Фронтирование домена
Фронтирование домена — это метод обхода цензуры в Интернете , который использует разные доменные имена на разных уровнях связи HTTPS-соединения для незаметного подключения к другому целевому домену, который не виден третьим лицам, отслеживающим запросы и соединения.
Из-за особенностей сертификатов безопасности , систем перенаправления сетей доставки контента (CDN), используемых в качестве «доменных фронтов», а также защиты, обеспечиваемой HTTPS, цензоры обычно не могут отличить трафик для обхода («доменный») трафик от явного небезопасного трафика. фронтальный трафик для любого заданного доменного имени. Таким образом, они вынуждены либо разрешить весь трафик на фронт домена, включая трафик для обхода, либо полностью заблокировать фронт домена, что может привести к дорогостоящему побочному ущербу и сравнивается с «блокировкой остальной части Интернета». [примечание 1]
Фронтирование домена достигается за счет несоответствия заголовка HTTP Host и расширения TLS SNI . Стандарт, определяющий расширение SNI, препятствует такому несоответствию, но не запрещает его. [2] Многие крупные поставщики облачных услуг, включая Amazon, Microsoft и Google, активно запрещают фронтинг домена, что ограничивает его возможности обхода цензуры. Считается, что этим запретам способствовало давление со стороны цензоров в России и Китае. [3] [4] [5] но фронтирование домена также может быть использовано злонамеренно.
Новый вариант фронтирования домена, сокрытие домена, передает зашифрованный запрос на один ресурс (скажем, веб-сайт), скрытый за незашифрованным (открытым текстом) запросом на другой ресурс, DNS-записи которого хранятся в том же облаке. Это имеет примерно тот же эффект. [3] Сети рефракции — это применение более широкого принципа.
Технические детали
[ редактировать ]Основа
[ редактировать ]Основой для фронтинга домена является использование разных доменных имен на разных уровнях связи с серверами (которые поддерживают несколько целевых доменов; т. е. альтернативные имена субъектов ) крупного хостинг-провайдера или сети доставки контента (CDN). CDN используются из-за особенностей маршрутизации трафика и запросов, что позволяет работать фронтингу. [6] [7]
Запутывающие запросы
[ редактировать ]В HTTPS- запросе имя домена назначения отображается в трех соответствующих местах: DNS-запросе , расширении TLS Server Name Indicate (SNI) и заголовке HTTPS Host. Обычно во всех трех местах указано одно и то же доменное имя. [8] : 1
В HTTPS-запросе, ориентированном на домен, один домен появляется «снаружи» HTTPS-запроса в виде обычного текста — в DNS-запросе и расширении SNI — и это будет то, на что клиент хочет притвориться, что он нацелен при установлении соединения, и тот, который виден цензорам, в то время как скрытый домен появляется «внутри» — в заголовке хоста HTTPS, невидимом для цензора при шифровании HTTPS — который и будет фактической целью соединения. [6] [8] : 2
# wget sends a DNS query and connects to www.google.com but the HTTP Host header requests
# the www.youtube.com webpage, which it is able to fetch and display. Here www.youtube.com
# is essentially domain-fronted by www.google.com; that is, by blocking www.youtube.com
# but allowing www.google.com, a censor may be trivially bypassed using a domain-fronted request
wget -q -O - https://www.google.com/ --header 'Host: www.youtube.com' | grep -o '<title>.*</title>'
<title>YouTube</title>
Из-за шифрования заголовка хостов HTTPS протоколом HTTPS трафик обхода неотличим от «законного» (нефронтированного) трафика. Реализации доменного фронтинга дополняют HTTPS использованием крупных сетей доставки контента (таких как различные крупные CDN) в качестве фронтальных доменов. [8] функциональность которых зависит от большей части Интернета. [9] Чтобы заблокировать трафик для обхода, цензору придется полностью заблокировать передний домен. [8] Блокировка популярных сетей доставки контента экономически, политически и дипломатически неосуществима для большинства цензоров. [9] [6]
Когда Telegram был заблокирован в апреле 2018 года по решению суда в России посредством блокировки интернет-провайдерами CDN, которые Telegram использовал в качестве прикрытия для уклонения от блокировки собственных IP-адресов, 15,8 миллиона IP-адресов, связанных с CDN Google и Amazon, были заблокированы в качестве залога. Это привело к масштабным сбоям в работе сети крупных банков, розничных сетей и многочисленных веб-сайтов; способ блокировки подвергся критике за некомпетентность. [10]
