L'ouverture est une propriété de contrôle d'accès, pas un protocole de proxy distinct. Certains relais publics sont offerts intentionnellement, mais un proxy involontairement ouvert est en général une erreur de configuration qui permet à des tiers de consommer des ressources et d'originer une activité via son adresse.
Les attaquants utilisent les proxys ouverts pour masquer leur source immédiate, contourner des restrictions, scanner des cibles, automatiser des attaques d'identifiants ou atteindre des destinations qui font confiance au proxy. Les cibles voient le proxy comme le pair qui se connecte, ce qui complique attribution et réputation. De mauvais contrôles de destination peuvent aussi exposer des services internes.
Points clés
Contrôle d'accèsExiger des clients authentifiés et autorisés ou restreindre l'usage à des réseaux sources contrôlés. Des règles de relais en refus par défaut doivent couvrir chaque écouteur, protocole, famille d'adresses et port alternatif.
Contraintes de sortieLimiter destinations, méthodes, ports, tailles de requêtes, débits de connexion et accès aux adresses privées. Empêcher le chaînage de proxys et les requêtes vers les métadonnées cloud, le loopback ou les interfaces de gestion.
Supervision et réponseAlerter sur volume inhabituel, schémas de scan, échecs d'authentification et inscriptions en listes de réputation. Conserver des enregistrements proportionnés et prévoir un moyen testé de stopper l'abus sans conserver une activité utilisateur excessive.
Limite importanteUne adresse de proxy ne fournit pas un anonymat fiable. L'opérateur peut observer métadonnées et texte en clair, les journaux peuvent relier l'activité à un client, et les services de destination peuvent utiliser d'autres identifiants. À l'inverse, les défenseurs ne peuvent présumer que l'adresse du proxy identifie l'acteur d'origine. Le chiffrement ne protège le contenu que sur les segments où il est correctement établi.