Антибот-заглушки вводят в заблуждение: как rkn-block-checker 0.6.0 научился их распознавать

Утилита rkn-block-checker создавалась с простой, но амбициозной целью: не ограничиваться констатацией «сайт не открывается», а раскладывать сбой по слоям сетевого стека — DNS (отравление), TCP (блокировка по IP), TLS (DPI на SNI) и HTTP (заглушка провайдера). На тестовых стендах эта схема работала предсказуемо, однако на реальных машинах пользователей начали проявляться нюансы, которые заставили пересмотреть подход к формированию вердиктов.

Подробности

Ключевая проблема, с которой столкнулся разработчик, связана с поведением WAF (Web Application Firewall). Антибот-защита на стороне сайта способна отдавать собственные заглушки, которые внешне очень похожи на страницы-заглушки провайдеров при блокировке. Из-за этого утилита могла ошибочно интерпретировать защитный механизм самого ресурса как вмешательство оператора связи, то есть «антибот притворялся РКН». Это подрывало саму идею точной диагностики: пользователь получал неверный вердикт о природе сбоя, хотя фактически сайт был доступен, а срабатывала лишь система защиты от автоматизированных запросов. Автор статьи отмечает, что именно реальные условия эксплуатации, а не лабораторные тесты, вскрыли слабое место логики. В версии 0.6.0 разработчик переписал логику вердиктов, чтобы утилита корректно различала заглушки WAF и заглушки провайдера. Дополнительно в релиз добавлен локальный Web UI со стримингом, реализованный на чистом Python — без единой сторонней зависимости. Такой подход упрощает развёртывание и снижает риски, связанные с цепочкой поставок сторонних библиотек. В исходной публикации не приводятся конкретные номера CVE: речь идёт не об уязвимости в стороннем продукте, а о внутреннем баге самой утилиты, исправленном её автором.

Что делать

Пользователям rkn-block-checker рекомендуется обновиться до версии 0.6.0, чтобы получать корректные вердикты и не путать антибот-защиту сайтов с блокировками на стороне провайдера. Тем, кто использует утилиту для разбора инцидентов, стоит перепроверять ранее полученные выводы: ложные срабатывания на WAF могли приводить к неверной диагностике. Оценить новый локальный Web UI можно без установки дополнительных библиотек — достаточно штатного Python-окружения. Итог: история наглядно показывает, что диагностический инструмент для сетевой безопасности ценен ровно настолько, насколько точен его вердикт в реальных, а не идеальных условиях. Разработчикам подобных утилит стоит закладывать различение защитных механизмов сайта и вмешательства в канал связи с самого начала.

Источник: Хабр — Информационная безопасность