Использование пересылки запросов
[ редактировать ]Фронтирование домена работает с CDN, поскольку при обслуживании двух разных доменов в одном запросе они (или, исторически говоря, они были; см. §Отключение ) настроены на автоматическое выполнение запроса на просмотр/доступ к домену, указанному в заголовке Hosts, даже после обнаружение, что расширение SNI имеет другой домен. Такое поведение было и не является универсальным для всех хостинг-провайдеров; существуют службы, которые проверяют, используется ли один и тот же домен на разных уровнях HTTP-запроса. В этом случае может работать вариант обычного метода доменного фронтинга, известный как бездоменный фронтинг, при котором поле SNI остается пустым. [11]
Если запрос на доступ к домену заголовка Hosts успешен, для цензора или третьих лиц, отслеживающих соединения, создается впечатление, что CDN внутренне перенаправил запрос на неинтересную страницу в своей сети; это последнее соединение, которое они обычно отслеживают. В сценариях обхода домен в заголовке Hosts будет прокси . Домен заголовка Hosts, являющийся прокси-сервером, будет заблокирован цензором при прямом доступе; фронтинг скрывает свой адрес от цензора и позволяет сторонам обходить блокировки и получать к нему доступ. Никакой трафик никогда не достигает переднего домена, указанного в запросе DNS и расширении SNI; Внешний сервер CDN является единственной третьей стороной в этом взаимодействии, которая может расшифровать заголовок Hosts и узнать истинное место назначения скрытого запроса. Это же поведение можно эмулировать с помощью хост-сервисов, которые не пересылают запросы автоматически, через веб-приложение «отражатель». [8] : 2
Как правило, веб-службы перенаправляют запросы только на домены своих клиентов, а не на произвольные. В таком случае необходимо, чтобы заблокированные домены, использующие фронтинг домена, также размещались у того же крупного провайдера, что и безобидные сайты, которые они будут использовать в качестве прикрытия в своих HTTPS-запросах (для DNS и STI). [8] : 2
Скрытие домена
[ редактировать ]Обычные безопасные интернет-соединения (с использованием TLS ) имеют незашифрованное начальное сообщение, в котором запрашивающий клиент связывается с сервером. Затем сервер и клиент согласовывают зашифрованное соединение , и фактический контент, передаваемый между ними, шифруется. Это скрывает содержание общения, но не метаданные : кто с кем соединяется, когда и сколько они общаются. [12] [13] Вариант фронтинга домена, сокрытие домена, передает зашифрованный запрос на один ресурс (скажем, веб-сайт), скрытый за незашифрованным (открытым текстом) запросом на другой ресурс. обоих ресурсов Если DNS-записи размещены в одном облаке, интернет-серверы, считывающие адрес в виде открытого текста, перенаправят запрос правильному получателю — облаку. Затем облачный сервер согласует зашифрованное соединение, проигнорирует незашифрованный адрес и доставит сообщение на (другой) адрес, отправленный по зашифрованному каналу. Третья сторона, шпионящая за соединением, может только читать открытый текст и, таким образом, вводится в заблуждение относительно того, к какому ресурсу подключается запрашивающая сторона. [3]
Использование
[ редактировать ]Обход интернет-цензуры
[ редактировать ]Фонарь
[ редактировать ]Фонарь (программное обеспечение) был затронут. [14]
Сигнал
[ редактировать ]Signal , служба безопасного обмена сообщениями, с 2016 по 2018 год использовала доменное фронтирование в сборках своих приложений, чтобы обойти блокировки прямых подключений к своим серверам из Египта, Омана, Катара и Объединенных Арабских Эмиратов. [15] [9]
Тор Браузер
[ редактировать ]использует Анонимная сеть Tor реализацию доменного фронта под названием «meek» в своем официальном веб-браузере для обхода блокировок сети Tor. [7] [9] [6]
Телеграмма
[ редактировать ]Telegram использовал Amazon Web Services в качестве доменного прикрытия, чтобы противостоять попыткам заблокировать сервис в России. [16]
Телекс
[ редактировать ]Тор
[ редактировать ]Tor , включая подключаемые транспорты obsf4, ScrambleSuite, meek и meek_lite. Пострадал [14]
