From c2c33f457a65f41a682b17f6c69c03aef5794875 Mon Sep 17 00:00:00 2001 From: Igor Krauch Date: Wed, 8 Apr 2026 12:17:10 +0300 Subject: [PATCH] =?UTF-8?q?=D0=9E=D0=BF=D0=B8=D1=81=D0=B0=D0=BD=D0=B8?= =?UTF-8?q?=D0=B5=20=D0=BD=D0=B0=20=D0=A0=D1=83=D1=81=D1=81=D0=BA=D0=BE?= =?UTF-8?q?=D0=BC?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Добавлено предупреждение о критической уязвимости клиентов VPN. --- README.md | 147 +++++++++++++++++++++++++++++++++++++----------------- 1 file changed, 101 insertions(+), 46 deletions(-) diff --git a/README.md b/README.md index ac2247aa6..79cb0a0c8 100644 --- a/README.md +++ b/README.md @@ -39,66 +39,56 @@ --- -## ![IMAGE SOURCE](https://raw.githubusercontent.com/igareck/GoldCaviar/refs/heads/main/OnionHop_V2_Manual/ATTENTION_BL_5.svg) - -### Внимание тем пользователям, у кого НЕ белые списки (кабельный и мобильный интернет без ограничений), и вам дома или на работе, на вашем ПК/ноутбуке нужно стабильное бесплатное подключение к сети, стабильно работающий обход. - -VPN, особенно публичный, в настоящее время подвергается атакам Роскомнадзора и конфигурации приходится постоянно обновлять, часто меняя подключение. - -### Что делать? - -### У меня для вас есть рабочее решение: "Tor Bridges" + "Tor-клиент OnionHop V2". - -### Для вас я подготовил пошаговый мануал (там все ссылки на скачивание клиента): - -**[OnionHop V2 — краткий обзор Tor-клиента для ПК (оригинал, доступен через VPN или Tor)](https://telegra.ph/OnionHop-V2--kratkij-obzor-Tor-klienta-dlya-PK-04-04)** - -**[OnionHop V2 — краткий обзор Tor-клиента для ПК (зеркало)](https://web.archive.org/web/https://graph.org/OnionHop-V2--kratkij-obzor-Tor-klienta-dlya-PK-04-04)** - -*Используя зеркало - не переходите по автоматическим ссылкам, а копируйте текст вручную и вставляйте в соседнюю вкладку, поскольку ссылки в зеркале ведут на ссылки в том же зеркале, а не напрямую на Github.* - -**Работает аналогично схеме: "Конфигурации VPN" + "VPN-клиент".** - -**Как долго живет? Подключение не отваливается много дней или пока сами не отключите.** - -Мой последний максимум нон-стоп был 7 дней и я выключил просто потому, что нужна была перезагрузка ПК. - -Некоторые отдельные мосты работают уже несколько лет! Вот она стабильность! - -Все работает, как и с обычным VPN, просто весь трафик вашего ПК оборачивается в сеть Tor. - -**Отличие от стандартного Tor Browser** тем, что не только Tor Browser отдельно, а **весь ПК целиком работает через Tor**: все браузеры и приложения, в том числе месседжеры (WhatsApp, Telegram) отправляют/получают сообщения и файлы. - -В Readme я писал, что есть один нюанс в Tor архитектуре: работают TCP-соединения, не работают UDP. - -
- Какие нюансы и на что повлияет? +## TOPIC №1 +### Внимание тем пользователям, у кого НЕ белые списки (кабельный и мобильный интернет без ограничений), и вам дома или на работе, на вашем ПК/ноутбуке нужно стабильное бесплатное подключение к сети, стабильно работающий обход - используйте связку "Tor Bridges" + "Tor-клиент OnionHop V2" (подробности в разделе "В чем разница между черными и белыми списками" - "TOR BRIDGES"). --- -На примере любого мессенджера: сообщения, файлы, текст, видео, аудио все отправляется, все работает как обычно. Не пройдут только звонки, т.к. звонок - это UDP-онлайн поток. Захотели позвонить - включили VPN-конфигурацию на телефоне, позвонили. +## TOPIC №2 -На примере Steam: само приложение обновляется, игра запускается, но не будет прогружаться список онлайн-серверов, т.к. любая онлайн-активность - это UPD-поток, ровно как и звонок в мессенджере. Просто купить/скачать игру и поиграть на ПК оффлайн - нормально, т.к. это происходит у вас на ПК локально. +### ЭТО ВАЖНАЯ НОВОСТЬ ДЛЯ ВСЕХ, КТО ПОЛЬЗУЕТСЯ VPN НА СМАРТФОНЕ ---- +На Habr вышел очень важный разбор критической уязвимости **мобильных** клиентов на базе xray/sing-box. Суть проблемы в том, что клиент поднимает локальный SOCKS5-прокси без авторизации, а вредоносное приложение (то есть любое RU приложение: MAX, Yandex, Wildberries, Ozon, Gosuslugi, Rzd, любой банковский софт (Sber, T-Bank), Kaspersky и прочие крупные российские IT-компании) на **том же устройстве** может подключиться к нему в обход `VpnService`, определить ваш выходной IP и тем самым сдать ваш прокси/сервер. Автор отдельно пишет, что `private space`, `Shelter`, `Island` и per-app split tunneling здесь не спасают. -
