00Коротко
Канал на изнанку
НИИ Изнанка строит зашифрованный канал от твоего устройства до нашего сервера, СФЕРЫ. Дальше в интернет ты выходишь уже из СФЕРЫ.
- Провайдер и чужой Wi-Fi видят только зашифрованный поток до СФЕРЫ, без адресов сайтов и DNS-запросов
- Сайты видят адрес СФЕРЫ, а не твой
- Протокол канала построен на AWG2 (AmneziaWG 2.0): криптография WireGuard плюс маскировка от DPI
- Доступ даёт ключ NFVPN: один на все твои устройства
01Протокол
На основе AWG2
Наш протокол построен на AmneziaWG 2.0 (AWG2). Это открытый форк WireGuard, который сохраняет его криптографию и скорость, но прячет то, по чему WireGuard узнают системы глубокой проверки трафика (DPI).
Криптография: как у WireGuard
| Что | Чем |
|---|---|
| Обмен ключами | Curve25519, схема Noise IK |
| Шифрование канала | ChaCha20-Poly1305 |
| Хеши | BLAKE2s |
| Транспорт | UDP, один порт на СФЕРУ |
Маскировка: что добавляет AWG2
Обычный WireGuard выдаёт себя походкой: рукопожатие всегда одной длины, служебные пакеты начинаются с одних и тех же байт. Такой канал режут, даже не расшифровывая. AWG2 ломает эти признаки:
| Приём | Параметры | Что даёт |
|---|---|---|
| Мусор перед рукопожатием | Jc, Jmin, Jmax | в канал летят пакеты случайной длины, которых в протоколе нет |
| Случайная добавка к размерам | S1 … S4 | служебные пакеты перестают быть одной длины |
| Свои заголовки | H1 … H4 | типы сообщений не совпадают с WireGuard, в AWG2 задаются диапазонами |
| Сигнатурные пакеты | I1 … I5 | начало сессии похоже на трафик других протоколов |
▸ Личная обфускация
У каждой СФЕРЫ свой набор этих параметров. Он рождается вместе с сервером и больше нигде не повторяется: отпечаток, снятый с одной СФЕРЫ, на соседней бесполезен.
Маскировка живёт в самом транспорте, поэтому скорость и задержка почти не меняются.
02Путь пакета
От кнопки до сайта
- Высадка. Приложение поднимает канал AWG2 до выбранной СФЕРЫ: рукопожатие с маскировкой, дальше обмен зашифрованными пакетами.
- Внутри канала. Весь трафик устройства (или выбранных приложений, если включён раздельный канал) уходит в канал. DNS-запросы тоже идут внутри и решаются в СФЕРЕ.
- Выход. СФЕРА расшифровывает пакет и отправляет его в интернет от своего адреса. Ответ возвращается тем же путём.
- Эвакуация. Отключился, и канал закрыт. Kill Switch в клиенте для Windows не даёт трафику уйти мимо канала, пока он поднимается.
03Кто что видит
Честная таблица
| Кто | Видит | Не видит |
|---|---|---|
| Провайдер, чужой Wi-Fi | что ты подключён к адресу СФЕРЫ, время и объём трафика | сайты, DNS-запросы, содержимое |
| СФЕРА | адрес, с которого ты подключён, пока канал открыт; куда уходят пакеты (так устроен любой VPN) | ничего не записывает: ни адресов сайтов, ни DNS-запросов, ни содержимого |
| Сайт | адрес СФЕРЫ и всё, что ты сам о себе сообщаешь (вход в аккаунт, cookies) | твой настоящий IP |
| Мы | ключ, список устройств, счётчики трафика, почту или Telegram ID | куда ты ходишь и что там делаешь |
Подробно про данные: политика использования.
04Ключ и устройства
Пропуск NFVPN
- Ключ выдаёт кабинет на сайте (после подтверждения почты) или Telegram-бот. Он один на все твои устройства
- Приложение передаёт ключ по HTTPS в теле запроса, не в адресе, поэтому он не оседает в чужих журналах
- На первом подключении устройство регистрируется: для него в СФЕРЕ рождается своя пара ключей WireGuard
- Ключи хранятся у нас зашифрованными (AES-256-GCM), сам ключ доступа ещё и в виде хеша
- «Обнулить устройства» в кабинете или боте отзывает все пары сразу во всех СФЕРАХ. Ключ остаётся прежним
05СФЕРЫ
Наши серверы
- Каждая СФЕРА наша: арендована, настроена и закрыта фаерволом командой НИИ Изнанка. Чужой пул мы не перепродаём
- Агент СФЕРЫ знает только публичные ключи устройств и счётчики байт. Сбор DNS-запросов в нём выключен и удалён
- Скорость делится честно: у каждого устройства свой потолок, чтобы один не забирал канал у всех
- СФЕРЫ не знают друг о друге: упала одна, остальные работают, а приложение предложит другую
- Коды СФЕР (1-1 AENSLAND, 1-2 MANDALA …) одинаковые на сайте, в боте и в приложении
06Приложения
Снаряжение
| Платформа | Как держит канал |
|---|---|
| Windows | служба и драйвер Wintun, Kill Switch, исключения по программам |
| Linux | один AppImage, канал поднимается через pkexec |
| Android | системный VPN, раздельный канал по приложениям, высадка при старте |
| Steam Deck | плагин Decky прямо в игровом режиме |
| iPhone, iPad, Mac | файл конфигурации AWG из кабинета для совместимого клиента |
07Границы
Чего VPN не делает
- Не делает тебя анонимом для сайтов, где ты вошёл в свой аккаунт
- Не защищает от трекеров и cookies в браузере
- Не лечит вирусы на самом устройстве
- Не скрывает то, что ты рассказываешь о себе сам
08Безопасность
Нашёл уязвимость?
Пиши на security@iznanka.tech: разберём и поблагодарим. Та же команда занимается аудитом и пентестом для компаний, подробнее на главной.