Base de connaissances proxy

Serveurs proxy HTTP

Description : Les proxys de ce type prennent en charge le protocole HTTP et servent a acceder a des pages web et a telecharger des fichiers depuis des services fonctionnant sur le port TCP standard 80.

Limites : Les proxys HTTP classiques ne conviennent pas aux sites qui exigent SSL/TLS et ne peuvent pas etre inclus dans une chaine de proxys.

Classification des proxys HTTP par niveau danonymat

Proxys HTTPS (CONNECT)

Ces proxys prennent en charge la methode HTTP CONNECT, ce qui rend possible le tunneling HTTP. Dans ce scenario, HTTP devient une couche de transport pour un trafic TCP de niveau inferieur.

Grace a cela, ces proxys peuvent se connecter a presque nimporte quel port requis sur la ressource cible et fonctionner avec la plupart des applications TCP, y compris les serveurs web SSL/TLS. Le tunneling rend les proxys HTTPS adaptes aux chaines multicouches et preserve leur anonymat.

Proxys SOCKS

Presque toute application reseau peut fonctionner via des proxys SOCKS : clients mail, systemes de communication specialises, navigateurs, parseurs et autres outils TCP.

La caracteristique cle de SOCKS est la possibilite de construire des chaines sequentielles a partir de plusieurs proxys. Cela augmente lanonymat car SOCKS opere a un niveau reseau plus bas et ne modifie pas les en-tetes HTTP.

Classification des versions du protocole SOCKS

En pratique, les versions les plus courantes sont SOCKS4, SOCKS4a et SOCKS5. Toutes prennent en charge IPv4, TCP et la methode BIND qui ouvre un port pour les connexions entrantes.

SOCKS4a et SOCKS5 ont un avantage critique sur SOCKS4 : le client peut transmettre non seulement une adresse IP mais aussi un nom de domaine, et la requete DNS est resolue du cote du serveur SOCKS. Cela aide a eviter les fuites DNS. SOCKS5 prend en charge en plus UDP, IPv6 et des methodes dauthentification etendues.

Proxys web (proxys CGI, anonymiseurs)

Un proxy web est une page specialisee a travers laquelle un utilisateur ouvre un autre site web, souvent de facon anonyme. Une telle ressource est souvent appelee proxy CGI ou anonymiseur.

Le principal avantage est la simplicite : en general, aucun changement de configuration du navigateur nest necessaire. La plupart des proxys web peuvent fonctionner avec des ressources HTTPS et, si besoin, etre integres dans un schema en cascade.

Analyse fonctionnelle detaillee

1. Les proxys HTTP fonctionnent strictement sur la couche application, couche 7 du modele OSI, et ne conviennent quaux requetes HTTP sans chiffrement integre.
2. Les proxys HTTPS peuvent transmettre correctement le trafic TLS/SSL en utilisant le tunneling HTTP via la methode CONNECT.
3. Toutes les versions SOCKS fonctionnent sur la couche session, couche 5 OSI, qui est plus proche de la logique de transport.
4. SOCKS4 est la version de base sans authentification et sans prise en charge IPv6.
5. SOCKS4a ajoute des ameliorations minimales tout en conservant les limites de SOCKS4.
6. SOCKS5 est limplementation la plus avancee : elle prend en charge les noms de domaine, lauthentification etendue, IPv6 et UDP.

4.1. Classification par type de materiel

Les services proxy peuvent etre divises en deux grandes categories selon la plateforme de calcul sur laquelle ils fonctionnent.

4.2. Classification par origine de lIP

Les bases de donnees modernes permettent danalyser toute adresse IP publique par pays, ville, fournisseur et type de connexion. Les administrateurs de sites utilisent ces donnees pour le marketing, lantifraude, la protection anti-bot et la personnalisation du contenu. Pour cette raison, la confiance accordee a une requete depend non seulement du proxy lui-meme mais aussi de lorigine de lIP.

5.1. Proxys prives

Le terme private designe une connexion utilisee par un seul sujet. Une ressource ne peut etre consideree comme reellement privee que si lacces est restreint par autorisation IP ou par identifiant et mot de passe, ce qui empeche toute utilisation simultanee par des tiers.

Le marche propose des proxys loues a un seul utilisateur pour une periode definie. Ces ressources sont privees pendant la duree de location, mais leur qualite peut encore dependre de lusage quauraient fait les clients precedents. Cest generalement la classe la plus couteuse et, a infrastructure comparable, elle offre la meilleure stabilite et la meilleure vitesse.

