ソックス

SOCKS は、プロキシ サーバーを介してクライアントとサーバーの間でネットワーク パケットを交換するインターネット プロトコルです。SOCKS5はオプションで認証を提供し、許可されたユーザーのみがサーバーにアクセスできます。実際には、SOCKS サーバーは任意の IP アドレスへの TCP 接続をプロキシし、UDP パケットを転送する手段を提供します。SOCKS サーバーは、RFC  1928で定義されているように、TCP ポート 1080 で着信クライアント接続を受け入れます。 ^[1]

このプロトコルはもともと、 MIPS Computer Systemsのシステム管理者であったDavid Koblasによって開発/設計されました。1992年にMIPSがSilicon Graphicsに買収された後、Koblasはその年のUsenix Security SymposiumでSOCKSに関する論文を発表し、^[2] SOCKSを公開しました。^{[3]このプロトコルは}NECのYing-Da Leeによってバージョン4に拡張されました。

SOCKSリファレンスアーキテクチャとクライアントは、NECからのスピンオフであるPermeo Technologies ^[4]が所有しています。（Blue Coat SystemsはPermeo Technologiesを買収し、その後Symantecに買収されました。）

SOCKS5プロトコルは、もともとファイアウォールやその他のセキュリティ製品の管理を容易にするセキュリティプロトコルでした。 1996年にIETFによってRFC 1928として承認されました（作成者：M. Leech、M. Ganis、Y. Lee、R. Kuris、D. Koblas、およびL. Jones）。このプロトコルは、アジア以外でこの技術を販売しているAventail Corporation と共同で開発されました。^[5]

SOCKSは、少なくとも2001年からは「socket secure」の頭字語として定義されることがあります。^{[6] [7] [8] [9] [10]}当初は、1996年のSOCKSプロトコルバージョン5 RFC ^[11]や1992年のUNIXセキュリティシンポジウムIIIの論文^[2]ではそのように定義されておらず、単にファイアウォールを介してクライアントとサーバー間の通信を容易にするために設計された特定のプロキシプロトコルを指していました。

SOCKSは回線レベルゲートウェイ（レベル5ゲートウェイ）の事実上の標準です。^[12]

SOCKS の回線/セッション レベルの性質により、あらゆる TCP (または SOCKS5 以降は UDP) トラフィックを転送する多目的ツールとなり、あらゆる種類のルーティング ツールのインターフェイスを作成できます。次の用途に使用できます。

• 迂回ツール。トラフィックがインターネットフィルタリングを回避して、政府、職場、学校、国固有のウェブサービスなどによってブロックされているコンテンツにアクセスできるようにします。^[13] SOCKSは非常に検出されやすいため、より洗練されたプロトコル用のSOCKSインターフェースを提示するのが一般的なアプローチです。
  • TorオニオンプロキシソフトウェアはクライアントにSOCKSインターフェースを提供します。^[14]
• 仮想プライベート ネットワークと同様の機能を提供し、接続をサーバーの「ローカル」ネットワークに転送できるようにします。
  • OpenSSHなどの一部のSSHスイートは、ユーザーがローカルSOCKSプロキシを作成できるようにする動的ポート転送をサポートしています。^[15]これにより、ユーザーは事前に定義されたリモートポートとサーバーにのみ接続するという制限から解放されます。

典型的な SOCKS4 接続要求は次のようになります。

翻訳

SOCKS バージョン番号、このバージョンでは 0x04

CMDF

コマンドコード:

• 0x01 = TCP/IPストリーム接続を確立する
• 0x02 = TCP/IPポートバインディングを確立する

DSTポート

2バイトのポート番号（ネットワークバイト順）

デスティップ

IPv4アドレス、4 バイト (ネットワーク バイト順)

