Warstwa brzegowa systemu faktury elektronicznej DTE

Cel audytu

Celem jest ustalenie, czy publiczny punkt infrastruktury faktury elektronicznej w Chile:

• • korzysta z globalnego WAF/CDN-as-a-Service w torze transmisji (data-plane),

• • deleguje DNS do zewnętrznych vendorów,

• • ujawnia fingerprinty reverse-proxy,

• • czy też działa w modelu państwowego edge z lokalną ochroną aplikacyjną.

Audyt wykonano z sieci publicznej, bez uwierzytelnienia. Badany host:

maullin.sii.cl

---

1. DNS – rekordy A / AAAA / CNAME

Komenda

$h = "maullin.sii.cl"

foreach($t in "A","AAAA","CNAME"){
  Resolve-DnsName $h -Type $t
}

Wynik

• • A: 200.10.251.220 (również widoczny alternatywny adres 200.10.252.220)

• • AAAA: brak rekordu

• • CNAME: brak (zwracany SOA strefy)

Interpretacja

Brak rekordu CNAME oznacza, że ruch nie jest przekierowany do globalnego dostawcy CDN/WAF (Cloudflare, Akamai, Imperva, Fastly, Azure Front Door itd.). Adresy IPv4 wskazują na lokalną infrastrukturę krajową, a nie hyperscaler publiczny.

Wniosek cząstkowy

Brak delegacji DNS do globalnego vendor-edge.

---

2. DNS – kontrola strefy (NS / SOA)

Komenda

Resolve-DnsName "sii.cl" -Type NS
Resolve-DnsName "sii.cl" -Type SOA

Wynik

NS: ns01.sii.cl
    ns02.sii.cl
    ns03.sii.cl
SOA:
PrimaryServer: ns01.sii.cl

Interpretacja

Serwery nazw znajdują się wewnątrz domeny państwowej SII. Oznacza to pełną kontrolę państwa nad warstwą DNS bez outsourcingu control-plane.

Wniosek cząstkowy

DNS utrzymywany lokalnie przez administrację skarbową.

---

3. HTTP – fingerprint warstwy brzegowej

Komenda

curl.exe -vkI "https://maullin.sii.cl/" 2>&1

Wynik (fragment)

HTTP/1.1 200 OK
Strict-Transport-Security: max-age=16070400; includeSubDomains
Content-Type: text/html
Set-Cookie: TS01060268=...

Interpretacja

Brak fingerprintów globalnych CDN/WAF

Nie występują nagłówki charakterystyczne dla:

• • Cloudflare (cf-ray, server: cloudflare)

• • Akamai (AkamaiGHost, akamai-*)

• • Imperva (X-CDN, incap_*)

• • Azure Front Door / Fastly (x-azure-ref, via, edge-*)

Obecność ciasteczka TS…

Cookie zaczynające się od: TS01060268=… jest charakterystyczne dla: lokalnych urządzeń klasy F5 BIG-IP / ASM / WAF działających jako reverse-proxy w infrastrukturze własnej. To oznacza:

• • istnieje warstwa pośrednia ochrony aplikacyjnej,

• • ale zlokalizowana w infrastrukturze państwowej, nie w globalnym CDN-as-a-Service.

Wniosek cząstkowy

Prawdopodobny lokalny WAF / load balancer klasy F5, bez vendor-edge.

---

4. TLS – certyfikat

Komenda

$req = [System.Net.HttpWebRequest]::Create("https://maullin.sii.cl/")
$req.Method = "GET"
$req.AllowAutoRedirect = $false
try { $resp = $req.GetResponse() } catch { $resp = $_.Exception.Response }

$cert = $req.ServicePoint.Certificate
$cert.Subject
$cert.Issuer
$cert.GetEffectiveDateString()
$cert.GetExpirationDateString()

Wynik

Subject: CN=maullin.sii.cl,
         O=SERVICIO DE IMPUESTOS INTERNOS,
         C=CL
Issuer : GlobalSign RSA OV SSL CA 2018
Valid  : 26.09.2025 – 28.10.2026

Interpretacja

Certyfikat:

• • wystawiony bezpośrednio dla instytucji państwowej SII,

• • brak sygnatur charakterystycznych dla globalnego edge CDN/WAF,

• • spójny z lokalną terminacją TLS w infrastrukturze własnej.

Wniosek cząstkowy

Brak przesłanek terminacji TLS przez globalny vendor-edge.

---

5. Synteza techniczna

DNS

• • brak CNAME do CDN/WAF

• • lokalne NS/SOA w domenie państwowej

HTTP

• • brak fingerprintów globalnych vendorów

• • obecność cookie wskazującego na lokalny WAF F5

TLS

• • certyfikat instytucjonalny SII

• • brak oznak globalnej terminacji edge

---

6. Wniosek końcowy dla Chile

Publiczna infrastruktura DTE w Chile nie korzysta z globalnego WAF/CDN-as-a-Service w torze transmisji, lecz działa w modelu państwowego edge z lokalnym WAF sprzętowym. ➡️ Klasyfikacja architektury: Państwowa infrastruktura + lokalny reverse-proxy/WAF (on-prem).

---

7. Znaczenie porównawcze (globalne)

Po analizie:

• • Brazylia – państwowy origin bez vendor-edge

• • Meksyk – chmura hyperscalera bez globalnego WAF

• • Chile – państwowy edge z lokalnym WAF sprzętowym

widzimy wspólną cechę: brak delegacji data-plane do globalnego WAF-as-a-Service w dużych systemach clearance Ameryki Łacińskiej.

---

8. Ocena końcowa audytu

Status: Brak dowodów na globalny CDN/WAF reverse-proxy. Model infrastrukturalny: ➡️ Suwerenny edge państwowy + lokalna ochrona aplikacyjna. Wpływ na hipotezę badawczą: ➡️ Wzmacnia tezę o architektonicznej wyjątkowości Polski, jeśli w Polsce występuje globalny vendor-edge w torze transmisji fiskalnej.

Grzegorz GPS Świderski Kanał Blogera GPS GPS i Przyjaciele X.GPS65