域前置（英語：Domain fronting），又譯域名幌子[1][2]，是一種隱藏連接真實端點來規避互聯網審查的技術。在應用層上運作時，域前置使用戶能通過HTTPS連接到被封鎖的服務，而表面上像在與另一個完全不同的站點通訊。[3][4]
 | 此條目應避免有陳列雜項、瑣碎資料的部分。 (2021年6月15日) |
此技術的原理為在不同通訊層使用不同的域名。在明文的DNS請求和TLS伺服器名稱指示（SNI）中使用無害的域名來初始化連接、公佈給審查者，而實際要連接的「敏感」域名僅在建立加密的HTTPS連接後發出，使其不以明文暴露給網絡審查者。[5][6][7]
這種舉動在被封鎖的站點與無害站點為同一個大型服務提供商時較為可行，例如由內容傳遞網路提供的服務。[5][6][7]此時審查者通常很難區分被偽裝流量與合法流量的特點，迫使審查者選擇放行所有看似無害的流量，或者選擇徹底封鎖此域的流量。而徹底封鎖可能帶來顯著的附加損害。[8][9]
使用情況
Signal加密即時通訊應用程式在 2016-2018 年內建了域前置來規避在埃及、阿曼、卡塔爾和阿拉伯聯合酋長國的封鎖。[9]
Telegram為應對Roskomnadzor的封鎖曾使用亞馬遜雲端運算服務進行域前置。[10]
Tor使用一種稱為meek網橋的域前置實現來規避審查。[11]俄羅斯黑客組織Cozy Bear（或稱APT29）使用Tor的meek網橋來隱藏惡意流量。流量就像連接到使用CDN的普通網站一樣。[12][13]
禁用
Cloudflare在2016年的一些修改讓基於其CDN的域前置不再工作。[14]
Google於2018年4月宣佈將在Google應用服務引擎禁用域前置，稱這從未是Google有意支援的一項功能。[15][16]亞馬遜公司也在不久後決定停用CloudFront上的域前置相容，表示這已被視為違反亞馬遜網絡服務系統（AWS）服務條款。[17][18][10][19][20]有報道認為，Google和亞馬遜做此決定的部分原因是來自俄羅斯政府的壓力，因Telegram在當地使用這兩家雲服務提供商進行域前置活動。[21]
Tor早前也使用Google和亞馬遜的雲服務進行域前置以保護用戶活動，在兩者相繼關閉域前置相容後，Tor將域前置服務轉移到尚未決定關閉該相容的Microsoft Azure服務[22]，但尚不知微軟會否對其提供持續支援[23]，微軟公司沒有回應CyberScoop提出的置評請求[22]。
雖然域前置技術可以幫助用戶繞過互聯網審查，但黑客組織和惡意軟件也會使用該技術。FireEye曾報道稱，與俄羅斯相關的黑客組織APT29使用該技術從目標網絡中竊取數據。[12]CyberArk等公司則詳細介紹了惡意軟件如何利用該技術控制殭屍網絡。賽風（Psiphon）總裁米高·赫爾（Michael Hull）告訴媒體CyberScoop，他公司的產品從未依賴域前置技術，並將這種做法描述為「解決難題的一個捷徑」、「域前置本身不是很有效，結合混淆、HTTP檔頭修改、傳輸碎片化等一系列技術才能擊敗強大的審查者，多元化審查規避工具包的重要性不容小視」，並補充道：「域前置正在擊潰內容傳遞網路的設計，這也是亞馬遜和谷歌禁止該技術的原因。」Tor發言人Whited則不太同情兩公司的決定，並指責這兩家公司作出了輕率的決定，終結了世界的各地記者和活動家的一種非常重要的通訊手段。[22]
2018年7月左右的互聯網工程任務組（IETF）會議上，蘋果公司、Cloudflare和Mozilla的工程師在一項名為「加密伺服器名稱指示（ESNI）」的新協定上取得了進展，該協定將能解決TLS SNI暴露給竊聽者的問題。但是，該協定的定稿和部署可能仍需數年。[22]
2023年10月，Fastly告知Tor Project域前置將在次年2月被禁用，這影響了Snowflake網橋的運作[24]。
相容情況
不完全統計，目前相容域前置的CDN有 Automattic、CDN77、Incapsula、Microsoft Azure、StackPath。
不少網站未使用CDN，但是其HTTP伺服器接受無SNI或不同SNI連接，因此用戶也可以使用域前置繞過對於它們的檢測SNI的封鎖。[25]
參考資料
參見
Wikiwand in your browser!
Seamless Wikipedia browsing. On steroids.
Every time you click a link to Wikipedia, Wiktionary or Wikiquote in your browser's search results, it will show the modern Wikiwand interface.
Wikiwand extension is a five stars, simple, with minimum permission required to keep your browsing private, safe and transparent.