ВеликийОгонь
[ редактировать ]GreatFire , некоммерческая организация, которая помогает пользователям обходить Великий брандмауэр , в какой-то момент использовала доменное фронтирование. [9]
Кибератаки
[ редактировать ]Фронтирование доменов использовалось как частными лицами, так и спонсируемыми государством отдельными лицами и группами для сокрытия своих следов, тайного проведения кибератак и распространения вредоносного ПО . [9] [6]
Уютный Медведь
[ редактировать ]российская хакерская группа Cozy Bear , классифицированная как APT29 Было замечено, что , использовала доменное фронтирование для незаметного получения несанкционированного доступа к системам, выдавая себя за легальный трафик из CDN. В их методике использовался плагин «meek», разработанный проектом Tor для анонимной сети, чтобы избежать обнаружения. [17] [18] [19]
Отключение
[ редактировать ]Устойчивость доменного фронтинга как метода обхода цензуры объясняется дорогостоящим побочным ущербом от блокировки. Чтобы заблокировать фронтинг домена, необходимо заблокировать весь трафик, входящий и исходящий от фронтов (CDN и крупных провайдеров), на которые по замыслу часто полагаются бесчисленные другие веб-сервисы. [9] Фонд Signal провел аналогию: чтобы заблокировать один доменный сайт, «нужно также заблокировать и весь остальной Интернет». [20]
Россия столкнулась с такой проблемой, когда попыталась заблокировать Telegram (приложение для обмена сообщениями, использующее доменное фронтирование), заблокировав все Google и Amazon серверы . Это заблокировало многие несвязанные веб-сервисы (например, банковские веб-сайты и мобильные приложения), которые использовали контент из облаков Google и Amazon. [21] [22] Заблокировать Telegram не удалось. [23] Бан и блокировки начались 13 апреля 2018 года. [24]
14 апреля 2018 года Google молча заблокировала доменный фронт в своем облаке, а 27 апреля Amazon объявил, что блокирует его. [25] Cloudflare , еще одно крупное облако, также заблокировало его. [4] [5] Акамай также пострадал. [26] [25] Первоначально Microsoft (чье облако, среди прочего, необходимо для облачных сервисов Microsoft и живых обновлений) не последовала этому примеру. [25] но в марте 2021 года Microsoft объявила о намерении запретить доменное имя в облаке Microsoft Azure . [27]
Cloudflare отключил фронтинг домена в 2015 году. [28]
В апреле 2018 года Google и Amazon отключили фронтирование доменов в своих службах доставки контента, удалив особенности в схемах перенаправления, которые позволяли осуществлять фронтинг. [29] Google нарушил фронтирование домена, удалив возможность использовать «google.com» в качестве переднего домена, изменив структуру их CDN. [30] Когда их попросили прокомментировать, они сказали, что фронтирование домена «никогда не было поддерживаемой функцией» и что внесенные изменения были давно запланированными обновлениями. [31] [30] [32] Amazon заявила, что фронтинг «уже рассматривается как нарушение Условий обслуживания AWS» и внедрила ряд изменений, которые запрещают запутывание, позволяющее сайтам маскироваться под домены CloudFront других веб-сайтов и использовать их в качестве прикрытия. [33] [20] [34]
Реакции
[ редактировать ]Различные публикации предположили, что усилия Google и Amazon были отчасти вызваны давлением со стороны российского правительства и его органа связи Роскомнадзора, заблокировавшего миллионы доменов Google и Amazon, в том числе в апреле 2018 года, из-за того, что Telegram использовал их в качестве прикрытия. [35] [30] [36] [37] [4] [5]
Защитники цифровых прав отмечают, что этот шаг подрывает способность людей получать доступ к информации и передавать ее свободно и безопасно в репрессивных государствах. [38]
По словам основателя Signal Мокси Марлинспайка, руководство Google задалось вопросом, хотят ли они выступать в качестве прикрытия для сайтов и сервисов, которые целые государства хотели заблокировать, поскольку доменное фронтирование привлекло всеобщее внимание благодаря таким приложениям, как Signal. Он назвал использование фронтинга в качестве инструмента обхода «сейчас в значительной степени нежизнеспособным» в тех странах, где оно было необходимо. [20] Однако он по-прежнему используется некоторыми сервисами, такими как Tor и Lantern.