5.2. Proxys partages avec acces restreint

Le controle du nombre dutilisateurs peut etre impose par liaison IP ou autorisation obligatoire. Cette approche est couramment utilisee par les proprietaires de proxys bases sur serveur avec des pools relativement reduits de serveurs ou de sous-reseaux. De telles ressources restreignent souvent certains types dactivite, par exemple le SMTP sortant, afin deviter les plaintes RBL et les signalements dabus.

Une source alternative est constituee de ressources obtenues a partir de botnets. Elles peuvent etre protegees par des identifiants, mais plus souvent la restriction est mise en oeuvre via des ports non standard connus du seul proprietaire de linfrastructure. Les proxys BackConnect appartiennent egalement a cette categorie : ils nouvrent pas de port entrant et initient a la place la connexion sortante vers une passerelle. Leurs faiblesses sont lIP concrete inconnue et la rotation soudaine dadresse toutes les quelques minutes.

5.3. Proxys publics

Des listes de proxys publics sont publiees ouvertement sur des milliers de sites. Elles apparaissent generalement apres le scan de ports ouverts dans des plages reseau ou apres des fuites dadresses issues dinfrastructures anciennement liees a des botnets. Apres une verification de base, la part dadresses reellement fonctionnelles dans ces ensembles reste souvent autour de 5 pour cent.

Les agregateurs payants collectent ces ressources, les reverifient regulierement et fournissent aux utilisateurs des listes operationnelles avec une fiabilite bien superieure. Cest exactement le modele sur lequel reposent les verifications et la classification systematiques sur Good-Proxies.ru.

6.1. Serveur proxy en cascade (proxy pour proxy)

Le terme proxy en cascade designe une ressource qui fonctionne elle-meme comme client dun autre serveur proxy plus parent. Dans cette configuration, plusieurs proxys sont relies en sequence et chaque element suivant ouvre une connexion sortante vers le precedent.

Le signe cle dune cascade est que lIP de connexion et lIP finale vue par la ressource cible ne sont pas identiques. Cest ce qui distingue les schemas multicouches dun simple proxy classique.

1. Plusieurs proxys avec des IP source differentes, voire issus de sous-reseaux differents, peuvent produire la meme IP finale.
2. Une seule IP finale peut exposer plusieurs ports, chacun pouvant mener a un proxy source different et meme a une autre geographie.

6.2. Serveur proxy BackConnect (proxy de connexion inverse)

La technologie BackConnect differe fondamentalement du modele proxy classique. Un proxy ordinaire ouvre un port et attend passivement des requetes entrantes, alors que BackConnect nexpose pas de port de service en ecoute et initie lui-meme la connexion sortante vers le client ou une passerelle.

1. Un proxy classique reste en mode passif et attend une connexion entrante.
2. Un proxy BackConnect prend lui-meme linitiative de la connexion, ce qui aide a contourner les firewalls et le NAT, car les connexions sortantes sont generalement autorisees par defaut.

Defis de mise en oeuvre de BackConnect

Une telle architecture cree deux taches fondamentales pour le systeme.

1. Comment transmettre au proxy BackConnect ladresse IP et le port du client afin quil puisse etablir la connexion inverse.
2. Comment garantir que le client est pret a ecouter une connexion entrante provenant du serveur passerelle.

Cela se resout generalement via un serveur passerelle specialise qui accepte la requete du client, la transfere a lun des proxys BackConnect et renvoie ensuite le resultat.

1. La passerelle accepte la requete du client et se presente cote client comme un proxy en cascade classique.
2. La passerelle transfere la requete a lun des noeuds BackConnect connectes.
3. La passerelle recoit le resultat dexecution et le renvoie au client.

Limites de la technologie : Le client ne sait pas a lavance quelle IP finale executera la requete. Pour cette raison, le controle geographique exige generalement plusieurs passerelles ou des pools de ports separes avec des caracteristiques previsibles.

Dans limmense majorite des cas, les proxys BackConnect proviennent dinfrastructures de botnets.

7.1. Compatibilite de protocole (HTTP vs. HTTPS/SOCKS)

Si la ressource cible ne fonctionne que via un protocole HTTPS protege, par exemple https://yandex.ru/, lutilisation dun proxy HTTP classique nest pas adaptee.

1. Les proxys HTTP standards sans support CONNECT ne peuvent pas encapsuler et transmettre correctement du trafic HTTPS chiffre.
2. Pour ces taches, il faut utiliser uniquement des proxys HTTPS ou des proxys SOCKS.

7.2. Adequation geographique (hors ressources chinoises)

La Chine est une source traditionnelle dun tres grand nombre de ressources proxy, et la part de ces adresses dans la base globale peut etre elevee.

En meme temps, a cause du systeme interne de censure en Chine, certains services mondiaux, notamment Google.com, Gmail.com et x.com, peuvent etre indisponibles ou instables.

