XTLS VLESS REALITY 协议漏洞争论事件后续：XTLS 开发者的回应；漏洞原作者指控博客文章剽窃研究成果XTLS 开发者 RPRX 针对 Sukka 的博客回应称，该漏洞系代码同步失误导致的，其缺陷在 2023 年就被注意到并且修复

科技圈🎗在花频道📮

新研究显示 XTLS VLESS REALITY 代理协议存在潜在的可被启发式扫描的结构性指纹漏洞根据安全人员分析显示：广泛使用的 XTLS VLESS REALITY 代理协议存在「可被精准识别」（编辑注：是否能被精准识别存在疑问，保留原文表述）的结构性漏洞。该漏洞源于协议开发者在实现过程中直接复制 Go crypto/tls 标准库代码，导致其 ChangeCipherSpec 记录计数器最大阈值设为 16，而主流网站使用的 OpenSSL/BoringSSL 为 32。研究人员利用这一差异设计了主动探测方法：…

XTLS VLESS REALITY 协议漏洞争论事件后续：XTLS 开发者的回应；漏洞原作者指控博客文章剽窃研究成果

XTLS 开发者 RPRX 针对 Sukka 的博客回应称，该漏洞系代码同步失误导致的，其缺陷在 2023 年就被注意到并且修复。目前通过版本更新即可修复此漏洞。 RPRX 同时对相关人员向国内多个 DPI （深度包检测技术）开发厂商提交漏洞的行为提出了质疑。

随后，研究报告原作者 @acgdaily 指控 Sukka 剽窃其研究成果并洗稿。原作者澄清，Sukka 不是报告的共同作者，且发布报告的初衷是为了总结已解决的问题。报告发布时，上游已解决该 issue。

RPRX | @acgdaily

🍀在花频道 🍵茶馆聊天 📮投稿