INTEGRITY Dokumentace

← Privacy Proxy / privacy-proxy / koncepty

Jak funguje Privacy Proxy

Privacy Proxy využívá sadu protokolů MASQUE k vytváření šifrovaných tunelů mezi klienty a cílovými servery. Tato stránka popisuje mechaniku protokolu a způsob, jakým je zachováno soukromí.

Tok provozu

┌──────────┐      1. Connect + Auth      ┌──────────┐      4. Connect        ┌─────────────┐
│          │ ──────────────────────────▶ │          │ ────────────────────▶  │             │
│  Client  │      2. CONNECT request     │  Privacy │      (Egress IP)       │ Destination │
│          │ ──────────────────────────▶ │  Proxy   │                        │   Server    │
│          │                             │          │ ◀────────────────────  │             │
│          │      3. 200 OK              │          │      5. Connected      │             │
│          │ ◀────────────────────────── │          │                        │             │
│          │                             │          │                        │             │
│          │  ◀───── 6. Encrypted data tunnel ─────▶  ◀─────────────────────▶│             │
└──────────┘                             └──────────┘                        └─────────────┘

           │◀──── Client IP hidden ────▶│◀──── Cloudflare Egress IP visible ──────────▶│
  1. Klient naváže spojení HTTP/2 nebo HTTP/3 s Privacy Proxy a předloží přihlašovací údaje (PSK nebo token Privacy Pass) v Proxy-Authorization hlavička.
  2. Klient odešle požadavek CONNECT s uvedením hostname a portu cíle.
  3. Proxy odpoví 200 OK k potvrzení, že je tunel připraven.
  4. Proxy otevře spojení s cílem pomocí egress IP adresy vybrané na základě geolokace klienta.
  5. Klient odesílá šifrovaná data tunelem. Proxy bajty přeposílá bez kontroly obsahu.

Proxy během celého procesu zjistí cíl, ale ne obsah. Cíl zjistí egress IP adresu, ale ne skutečnou IP adresu klienta.

Protokoly MASQUE

MASQUE ↗ (Multiplexed Application Substrate over QUIC Encryption) definuje metody pro proxování provozu přes HTTP. Privacy Proxy podporuje dvě metody MASQUE:

Metoda Transport Případ použití
HTTP CONNECT TCP Tradiční provoz HTTPS
CONNECT-UDP UDP Provoz založený na QUIC, aplikace v reálném čase

Obě metody vytvářejí šifrované tunely, kterými proxy přeposílá provoz, aniž by zkoumala jeho obsah. Proxy vidí pouze cílový hostname a port, nikoli samotné požadavky, cesty nebo přenášená data.

Privacy Proxy přijímá připojení přes HTTP/2 (TLS přes TCP) a HTTP/3 (QUIC) a vybírá vhodný protokol podle možností klienta.

Podrobný technický popis fungování těchto protokolů najdete v naší blogový příspěvek ↗.

Oddělení soukromí

Privacy Proxy vytváří hranici soukromí mezi identitou uživatele a jeho aktivitou:

Informace Kdo to zná
Identita uživatele (IP adresa, účet) Autentizační služba, proxy prvního skoku (při použití dvojitého skoku)
Cílový server Privacy Proxy, cílový server
Vyžádat obsah Pouze klient a cílový server

Proxy autentizuje uživatele, aby ověřila, že mají oprávnění službu používat, ale autentizace probíhá odděleně od samotného proxování. Po autentizaci proxy přeposílá provoz, aniž by jednotlivé požadavky propojovala s konkrétními uživateli.