\u015alad to ka\u017cdy powtarzalny sygna\u0142, kt\u00f3ry wi\u0105\u017ce osobne witryny z jednym operatorem. Wi\u0119kszo\u015b\u0107 wydawc\u00f3w my\u015bli o tym na poziomie tre\u015bci: powielone szablony, te same sformu\u0142owania, identyczna notka autora wklejona na kilkunastu stronach. Takie odciski palc\u00f3w maj\u0105 znaczenie, ale le\u017c\u0105 na wierzchu. Pod stron\u0105 \u017cyje druga kategoria, zbudowana z certyfikat\u00f3w, rekord\u00f3w DNS, konfiguracji edge i zachowania serwera, i t\u0119 poprawia si\u0119 p\u00f3\u017aniej z ogromnym trudem. Certyfikaty i sieci dostarczania tre\u015bci s\u0105 wyj\u0105tkowo g\u0142o\u015bne, bo jedne i drugie zaprojektowano tak, by da\u0142o si\u0119 je publicznie zweryfikowa\u0107. Jawno\u015b\u0107 jest tu funkcj\u0105, nie usterk\u0105.<\/p>\n\n\n\n
Jedna wsp\u00f3lna cecha nie dowodzi praktycznie niczego. Po\u0142owa internetu stoi na garstce dostawc\u00f3w, wi\u0119c pokrywanie si\u0119 jest normalne. Zbieg okoliczno\u015bci zamienia si\u0119 we wzorzec przez nawarstwienie: zgodne znaczniki czasu wydania certyfikatu plus identyczne ustawienia uzgadniania po\u0142\u0105czenia plus ten sam identyfikator analityki. Pomaga mi my\u015blenie w kategoriach audytowalno\u015bci, a nie paranoi. Nie masz wp\u0142ywu na to, co wywnioskuje analityk. Mo\u017cesz za to dok\u0142adnie wiedzie\u0107, co rozg\u0142asza tw\u00f3j stack.<\/p>\n\n\n\n
Certificate Transparency dzia\u0142a na logach tylko do dopisywania, kt\u00f3re publicznie rejestruj\u0105 wydanie certyfikatu. Ka\u017cdy mo\u017ce je przeszuka\u0107, wstecz i za darmo. Nic, co tam trafi, nie zostaje usuni\u0119te - a to znaczy, \u017ce wczesne b\u0142\u0119dy s\u0105 trwa\u0142e.<\/p>\n\n\n\n
Najg\u0142o\u015bniejszym z tych b\u0142\u0119d\u00f3w jest wielodomenowy certyfikat SAN. Wystarczy spi\u0105\u0107 kilka nazw host\u00f3w w jednym certyfikacie i masz je po\u0142\u0105czone na zawsze, w rejestrze, do kt\u00f3rego nie si\u0119ga \u017caden wniosek o usuni\u0119cie. Wildcardy zachowuj\u0105 si\u0119 inaczej: ukrywaj\u0105 poszczeg\u00f3lne subdomeny, ale ods\u0142aniaj\u0105 domen\u0119 nadrz\u0119dn\u0105 i rytm jej odnowie\u0144. Czas te\u017c jest wskaz\u00f3wk\u0105. Kiedy pi\u0119\u0107 niepowi\u0105zanych witryn pojawia si\u0119 w logach w ci\u0105gu tych samych kilku minut, wsp\u00f3lny skrypt automatyzacji og\u0142asza si\u0119 g\u0142o\u015bniej ni\u017c jakikolwiek link w stopce.<\/p>\n\n\n\n
Dane walidacyjne wyciekaj\u0105 wprost z to\u017csamo\u015bci\u0105. Certyfikaty z walidacj\u0105 organizacji i rozszerzon\u0105 walidacj\u0105 zawieraj\u0105 nazwy firm, adresy i jurysdykcje. Adresy e-mail rejestracyjne podpi\u0119te do konta ACME grupuj\u0105 wszystko, co przez nie wydano.<\/p>\n\n\n\n