ID

ユーザー ID 文字列、可変長、ヌル終了。

ベトナム

応答バージョン、ヌルバイト

担当者

返信コード

DSTポート

宛先ポート。BINDで許可されている場合は意味を持ち、そうでない場合は無視されます。

DSTIP

宛先IP（上記） – クライアントがバインドするIP:ポート

たとえば、これは Fred を66.102.7.99:80に接続するための SOCKS4 要求であり、サーバーは「OK」で応答します。

• クライアント：0x04 | 0x01 | 0x00 0x50 | 0x42 0x66 0x07 0x63 | 0x46 0x72 0x65 0x64 0x00
  • 最後のフィールドはASCIIで「Fred」であり、その後にヌル バイトが続きます。
• サーバ：0x00 | 0x5A | 0xXX 0xXX | 0xXX 0xXX 0xXX 0xXX
  • 0xXX は任意のバイト値になります。SOCKS4 プロトコルでは、これらのバイトの値は無視されるように指定されています。

この時点から、SOCKS クライアントから SOCKS サーバーに送信されたすべてのデータは 66.102.7.99 に中継され、その逆も同様です。

コマンド フィールドは、「connect」の場合は 0x01、「bind」の場合は 0x02 になります。「bind」コマンドは、アクティブFTPなどのプロトコルの着信接続を許可します。

SOCKS4aはSOCKS4プロトコルを拡張し、クライアントがIPアドレスではなく宛先ドメイン名を指定できるようにします。これは、クライアント自体が宛先ホストのドメイン名をIPアドレスに解決できない場合に役立ちます。これはSOCKS4の作者であるYing-Da Leeによって提案されました。^[16]

クライアントは、DSTIP の最初の 3 バイトを NULL に設定し、最後のバイトを非ゼロ値に設定する必要があります。(これは、IP アドレス 0.0.0.x (x は非ゼロ) に対応し、これは許容されない宛先アドレスであるため、クライアントがドメイン名を解決できる場合は発生しません。) USERID を終了する NULL バイトに続いて、クライアントは宛先ドメイン名を送信し、別の NULL バイトで終了する必要があります。これは、「接続」および「バインド」要求の両方に使用されます。

クライアントからSOCKSサーバーへ:

ソックス4_C

SOCKS4 クライアント ハンドシェイク パケット (上)

ドメイン

接続するホストのドメイン名、null (0x00) で終了

サーバーからSOCKSクライアントへ: (SOCKS4と同じ)

SOCKS4a プロトコルを使用するサーバーは、要求パケット内の DSTIP をチェックする必要があります。DSTIP がアドレス 0.0.0.x を表し、x がゼロ以外の場合、サーバーはクライアントがパケットで送信したドメイン名を読み取る必要があります。サーバーはドメイン名を解決し、可能であれば宛先ホストに接続する必要があります。

SOCKS5 プロトコルはRFC  1928 で定義されています。これは SOCKS4 プロトコルの非互換な拡張であり、認証の選択肢が増え、IPv6とUDPのサポートが追加されています。UDP はDNS ルックアップに使用できます。最初のハンドシェイクは次の要素で構成されます。

• クライアントは接続し、サポートされている認証方法のリストを含む挨拶を送信します。
• サーバーはいずれかの方法を選択します (いずれの方法も受け入れられない場合は失敗応答を送信します)。
• 選択した認証方法に応じて、クライアントとサーバーの間で複数のメッセージが渡される可能性があります。
• クライアントはSOCKS4と同様の接続要求を送信します。
• サーバーはSOCKS4と同様に応答します。

クライアントからの最初の挨拶は次のとおりです。

翻訳

SOCKSバージョン（0x05）

ナウト

サポートされている認証方法の数、uint8

認証

認証方法（サポートされている方法ごとに 1 バイト）

サポートされている認証方法には、次の番号が付けられています。

• 0x00: 認証なし
• 0x01: GSSAPI ( RFC  1961)
• 0x02: ユーザー名/パスワード ( RFC  1929)
• 0x03–0x7F: IANAによって割り当てられたメソッド^[17]
  • 0x03: チャレンジハンドシェイク認証プロトコル
  • 0x04: 未割り当て
  • 0x05: チャレンジレスポンス認証方式
  • 0x06: セキュア ソケット レイヤー
  • 0x07: NDS認証
  • 0x08: マルチ認証フレームワーク
  • 0x09: JSONパラメータブロック
  • 0x0A～0x7F: 未割り当て
• 0x80～0xFE: プライベート使用のために予約されているメソッド

