💬 New comment on BBS#5 一些实锤证据，GFW会如何中间人攻击悄悄解密你的流量
by @RPRX

> > @sudo335 “然后无意之中发现不同用户之间的密码都是一样的”的话，你甚至可以用你的 SS 密码去解密、劫持别人的流量
>
> 刚问朋友借了个花云看了下，还在用SS AEAD，密码是Sj10bnYDe7w6V29E，可以上Github搜一下，所有用户密码全都一样，仅用host区分用户，这么多年了都没改：https://github.com/search?q=Sj10bnYDe7w6V29E&type=code
>
> 其他几家不知道有没有改。
>
> “用obfs混淆host区分用户”的机场建议谨慎使用吧。

？啥玩意儿，真所有用户密码全都一样，还有人放 GitHub 上？**属于是 GFW 连密码都不用偷了，直接拿来解密所有流量就行了**

怪不得有些专线机场屹立不倒、抗通报呢，原来是直接投靠 GFW 当蜜罐了，**我就想问问那些“高端专线机场用户”此时此刻是啥感受**

但凡用个 VLESS Encryption，有用户把客户端配置扔网上 GFW 也无法解密啊，偷到服务端私钥也只能 MITM 以后的流量，高下立判

也不指望这些个“抗通报”的专线机场换 VLESS Encryption 了，还谨慎使用这些机场？不用怀疑就是蜜罐，人家不投诚 GFW 还能开吗

Reply to this message to post a comment on GitHub.

💬 New comment on BBS#5 一些实锤证据，GFW会如何中间人攻击悄悄解密你的流量
by @RPRX

这就是我经常说的，为什么要从设计上就把不安全的因素消除、不给 end user 选择的余地，因为猪队友实在太多了

你说如果写个 SS 这种 PSK 对称加密，有的机场竟然所有用户用同一个密码，还有人给放到 GitHub 上，你蚌埠蚌

某些面板开发者就是不禁掉公网明文 HTTP，一堆教程和小白直接 http://ip ，把私钥都泄露给 GFW，你蚌埠蚌

~~属于是一神带 N 坑，带不动根本带不动~~

至于推广 VLESS Encryption https://github.com/XTLS/BBS/issues/2#issuecomment-3475770127 ，先在下个版本给 SS、VMess 的配置输出个 warning 再提醒注意下中转机场吧，~~就像那些传输层一样，但这次是可被解密的问题，更严重~~，正好下个版本出 pre-connect 了，VLESS Encryption 比起 SS 还能少一个 RTT

Reply to this message to post a comment on GitHub.

人家当然天天关注 GitHub，而我更关注今天有人买 NFT 了没，一天天的给你们写各种先进的协议，各种安全呼吁，劳苦功高，你们用爽了，回头一看 NFT 没几个人买，怪不得有的人投诚 GFW

SURGE PRO 群的讨论氛围很逆天，给大家观摩学习下：

观点一：搞半天我还真以为直接把 SS 解密了呢

那不然呢？共用的 SS 密码泄露了，任何抓到你流量的人都能解密

观点二：GFW 不会去解密/没有算力去解密 SS

中科院 N 年前就研究了“shadowsocks 流量解析还原模块”是干嘛？就解密个 SS 还算力上了？GFW 连你用的机场都比不过？

观点三：就算解密了也不会怎么样

人家都写了“解密还原出的原始数据流可以输出到文件或网络中，以便进行后续的数据分析和监测工作”，举个例子，就算不进一步 MITM，已经确定了你这些流量就是 TG，结合你活跃时间就可以匹配到你的账号，要是哪天说了啥人家不喜欢的，就等着享受福报吧

不知道是平时被你圈管理员 PUA 多了还是正在用着共用密码的 SS 专线上 TG，这些言论与前年说 TLS in TLS、去年说公网明文 HTTP 面板时那些天真到反智的反驳言论如出一辙，根本就没有任何进步，但你们都这么维护 GFW 的监控手段了，可能是安全的，不然谁来替它混淆视听？

（有待证实的说法：哪家 SS 不是共用密码？）

有人证实下？如果是真的，这边建议好用爱用多用，狠狠享受福报

每一代人有每一代人自己的老王vpn

一天没看群，咋出了这么大的乐子，脑子是个好东西，可惜 Sukka 没有

他自己举的例子就是闭源的 VPN 服务出了问题，现在却呼吁大家不要对闭源机场充满敌意，而应该怀疑人人都能审计代码的开源项目作者，这么脑瘫的逻辑是人能想得出来的吗

拿花云来举例，共用的 SS 密码都跑 GitHub 上了，属于是所有用户的流量人人可解密，有 SS 非前向安全的问题也有机场自身的问题，都已经这样了还在替他们说话，非蠢即坏

https://news.1rj.ru/str/projectXray/4506618
https://news.1rj.ru/str/projectXray/4506656

sukka的心路历程：老子花那么多钱订阅surge，这个软件作者被国安喝过茶还没死而且还在稳定更新，足以证明这个软件的鲁棒性，surge对支持ss那么友好你们居然骂ss不安全，我要是认同你们岂不是显得我sukka是个大冤种😭😭😭

这个也是挺抽象的，虽然你发现过 uTLS Chrome 指纹的问题是贡献，但我也发现过 X25519MLKEM768 指纹的问题并且是刚合入就发现了，对于其它的事情要不要先查证一下再说呢

SplitHTTP（XHTTP）的原理是怎么想出来的，参考 https://github.com/XTLS/Xray-core/issues/2162#issuecomment-1570188095 ，别人按照我的思路写了 Go 版本并 PR 给 Xray-core，设计细节也是我在 PR 中要求修改的，我还修了一堆问题，你这说得就像是别人原创、跟我毫无关系呗，要是我自己直接写是不是就得说前身是 Meek 了？

