Domain fronting

Domain fronting — техника обхода блокировок, при которой SNI и HTTP-заголовок Host указывают на разные домены. DPI видит SNI «безопасного» сайта, а на самом деле трафик уходит к заблокированному через тот же CDN.

Как это работает технически

1. Атакуемый и целевой сайт оба лежат на одном CDN (Cloudflare, Fastly, AWS CloudFront, Google Cloud).
2. Клиент устанавливает TLS-соединение к IP CDN.
3. В SNI (внутри TLS ClientHello, виден до шифрования) — www.allowed.com.
4. После TLS-handshake, внутри зашифрованного канала, шлёт HTTP-запрос с Host: blocked.com.
5. DPI видит только SNI — «человек идёт на allowed.com». Не блокирует.
6. CDN получает запрос, смотрит на Host, роутит на бэкенд blocked.com.

[client] → TLS(SNI=allowed.com) → [DPI: OK] → [CDN]
                                                ↓
             внутри HTTP: Host: blocked.com → [blocked.com backend]

История и смерть

Почему закрыли

• Юридическое давление стран-цензоров на CDN.
• Malware-C2. Многие вирусы использовали domain fronting чтобы прятать C2-серверы за легитимными сайтами. Cloudflare/Google не хотели быть в этой истории.
• Финансовые причины. Спонсоры сервисов не хотят «нести имиджевые риски».

Идейные наследники

• ECH (Encrypted Client Hello) — шифрует сам SNI. DPI не видит куда идёшь, независимо от кооперации CDN. Пока плохо распространён.
• REALITY — не полагается на CDN. Сам сервер «перехватывает» TLS-handshake к настоящему сайту-донору и подменяет его на прокси-трафик, если знаешь ключ.
• Domain hiding через meek в Tor — это и есть domain fronting, только упакованный.
• Fronting через SNI + Host отличается — некоторые CDN всё ещё позволяют «безобидный fronting», если SNI и Host в одной SAN серта.

Как ещё живёт

• Мелкие/региональные CDN.
• Direct fronting на своём сервере — если ты сам контролируешь сервер и он обслуживает 2+ сайта, можешь настроить fronting внутри.
• Некоторые ISP-CDN и корпоративные прокси всё ещё позволяют.

См. также

• Meek, Tor, Pluggable transports
• SNI, ECH, REALITY
• CDN, Cloudflare