1. Криптографические примитивы и эллиптические кривые
Для согласования ключей и шифрования каналов используются шифры с аутентификацией данных (AEAD). Это полностью исключает возможность подмены или инъекции вредоносных пакетов внутри туннеля.
Спецификация: Обмен ключами осуществляется по схеме Curve25519 (X25519). Симметричное шифрование трафика выполняется алгоритмами AES-256-GCM или ChaCha20-Poly1305 в зависимости от аппаратного ускорения устройства пользователя.
2. Архитектура серверов RAM-Only (Zero-Disk Logging)
Операционные системы всех нод Nevoro загружаются исключительно в оперативную память (tmpfs / RAM). На физических SSD/HDD носителях отсутствуют разделы под логи, своп-файлы или таблицы маршутизации.
Технический регламент: При физическом отключении питания или перезагрузке сервера все данные в RAM немедленно и безвозвратно уничтожаются. Сохранение истории подключений невозможно на аппаратном уровне.
3. Защита от активного зондирования (Active Probing Resistance)
Сетевые сканеры DPI отправляют специфические запросы на выявленные IP-адреса, чтобы проверить, является ли узел VPN-сервером.
Механизм защиты: Протокол REALITY перенаправляет все неавторизованные пробы напрямую на реальный целевой веб-сайт (SNI-target). Сканирующая система получает стандартный валидный TLS-ответ реального сервера и не может идентифицировать узел Nevoro.
4. Блокировка утечек IPv6 и системных запросов
При наличии дуального стека (IPv4/IPv6) операционные системы могут отправлять часть пакетов через незащищенный IPv6-интерфейс провайдера.
Реализация: На уровне ядра сервера и клиентских конфигураций включено принудительное глушение немаршрутизируемых IPv6-запросов (Blackhole Routing) и изоляция локальных геолокационных служб.