翻訳

SOCKSバージョン（0x05）

認証

選択された認証方法、または受け入れ可能な方法が提供されなかった場合は 0xFF

後続の認証は方法に依存します。ユーザー名とパスワードの認証 (方法 0x02) は、RFC  1929 で説明されています。

翻訳

ユーザー名/パスワード認証の現在のバージョンの場合は 0x01

アイドレン、ID

ユーザー名の長さ、uint8; ユーザー名をバイト文字列として

PWLEN、PW

パスワードの長さ、uint8; バイト文字列としてのパスワード

翻訳

ユーザー名/パスワード認証の現在のバージョンの場合は 0x01

状態

0x00 成功、それ以外は失敗、接続を閉じる必要があります

認証後、接続を続行できます。まず、アドレス データ型を次のように定義します。

タイプ

アドレスのタイプ。次のいずれかです:

• 0x01: IPv4アドレス
• 0x03: ドメイン名
• 0x04: IPv6アドレス

住所

それに続くアドレスデータ。タイプに応じて:

• IPv4アドレスの場合は4バイト
• 名前の長さの1バイトとそれに続くドメイン名の1～255バイト
• IPv6アドレスの場合は16バイト

翻訳

SOCKSバージョン（0x05）

CMDF

コマンドコード:

• 0x01: TCP/IPストリーム接続を確立する
• 0x02: TCP/IPポートバインディングを確立する
• 0x03: UDPポートを関連付ける

RSV

予約済み、0x00 である必要があります

DSTADDR

宛先アドレスについては、上記のアドレス構造を参照してください。

DSTポート

ネットワークバイトオーダーのポート番号

翻訳

SOCKSバージョン（0x05）

状態

ステータスコード:

• 0x00: 要求が許可されました
• 0x01: 一般的な障害
• 0x02: ルールセットにより接続が許可されていません
• 0x03: ネットワークに到達できません
• 0x04: ホストに到達できません
• 0x05: 宛先ホストによって接続が拒否されました
• 0x06: TTL期限切れ
• 0x07: コマンドがサポートされていません / プロトコル エラー
• 0x08: アドレスタイプがサポートされていません

RSV

予約済み、0x00 である必要があります

BNDADDR

上記で指定した「SOCKS5 アドレス」形式のサーバーバインドアドレス

BNDポート

ネットワークバイト順のサーバーバインドポート番号

クライアントは解決されたアドレスまたはドメイン名のいずれかを使用できるため、cURLではSOCKS5 のドメイン名のバリアントを「socks5h」、もう 1 つを単に「socks5」とラベル付けする規則が存在します。同様の規則が SOCKS4a と SOCKS4 の間にも存在します。^[18]

• Sun Java System Web Proxy Server は、HTTPS、NSAPI I/O フィルタ、動的再構成、SOCKSv5、リバース プロキシをサポートする Solaris、Linux、および Windows サーバー上で実行されるキャッシュ プロキシ サーバーです。
• WinGate は、 SOCKS4、SOCKS4a、SOCKS5 (UDP-ASSOCIATE および GSSAPI 認証を含む) をサポートする Microsoft Windows 用のマルチプロトコル プロキシ サーバーおよび SOCKS サーバーです。また、SOCKS 接続を HTTP プロキシに渡すこともサポートしているため、SOCKS 経由で HTTP をキャッシュおよびスキャンできます。
• Socksgate5 SocksGate5 は、OSI モデルの第 7 層 (アプリケーション層) の検査機能を備えたアプリケーション SOCKS ファイアウォールです。パケットは OSI レベル 7 で検査されるため、アプリケーション SOCKS ファイアウォールはプロトコルの非準拠を検索し、指定されたコンテンツをブロックする場合があります。
• Danteは、便利で安全なネットワーク接続を提供するために使用できる回路レベルのSOCKSサーバーであり、Danteが実行されるホストのみが外部ネットワーク接続を備えている必要があります。^[19]
• HevSocks5Server は、Unix (Linux/BSD/macOS) 用の高性能でオーバーヘッドの少ない SOCKS サーバーです。標準の TCP-CONNECT および UDP-ASSOCIATE メソッドと、複数のユーザー名/パスワード認証をサポートします。