См. также
[ редактировать ]Примечания
[ редактировать ]- ↑ Цитаты Мокси Марлинспайка , создателя Signal. [1]
Ссылки
[ редактировать ]- ^ Марлинспайк, Мокси (1 мая 2018 г.). «Письмо от Amazon» . Сигнал .
- ^ Истлейк 3-й, Дональд Э. (январь 2011 г.). «IETF RFC 6066, раздел 3» .
{{cite web}}: CS1 maint: числовые имена: список авторов ( ссылка ) - ^ Jump up to: а б с Чимпану, Каталин (8 августа 2020 г.). «DEF CON: Новый инструмент возвращает «выделение домена» как «скрытие домена» » . ЗДНЕТ .
- ^ Jump up to: а б с «Почему вам не нужен фронтинг домена Google» . Проект Псифон . 24 апреля 2018 г.
- ^ Jump up to: а б с Доу, Ева; Барр, Алистер. «Американские облачные провайдеры сталкиваются с негативной реакцией китайских цензоров» . Уолл Стрит Джорнал .
- ^ Jump up to: а б с д и «Конфиденциальность 2019: Tor, Meek и взлет и падение доменного фронтинга» . СентинелОдин . 15 апреля 2019 г. Проверено 30 июня 2020 г.
- ^ Jump up to: а б «doc/meek – Tor Bug Tracker и Wiki» . trac.torproject.org . Проверено 4 января 2017 г.
- ^ Jump up to: а б с д и ж Файфилд, Дэвид; Лан, Чанг; Хайнс, Род; Вегманн, Перси; Паксон, Верн (15 февраля 2015 г.). «Блокируемая связь посредством фронтирования домена» (PDF) . Труды по технологиям повышения конфиденциальности . 2015 (2): 46–64. дои : 10.1515/popets-2015-0009 . ISSN 2299-0984 . S2CID 5626265 . Проверено 3 января 2017 г. - через Де Грюйтера.
- ^ Jump up to: а б с д и ж г «Смерть доменного фронтинга | Что ждет впереди?» . Блог Финджана . 11.06.2018. Архивировано из оригинала 3 июля 2020 г. Проверено 30 июня 2020 г.
- ^ Савов, Влад (17 апреля 2018 г.). «Запрет Telegram в России — это большой и запутанный беспорядок» . Грань . Проверено 10 августа 2020 г.
- ^ «Прокси: фронтирование домена, подметодика T1090.004 — предприятие | MITRE ATT&CK®» . Attack.mitre.org . Проверено 28 сентября 2020 г.
- ^ Гедини, Алессандро (24 сентября 2018 г.). «Зашифруй или потеряй: как работает зашифрованный SNI» . Блог Cloudflare . Проверено 24 сентября 2018 г.
- ^ Паттон, Кристофер (8 декабря 2020 г.). «Прощай ЕСНИ, здравствуй ЭЧ!» . Блог Cloudflare .
- ^ Jump up to: а б с Уайт, Натан (18 апреля 2018 г.). «Google прекращает «защиту домена» — важнейший способ уклониться от цензуры» . Доступ сейчас .
- ^ «Открытые системы Whisper >> Блог >> Дудлы, наклейки и обход цензуры для Signal Android» . сайт шепотсистемс . Проверено 4 января 2017 г.
- ^ Брэндом, Рассел (30 апреля 2018 г.). «Веб-службы Amazon начинают блокировать фронтинг доменов, следуя примеру Google» . Грань . Проверено 8 августа 2020 г.