Si votre programme produit trop derreurs de connexion, lune des causes possibles est une tentative dacceder a une ressource bloquee via un proxy chinois.

7.3. Stabilite de session (ressources durables)

Si vous executez des taches dans une session navigateur ou dans un script de longue duree, il convient de privilegier des ressources proxy durables.

1. Tout proxy peut cesser de fonctionner a tout moment.
2. Le risque dinterruption soudaine peut etre reduit en selectionnant des adresses avec des filtres de qualite plus stricts et plus instructifs.

8.1. Limites de lanonymat complet

Lutilisation dun proxy ne garantit pas un anonymat absolu et ne signifie pas une securite complete de la communication.

1. Meme des ressources anonymes ou tres anonymes peuvent encore permettre la transmission de donnees identifiantes via JavaScript ou dautres mecanismes dechange.
2. Les serveurs proxy eux-memes peuvent conserver des journaux detailles, y compris le trafic, les identifiants et dautres informations confidentielles.
3. Il existe toujours un risque quune ressource soit controlee par des attaquants, des structures detat ou volontairement concue pour intercepter le trafic.

8.2. Construction dune chaine de proxys

Une chaine de proxys decrit une connexion sequentielle de plusieurs ressources afin daugmenter lanonymat grace a un routage multicouche.

1. Les proxys HTTPS, les proxys SOCKS et les proxys web peuvent tous participer a une telle chaine.
2. Contrairement aux schemas en cascade cote serveur, une chaine de proxys est construite entierement cote client par un logiciel specialise.

8.3. Methodes de construction dune chaine

1. Pour les chaines HTTPS et SOCKS, il faut generalement un outil client separe, par exemple ProxyCap.
2. Si la chaine se compose uniquement de proxys web, elle peut etre montee directement dans le navigateur en ouvrant le proxy suivant a linterieur de la session precedente.

8.4. Parametre critique de fiabilite

Toute chaine cesse de fonctionner si un seul composant tombe en panne. Plus la chaine est longue, plus le risque dinterruption est eleve.

8.5. Construction dun proxy judge

Un proxy judge est une ressource specialisee basee sur des scripts qui affiche les parametres de connexion et aide a determiner le veritable niveau danonymat.

1. Lorsquune requete HTTP lui parvient, elle affiche lensemble complet des en-tetes et leur contenu.
2. Ces donnees permettent aux verificateurs de proxys de determiner le type de ressource et son degre danonymat.
3. Le choix dune ressource judge rapide et correcte est critique pour configurer des systemes de verification automatises.

8.6. Adressage IP dans lespace reseau

Internet est un reseau mondial de noeuds informatiques relies par des canaux de communication filaires et sans fil. Pour que ces noeuds echangent des informations, chacun a besoin dun identifiant unique : ladresse IP.

Le format le plus courant aujourdhui est IPv4, cest-a-dire quatre octets numeriques de 0 a 255 separes par des points.

8.7. Classification des plages IP

Pour ladministration et levaluation des risques, il faut distinguer les plages dadresses privees et dangereuses.

8.8. Mecanisme DNSBL/RBL (Realtime Blocking List)

DNSBL ou RBL est une liste structuree dadresses IP et de noms de domaine observes dans une activite reseau nuisible.

1. Les raisons typiques dinscription comprennent les campagnes de spam, les attaques DoS et DDoS ainsi que le scan actif de ports.
2. Ces listes sont distribuees via linfrastructure DNS. Certaines bases peuvent aussi inclure des adresses IP dynamiques sans comportement malveillant direct.
3. Le but principal de DNSBL est de lutter contre le spam dans les emails, les commentaires et les formulaires de message.

8.9. Procedure de verification dune adresse IP dans DNSBL/RBL

Pour verifier votre IP par rapport aux listes de blocage les plus fiables, ouvrez la page de votre IP et de verification RBL.

1. La verification est effectuee uniquement sur les listes de blocage ou la presence indique reellement une activite potentiellement nuisible. Les listes dynamiques ne sont pas analysees separement.
2. Une fois la requete terminee, vous verrez la liste des bases qui contiennent ladresse et pourrez suivre le lien source actif pour identifier la raison et la procedure de suppression.

8.10. Concept de botnet

Le terme botnet combine les mots robot et network et designe un reseau dappareils infectes sous controle centralise.

1. Les attaquants utilisent des virus, des chevaux de Troie et des vers pour controler a distance des ordinateurs dutilisateurs partout dans le monde.
2. De tels programmes fonctionnent de facon cachee et consomment les ressources de lutilisateur sans quil le sache.
3. Les taches typiques dun botnet incluent le spam, le cassage de mots de passe, les attaques DoS et laugmentation artificielle des clics dans les reseaux publicitaires.