Wskaz\u00f3wka:<\/strong> wydawaj po jednym certyfikacie na witryn\u0119 i nigdy nie wrzucaj niepowi\u0105zanych nazw host\u00f3w do jednej listy SAN.<\/p>\n\n\n\n Poza samym certyfikatem sygnatur\u0119 niesie uzgadnianie po\u0142\u0105czenia. Metody odciskania palca po stronie serwera z rodziny JA3S wyliczaj\u0105 skr\u00f3t z kolejno\u015bci zestaw\u00f3w szyfr\u00f3w, obs\u0142ugiwanych rozszerze\u0144 i wynegocjowanych wersji protoko\u0142u. Domy\u015blna instalacja daje identyczn\u0105 warto\u015b\u0107 na ka\u017cdej maszynie, kt\u00f3r\u0105 operator postawi. Jednolito\u015b\u0107 w ca\u0142ym portfolio przestaje wi\u0119c by\u0107 neutralna i staje si\u0119 cech\u0105 do dopasowania. Zachowanie OCSP stapling, rotacja kluczy bilet\u00f3w sesji i obecno\u015b\u0107 na li\u015bcie preload HSTS dzia\u0142aj\u0105 tak samo. Czas \u017cycia certyfikat\u00f3w i rytm odnowie\u0144 dok\u0142adaj\u0105 warstw\u0119 czasow\u0105: identyczne okna sugeruj\u0105 jeden skrypt.<\/p>\n\n\n\n Cechy najcz\u0119\u015bciej powtarzane w ca\u0142ym portfolio:<\/p>\n\n\n\n Wskaz\u00f3wka:<\/strong> r\u00f3\u017cnicuj klienta ACME, algorytm klucza i harmonogram odnowie\u0144, \u017ceby automatyzacja nie podpisywa\u0142a ka\u017cdej witryny t\u0105 sam\u0105 r\u0119k\u0105.<\/p>\n\n\n\n Postawienie sieci edge przed witryn\u0105 sprawia wra\u017cenie maskowania. Ukrywa IP origin przed pobie\u017cnym sprawdzeniem i dla wi\u0119kszo\u015bci os\u00f3b poczucie bezpiecze\u0144stwa ko\u0144czy si\u0119 dok\u0142adnie w tym miejscu. Ta abstrakcja p\u0119ka w kilku przewidywalnych punktach. Wsp\u00f3lne identyfikatory konta wyp\u0142ywaj\u0105 w metadanych odpowiedzi, w\u0142asne nazwy nag\u0142\u00f3wk\u00f3w w\u0119druj\u0105 niezmienione mi\u0119dzy witrynami, a domy\u015blne szablony stron b\u0142\u0119du renderuj\u0105 si\u0119 identycznie na tym samym koncie.<\/p>\n\n\n\n Wyciek origin to klasyczna wpadka. Historyczne rekordy DNS prze\u017cywaj\u0105 migracj\u0119. Wpisy serwera poczty wskazuj\u0105 wprost na prawdziwy host. Zapytania bezpo\u015brednio na IP odpowiadaj\u0105 tre\u015bci\u0105 witryny. A gdzie\u015b zawsze siedzi zapomniana subdomena stagingowa, kt\u00f3ra rozwi\u0105zuje si\u0119 ca\u0142kiem poza proxy. Przypisanie serwer\u00f3w nazw wewn\u0105trz konta dostawcy te\u017c tworzy mi\u0119kki klaster, bo konta zwykle dostaj\u0105 sta\u0142e pary.<\/p>\n\n\n\n Najsilniejsze ze wszystkiego: us\u0142ugi analityczne, kontenery tag managera i identyfikatory reklamowe u\u017cywane ponownie za jednym edge. Nic w uzgadnianiu po\u0142\u0105czenia nie koreluje tak czysto.