Прежде чем идти дальше, знайте, что я не сетевой инженер: возможно, если вы работаете в этой области, вы знаете это на протяжении всей своей карьеры, но это совершенно ново для меня. Поскольку первоначальный пост был довольно длинным, я разбил его на две части: проблема и решение. Ситуация Я владею собственным доменом. Я создал несколько поддоменов из него. Некоторые из них переносят на онлайн-сервисы, один из них на в мой домашний помощник, а один в мой NAS, размещенный дома. Последний, очевидно, направляет запросы на мой маршрутизатор, который направляет к нему запросы, связанные с NAS. в юридическом смысле этого термина. во Франции раскрытие таких данных является правонарушение, наказуемое до 5 лет лишения свободы и штрафом до 300 000 €. Теоретически, никто бы не знал о моих поддоменах, включая тот, который указывает на мой IP-адрес маршрутизатора. Частный туннель Cloudflare Частные данные penal Статья 226-2 Чтобы обеспечить подключение к моему NAS, я использую Let's Encrypt, чтобы получить сертификат TLS. Let's Encrypt был благом для людей, чтобы получить бесплатные сертификаты по сравнению с тем, когда нужно было заплатить за них. Но Let's Encrypt не единственный: каждый публичный эмитент сертификата TLS делает то же самое (Google, Cloudflare и т. Д.). Мы можем проверить журналы [французской знаменитой газеты] (французской знаменитой газеты), чтобы увидеть, как они утечки персональных данных. Сертификат прозрачности https://crt.sh/ 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 Not Before 
 Not After 
 Common Name 
 Matching Identities 
 Issuer Name 
 
 
 
 
 
 
 2025-04-02 
 2025-07-01 
 redaction.lemonde.fr 
 redaction.lemonde.fr 
 C=US, O=Google Trust Services, CN=WE1 
 
 
 
 
 
 
 2025-04-03 
 2025-07-02 
 infos.lemonde.fr 
 infos.lemonde.fr 
 C=US, O=Google Trust Services, CN=WE1 
 
 
 
 
 
 
 2025-04-02 
 2025-07-01 
 abonnements.lemonde.fr 
 abonnements.lemonde.fr 
 C=US, O=Google Trust Services, CN=WE1 
 
 
 
 
 
 
 2025-04-02 
 2025-07-01 
 rec-festival.lemonde.fr 
 rec-festival.lemonde.fr 
 C=US, O=Let's Encrypt, CN=R11 
 
 
 
 
 
 
 2025-03-31 
 2025-06-29 
 salon-masters.lemonde.fr 
 salon-masters.lemonde.fr 
 C=US, O=Let's Encrypt, CN=R11 
 
 
 
 
 
 
 2018-04-04 
 2019-02-21 
 s2.shared.global.fastly.net 
 *.lemonde.fr lemonde.fr 
 C=BE, O=GlobalSign nv-sa, CN=GlobalSign CloudSSL CA - SHA256 - G3 
 
 
 
 
 
 
 2012-03-29 
 2014-03-29 
 application-facebook.lemonde.fr 
 application-facebook.lemonde.fr www.application-facebook.lemonde.fr 
 C=GB, ST=Greater Manchester, L=Salford, O=COMODO CA Limited, CN=COMODO High-Assurance Secure Server CA 
 
 
 
 
 
 
 2012-11-29 
 2015-12-03 
 s8.wac.edgecastcdn.net 
 application-facebook.lemonde.fr 
 C=US, O=DigiCert Inc,  , CN=DigiCert High Assurance CA-3 OU=www.digicert.com 2017-04-02 2017-07-01 Редактор: Лемонд Редактор: Лемонд C = US, O = Google Trust Services, CN = WE1 2017-04-03 2017-07-02 инфо.лемонд.фр инфо.лемонд.фр C = US, O = Google Trust Services, CN = WE1 2017-04-02 2017-07-01 Абоненты .LEMONDE.FR Абоненты .LEMONDE.FR C = US, O = Google Trust Services, CN = WE1 2017-04-02 2017-07-01 Рецензия на фестиваль.lemonde.fr Рецензия на фестиваль.lemonde.fr C = US, O = Let's Encrypt, CN = R11 2017-03-31 2018-06-29 салон-мастерс.лемонде.фр салон-мастерс.лемонде.фр C = US, O = Let's Encrypt, CN = R11 2018-04-04 2019-02-21 → с2.shared.global.fastly.net в Интернете * ЛЕМОНДЕ.ФР ЛЕМОНДА.ФР C=BE, O=GlobalSign nv-sa, CN=GlobalSign CloudSSL CA - SHA256 - G3 2012-03-29 → 2014-03-29 → приложение-facebook.lemonde.fr приложение-facebook.lemonde.fr Сайт www.application-facebook.lemonde.fr C=GB, ST=Greater Manchester, L=Salford, O=COMODO CA Limited, CN=COMODO High-Assurance Secure Server CA 2012-11-29 2015-12-03 → s8.wac.edgecastcdn.net в Интернете приложение-facebook.lemonde.fr C=US, O=DigiCert Inc , CN = DigiCert High Assurance CA-3 ОУ=www.digicert.com Посмотрите, как легко мы получаем доступ к субдоменам? Вывод прост: каждый раз, когда вы запрашиваете сертификат TLS у одного из государственных эмитентов, он записывается. из субдомена любой может проследить IP-адрес из записей DNS, и если один из поддоменов указывает на ваш дом, вы легко прослеживаете. and Еще хуже: дневники, похоже, присутствуют навсегда. , вы увидите самый ранний журнал из Digicert в 2013 году. ЛЕМОНДА.ФР Возможные фиксации Давайте посмотрим на возможные исправления. 
 
