MASQUE

Du kennst VPNs. (IPsec, OpenVPN, WireGuard). Sie tunneln alles. MASQUE ist der neue Standard, um VPNs und Proxies direkt über HTTP/3 und QUIC zu bauen. Die Power von QUIC (Congestion Control, Migration, Performance) wird genutzt, um beliebigen Traffic (IP oder TCP) zu tunneln. Es ist die Technik hinter Apple iCloud Private Relay. Es macht "Proxying" zum nativen Teil des Webs. Browser können sich mit einem MASQUE-Server verbinden und sagen: "Baue mir einen Tunnel zu google.com".

Merksatz: Ein IETF-Standard, der es ermöglicht, TCP- und UDP-Verbindungen (und ganze IP-Pakete) effizient und sicher über HTTP/3 (QUIC) zu tunneln; die Grundlage moderner Privacy-Proxies.

Apple: Wenn du "iCloud Private Relay" aktivierst, nutzt dein iPhone MASQUE, um deinen Traffic über 2 Hops (Ingress und Egress) zu anonymisieren.
Android: Wird vermutlich folgen ("IP Protection").
Corporate VPN: Moderne VPNs (wie Cloudflare WARP) bewegen sich Richtung MASQUE, weil es durch Firewalls kommt (sieht aus wie HTTPS) und sehr performant ist.

1. CONNECT-UDP

In HTTP/1 gab es CONNECT, um TCP zu tunneln (HTTPS Proxy). MASQUE fügt CONNECT-UDP hinzu. Damit kann HTTP/3 jetzt auch UDP-Pakete (DNS, Video, Gaming) tunneln. Und CONNECT-IP für Full-VPN (ganzes Device).

2. Flow Control

Das Geniale: Da QUIC Streams hat, kann der Tunnel "Backpressure" geben. Wenn der Ziel-Server langsam ist, sagt der MASQUE-Proxy dem Client: "Langsam senden!". Bei alten VPNs (UDP over UDP) gab es oft Packet-Loss-Katastrophen bei Stau.

1. HTTP/3 Datagrams & Unreliable Proxying

Der Kern von MASQUE ist die Erweiterung von QUIC um Datagrams (unzuverlässige Übertragung). Normalerweise garantiert QUIC (wie TCP), dass alle Daten ankommen. Für ein VPN ist das schlecht: Wenn ein Paket im Tunnel verloren geht, sollte der Tunnel nicht anhalten (Head-of-Line Blocking), sondern das Paket einfach "droppen" (wie UDP). MASQUE nutzt QUIC-Streams für den Kontrollkanal (Authentifizierung, Setup) und QUIC-Datagrams für den eigentlichen Nutzdaten-Traffic. Das kombiniert die Sicherheit von TLS mit der Geschwindigkeit von rohem UDP.

2. Congestion Control Nesting

Das größte Problem bei VPNs ist "TCP-over-TCP". Wenn der äußere Tunnel und der innere Datenstrom beide gleichzeitig versuchen, Staus zu beheben, schwingt sich das System auf und bricht zusammen. MASQUE löst dies durch eine enge Integration: Der Proxy kann dem Client Metadaten über die Performance der Zielverbindung direkt im HTTP-Header mitschicken. Da QUIC die volle Kontrolle über die Congestion Control hat, kann der MASQUE-Client seine Sende-Rate perfekt an die Gegebenheiten des gesamten Pfades anpassen, ohne in Resonanz-Katastrophen zu laufen.

3. Oblivious HTTP (OHTTP)

MASQUE ist der Enabler für OHTTP. Dabei wird eine Anfrage so verschlüsselt, dass der Proxy zwar weiß, wer anfragt, aber nicht was. Der Zielserver wiederum weiß, was gefragt wird, aber nicht von wem (weil für ihn die Anfrage vom Proxy kommt). Diese Trennung von Identität und Inhalt (Key-Separation) wird in der Produktion genutzt, um DNS-Anfragen (DNS over HTTPS) oder Telemetrie-Daten komplett zu anonymisieren. Apple nutzt dies massiv, um sicherzustellen, dass sie selbst keine Nutzerprofile erstellen können, selbst wenn sie die Server betreiben.