<\/p>\n\n\n\n Wskaz\u00f3wka:<\/strong> ustaw firewall na origin tak, by przyjmowa\u0142 tylko zakresy IP edge, i przed startem przejrzyj rekordy MX oraz stare wpisy A.<\/p>\n\n\n\n Pod certyfikatami i konfiguracj\u0105 edge le\u017cy pod\u0142o\u017ce, kt\u00f3re dziedziczy ca\u0142a reszta. Wsp\u00f3lne s\u0105siedztwa IP, koncentracja w jednym systemie autonomicznym, konwencje nazewnicze w reverse DNS - to wszystko po cichu grupuje maszyny. To, czy adres jest wsp\u00f3\u0142dzielony czy dedykowany<\/a> zmienia, ile takie grupowanie faktycznie zdradza. Pliki stref maj\u0105 w\u0142asne sygnatury: nietypowe warto\u015bci TTL powt\u00f3rzone na wielu witrynach, ten sam adres kontaktowy w SOA, rekordy u\u0142o\u017cone w tej samej kolejno\u015bci, bo kto\u015b wklei\u0142 je z tych samych notatek.<\/p>\n\n\n\n Dane rejestracyjne grupuj\u0105 si\u0119 tak samo. Jeden rejestrator, jedna us\u0142uga prywatno\u015bci, daty odnowie\u0144 wypadaj\u0105ce w tym samym tygodniu, bo portfolio kupiono hurtem. Nag\u0142\u00f3wki odpowiedzi wypychaj\u0105 ten wzorzec w g\u00f3r\u0119, do warstwy aplikacji, ujawniaj\u0105c wersje oprogramowania i moment \u0142atania, kt\u00f3re zdradzaj\u0105 wsp\u00f3lnego administratora pracuj\u0105cego wed\u0142ug wsp\u00f3lnej rutyny utrzymaniowej.<\/p>\n\n\n\n Dlatego tania dywersyfikacja rozczarowuje. Rozrzucenie domen po pi\u0119ciu dostawcach hostingu niewiele zmienia, gdy jedna osoba konfiguruje wszystkie pi\u0119\u0107 identycznie, z tymi samymi nawykami w panelu i tymi samymi ustawieniami domy\u015blnymi.<\/p>\n\n\n\n Audyt oznacza \u015bwiadome zaj\u0119cie miejsca obserwatora. Zacznij od inwentaryzacji: ka\u017cda domena, certyfikat, konto edge, para serwer\u00f3w nazw i skrypt zewn\u0119trzny, kt\u00f3ry jest w u\u017cyciu. Potem zestaw to ze sob\u0105 i wy\u0142ap cechy pojawiaj\u0105ce si\u0119 wi\u0119cej ni\u017c raz. Odpytaj logi transparentno\u015bci o w\u0142asne domeny i zapisz dok\u0142adnie, co dostaje w odpowiedzi kto\u015b z zewn\u0105trz. Por\u00f3wnaj mi\u0119dzy witrynami odpowiedzi w uzgadnianiu po\u0142\u0105czenia i nag\u0142\u00f3wki, a wyjd\u0105 ci identyczne ustawienia domy\u015blne, kt\u00f3rych \u015bwiadomie nigdy nie wybra\u0142e\u015b. Skoro i tak siedzisz w plikach stref, warto sprawdzi\u0107, co m\u00f3wi\u0105 twoje rekordy PTR<\/a> o ka\u017cdej maszynie.<\/p>\n\n\n\n Wskaz\u00f3wka:<\/strong> zr\u00f3b ten audyt przed startem, a nie po zaindeksowaniu, bo wpis\u00f3w w logach transparentno\u015bci i historii DNS nie da si\u0119 wycofa\u0107.