+Статья: https://habr.com/ru/articles/1020080/ +Зеркало: https://web.archive.org/web/https://habr.com/ru/articles/1020080/ -**Большинство функций**: любые браузеры, YouTube, Instagram, Facebook, соцсети, переписки, обмены файлами, чаты, мессенджеры (WhatsApp, Telegram, Signal, Viber, Facetime, Discord), ИИ (Google Gemini, ChatGPT, Grok) **работают аналогично, как и с VPN-конфигурациями и соединение не слетает вообще.** +**Что важно понять:** +Автор статьи прямо пишет, что на 7 апреля 2026 года ни один из проверенных им популярных мобильных клиентов (Karing, v2rayNG, v2RayTun, Hiddify, Neko Box и другие) проблему полностью не исправил. -**Вывод: если вам нужен стабильный VPN на ПК, то "Tor Bridges" + "Tor-клиент OnionHop V2" - ваше решение.** +**Отдельно про Happ.** +По версии статьи, Happ выглядит хуже остальных: говорится про включенный Xray API с `HandlerService`, из-за чего можно дампить конфиги, включая ключи, входной IP и SNI. При этом в апдейте статьи уже добавлено, что Happ все же согласились исправить обе уязвимости. Но до тех пор, пока нет понятного и массово протестированного исправления, доверять этому клиенту я бы не стал. -**Стабильнее и проще бесплатного решения на данный момент вы не найдете.** +**Что из этого следует на практике:** -Для мобильных устройств используйте **Orbot** или **Invizible Pro**. Подробная информация в разделе "Приложения". +✦ больше нельзя считать выходной IP вашего прокси "защищенным по умолчанию", если на устройстве есть недоверенный софт (то есть любое RU приложение: MAX, Yandex, Wildberries, Ozon, Gosuslugi, Rzd, любой банковский софт (Sber, T-Bank), Kaspersky и прочие крупные российские IT-компании); -**По поводу безопасности**: TOR безопаснее любого даже самого навороченного платного VPN благодаря тому, что ваше соединение проходит через 3 сервера: +✦ private space и split tunneling не дают той защиты, на которую многие рассчитывали; -**Ваш компьютер в вашей сети** ➞ **Подключение через Tor Bridges (Сервер №1)** ➞ **Сервер №2** ➞ **Сервер №3** ➞ **Выход в сеть Tor (интернет)** +✦ если у вас на смартфоне вперемешку стоит VPN-клиент и куча российского софта - это плохая модель безопасности. -1-й сервер не видит IP 3-его, а 3-й не видит IP 1-ого. На этом строится архитектура сетевой безопасности Tor, чтобы пользователи в странах с сильной цензурой не боялись цифровой слежки. +**ЧТО ДЕЛАТЬ ПРЯМО СЕЙЧАС** -### Просто включите TOR у себя на компьютере и забудьте, что Роскомнадзор и ограничения существуют! +**План-минимум:** + +✦ следить за обновлениями клиентов и ставить их сразу; + +✦ к Happ относиться как к самому небезопасному клиенту, пока исправления не подтверждены на практике (в данный момент - удалить); + +✦ использовать раздельную маршрутизацию `geoip:ru -> direct`, `other -> proxy`; + +✦ понимать, что это не "полная защита", а только снижение "ущерба". + +**План-максимум:** + +✦ отдельное устройство под российский софт; + +✦ отдельное устройство под VPN, Tor и чувствительные задачи. + +Это уже не паранойя. Это нормальная гигиена в ситуации, когда уязвимость завязана на **само устройство** в сочетании с RU софтом, на него установленным. + +**Главный вывод:** +Если вы пользуетесь публичными конфигами или своим сервером, исходите из того, что при плохом раскладе ваш выходной IP смогут узнать. Значит, инфраструктуру и привычки надо строить строже: обновления, чистое/отдельное устройство, раздельная маршрутизация, разделение входного и выходного IP (для владельцев серверов), где это возможно. --- @@ -655,6 +645,71 @@ Steam, в частности, будет открываться и игра бу Но это не значит, что так со всеми приложениями. Есть приложения только для TCP-трафика, такие как почтовые клиенты, SSH-клиенты (Git-инструменты в SSH-режиме), SQL-клиенты, FTP/FTPS-клиенты, Клиенты к базам данных и прочее. +### СВЯЗКА "Tor Bridges" + "Tor-клиент OnionHop V2" + +
