Shadowsocks

2015年8月22日，其作者Clowwindy在GitHub上稱，警察在兩日前要求他停止開發Shadowsocks專案並刪除其所有代碼。[8]之後，作者停止維護Shadowsocks，其GitHub專案頁面已被清空。[9][10]消息传出后，许多中国大陸和外国开发商，以及Shadowsocks用户，在GitHub中对作者表示了致谢，对已清空原始碼的项目頁面加星标，因此在当时Shadowsocks反而成为了GitHub上的「热门项目（Trending）」。[11]

此事件的插曲是，該起事件本以為是當局主動出擊，但另有消息据称，原作者曾作出的「透露中國社會現狀」的發言或是對其態度不滿，可能遭到某些翻牆用戶，向中華人民共和國政府檢舉，從而為後來被要求撤下專案原始碼的事件埋下伏筆，而類似的因個人網路發言而被同業檢舉的事件在中國大陸也「時有發生」。[12]據網民整理，原作者更斥責自己的工作成果被他人挪用，也出現被許多冒名者修改後的自主版本，拿出更強的產品只為了專賣來替自己賺錢，後來原作主張，他以為那种大家一起不謀私的理想，做好SS社群的共享主義精神，在中國連出现的迹象都沒有。據他原話：

最适合这个民族的其实是一群小白围着大大转，大大通过小白的夸奖获得自我满足，然后小白的吃喝拉撒都包给大大解决的模式。通过这个项目我感觉我已经彻底认识到这个民族的前面为什么会有一堵墙了。没有墙哪来的大大。所以到处都是什么附件回帖可见，等级多少用户组可见，一个论坛一个大大，供小白跪舔，不需要政府造墙，网民也会自发造墙。这尼玛连做个翻墙软件都要造墙，真是令人叹为观止。这是一个造了几千年墙的保守的农耕民族，缺乏对别人的基本尊重，不愿意分享，喜欢遮遮掩掩，喜欢小圈子抱团，大概这些传统是改不掉了吧。

他稱多數用戶也是以一种自立態度，誰都可以求，而利用完做到解決問題就直接走人来的，而我维护的过程中，感覺主动幫助項目的同学并不多，匿名提問還不想充分提供信息。对比下国外的開源互助的社會體制差好远。他最後表示自己遲早要移民離開中國，在维护这些项目上，已经越來越艱難無趣，而以後也不會想再做了[13][14]。

8月25日，另一个用于突破网络审查的GoAgent项目也被作者自行删除。删除后几小时之内，GitHub遭到了来自中国大陸的DDoS攻击。據報这次攻击与中華人民共和国政府有关，因為中国政府此前曾要求GitHub移除兩個对抗網絡審查的項目但沒有被接受。[15]

2015年8月28日，电子前哨基金会针对Shadowsocks和GoAgent被删除一事发表评论，对中華人民共和国政府针对用于突破网络封锁软件作者的打击表示“强烈谴责”。[7]

不過Git倉庫的日誌顯示該項目被移除以前就有大量的復刻副本，不少副本仍然有用戶維護。所以儘管Shadowsocks專案頁經過此次打擊，也仍陸續恢復了內容，甚至本身並转交由多人維護成不同版本，各大Linux发行版的軟體倉庫均有各式Shadowsocks的實作的套件仍持續更新可用，目前的Shadowsocks更新基本上來自這些作者執行。

• Shadowsocks使用自行设计的协议进行加密通信。[16]加密算法有AES-GCM、ChaCha20-Poly1305、2022-BLAKE3-AES-GCM等，除建立TCP连接外无需握手，每次请求只转发一个连接，無需保持「一直連線」的狀態，因此在移动设备上相對较為省电。
• 所有的流量都经过算法加密，允许自行选择加密算法。
• Shadowsocks通过异步I/O和事件驱动程序运行，响应速度快。
• 客户端覆盖多个主流操作系统和平台，包括Windows、macOS、Android、Linux和iOS系统和路由器（OpenWrt）等[17]。

Clowwindy称Shadowsocks的最初只是「自用」，用来「翻墙」[1]，而不是提供密码学意义的安全，所以Shadowsocks自行设计的加密协议对双方的身份验证仅限于预共享密钥，亦无完全前向保密，也未曾有安全专家公开分析或评估协议及其实现。

一个用 Python 写的 socks 加密代理。加密方法很简单，不过欺骗 GFW 足够了。

——clowwindy[1]

Shadowsocks的目标不在于提供完整的通信安全机制，主要是为了协助上网用户在严苛的网络环境中突破封锁，不能替代TLS或者VPN。

AEAD加密方式（AES-GCM、Chacha20-poly1305）在SIP004[18]提案提出并在SIP007提案[19]实现，这些加密方式被认为可以提供密码学意义的安全（「保密性，完整性，可用性」）[20]，之前AES CFB、AES CTR、RC4、Chacha20等没有认证的加密方式仍在一部分实现中被允许存在[20]。Shadowsocks-windows已经移除了非AEAD加密方式的支持。

Shadowsocks多次被提到协议设计问题，有被主动探测的风险：

• 2015年，ShadowsocksR的原开发者breakwa11提到原协议设计导致没有验证数据包完整性而被主动探测的风险，之后Shadowsocks的后继开发者madeye引入One Time Auth（OTA）方案试图解决，但breakwa11指出还是不能避免主动探测风险，最终引入AEAD加密方式并放弃OTA方案。
• 2021年2月28日，GitHub用戶RPRX提出Shadowsocks AEAD加密方式设计存在严重漏洞，无法保证通信内容的可靠性，隨後開發者驗證了本地echo自交思路的可行性。[21]3月1日，RPRX又提出可利用服务端防重放機制使Shadowsocks、Vmess等未知流量代理实质性失效，隨後讨论区中的一个名为gfw-report的用户驗證了這一思路的可行性。[22]

2017年9月21日，一篇名为《The Random Forest based Detection of Shadowsock's Traffic》的论文在IEEE发表，该论文介绍了通过随机森林算法检测Shadowsocks流量的方法，并自称可达到85％的检测精度[23]，雖然該論文的有效性遭到网友质疑。但是使用机器学习來識別網路流量特徵的做法被认为是可行的，而且還適用於任何網路代理協定而不僅僅侷限於Shadowsocks。[24]

Shadowsocks在SIP003提案[25]中支持了插件，插件让Shadowsocks的流量可以通过不同的插件进行混淆加密或其他处理。目前使用较多的插件有v2ray-plugin、simple-obfs等。

目前Shadowsocks有多個實作支援，以自由軟體形式發佈的主要有

• 原始shadowsocks（以Python語言編寫）
• shadowsocks-libev（C语言编写，目前仅修复BUG）
• openwrt-shadowsocks
• shadowsocks-rust（Rust语言编写，libev版本停止新功能开发之后的继任活跃开发版本）
• go-shadowsocks2
• gost[26]

• libQtShadowsocks
• shadowsocks-qt5（客户端）
• shadowsocks-android（客户端）
• shadowsocks-windows（客户端）
• ShadowsocksX-NG （客户端）
• ShadowsocksR（Shadowsocks的第三方分支版本）
• Outline[27]
• V2Ray[28]
• Brook[29]
• Trojan[30]
• Clash[31]

等等，還有為數甚多的免費軟體及商業軟體。