Tarnung als gewöhnliche Webverbindung

Das Verfahren nimmt Verbindungen auf dem gewöhnlichen Web-Port entgegen. Wer sich nicht ausweist — etwa ein Zensor, der aktiv anklopft — wird transparent an eine echte, fremde Website weitergereicht und sieht deren gültiges Zertifikat und deren Inhalt. Nur wer den passenden Schlüssel in der Sitzungskennung mitbringt, landet im getarnten Tunnel. Entscheidend ist die Wahl des vorgetäuschten Ziels: Ein öffentlicher Nachweis von Juni 2025 zeigte, dass sich das Verfahren enttarnen lässt, wenn der vorgeschobene Server auf einer verbreiteten Krypto-Bibliothek läuft, weil diese ein Sitzungsticket nach dem Handshake-Abschluss sendet statt davor — die Reihenfolge verrät die Weiterleitung. Deshalb sind ausschliesslich Zielserver zugelassen, die diese Reihenfolge umgekehrt handhaben. Die naheliegende Alternative ShadowTLS wurde verworfen: Sie verrät sich durch eine um vier Byte veränderte Nachrichtenlänge im Handshake, zuverlässig erkennbar und nicht behebbar.

Einordnung

Diese Erläuterung gehört zur Architekturnotiz „Den Heimserver zerlegen“ und gibt den Stand der DaWN-Architekturdokumentation vom September 2026 wieder.