• OpenSSH では、 CONNECT コマンドをサポートする SOCKS プロトコルのサブセットを介して指定されたトンネルの動的な作成が可能です。
• PuTTYは、リモート SSH サーバーを介した SOCKS (動的) トンネルのローカル作成をサポートする Win32 SSH クライアントです。
• Secure ShellFish は、SOCKS サーバーを含む iOS および macOS 用の SSH クライアントです。
• ShimmerCat ^[20]はSOCKS5を使用して内部ネットワークをシミュレートするWebサーバーであり、Web開発者は/etc/hostsファイルを変更せずにローカルサイトをテストできます。
• Tor は、オンラインでの匿名性を可能にすることを目的としたシステムです。Tor は、クライアントに TCP のみの SOCKS サーバー インターフェイスを提供します。
• Shadowsocks は検閲を回避するツールです。SOCKS5 インターフェースを提供します。
• Ncat や socat などのnetcat実装。

SOCKS 経由で接続するには、クライアント ソフトウェアにネイティブ SOCKS サポートが必要です。

• Chrome: SOCKS4、SOCKS4a、SOCKS5をサポートします。^[21]
• Firefox: SOCKS4、SOCKS4a、SOCKS5 をサポートします。
• Internet Explorer および EdgeHTML ベースの Microsoft Edge: SOCKS4 のみをサポートします。
• Chromium ベースの Microsoft Edge: SOCKS4、SOCKS4a、SOCKS5 をサポートします。

ユーザーがこのような制限を回避できるようにするプログラムがあります。

Socksifiers を使用すると、アプリケーションはプロキシ プロトコルをサポートする必要なく、プロキシを使用してネットワークにアクセスできます。最も一般的な方法は、仮想ネットワーク アダプターと適切なルーティング テーブルを設定し、アダプターを介してトラフィックを送信することです。

• Win2Socks は、アプリケーションが SOCKS5、HTTPS、または Shadowsocks を介してネットワークにアクセスできるようにします。
• tun2socksは、SOCKSプロキシから仮想TCP TUNアダプタを作成するオープンソースツールで、もう一方の端でサポートされている場合はUDPが使用できます。LinuxとWindowsで動作し、^[22] macOSポートとGolangでの再実装があります。^[23] Cで書かれた別のツールはパフォーマンスが良く、Linux/Android/BSD/macOSおよびiOSで動作します。^[24]
• proxychainsは、起動した（動的にリンクされた）プログラム上でTCPトラフィックをSOCKSまたはHTTPプロキシ経由で強制するUnixプログラムです。さまざまなUnix系システムで動作します。^[25]

• Polipo は、廃止された転送およびキャッシュ機能を持つ、 IPv4 をサポートするHTTP/1.1 プロキシ サーバーです。Linux 、OpenWrt、Windows、Mac OS X、FreeBSDで動作するオープン ソースです。ほぼすべての Web ブラウザーで使用できます。
• Privoxy は、キャッシュしない SOCKS から HTTP へのプロキシです。
• Tinyproxy は、POSIX オペレーティング システム用の軽量 HTTP/HTTPS プロキシ デーモンです。最初から高速かつ小型になるよう設計されています。http プロキシ インターフェイスを提供し、SOCKS4/5 および http アップストリーム プロキシに接続できます。

リクエストとパケット交換の暗号化が欠如しているため、SOCKS は中間者攻撃や IP アドレスの盗聴に対して実質的に脆弱であり、結果として政府による検閲が可能になります。

• RFC  1928: SOCKS プロトコル バージョン 5
• RFC  1929: SOCKS V5 のユーザー名/パスワード認証
• RFC  1961: SOCKS バージョン 5 の GSS-API 認証方式
• RFC  3089: SOCKS ベースの IPv6/IPv4 ゲートウェイ メカニズム
• Draft-ietf-aft-socks-chap、SOCKS V5 のチャレンジ ハンドシェイク認証プロトコル
• SOCKS: ファイアウォールを越える TCP プロキシのプロトコル、SOCKS プロトコル バージョン 4 ( NEC )