجهزة التوجيه أو معدات الناقل (NAT) الإعداد (PersistentKeepalive) الذي يرسل حزمًا فارغة على فترات زمنية منتظمة لمنع مسح معلومات الاتصال. توصي الإرشادات الرسمية بفاصل زمني قدره 25 ثانية. يستغرق تكوين VPN لتطبيق StageVPN أيضًا 25 ثانية افتراضيًا (اعتبارًا من سبتمبر 2026).

س: ما الفرق بين OpenVPN وIKEv2/IPsec؟

بروتوكول التطبيق StageVPN هو البروتوكول الذي يقلل الخيارات ويجعل الكود أصغر. OpenVPN وIKEv2/IPsec هما بروتوكولان يتضمنان العديد من المفاوضات والخيارات التي تناسب البيئات المختلفة.

يوضح الشكل أعلاه الاختلافات في حجم الكود وطريقة الإرسال وطريقة التفاوض على كلمة المرور. ويلخص الجدول أدناه الاختلافات المتبقية غير المبينة في الشكل. يتم استخدام الثلاثة حاليًا على نطاق واسع، لكن فلسفاتهم التصميمية مختلفة، بدلاً من أن يكون أحدهم متفوقًا دون قيد أو شرط.

لا يتم تحديد السرعة عن طريق البروتوكول وحده. تلعب المسافة إلى الخادم وجودة الخط المحلي وازدحام الخادم وأداء الجهاز دورًا. يحتوي هذا البروتوكول على إجراءات بسيطة وعمليات تشفير خفيفة، لذلك غالبًا ما يكون سريعًا في ظل نفس الظروف. هذا لا يعني أنه سريع دائمًا. إذا كانت السرعة الملحوظة منخفضة، فإن أول شيء يجب فعله هو التبديل إلى خادم قريب والمقارنة.

س. ما هو "توجيه مفتاح التشفير" حيث يصبح المفتاح العام هو العنوان؟

توجيه مفتاح التشفير هو أسلوب يجمع المفتاح العام للطرف الآخر ونطاق عنوان IP (AllowedIPs) الذي يمكن للطرف الآخر استخدامه، ويستخدم هذه الحزمة لتحديد وقت إرسال واستقبال الحزم. عند الإرسال، حدد المفتاح العام الذي سيتم تشفيره باستخدام عنوان الوجهة، وعند الاستلام، تحقق مما إذا كان المفتاح العام الذي تم فك تشفيره بنجاح مؤهلاً لاستخدام عنوان المصدر.

تتمتع هذه البنية بميزتين: أولاً، يتعرف الخادم على الحزم الواردة من عنوان IP النفقي باعتبارها أصلية فقط إذا تم فك تشفيرها باستخدام المفتاح العام المرتبط بعنوان IP هذا. حتى إذا قام جهاز آخر بتقليد عنوان IP النفقي، فلا يمكن فك تشفيره ويتم تجاهل الحزمة. ثانيًا، يتم دمج قواعد جدار الحماية وقواعد كلمة المرور في قاعدة واحدة. يحتاج المسؤولون فقط إلى الاحتفاظ بسطر واحد: "هذا المفتاح العام هو نطاق العناوين هذا".

إذا قمت بتعيين المسموح به IPs على 0.0.0.0/0 و:/0 على جهاز المستخدم، فإن جميع اتصالات IPv4 وIPv6 تصبح نفقًا كاملاً لخادم واحد. يستخدم تطبيق StageVPN هذه الطريقة. العناصر الرئيسية لتكوين VPN التي يتلقاها التطبيق من الخادم مدرجة أدناه.

MTU هو الحد الأقصى لحجم الحزم التي يمكن إرسالها في وقت واحد. يقوم هذا البروتوكول بتشفير الحزمة الأصلية وإعادتها إلى حزمة UDP، مما يؤدي إلى زيادة الحجم حسب الرأس. ولذلك، يجب تعيين وحدة الإرسال الكبرى في النفق أصغر من وحدة الإرسال الكبرى في السطر لمنع تجزئة الحزم أو التخلص منها. ماذا وكم يتم الاحتفاظ بسجلات الوصول؟ الوصول إلى إشعار تخزين السجلاتإنه مفتوح للجمهور.

س: إذا كان البروتوكول قويًا، فهل كل استخدامات الإنترنت آمنة؟

لا. القسم المحمي بواسطة بروتوكول VPN هو من جهازك إلى خادم VPN، ويعتمد الأمان اللاحق على HTTPS الخاص بالموقع وسياسة التسجيل الخاصة بالمشغل.

