למה פרוקסי ציבורי מסוכן: סיכונים, מהירות וזיוף דפים ברשת

לפרוקסי ציבורי אין תעודת זהות: זו כתובת מטבלה שמאחוריה שרת של מישהו עם כוונות לא ידועות. לפעמים עומד מאחוריה חובב נחמד, לרוב הגדרה פרוצה של מישהו, ולעיתים מלכודת שהוצבה בכוונה. הבעיה היא שמבחוץ אי אפשר להבחין ביניהם. נעבור על חמשת הסיכונים שנובעים מכך ועל דרכים לבדוק כל אחד לפני שיעלה לכם כסף.

סיכון 1: עיניים זרות בתעבורה

כל הזרם עובר דרך מכונה זרה. אתרים מוצפנים מגינים על התוכן, אבל בעל הצומת עדיין רואה דומיינים, זמנים ונפחים: זה כבר מספיק לפרופיל של תחומי העניין שלכם. וכל אתר בלי הצפנה פתוח לגמרי, עם טפסים ועוגיות. מכאן כלל הברזל: דרך כתובת ציבורית לא נכנסים לשום חשבון, לא מזינים קודים ולא פותחים דפי תשלום. הכלל הזה לא מכיר חריגים של «רק הצצה».

סיכון 2: תוכן מזויף

מתווך שכותב תעבורה מחדש יכול לקרוא וגם לשנות: להוסיף מודעות משלו או סקריפט לאיסוף נתונים, להחליף כתובת ארנק בדף לא מוצפן או לענות בדף התחברות מזויף. אזהרות תעודה בדפדפן הן כאן קו ההגנה האחרון: אם אתר מתלונן פתאום על התעודה שלו דרך הפרוקסי, סגרו מיד את הכרטיסייה, זו לא סתם תקלה. לבדיקה פתחו דרך השורה את בדיקת האנונימיות שלנו והשוו כותרות למה שציפיתם, עקבות התערבות נראות לעיתים כבר שם.

סיכון 3: כתובת חשופה בכל מקום

רשימות ציבוריות נקראות לא רק על ידי משתמשים אלא גם על ידי הפלטפורמות עצמן, שמעבירות כתובות למסננים באצוות. לכן הגורל הטיפוסי של כתובת ציבורית הוא קאפצ'ה בחיפוש, חסימה במרקטפלייס ושתיקה של שירותי דואר. העבירו את הכתובת ברשימות השחורות של RBL: עשרות רשומות הן נורמה לכתובת ציבורית, ועם מוניטין כזה אין טעם לעבוד עליה.

לחשיפה יש גם ממד כספי: משימה שרצה על כתובות כאלה מבזבזת משאבים. הסורק מקבל קאפצ'ות במקום דפים, הבודק כותב סירובים שגויים, והתוצאות לא מבחינות בין בעיות אתר לבעיות כתובת. כל אנליטיקה שנאספה דרך רשימה ציבורית דורשת בדיקה חוזרת, כלומר עבודה כפולה.

סיכון 4: מהירות ויציבות על אפס

מאות אנשים חולקים כתובת פתוחה בו-זמנית, הערוץ שלה ביתי ואורך חייה שעות. לצפייה חד-פעמית בדף זה נסבל, ולכל משימה קבועה זה מחולל פסקי זמן ושגיאות שווא. פירטנו את האבחון במאמר על פרוקסי חינמי שלא עובד, כולל טבלת תסמינים.

סיכון 5: עניינים של אחרים על אותה כתובת

במקביל אליכם עובדים דרך אותה כתובת אנשים לא ידועים עם משימות לא ידועות. הספאם וההתקפות שלהם הופכים למוניטין של הכתובת שממנה גם אתם יוצאים: אתרים לא בודקים איזה משתמש בצומת התנהג רע. ואם הצומת הוא שרת פרוץ של מישהו, אתם משתמשים טכנית במשאב זר בלי ידיעת הבעלים, והצד המשפטי של החיסכון הזה מעורפל ברוב תחומי השיפוט.

איך כתובות מגיעות לרשימות

הבנת הקו מסבירה את איכות הסחורה. סורקים מסרקים ללא הרף מרחבי כתובות ומנסים פורטים נפוצים: מה שעונה נכנס למאגר. אגרגטורים מדפיסים זה את מאגריו של זה, ולכן אותה כתובת מסתובבת בעשרות אתרים שבועות אחרי מותה. ככל שרשימה רחוקה יותר מהמקור, חלק השורות המתות והמסוכנות גדול יותר. מכאן מסנן מעשי: ערך יש רק לרשימה עם בדיקה עצמית וחותמות זמן טריות, והשאר ארכיאולוגיה.

סעיף נפרד למקרה שכבר השתמשתם בכתובות ציבוריות והזנתם נתונים: החליפו סיסמאות בשירותים שנכנסתם אליהם, בדקו בדואר סשנים לא מוכרים ומסנני העברה. אם בין הנתונים היו פרטי תשלום, קל יותר להנפיק כרטיס חדש מאשר לעקוב אחריו חודשים. פרנויה כאן זולה משחזור, ואת כל הצעדים פירטנו במאמר על פריצה לחשבון.

איפה כתובות ציבוריות מתאימות

יש אזור אחד: משימות חד-פעמיות לא אישיות. ניפוי קוד, בדיקת זמינות דף, ניסויי לימוד. בשבילן אנחנו מחזיקים רשימה עם פינג ותאריך בדיקה לכל כתובת. כל מה שקשור לחשבונות, כסף, איסוף נתונים קבוע ותוצאות שתישאלו עליהן חי על כתובות עם מפעיל ידוע: מאחורי השורה עומדים חוזה ותמיכה ולא שרת מקרי. הגבול הזה עובר בין «אין מה להפסיד» ל«יש מה להפסיד» יותר מאשר בין חינם לתשלום: ברגע שמופיע השני, רשימות ציבוריות נסגרות. השוואת פורמטים לפי מצב, מהירות ותמיכה ריכזנו בטבלה בניתוח פרוקסי בתשלום וחינמי, והיא עוזרת להסביר את הגבול הזה לעמיתים ולתקציב.