Domain fronting – technika ukrywania rzeczywistego adresata połączenia HTTPS, polegająca na użyciu różnych nazw domen w różnych warstwach komunikacji. Na zewnątrz połączenia, w zapytaniu DNS i w polu SNI (ang. Server Name Indication) protokołu TLS, widoczna jest nazwa dozwolonej domeny przykrywki (ang. front domain). Rzeczywisty cel połączenia jest podany w nagłówku Host protokołu HTTP, który dzięki szyfrowaniu jest niewidoczny dla obserwatora sieci. Technikę opisali w 2015 roku badacze z Uniwersytetu Kalifornijskiego w Berkeley i współpracownicy jako metodę omijania cenzury internetu.
Działanie
Domain fronting wykorzystuje usługi, które w ramach wspólnej infrastruktury obsługują wiele domen, przede wszystkim sieci dostarczania treści (CDN). Serwer brzegowy CDN odszyfrowuje połączenie TLS, odczytuje nagłówek Host i na jego podstawie przekazuje żądanie do rzeczywistej domeny docelowej, a nie do domeny podanej w polu SNI. Przykładowo żądanie wysłane do www.google.com z nagłówkiem Host wskazującym maps.google.com zwraca stronę Map Google.
Obserwator sieci, np. cenzor, widzi tylko połączenie z domeną przykrywką. Aby zablokować ruch do ukrytej domeny, musiałby zablokować całą domenę przykrywkę, co oznacza duże straty uboczne. Odmianą techniki jest tzw. domainless fronting, w którym połączenie nie zawiera nazwy domeny w polu SNI.
Zastosowania
Omijanie cenzury
Pierwszym narzędziem, które wykorzystało tę technikę do omijania cenzury, był działający w Google App Engine GoAgent, popularny w Chinach. Domain fronting wdrożono m.in. w sieci Tor jako transport meek, a także w narzędziach Lantern i Psiphon. Komunikator Signal przez około półtora roku korzystał z domain frontingu w Google App Engine, aby działać w Egipcie, Omanie, Katarze i Zjednoczonych Emiratach Arabskich, gdzie bezpośredni dostęp do niego był zablokowany.
Ukrywanie złośliwej komunikacji
Technikę wykorzystują także atakujący do ukrywania komunikacji z serwerami zarządzającymi (C&C). W bazie MITRE ATT&CK jest opisana jako T1090.004. Według MITRE grupa APT29 używała transportu meek do ukrywania ruchu C&C, a obsługę domain frontingu ma m.in. narzędzie Cobalt Strike. Domain fronting pozwala też ukryć zapytania DNS over HTTPS (DoH). Zapytanie do serwera DoH Google można wysłać w połączeniu, które wygląda jak ruch do innej usługi Google, np. google.com lub blogger.com, co utrudnia wykrycie i blokowanie DoH.
Przeciwdziałanie
Skuteczność domain frontingu zależy od tego, czy dostawca toleruje rozbieżność między polem SNI a nagłówkiem Host. Część sieci CDN porównuje obie nazwy i odrzuca żądania, w których się one różnią. W kwietniu 2018 roku Google wyłączyło obsługę domain frontingu w usłudze Google App Engine, a wkrótce potem Amazon wprowadził analogiczne zabezpieczenia w sieci CloudFront. Dla komunikatora Signal, który używał domeny google.com jako przykrywki dla ruchu kierowanego do App Engine, oznaczało to, że w krajach, w których z tego korzystał, domain fronting jako metoda omijania cenzury stał się w dużej mierze bezużyteczny.
Blokady dotyczyły jednak konkretnych usług i nie zamknęły wszystkich możliwych wektorów. W 2019 roku domain fronting nadal działał między domenami samego Google, co wykorzystano do ukrywania zapytań DoH. W 2025 roku badacze z firmy Praetorian pokazali kolejny wariant techniki, w którym przez domeny takie jak google.com czy meet.google.com można było kierować ruch do własnych usług uruchomionych w chmurze Google. Jako przykrywki mogły przy tym służyć także domeny aplikacji działających w Google App Engine, np. Snapchata.
W sieci organizacji domain fronting można wykryć, stosując inspekcję ruchu TLS i szukając połączeń, w których nazwa w polu SNI nie zgadza się z nagłówkiem Host.