- ^ «Фронтирование домена APT29 с помощью TOR» . Огненный Глаз . Проверено 28 сентября 2020 г.
- ^ «Фронтирование доменов, фишинговые атаки и что нужно знать директорам по информационной безопасности» . Кофенс . 13 декабря 2018 г. Проверено 28 сентября 2020 г.
- ^ Брэндом, Рассел (18 апреля 2018 г.). «Обновление Google только что создало большую проблему для инструментов борьбы с цензурой» . Грань .
- ^ Jump up to: а б с Марлинспайк, Мокси (01 мая 2018 г.). «Письмо от Amazon» . Сигнал . Архивировано из оригинала 01 мая 2018 г. Проверено 16 сентября 2020 г.
- ^ Чимпану, Каталин. «Россия заблокировала 1,8 миллиона IP-адресов Amazon и Google в попытке заблокировать Telegram» . Мигающий компьютер .
- ^ Чимпану, Каталин (18 июня 2020 г.). «Россия разбанила Telegram» . ЗДНЕТ .
- ^ Берджесс, Мэтт (28 апреля 2018 г.). «Именно поэтому попытки России заблокировать Telegram провалились» . Проводная Великобритания .
- ^ Макфаркуар, Нил (13 апреля 2018 г.). «Российский суд запретил приложение Telegram после 18-минутного слушания» . Нью-Йорк Таймс . Архивировано из оригинала 13 апреля 2018 года . Проверено 13 апреля 2018 г.
- ^ Jump up to: а б с Мейтс, Матан (15 апреля 2019 г.). «Тор, Мик и взлет и падение доменного фронтинга» . СентинелОдин .
- ^ «Реализация управления и контроля вредоносных программ с использованием основных CDN и доменов с высоким трафиком» . www.cyberark.com .
- ^ Джонс, Эмма (26 марта 2021 г.). «Защита нашего подхода к управлению доменами в Azure» . Блог Microsoft по безопасности .
- ^ «#14256 (Уточните, работает ли универсальный SSL Cloudflare с meek) – Tor Bug Tracker & Wiki» . Трекер ошибок Tor . Проверено 12 мая 2020 г.
- ^ «Фронт домена: плюсы и минусы | NordVPN» . nordvpn.com . 12 июля 2019 г. Проверено 16 сентября 2020 г.
- ^ Jump up to: а б с Галлахер, Шон (2 мая 2018 г.). «Amazon блокирует фронтинг домена и угрожает закрыть аккаунт Signal» . Арс Техника . Проверено 16 сентября 2020 г.
- ^ Брэндом, Рассел. «Обновление Google только что создало большую проблему для инструментов борьбы с цензурой» . Грань . Проверено 19 апреля 2018 г.
- ^ «Google прекращает «доменное фронтирование», важнейший способ уклониться от цензуры — Access Now» . 18 апреля 2018 г.
- ^ «Улучшенная защита домена для запросов Amazon CloudFront» . 27 апреля 2018 г.
- ^ «Веб-службы Amazon начинают блокировать фронтинг доменов, следуя примеру Google» . 2018-04-30.
- ^ «Amazon и Google склоняются перед российскими цензорами в битве Telegram» . Компания Фаст . 04 мая 2018 г. Проверено 9 мая 2018 г.
- ^ Бершидский Леонид (3 мая 2018 г.). «Российскому цензору помогают Amazon и Google» . Блумберг .
- ^ «Информация» . ТАСС.ру. Проверено 14 ноября 2018 г.
- ^ Дахир, Абди Латиф (3 мая 2018 г.). «Попытка Google и Amazon заблокировать доменное имя нанесет ущерб активистам репрессивных режимов» . Кварц Африки . Проверено 16 сентября 2020 г.
Внешние ссылки
[ редактировать ]- Дэвид Файфилд, Чанг Лан, Род Хайнс, Перси Вегманн, Верн Паксон, 2015: Устойчивое к блокированию общение посредством доменного фронтинга
обхода интернет-цензуры Технологии |
|---|
