Proxy trasparenti
Un proxy trasparente inoltra le richieste attraverso il proprio server ma rivela al sito l’indirizzo IP originale dell’utente. Può farlo aggiungendo l’indirizzo a un’intestazione HTTP, un campo che porta informazioni insieme alla richiesta. Collegarsi attraverso un IP diverso non nasconde quindi necessariamente il proprio indirizzo.
Il termine appartiene alla vecchia classificazione dei livelli di anonimato dei proxy. Il comportamento Élite / Alto anonimato è diventato la norma per i moderni proxy commerciali: il servizio non inoltra l’IP originale del client e non aggiunge intestazioni che dichiarano l’uso del proxy. La categoria Trasparente è utile soprattutto per capire vecchie descrizioni ed etichette negli elenchi di proxy pubblici.
Come il sito conosce il tuo IP
Supponiamo che il tuo IP pubblico sia 198.51.100.24 e che il proxy raggiunga il sito da 203.0.113.80. È il proxy ad aprire la connessione verso il sito, che vede quindi l’indirizzo del proxy come origine della connessione.
Nell’inoltrare una richiesta HTTP non cifrata, il proxy può però aggiungere X-Forwarded-For: 198.51.100.24. Il sito riceve allora due indirizzi: l’IP del proxy dalla connessione e il tuo IP da un campo all’interno della richiesta.
Una pagina di verifica IP può mostrare soltanto l’indirizzo di connessione. Vedresti l’IP del proxy anche se il tuo indirizzo fosse arrivato anch’esso al sito. Per controllare questa divulgazione, confronta il valore inoltrato con l’IP pubblico che usi per collegarti al proxy: la sola presenza di X-Forwarded-For non dimostra che contenga il tuo indirizzo reale. Un sito non è obbligato a fidarsi di un’intestazione fornita da un’altra parte, ma quando il valore è il tuo IP l’informazione è già arrivata.
Perché mantenere l’indirizzo originale?
I proxy svolgono anche attività che non richiedono anonimato. Nella rete di un’organizzazione, un proxy può limitare l’accesso ai siti, filtrare richieste o conservare le risposte che consentono la memorizzazione nella cache, per servirle nuovamente senza recuperarle dal server di origine.
Quando una richiesta attraversa più sistemi della stessa organizzazione, il sistema successivo può dover sapere quale client l’abbia inviata. Trasmettere l’indirizzo originale aiuta nella contabilizzazione delle richieste e nelle regole di accesso. È una scelta deliberata dell’infrastruttura. Non è adatta a un cliente che acquista un proxy per nascondere il proprio IP ai siti esterni.
Un altro significato di “trasparente”
Nella documentazione di rete, proxy trasparente può indicare anche un proxy attraverso cui il traffico viene instradato automaticamente. L’utente non inserisce un indirizzo proxy nel browser; sono le apparecchiature di rete a impostare il percorso. Un amministratore può usare questa configurazione per indirizzare i dispositivi attraverso un sistema di filtraggio condiviso.
Qui la parola descrive come viene organizzata la connessione. Nella classificazione dell’anonimato descrive la divulgazione di un IP a un sito. Sono proprietà indipendenti: configurare manualmente il proxy non garantisce che l’indirizzo rimanga nascosto e il solo reindirizzamento automatico non significa che venga inoltrato nelle intestazioni HTTP.
Che cosa cambia con HTTPS?
L’esempio X-Forwarded-For si applica a una richiesta leggibile dal proxy. Per una normale connessione HTTPS attraverso un proxy HTTP, l’applicazione apre un tunnel con CONNECT. La richiesta al sito, comprese le intestazioni, viaggia poi dentro una connessione TLS cifrata. Un proxy che si limita a inoltrare quei byte cifrati non può inserirvi il tuo IP.
Un gateway aziendale che decifra HTTPS funziona diversamente: il dispositivo dell’utente deve fidarsi dei suoi certificati affinché l’ispezione avvenga senza errori di certificato. Un risultato Trasparente ottenuto con una prova HTTP in chiaro non può quindi essere applicato automaticamente a HTTPS trasportato tramite un tunnel.