@tom s Danke für die Hinweise. Ich habe das jetzt in einer kurzen Stichprobe getestet:


  • UA-Filter vorübergehend deaktiviert
  • Anubis auf DEBUG gestellt
  • separates TLS-Light-Logging in Nginx aktiviert


Ergebnis für den angeblichen Android-6-/Chrome-65-Client:

Requests:              13
Unterschiedliche IPs:  13
Challenges ausgestellt: 11
Challenges gelöst:       0

Die 13 Verbindungen ergaben zunächst zwölf verschiedene TLS-Profile. Die Unterschiede bestanden allerdings ausschließlich aus zufälligen GREASE-Werten. Nach deren Normalisierung hatten alle Verbindungen exakt dasselbe TLS-Profil.

Der TLS-Fingerprint allein eignet sich trotzdem nicht für eine sichere Sperre: Dasselbe normalisierte Profil wurde in der Stichprobe auch von aktuellen Chrome-142-, Chrome-148- und Chrome-149-Clients verwendet.

Die Kombination ist jedoch eindeutig verdächtig: Der User-Agent behauptet Android 6 / Chrome 65, verwendet aber einen modernen TLS-1.3-/HTTP/2-Stack und über alle IP-Adressen hinweg dasselbe vollständige HTTP-Headerprofil.

Auch der User-Agent Mozilla/5.0 (compatible; crawler) löste keine seiner zwölf Challenges.

Der aktuelle Flood verbraucht in dieser Stichprobe also hauptsächlich Anubis-Ressourcen und gelangt nicht bis zu Forgejo.

UA-Filter und normales Anubis-Logging sind inzwischen wieder aktiv.