<\/p>\n\n\n\n Rozdzielenie kosztuje pieni\u0105dze, czas i wysi\u0142ek administracyjny, wi\u0119c zanim za nie zap\u0142acisz, ustal, ile go dany projekt naprawd\u0119 potrzebuje. Regionalny serwis tre\u015bciowy i portfolio dzia\u0142aj\u0105ce pod czujnym okiem konkurencji maj\u0105 r\u00f3\u017cne progi. Potraktuj je tak samo, a albo zmarnujesz wysi\u0142ek, albo sam zaprosisz korelacj\u0119.<\/p>\n\n\n\n Przyziemne \u015brodki bij\u0105 te pomys\u0142owe. Osobne konta u dostawc\u00f3w, oddzielne \u015bcie\u017cki rozlicze\u0144, niezale\u017cne adresy kontaktowe - to zrywa wi\u0119cej powi\u0105za\u0144 ni\u017c jakikolwiek egzotyczny manewr techniczny, bo to w\u0142a\u015bnie metadane rozliczeniowe i struktura kont wi\u0105\u017c\u0105 witryny administracyjnie. Pog\u00f3d\u017a si\u0119 te\u017c z tym, \u017ce cz\u0119\u015b\u0107 pokrycia jest nie do unikni\u0119cia. Korzystanie z popularnego urz\u0119du certyfikacji albo znanej sieci edge stawia ci\u0119 w\u015br\u00f3d milion\u00f3w. To kamufla\u017c, nie ekspozycja.<\/p>\n\n\n\n Zestaw koszt rozdzielenia z realnym kosztem bycia skorelowanym, a potem trzymaj si\u0119 decyzji. Je\u015bli chcesz szerszego obrazu, nasze teksty o technicznym SEO<\/a> opisuj\u0105, gdzie decyzje infrastrukturalne spotykaj\u0105 si\u0119 z widoczno\u015bci\u0105 w wyszukiwarce.<\/p>\n\n\n\n Wskaz\u00f3wka:<\/strong> opisz model rozdzielenia na pi\u015bmie, \u017ceby przysz\u0142e zmiany po cichu nie scali\u0142y ca\u0142o\u015bci z powrotem.<\/p>\n\n\n\n Certyfikaty i konfiguracja edge publikuj\u0105 informacje bez przerwy, niezale\u017cnie od tego, czy kto\u015b je czyta. Ta publikacja jest bierna, trwa\u0142a i indeksowana przez systemy zbudowane w\u0142a\u015bnie po to, by j\u0105 zachowa\u0107 - zupe\u0142nie inna kategoria ni\u017c cokolwiek, co da si\u0119 p\u00f3\u017aniej poprawi\u0107. Zaciemnianie nic tu nie daje. Logi istniej\u0105 dok\u0142adnie po to, \u017ceby zaciemnianie pokona\u0107.<\/p>\n\n\n\n Dzia\u0142a za to \u015bwiadoma konfiguracja: decyzje podejmowane z rozmys\u0142em, spisane, przegl\u0105dane wed\u0142ug harmonogramu. Daj decyzjom o infrastrukturze tyle samo uwagi redakcyjnej, ile dajesz nag\u0142\u00f3wkom i linkowaniu wewn\u0119trznemu. Jedno i drugie kszta\u0142tuje to, jak czytane s\u0105 twoje witryny.<\/p>\n\n\n\nJak konfiguracja TLS zostawia odcisk palca serwera<\/h2>\n\n\n\n
\n
Warstwa CDN: z\u0142udzenie anonimowo\u015bci<\/h2>\n\n\n\n
Pod\u0142o\u017ce hostingowe i DNS pod jednym i drugim<\/h2>\n\n\n\n
Czytanie w\u0142asnego stacku oczami analityka z zewn\u0105trz<\/h2>\n\n\n\n
\n
Praktyczne rozdzielenie bez przesady<\/h2>\n\n\n\n
Na koniec: infrastruktura to te\u017c tre\u015b\u0107<\/h2>\n\n\n\n