Frente de dominio

La base del fronting de dominio es el uso de diferentes nombres de dominio en distintas capas de comunicación con los servidores (que admiten múltiples dominios de destino; es decir, nombres alternativos del sujeto ) de un gran proveedor de alojamiento o una red de distribución de contenido (CDN). Las CDN se utilizan debido a las peculiaridades en la forma en que enrutan el tráfico y las solicitudes, lo que permite que el fronting funcione. ^{[ 6 ]}

En una solicitud HTTPS , el nombre de dominio de destino aparece en tres lugares relevantes: la consulta DNS , la extensión TLS Server Name Indication (SNI) y el encabezado HTTPS Host. Normalmente, el mismo nombre de dominio aparece en los tres lugares. ^{[ 7 ] : 1}

En una solicitud HTTPS con dominio visible, un dominio aparece en el "exterior" de la solicitud HTTPS en texto plano (en la solicitud DNS y la extensión SNI), que es el que el cliente pretende simular que está utilizando para establecer la conexión y es el que resulta visible para los censores, mientras que un dominio oculto aparece en el "interior" (en el encabezado Host HTTPS, invisible para el censor bajo el cifrado HTTPS), que sería el verdadero objetivo de la conexión. ^{[ 7 ] : 2}

# wget envía una consulta DNS y se conecta a www.google.com, pero el encabezado HTTP Host # solicita la página web www.youtube.com, que www.google.com puede obtener # y mostrar. Aquí, www.youtube.com está esencialmente encabezada por el dominio # www.google.com; es decir, un censor que bloquea www.youtube.com pero permite # www.google.com puede ser fácilmente eludido usando una solicitud encabezada por el dominio. wget -q -O - https://www.google.com/ --header 'Host: www.youtube.com' | grep -o '<title>.*</title>' <title>YouTube</title> 

Debido al cifrado del encabezado de host HTTPS por el protocolo HTTPS, el tráfico de elusión es indistinguible del tráfico "legítimo" (no enmascarado). Las implementaciones de enmascaramiento de dominio complementan HTTPS con el uso de grandes redes de distribución de contenido (como varias CDN grandes) como sus dominios frontales, ^{[ 7 ]} de las cuales dependen gran parte de la web para su funcionamiento. ^{[ 8 ]} Para bloquear el tráfico de elusión, un censor tendría que bloquear directamente el dominio frontal. ^{[ 7 ]} Bloquear las redes de distribución de contenido populares es económica, política y diplomáticamente inviable para la mayoría de los censores. ^{[ 8 ]}

Cuando Telegram fue bloqueado en abril de 2018 tras una sentencia judicial en Rusia, mediante el bloqueo por parte de los ISP de las CDN que Telegram utilizaba como fachada para evadir los bloqueos de sus propias direcciones IP, 15,8 millones de direcciones IP asociadas a las CDN de Google y Amazon fueron bloqueadas indirectamente. Esto provocó interrupciones de red a gran escala para importantes bancos, cadenas minoristas y numerosos sitios web; la forma en que se llevó a cabo el bloqueo fue criticada por incompetencia. ^{[ 9 ]}

El enmascaramiento de dominio funciona con las CDN, ya que, cuando se sirven con dos dominios diferentes en una misma solicitud, están (o históricamente hablando, estaban; véase §Deshabilitación ) configuradas para satisfacer automáticamente una solicitud para ver/acceder al dominio especificado en el encabezado Hosts, incluso después de encontrar que la extensión SNI tiene un dominio diferente. Este comportamiento no era ni es universal entre los proveedores de alojamiento; existen servicios que validan si se utiliza el mismo dominio en las diferentes capas de una solicitud HTTP. Una variación de la técnica habitual de enmascaramiento de dominio, conocida como enmascaramiento sin dominio , puede funcionar en este caso, dejando el campo SNI en blanco. ^{[ 10 ]}

Si la solicitud para acceder al dominio del encabezado Hosts tiene éxito, para el censor o terceros que monitorean las conexiones, parece que la CDN ha reenviado internamente la solicitud a una página irrelevante dentro de su red; esta es la conexión final que suelen monitorear. En escenarios de elusión, el dominio en el encabezado Hosts será un proxy . El dominio del encabezado Hosts, al ser un proxy, sería bloqueado por el censor si se accediera directamente; el front-end oculta su dirección al censor y permite a las partes eludir los bloqueos y acceder a él. Ningún tráfico llega al dominio front-end especificado en la solicitud DNS y la extensión SNI; el servidor front-end de la CDN es el único tercero en esta interacción que puede descifrar el encabezado Hosts y conocer el verdadero destino de la solicitud encubierta. Es posible emular este mismo comportamiento con servicios de host que no reenvían automáticamente las solicitudes, a través de una aplicación web "reflector". ^{[ 7 ] : 2}

