شما مرورگر وب خود را به افزونه‌های مسدودکننده مجهز می‌کنید، تدابیر سخت‌گیرانه حفظ حریم خصوصی را فعال می‌سازید و فهرست‌های پالایش محتوا را به کار می‌گیرید. هنگام بازدید از فروشگاه‌های اینترنتی یا پایگاه‌های خبری، دامنه‌های بازاریابی شخص ثالث ناپدید می‌شوند و ابزارهای پایش شبکه هیچ درخواست مستقیمی به آن‌ها ثبت نمی‌کنند. با این وجود، رفتار مرورگر، جابه‌جایی‌های مکان‌نما و اطلاعات سبد خرید همچنان به سرورهای آماری منتقل می‌شوند. هیچ بدافزاری توسط ضدویروس شناسایی نمی‌شود و گواهینامه‌های امنیتی معتبر هستند. رایانه شما به بدافزار آلوده نشده؛ بلکه با یک ترفند ساختاری در زیرساخت شبکه به نام استتار CNAME (CNAME Cloaking) مواجه شده است.

استتار CNAME پاسخی برنامه‌ریزی‌شده از سوی صنعت ردیابی به تغییرات امنیتی مرورگرهای مدرن به شمار می‌رود. زمانی که سازندگان مرورگرها کوکی‌های شخص ثالث را مسدود کرده و دسترسی اسکریپت‌های بین‌سایتی را محدود ساختند، سازوکارهای پیشین نظارت بر کاربران از کار افتادند. برای حفظ زیرساخت جمع‌آوری اطلاعات، شرکت‌های تبلیغاتی مدیران وب‌سایت‌ها را متقاعد کردند تا سرورهای خارجی را با استفاده از سامانه نام دامنه (DNS) در قالب زیردامنه‌های داخلی (first-party) مستقر سازند. درک این شیوه برای محافظت از اطلاعات حساس و حریم شخصی ضروری است.

سازوکار معماری: تبدیل نهاد خارجی به زیردامنه داخلی

برای تحلیل استتار CNAME، بررسی اصل بنیادین سیاست منشأ یکسان (Same-Origin Policy) در مرورگرها ضروری است. یک منشأ بر پایه پروتکل، نام میزبان و درگاه شبکه تعریف می‌شود. مرورگر انتقال داده را میان بخش‌های دارای منشأ یکسان مجاز می‌شمارد، اما منشأهای متفاوت را به طور کامل از یکدیگر تفکیک می‌کند. اسکریپت فعال روی example.com مجاز به خواندن داده‌های ذخیره‌شده مربوط به همان نشانی است، اما یک سرویس خارجی مانند adnetwork.net امکان دسترسی مستقیم به این اطلاعات را نخواهد داشت.

برای سال‌ها، شبکه‌های تبلیغاتی با بارگذاری کد از دامنه‌های اختصاصی خود اقدام به ثبت کوکی‌های شخص ثالث می‌کردند. با مسدود شدن این دسترسی توسط موتورهای وب، صنعت تبلیغات به رکوردهای نام متعارف در سامانه نام دامنه روی آورد.

رکورد CNAME به عنوان یک نام مستعار عمل می‌کند و به کارگزار DNS اعلام می‌دارد که پرس‌وجوهای مربوط به یک نام باید به نشانی دامنه دیگری هدایت شوند. در ساختار استتار CNAME، مالک وب‌سایت یک زیردامنه اختصاصی در ناحیه تحت مدیریت خود ایجاد می‌کند:

metrics.retailer.com.  CNAME  client.external-tracker.net.

هنگامی که کاربر retailer.com را باز می‌کند، اسکریپت صفحه اطلاعات رفتاری را به metrics.retailer.com می‌فرستد. از دید لایه شبکه مرورگر، این زیردامنه کاملاً وابسته به وب‌سایت اصلی است. مرورگر این پیوند را ارتباطی داخلی تلقی کرده و درخواست‌هایی را که فیلترهای معمول باید متوقف سازند، تأیید می‌کند.

