Одноразовые домены

[infowatch]

Вы когда-нибудь встречали такие? Доменные имена, предназначенные для единственного запроса. Типа вот такого:
http://w9gpo0vw4kgmbacfph.fnn.ru/counter.gifВ большинстве случаев они предназначаются для деанонимизации пользователей. Или для маркетингового анализа, что то же

Comments

[arjlover]

Что-то я не понял. У половины мира уже давно стоит в качестве резолвера 8.8.8.8 - и чем мне помогут логи моего DNS когда в нем будет половина строчек от 8.8.8.8, а остальная половина от резолверов разных провайдеров? Клиент тут где вообще?

[infowatch]

Половина мира? А вы с какой планеты?

Мне тут недавно человек с Земли показывал вот такую статистику.

[arjlover]

Жуть какая. :) В любом случае что это даст? Если жертва пользуется VPN, то и резолвер будет от VPN? если прокси, то как фишка ляжет...

[infowatch]

А ещё твой DNS - дополнительный идентифицирующий признак.

Например, мы с тобой вдвоём пришли в гости и подключились через один и тот же вайфайный роутер. Сервер нас различит, поскольку ты пользуешься гугловским резолвером, а я - провайдерским.

Если ты перейдёшь на провайдерский (т.е. примешь DNS, назначенный по DHCP), нас всё равно можно будет различить. Потому что у тебя он будет единственным, а у меня прописан ещё вторичный.

[dil]

Если вы пошли на один и тот же уникальный URL, то сервер сможет определить, что с адреса этого роутера к нему приходили минимум два клиента, пользующихся разными DNS'ами, но не сможет точно определить, сколько их было всего, и кто из вас каким DNSом пользовался.

А вторичный DNS обычно используется очень редко, только если первичный не отработал, так что о нём вообще, скорее всего, никто не узнает.

[infowatch]

Да, чтобы узнать о вторичном DNS'е, сервер должен проделать хитрый финт - выдать пользователю уникальный домен, не ответить на первый его запрос и ответить на второй.

[dil]

А если у пользователя внезапно только один DNS-сервер настроен, он вообще ответа не получит..

[infowatch]

...и таким образом будет установлено, что данный клиент имеет единственный ДНС-резолвер - ещё один отличительный признак. На одноразовом домене живёт не вся веб-страница, а один её элемент, какой-нибудь маленький рисуночек.

[dil]

Либо у клиента стоит какой-нибудь адблок, который блокирует всякую непонятную фигню с левых доменов, даже не пытаясь отресолвить домен.

[infowatch]

Вот в этом и заключалась мысль моего поста: системы защиты пока не умеют распознавать одноразовость.