في القسمين الأيسر من الصورة، يصعب على المستخدمين الآخرين لشبكة Wi-Fi العامة ومشغل Wi-Fi وشركة الاتصالات رؤية محتوى الاتصال ووجهته. بعد مغادرة خادم VPN، يصبح الأمر مثل الإنترنت العادي تمامًا. لذلك مرة أخرى، يصبح من المهم ما إذا كان العنوان هو موقع يبدأ بـ https://로. ويجب إعداد المخاطر خارج البروتوكول بشكل منفصل.

• القسم بعد خادم VPN: المواقع التي لا تستخدم HTTPS لا يتم تشفيرها من خادم VPN إلى الموقع.
• الثقة في المشغلين: نظرًا لبنيته، يعرف خادم VPN المفتاح العام ونفق IP وعنوان الوصول الأخير لكل جهاز. وهذا أيضًا هو المكان الذي يمكنك من خلاله رؤية عنوان IP الوجهة لاتصالك. وفقًا لقانون حماية أسرار الاتصالات، يقوم StageVPN بتخزين سجلات الوصول لمدة 93 يومًا ثم يقوم بحذفها تلقائيًا، ولا يسجل محتوى الاتصال. السبب هو لماذا نكشف عن سياسة الاحتفاظ بسجلات الوصول الخاصة بنا؟وأوضح.
• التهديدات داخل جهازك: التطبيقات الضارة أو صفحات التصيد هي مشاكل تحدث داخل النفق، أي على جهازك. البروتوكول لا يوقفه. القسمة هي ما الذي تمنعه ​​شبكات VPN وما لا يمكنها منعهيرجى الرجوع إلى.
• لحظة فقدان الاتصال: أثناء قطع النفق، يمكن أن يخرج الاتصال عبر المسار العادي. تحقق من حالة اتصال التطبيق قبل إجراء أي عمليات حساسة. العادات على الشبكات العامة قواعد سلامة شبكات الواي فاي العامةلقد نظمته في .
• DNS وIPv6: إذا قام تطبيق VPN آخر أو إعدادات DNS المنفصلة لجهازك بتغيير المسار، فقد تخرج الاستعلامات من النفق. كيفية التحقق دليل لتسريبات DNS وتسريبات WebRTCإنه في

عند الاتصال لأول مرة، سيطلب منك iPhone إضافة تكوين VPN، وسيطلب منك Android السماح بطلب اتصال VPN. يجب أن تسمح بذلك حتى يتمكن التطبيق من إنشاء نفق VPN. الطلب حسب الجهاز البدء على iPhone/iPadو الشروع في العمل على الروبوتونطاق الحكم هو الميزات ونطاق العرضيمكنك التحقق من ذلك هنا.

س: لماذا يبقى الاتصال حتى عند التغيير من Wi-Fi إلى LTE؟

وذلك لأن هذا البروتوكول يحدد الأجهزة من خلال مفاتيحها العامة بدلاً من عناوين IP الخاصة بها. حتى إذا تغيرت الشبكة وتغير عنوان IP، يتذكر الخادم العنوان الذي وصلت إليه آخر حزمة تم فك تشفيرها ويستجيب بهذا العنوان.

ويسمى هذا السلوك التجوال. تقوم الهواتف الذكية بالتبديل بين شبكة Wi-Fi المنزلية وشبكة Wi-Fi في المقهى وLTE/5G أثناء التنقل عدة مرات في اليوم. إذا تمت إعادة الاتصال بشبكة VPN من البداية في كل مرة، فستكون هناك لحظة ستتوقف فيها المراسلة والبث. يعالج البروتوكول هذا الانتقال باعتباره السلوك الافتراضي. لا توجد إعدادات منفصلة مطلوبة.

يستخدم هذا البروتوكول UDP فقط. UDP هي طريقة نقل خفيفة الوزن ولا تتطلب إجراء إنشاء اتصال. ولا يتداخل مع التحكم في إعادة الإرسال لاتصالات TCP ذهابًا وإيابًا داخل النفق. هناك مشكلة معروفة وهي أنه عندما يتم وضع بروتوكول TCP فوق بروتوكول TCP، عند حدوث خسارة، يتم إعادة إرسال كلا الطبقتين في وقت واحد وتنخفض السرعة بشكل ملحوظ. يتجنب هذا البروتوكول هذه المشكلة هيكلياً.

وفي الوقت نفسه، تقوم StageVPN بتسجيل عنوان IP الذي وصل منه الجهاز إلى خادم VPN عند تغييره، كأحد سجلات الاتصال وفقًا للقانون. حقيقة حدوث التجوال تعني بقاءه على الخادم.