[ کلاینت مرورگر ]
       |
       |  POST https://metrics.retailer.com/collect
       v
[ کارگزار DNS ]
       |  جستجوی metrics.retailer.com -> CNAME client.external-tracker.net
       v
[ سرور ردیابی خارجی (external-tracker.net) ]

از آنجا که تفکیک نام CNAME به صورت شفاف توسط سیستم‌عامل انجام می‌پذیرد، لایه کاربردی مرورگر تنها نام میزبان اولیه را ارزیابی می‌کند. سرور تبلیغاتی خارجی با موفقیت خود را به عنوان بخشی از سایت اصلی جا می‌زند و داده‌ها را بدون جلب توجه دریافت می‌کند.

خطرات امنیتی: افشای کوکی‌های هویتی و افزایش سطح حمله

اگرچه شرکت‌های بازاریابی استتار CNAME را ابزاری بی‌خطر برای جمع‌آوری آمار معرفی می‌کنند، پژوهش‌های مستقل امنیتی خطرات متعددی را در این باره به اثبات رسانده‌اند. مقالات ارائه‌شده در کنفرانس‌های معتبر USENIX Security و ACM نشان می‌دهند که استفاده از این ترفند آسیب‌پذیری‌های شدیدی به همراه دارد.

۱. افشای گسترده کوکی‌های احراز هویت

بزرگ‌ترین خطر استتار CNAME ناشی از نحوه تعیین دامنه اثر کوکی‌های پروتکل انتقال ابرمتن است. هنگام تعریف کوکی‌های نشست یا شناسه‌های دسترسی، برنامه‌نویسان ویژگی Domain را همراه با نقطه یا برای کل دامنه والد تنظیم می‌کنند (مانند domain=.retailer.com). این سازوکار تداوم نشست کاربر را در بخش‌های گوناگون یک سرویس مانند بخش حساب کاربری و درگاه خرید تضمین می‌کند.

اما هنگامی که یک کارگزار تبلیغاتی خارجی در قالب زیردامنه‌ای مانند analytics.retailer.com فعالیت می‌کند، مرورگر تمام کوکی‌های دامنه والد را به هدر درخواست‌های ارسالی به آن ضمیمه می‌کند. در نتیجه، شناسه‌های احراز هویت، داده‌های نشست و مشخصات داخلی حساب کاربری به سرورهای خارجی ارسال می‌شوند. شرکتی که تنها برای آمارگیری به کار گرفته شده بود، داده‌های لازم برای جعل هویت کاربر را به دست می‌آورد.

۲. خطرات زنجیره تأمین و تزریق اسکریپت‌های مخرب

واگذاری زیردامنه به یک شرکت خارجی سطح آسیب‌پذیری سامانه را گسترش می‌دهد. در صورتی که سرور شرکت تبلیغاتی با نفوذ روبرو شود، دامنه آن منقضی گردد، یا تنظیمات منابع ابری آن دچار نقص باشد، مهاجمان می‌توانند مهار آن زیردامنه را در دست بگیرند.

از آنجا که این نشانی در جایگاه دامنه داخلی شناخته می‌شود، نفوذگران قادر خواهند بود اسکریپت‌های مخرب (XSS) تزریق کنند، اطلاعات بانکی را جمع‌آوری نمایند یا بدافزارها را با گواهینامه معتبر وب‌سایت اصلی منتشر سازند. پیمایش‌های دانشگاهی صدها رکورد CNAME رهاشده را یافته‌اند که امکان تصاحب غیرمجاز زیردامنه‌ها را فراهم ساخته‌اند.

۳. نقاط کور در افزونه‌های پالایش محتوای مرورگر

افزونه‌های پالایش محتوا با اتکا به رابط‌های برنامه‌نویسی مرورگرها (مانند webRequest یا declarativeNetRequest) عمل می‌کنند. این افزونه‌ها نشانی درخواست‌ها را با فهرست‌های پالایش تطبیق می‌دهند. هنگام مشاهده درخواستی به سوی telemetry.newsoutlet.com، افزونه آن را داده‌ای مجاز از درون وب‌سایت ارزیابی می‌کند.