Como regla general, los servicios web solo reenvían las solicitudes a los dominios de sus propios clientes, no a dominios arbitrarios. Por lo tanto, es necesario que los dominios bloqueados, que utilizan el fronting de dominio, también estén alojados por el mismo gran proveedor que los sitios inofensivos que utilizarán como front-end en sus solicitudes HTTPS (para DNS y STI). ^{[ 7 ] : 2}

Las conexiones seguras a Internet comunes (que utilizan TLS ) tienen un mensaje inicial sin cifrar, donde el cliente solicitante contacta al servidor. El servidor y el cliente negocian una conexión cifrada , y el contenido real que se envía entre ellos también está cifrado. Esto oculta el contenido de la comunicación, pero no los metadatos : quién se conecta con quién, cuándo y cuánto se comunican. ^{[ 11 ] [ 12 ]} Una variante del enmascaramiento de dominio, la ocultación de dominio, pasa una solicitud cifrada para un recurso (por ejemplo, un sitio web), oculta tras una solicitud sin cifrar (en texto plano) para otro recurso. Si ambos recursos tienen sus registros DNS alojados en la misma nube, los servidores de Internet que lean la dirección en texto plano reenviarán la solicitud al destinatario correcto, la nube. El servidor en la nube negociará entonces una conexión cifrada, ignorará la dirección sin cifrar y entregará el mensaje a la dirección (diferente) enviada a través del canal cifrado. Un tercero que espíe la conexión solo puede leer el texto plano y, por lo tanto, se equivoca sobre a qué recurso se está conectando el solicitante. ^{[ 2 ]}

• Rayos V2
• Lantern (software) se vio afectado. ^{[ 13 ]}
• Signal , un servicio de mensajería segura, implementó la técnica de enmascaramiento de dominio en las versiones de sus aplicaciones entre 2016 y 2018 para sortear los bloqueos de conexiones directas a sus servidores desde Egipto, Omán, Qatar y los Emiratos Árabes Unidos. ^{[ 8 ]}
• La red de anonimato Tor incluye una implementación de fronting de dominio, como un transporte conectable llamado 'meek', para sortear los bloqueos a la red Tor. ^{[ 6 ] [ 8 ] [ 13 ]}
• Telegram utilizó Amazon Web Services como dominio fachada para resistir los intentos de bloquear el servicio en Rusia. ^{[ 14 ]}
• El sistema Telex se vio afectado. ^{[ 13 ]}
• GreatFire , una organización sin fines de lucro que ayuda a los usuarios a eludir el Gran Cortafuegos , utilizó el enmascaramiento de dominios en un momento dado. ^{[ 8 ]}

El enmascaramiento de dominios ha sido utilizado por individuos y grupos privados y patrocinados por el Estado para ocultar sus huellas y lanzar discretamente ciberataques y difundir malware . ^{[ 8 ]}

Varias publicaciones especularon que el esfuerzo de Google y Amazon se debió en parte a la presión del gobierno ruso y su autoridad de comunicaciones, Roskomnadzor, que bloquearon millones de dominios de Google y Amazon, también en abril de 2018, debido a que Telegram los utilizaba como fachadas. ^{[ 31 ] [ 27 ] [ 32 ] [ 3 ] [ 4 ]}

Los defensores de los derechos digitales han comentado que la medida socava la capacidad de las personas para acceder y transmitir información de forma libre y segura en estados represivos. ^{[ 33 ]}

Según el fundador de Signal, Moxie Marlinspike , la dirección de Google empezó a cuestionarse si querían actuar como fachada para sitios y servicios que estados enteros deseaban bloquear, dado que el uso de la técnica de enmascaramiento de dominios había ganado popularidad gracias a aplicaciones como Signal que la implementaban. Marlinspike afirmó que el uso de esta técnica como herramienta de elusión era "en gran medida inviable" en los países donde se necesitaba. ^{[ 17 ]} Sin embargo, todavía la utilizan algunos servicios, como Tor y Lantern.