Durante la lettura del Domain Fronting (e la decisione di Google e Amazon di vietarlo), mi sono imbattuto in questo blog in cui l'autore ha identificato i domini che consentono il fronting.
Dal blog, facendo qualcosa di simile
curl -s -H "Host: images-na.ssl-images-amazon.com" -H "Connection: close" "https://cdn.atlassian.com/images/I/01rgQ3jqo7L.css"
ci consentirà di accedere al suddetto file CSS dal dominio images-na.ssl-images-amazon.com
anche se tutti i sistemi di sorveglianza mostreranno che siamo collegati a cdn.atlassian.com
system. Ho provato a cambiare l'host con qualcos'altro (ad esempio wikipedia) e Cloudfront ha emesso un errore "Bad Request", quindi presumibilmente entrambi i sottodomini devono trovarsi nello stesso dominio. (cdn.atlassian.com è ospitato su cloudfront dai loro dig
records).
Le mie domande sono:
- Se Amazon ha già vietato il fronting perché è possibile effettuare correttamente la richiesta sopra?
- A livello pratico, come può un utente malintenzionato sfruttare il fronting per ospitare un servizio C & C di malware?
- Esistono best practice che utilizzano il singolo cliente per garantire che il suo sottodominio (ad esempio xyzabc.cloudfront.com) non sia suscettibile di fronting?
Modifica
Domanda aggiuntiva:
- Il dominio del dominio è qualcosa di cui solo i CDN devono preoccuparsi o un web server standalone mal configurato può anche essere usato (ab) come front?