بدون دسترسی سطح پایین به توابع سامانه نام دامنه، افزونه‌ها قادر به شناسایی نام متعارف نهایی نیستند. در نتیجه، قواعد فیلترسازی سنتی کارایی خود را در برابر زیردامنه‌های استتارشده از دست می‌دهند و روند گردآوری داده بدون مانع ادامه می‌یابد.

رویکرد دفاعی در لایه شبکه و مزایای سامانه نام دامنه رمزگذاری‌شده

ایستادگی در برابر استتار CNAME نیازمند راهبردی چندلایه است که نقطه مهار را از سطح نشانی وب در مرورگر به لایه انتقال داده و فرآیند تفکیک نام دامنه منتقل سازد.

۱. شناسایی زنجیره نام‌های متعارف (DNS Uncloaking)

فیلترهای مدرن و کارگزارهای پیشرفته DNS از تحلیل بازگشتی رکوردهای CNAME بهره می‌گیرند. به جای پذیرش ظاهری نام میزبان، کارگزار تمام پیوندهای نامگذاری را تا رسیدن به مقصد اصلی دنبال می‌کند. اگر نشانی نهایی در فهرست نظارتی شبکه‌های تبلیغاتی قرار داشته باشد، کارگزار پاسخ مسدودسازی (NXDOMAIN) صادر کرده و ارتباط را پیش از ارسال اطلاعات متوقف می‌سازد.

هرچند برخی مرورگرها قابلیت‌های محدودی در این زمینه ارائه می‌دهند، پیاده‌سازی این وارسی در دروازه شبکه حفاظتی یکپارچه برای تمام نرم‌افزارها و دستگاه‌های متصل فراهم می‌آورد.

۲. توصیه‌های مهندسی برای مدیران وب

توسعه‌دهندگان وب باید سازوکار کوکی‌ها را برای کاهش خطرات افشای داده‌ها بازبینی کنند:

  • محدودسازی دامنه کوکی: از الگوهای گسترده مانند domain=.example.com پرهیز کنید و کوکی‌ها را تنها به میزبانی که نیازمند شناسایی است محدود سازید.
  • فعال‌سازی ویژگی‌های امنیتی کوکی: استفاده از مشخصه‌های SameSite=Strict یا SameSite=Lax به همراه پرچم‌های Secure و HttpOnly را برای کل شناسه‌های ورود اجباری کنید.
  • بازبینی رکوردهای دامنه: رکوردهای ناحیه DNS را بررسی کرده و شناسه‌های CNAME بی‌استفاده را برای جلوگیری از سوءاستفاده پاکسازی نمایید.

۳. حفاظت کامل با تونل‌های رمزگذاری‌شده VPNRice

اکتفا به تنظیمات یک مرورگر، برنامه‌های کاربردی گوشی و فرآیندهای پس‌زمینه را بدون محافظ رها می‌کند. راهکاری مطمئن برای خنثی‌سازی ردیابی‌های مخفی و تغییر مسیرهای غیرمجاز، هدایت ترافیک دستگاه از طریق یک تونل امن با VPNRice است.

با اتصال به VPNRice از طریق پروتکل‌های نوین مانند RiceGuard یا RiceGuardX، درخواست‌های دامنه از بستر شبکه‌های ناامن محلی جدا می‌شوند. پرس‌وجوها در تونلی رمزگذاری‌شده به کارگزارهای خصوصی و مستقل VPNRice ارسال می‌گردند. این کارگزارها با سرعتی بالا پیوندهای CNAME را واکاوی کرده و مسیرهای فریبنده را پیش از ارسال داده‌های هویتی خنثی می‌کنند.

برای ارزیابی وضعیت ارتباطی خود و اطمینان از عدم افشای داده‌های شبکه، می‌توانید از ابزار بررسی نشت WebRTC استفاده کرده و مسیردهی ارتباط خود را در بخش مشاهده نشانی پروتکل اینترنت بررسی فرمایید. همراه ساختن رمزگذاری داده‌ها با پالایش در لایه سامانه نام دامنه، ردیابی‌های پنهان را متوقف ساخته و ردپای دیجیتال شما را امن نگه می‌دارد.