+ + Нажмите на стрелку для подробностей + +VPN, особенно публичный, в настоящее время подвергается атакам Роскомнадзора и конфигурации приходится постоянно обновлять, часто меняя подключение. + +### Что делать? + +### У меня для вас есть рабочее решение: "Tor Bridges" + "Tor-клиент OnionHop V2". + +### Для вас я подготовил пошаговый мануал (там все ссылки на скачивание клиента): + +**[OnionHop V2 — краткий обзор Tor-клиента для ПК (оригинал, доступен через VPN или Tor)](https://telegra.ph/OnionHop-V2--kratkij-obzor-Tor-klienta-dlya-PK-04-04)** + +**[OnionHop V2 — краткий обзор Tor-клиента для ПК (зеркало)](https://web.archive.org/web/https://graph.org/OnionHop-V2--kratkij-obzor-Tor-klienta-dlya-PK-04-04)** + +*Используя зеркало - не переходите по автоматическим ссылкам, а копируйте текст вручную и вставляйте в соседнюю вкладку, поскольку ссылки в зеркале ведут на ссылки в том же зеркале, а не напрямую на Github.* + +**Работает аналогично схеме: "Конфигурации VPN" + "VPN-клиент".** + +**Как долго живет? Подключение не отваливается много дней или пока сами не отключите.** + +Мой последний максимум нон-стоп был 7 дней и я выключил просто потому, что нужна была перезагрузка ПК. + +Некоторые отдельные мосты работают уже несколько лет! Вот она стабильность! + +Все работает, как и с обычным VPN, просто весь трафик вашего ПК оборачивается в сеть Tor. + +**Отличие от стандартного Tor Browser** тем, что не только Tor Browser отдельно, а **весь ПК целиком работает через Tor**: все браузеры и приложения, в том числе месседжеры (WhatsApp, Telegram) отправляют/получают сообщения и файлы. + +В Readme я писал, что есть один нюанс в Tor архитектуре: работают TCP-соединения, не работают UDP. + +
+ Какие нюансы и на что повлияет? (нажмите на стрелку) + +--- + +На примере любого мессенджера: сообщения, файлы, текст, видео, аудио все отправляется, все работает как обычно. Не пройдут только звонки, т.к. звонок - это UDP-онлайн поток. Захотели позвонить - включили VPN-конфигурацию на телефоне, позвонили. + +На примере Steam: само приложение обновляется, игра запускается, но не будет прогружаться список онлайн-серверов, т.к. любая онлайн-активность - это UPD-поток, ровно как и звонок в мессенджере. Просто купить/скачать игру и поиграть на ПК оффлайн - нормально, т.к. это происходит у вас на ПК локально. + +--- + +
+ +**Большинство функций**: любые браузеры, YouTube, Instagram, Facebook, соцсети, переписки, обмены файлами, чаты, мессенджеры (WhatsApp, Telegram, Signal, Viber, Facetime, Discord), ИИ (Google Gemini, ChatGPT, Grok) **работают аналогично, как и с VPN-конфигурациями и соединение не слетает вообще.** + +**Вывод: если вам нужен стабильный VPN на ПК, то "Tor Bridges" + "Tor-клиент OnionHop V2" - ваше решение.** + +**Стабильнее и проще бесплатного решения на данный момент вы не найдете.** + +Для мобильных устройств используйте **Orbot** или **Invizible Pro**. Подробная информация в разделе "Приложения". + +**По поводу безопасности**: TOR безопаснее любого даже самого навороченного платного VPN благодаря тому, что ваше соединение проходит через 3 сервера: + +**Ваш компьютер в вашей сети** ➞ **Подключение через Tor Bridges (Сервер №1)** ➞ **Сервер №2** ➞ **Сервер №3** ➞ **Выход в сеть Tor (интернет)** + +1-й сервер не видит IP 3-его, а 3-й не видит IP 1-ого. На этом строится архитектура сетевой безопасности Tor, чтобы пользователи в странах с сильной цензурой не боялись цифровой слежки. + +### Просто включите TOR у себя на компьютере и забудьте, что Роскомнадзор и ограничения существуют! + +
+ --- ### **3)** **При белых списках ⚪: CIDR-ПОДПИСКА или SNI-ПОДПИСКА**