REALITY 我在 2021 年就在群里预告过了“真实的 TLS，别人的域名”什么的，有公开的记录我懒得找了，我在开发者群里也说过，参考 https://github.com/net4people/bbs/issues/496#issuecomment-3040506445 ，这是 v2fly 维护者发的贴，你要是不信的话就去问嘛，总不能他也帮我无中生有吧？ShadowTLS 那是 TLS 吗？原理都完全不同，要是我 2021 年就放出 REALITY 是不是又要说前身是 Cloak 了？

属于是无论如何总得找个角度批判一下我，不然不舒服

还有顺便一提，ShadowTLS 和 Cloak 都被发现了需要 breaking 才能修复的漏洞，第一个众所周知，第二个是我发现的并且发过，自己去找吧

补个甲吧，我觉得那个频道对于“暴论”的讨论还算客观，只是两个协议类比新四大发明什么的，难绷，纯粹给你们补一下它们究竟是怎么来的

还有这条消息所引用的“暴论”，我昨晚没空，只是简单扫了一眼，今天细看了一下，你 Sukka 真的不是在为“对手”提供弹药吗？

这个“暴论”所举的例子，简单来说就是本世纪初美国某犯罪论坛上，管理员被警方控制了，向其用户 PUA 说其它 VPN 不安全并推荐“安全”的闭源 VPN 服务，导致其用户大规模被捕

就挺眼熟啊，现今的翻墙娱乐圈，到底是哪个闭源软件被喝过茶还活得好好的，其管理员还经常向用户 PUA 说 VLESS 是垃圾，SS 机场就够用了等言论呢？我不知道啊，群友给我科普下

甚至现在 SS 专线机场被我们点出个“所有用户的流量人人可解密”的安全漏洞，据说不少机场都是这样，甚至还“抗通报”，你细品吧，都这样了，上述例子是咋被其用户弄成脏水往我身上泼的？这何止是入教了，这是给用户打上思想钢印了还是？

太牛逼了只能说是，但凡中国电信给我赞助费我还需要靠 NFT 吗？我如果真是为 GFW 工作，我批评你那人人可解密的 SS 专线机场干嘛？这都现成的大规模蜜罐我给 GFW 掀了，我不直接被 GFW 开除？长点脑子

最后说一下吧，我觉得翻墙娱乐圈最反智的事情就是，一旦我点出什么 显而易见的 安全漏洞，就有人跳出来说我为 GFW 工作

去年批公网明文 HTTP 面板的问题，小部分伊朗人就这么说，今年又来

要不要带点脑子想想，我要是为 GFW 工作，我点出你们这些问题干嘛，给自己上强度吗？还根证书还 REALITY？我从公网明文 HTTP 面板流量中直接拿到私钥，全给你 MITM 了不香吗？SS 专线机场现成的大规模蜜罐，我直接解密所有流量不香吗？还给你们写有前向安全、拿到客户端配置也无法解密的 VLESS encryption？我还想不想干了？

就结果来说，去年我一直在批评公网明文 HTTP 面板，还都是 Xray-core 自己的面板，我冒着生态毁了的风险都要批评，搞得现在很多面板和教程都不是 http://ip 了，我给自己找不愉快？

我要是为 GFW 工作，任何安全漏洞都不会给你们点出，更不会天天让你们改，反而只会让你们好用爱用多用，至少也得默不作声吧？还是那句话，脑子是个好东西，可惜某些人没有

Xray-core 的 stars 已超过 v2fly-core，宣布三件事：

1. 本月底发布 Vision Seed，包括“预连接”，下个月发布 Windows TUN
2. 接受关于 hy2 协议的 PR，主要原因是时过境迁，大多数运营商和 GFW 已出手 Q 死不合理的 UDP 暴力发包，Xray-core 加了它会加速相关限速规则的完善，重新实现公平，次要原因是我不希望 Xray-core 实质上不再新增协议
3. 上周有人直接转了 500U 到 Project X 的 ETH 地址，收赞助打广告貌似也是个不错的方案，登在 README 的价格为 1000U/月，发到 discussions 申请，暂时不接机场或 VPS 推广，主要怕 GFW 搞蜜罐

趁着 CF 炸了又炸，详细解释下 Xray-core 为什么解禁 Hy2 协议吧，似乎有些人曲解了

我的态度并没有变：暴力发包会造成不公平，且若大家都这样就相当于无意义内卷，只会更炸，但有一个重要前提是你能卷得起来，而现今大多数运营商和 GFW 已经反应过来了，暴力发包就给你 Q 死或者干脆封锁，甚至只要是 UDP 就 Q

那么在这种情况下即使 Xray 加了 Hy2，你也卷不起来，能卷起来的也离被 Q 不远了，现在有很多直连机场是 REALITY 和 Hy2 双栈，形式上加个 Hy2 可以避免 Xray 从一开始就被排除在选项之外，即使实际上 Hy2 已经被 Q 麻了

我是看反正都已经 Q 到死了，可以加了
反正现在加上已经没啥影响了，还能补个机场协议，多好
我的意思是 可以加 至于能不能暴力发包 我希望 Q 死
这样 Xray 也算是支持了 hy2 机场，不会被排除在选项外，又不会造成不公平
所以说你们的功力还得练啊

ws和grpc可能限制死，普通http请求数量应该不会变，依旧无限免费

他要是改了限制，一大堆中小站点都会跑路

现在是在做慈善，之后套住用户肯定要收费的

这套路早都门清

他都套了多少年了