Warstwa brzegowa systemu clearance B2B

Cel audytu

Celem jest ustalenie, czy publiczny punkt wejścia do systemu faktur elektronicznych NF-e w Brazylii:

• korzysta z globalnego WAF/CDN-as-a-Service w torze transmisji,
• deleguje DNS do zewnętrznego operatora,
• ujawnia fingerprinty reverse-proxy,
• czy też działa w modelu lokalnego, państwowego edge.

Audyt wykonano z sieci publicznej, bez uwierzytelnienia. Badany host:

www.nfe.fazenda.gov.br

---

1. DNS – rekordy A / AAAA / CNAME

Komenda

$h = "www.nfe.fazenda.gov.br"

foreach($t in "A","AAAA","CNAME"){
  Resolve-DnsName $h -Type $t
}

Wynik

• A: 200.198.239.19
• AAAA: brak rekordu
• CNAME: brak (zwracany SOA strefy)

SOA domeny:

Primary: bsa1.serpro.gov.br
Admin:   hostmaster.serpro.gov.br

Interpretacja

Brak CNAME oznacza ruch nie jest kierowany do globalnego dostawcy CDN/WAF. SOA wskazuje na SERPRO – federalnego operatora IT Brazylii. To sugeruje DNS i infrastruktura należą do państwa, nie do zewnętrznego vendor-edge.

Wniosek cząstkowy

Brak delegacji DNS do globalnego WAF/CDN.

---

2. Odpowiedź HTTP – fingerprint warstwy brzegowej

Komenda

curl.exe -vkI "https://www.nfe.fazenda.gov.br/"

Wynik

HTTP/1.1 302 Object moved
Location: /portal
Server: Microsoft-IIS/10.0
Set-Cookie: ASPSESSIONID...
X-Powered-By: ASP.NET

Interpretacja

Nie występują nagłówki charakterystyczne dla:

• Cloudflare (cf-ray, server: cloudflare)
• Imperva (X-CDN: Imperva, incap_*)
• Akamai (akamai-*, AkamaiGHost)
• innych CDN/WAF (Via, X-Cache, Edge-*)

Widoczny jest bezpośredni origin IIS/ASP.NET. To oznacza brak rozpoznawalnego reverse-proxy WAF/CDN w data-plane.

Wniosek cząstkowy

Warstwa HTTP wygląda na lokalny serwer aplikacyjny, nie globalny edge.

---

3. Certyfikat TLS – własność i terminacja

Komenda

$req = [System.Net.HttpWebRequest]::Create("https://www.nfe.fazenda.gov.br/")
$req.Method = "GET"
$req.AllowAutoRedirect = $false
try { $resp = $req.GetResponse() } catch { $resp = $_.Exception.Response }

$cert = $req.ServicePoint.Certificate
$cert.Subject
$cert.Issuer
$cert.GetEffectiveDateString()
$cert.GetExpirationDateString()

Wynik

Subject: CN=www.nfe.fazenda.gov.br
Issuer : CN=R13, O=Let's Encrypt, C=US
Valid  : 12.01.2026 – 12.04.2026

Interpretacja

Certyfikat:

• wystawiony bezpośrednio dla domeny rządowej,
• nie wskazuje na certyfikację edge CDN,
• brak sygnatur vendor-TLS (Akamai, Cloudflare, Imperva).

Let’s Encrypt nie implikuje CDN – to neutralny publiczny CA.

Wniosek cząstkowy

Brak dowodu terminacji TLS przez globalny WAF/CDN.

---

4. Synteza wyników technicznych

DNS

• brak CNAME do CDN/WAF
• SOA wskazuje państwowego operatora (SERPRO)

HTTP

• brak fingerprintów vendor-edge
• widoczny origin IIS/ASP.NET

TLS

• certyfikat bezpośrednio dla domeny rządowej
• brak oznak terminacji przez zewnętrzny edge

---

5. Wniosek końcowy dla Brazylii

Publiczny punkt wejścia do systemu NF-e nie wykazuje obecności globalnego WAF/CDN w torze transmisji i wygląda na lokalny, państwowy edge infrastrukturalny.

---

6. Znaczenie porównawcze (w kontekście Polski)

Brazylia jest:

• jednym z najstarszych i największych systemów clearance B2B na świecie,
• systemem o bardzo wysokiej skali fiskalnej.

Mimo to nie ujawnia architektury globalnego reverse-proxy WAF w data-plane. To stanowi silny kontrast wobec architektury obserwowanej w Polsce.

---

7. Ocena końcowa audytu

Status: Brak dowodów na użycie globalnego WAF/CDN w warstwie brzegowej NF-e.

Klasyfikacja architektury:
➡️ Państwowy edge lokalny

Wpływ na tezę badawczą:
➡️ Wzmacnia hipotezę unikatowości Polski,
ponieważ nawet system o skali Brazylii nie stosuje analogicznego modelu.

Grzegorz GPS Świderski
Kanał Blogera GPS
GPS i Przyjaciele
X.GPS65