 
 
 
 
 Удалить субдомен: это вариант, если вам не нужен внешний доступ. я мог, так как удаленный доступ к моему NAS не имеет наибольшего значения. Удалить HTTPS: нужно ли мне объяснить, насколько это плохая идея? Обманите субдомен: Вместо home.yourdomain.com у вас может быть что-то криптичное, как xyz.yourdomain.com. К сожалению, поскольку количество субдоменов довольно ограничено, вы можете проверить их один за другим и все равно найти IP-адрес вашего дома. Использование туннеля Cloudflare: Я использую туннель Cloudflare для своего домашнего помощника. Я не нашел его запросов на сертификаты в журналах. Используйте сертификаты wildcard: запросы на сертификаты wildcard, т.е. *.mydomain.com, записываются так же, как и любые другие. Из вышеуказанного набора решений, два кажутся мне действительными: Cloudflare Tunnel и сертификаты wildcard. 
 
 
 
 
 
 
 
 
 
 Cloudflare Tunnel 
 Wildcard 
 
 
 
 
 Pro 
 Just works 
 Learning opportunity Easier fixability if it fails 
 
 
 
 
 Con 
 Depends on Cloudflare 
 Complexity Security: the certificate can be used on any subdomain Про Просто работает Возможность учиться Легкая фиксация, если она не удается с Зависит от Cloudflare Сложность Безопасность: сертификат можно использовать на любом поддомене С помощью этой простой матрицы решений я решил продолжать использовать Let's Encrypt, но с сертификатами wildcard. Резюме Любые запросы на сертификаты TLS для общедоступного провайдера регистрируются в общедоступном реестре. Запросы на сертификаты для субдоменов, которые указывают на ваш дом (или другие места, которые вы не хотите раскрывать), могут быть отслежены на ваш IP через записи DNS. В последующем посте я буду использовать Let's Encrypt на Synology, чтобы запросить сертификат wildcard. Однако помните, что после того, как ваши запросы были зарегистрированы, они находятся здесь навсегда.Единственные варианты для того, чтобы вернуть вашу конфиденциальность, это либо физически переехать в другое место, либо, за исключением этого, изменить своего интернет-провайдера, который предоставит вам новый IP-адрес. To go further: 
 
 
 Сертификат прозрачности Сертификат поиска Оригинально опубликовано в A Java Geek 21 сентября, 2025 Обзор Java Geek

Read all my posts!

Read My Stories

Follow @nicolas_frankel on Twitter

Этот звук создан на языке оригинала истории!

Слишком долго; Читать

Download free Tech Leaders Productivity Report!

День, когда я узнал, что мой NAS можно проследить с помощью TLS Logs

About Author

КОММЕНТАРИИ

БИРКИ

ЭТА СТАТЬЯ БЫЛА ПРЕДСТАВЛЕНА В

Related Stories

Модель Bitcoin UTXO, обеспечивающая работу уникальной экосистемы

Раскрытие силы ИИ. Систематический обзор передовых методов: Краткое содержание и введение

От форумов до лент новостей: как алгоритмы социальных сетей формируют цифровое взаимодействие

Невидимые слои: почему интервью с пользователями являются незаменимым активом

Модель Bitcoin UTXO, обеспечивающая работу уникальной экосистемы

Раскрытие силы ИИ. Систематический обзор передовых методов: Краткое содержание и введение

От форумов до лент новостей: как алгоритмы социальных сетей формируют цифровое взаимодействие

Невидимые слои: почему интервью с пользователями являются незаменимым активом

Light-Mode

Classic

Newspaper

Dark-Mode

Neon Noir

Minty

HN StartUps