Domain Fronting

Définition

Le domain fronting est une technique de tunneling réseau qui dissimule la véritable destination d'une connexion HTTPS en utilisant l'infrastructure CDN (Content Delivery Network) de grands fournisseurs cloud. La connexion semble destinée à un domaine légitime et très utilisé (google.com, cloudflare.com, amazonaws.com) au niveau du SNI TLS et des en-têtes HTTP visibles, mais le routage interne du CDN redirige la requête vers le vrai serveur C2 de l'attaquant. Le fonctionnement exploite une architecture CDN : l'attaquant contrôle un sous-domaine malicieux.cdn-provider.com et configure son C2 derrière le même CDN. La connexion TLS est établie avec un domaine légitime dans le SNI (la partie non chiffrée), mais l'en-tête HTTP Host (chiffré dans TLS) contient le vrai domaine C2. Le CDN achemine la requête selon l'en-tête Host chiffré, atteignant le C2 de l'attaquant. Cette technique a été populaire pour contourner les pare-feux qui filtrent les connexions selon le SNI ou l'IP de destination sans inspecter le payload TLS : si le SNI indique google.com et que l'IP de destination est celle de Google/CDN, la connexion est généralement autorisée. Des APT comme APT29 (Cozy Bear) et des outils comme meek (utilisé par Tor Browser) ont utilisé cette technique. Des fournisseurs CDN majeurs (Google, Amazon CloudFront) ont depuis modifié leurs politiques pour interdire le domain fronting sur leurs plateformes après que des groupes malveillants et des contournements de censure controversés l'ont utilisé. Certains CDN moins populaires permettent encore cette technique, et des variantes comme le 'Domain Hiding' continuent d'évoluer. Du côté défensif, la détection du domain fronting nécessite une inspection TLS (TLS interception/inspection) pour comparer le SNI avec l'en-tête HTTP Host déchiffré. Les Solutions SSE (Security Service Edge) et les proxies d'inspection TLS d'entreprise peuvent détecter cette discordance.