VPN-besoekerskontroles: reputasie en latensie veilig beoordeel

'n Bedrogpaneel merk 'n besoeker as VPN, die ontleder vra vir 'n blok, en die versoek bereik die platformspan met niks behalwe 'n verskaffer se boole-waarde nie. Daardie boole-waarde is 'n skatting, en dit faal in 'n ander rigting as 'n latensiemeting. Voordat jy optree, skei wat die versoek self bewys, wat 'n reputasiediens beweer, en wat tydsberekening bloot suggereer. Kies dan 'n reaksie wat jy kan terugrol wanneer die skatting verkeerd blyk te wees.

Versamel die versoekfeite wat jy kan verdedig

Die enigste adres wat jou bediener vir seker ken, is die TCP-eweknie wat die verbinding voltooi het. Wanneer 'n CDN of omgekeerde proxy daardie verbinding termineer, is die eweknie die rand, en die kliëntadres ry in 'n aanstuurkop wat slegs betroubaar is wanneer jou eie rand dit bygevoeg het. Lees die inskrywing wat jou proxy geskryf het, nooit die heel linkerkantste string nie, want 'n kliënt kan enige waarde in daardie posisie stuur. Alles stroomaf moet daardie onderskeid bewaar.

Twee goedkoop verrykings maak die adres iets wat hersien kan word: die outonome stelsel wat dit aankondig en die PTR-rekord wat terug na dit wys. Albei beskryf registrasie eerder as gedrag, en albei is later reproduceerbaar.

IP=203.0.113.10
dig +short -x "$IP"
whois "$IP" | grep -iE "origin|netname" | head -5

'n Gasheer-ASN is 'n sterk wenk en nie 'n uitspraak nie. Korporatiewe VPN-konsentreerders, wolkuitgange en sommige universiteitsnetwerke sit ook in datasentrums, so dieselfde sein wat 'n kommersiële uitgang vang, vang ook 'n wettige kantoor. Hou die adres net so lank as wat die hersiening dit nodig het, want 'n IP is persoonlike data in die meeste privaatheidsregimes. Skrap dit volgens 'n skedule eerder as om dit onbepaald te hou.

Gradeer die besoeker voordat jy hulle beperk

Laat enige nuwe sein eers in waarnemingsmodus loop. Teken die insette en 'n redekode aan, laat elke versoek deur, en vergelyk die puntverspreiding met rekeninge wat jy weet wettig is. Dit lewer 'n vals-positiewe skatting voordat enigiemand toegang verloor, en dit is die syfer wat besluit of 'n reël veilig is om te aktiveer.

Karteer die totaal na drie aksies eerder as twee: toelaat, trapskakel-uitdaging, handmatige hersiening. 'n Permanente blok moet herhaalde misbruik vereis wat deur 'n persoon bevestig is, want 'n vals positiewe op 'n korporatiewe reisiger kos 'n ondersteuningskaartjie en 'n verlore sessie, terwyl 'n vals negatiewe op een versoek byna niks kos nie.

Hou die reputasie-opsoeking bedienerkant en begrens

Roep die reputasiediens vanuit die backend met 'n kort tydsduur, kas die uitspraak vir 'n vaste tydperk, en behandel 'n tydsduur-oorskryding as onbekend eerder as skoon. Moet nooit die API-sleutel in kliëntkant-kode plaas nie, en moet nooit die opsoeking die bladsy se weergawe laat blokkeer nie; 'n stadige derde party moet die telling verswak, nie die werf nie.

Kas per adres eerder as per reeks. Om 'n hele /24 uit een opsoeking te klassifiseer, versprei 'n verkeerde uitspraak na bure wat jy nooit gemeet het nie. Teken die verskaffer, die antwoorddatum en die klassifikasiewaarde saam met die redekode aan, sodat 'n latere hersiening kan sien watter oordeel van krag was.

Twee verskaffers kan een adres binne 'n dag verskillend klassifiseer, en daarom hoort die uitspraak in die bewyskolom en nie in die identiteitskolom nie. Dit is ook 'n verwerkingsverhouding: om elke besoeker se adres na 'n derde party te stuur, vereis 'n wettige grondslag, 'n bewaringsreël en 'n reël in die privaatheidskennisgewing.

Meet latensie met 'n mediaan, nie een monster nie

Heen-en-weer-tyd beskryf die pad op die oomblik toe jy dit gemeet het. 'n Nabygeleë anycast-rand kan 'n verafgeleë gebruiker bedien, 'n mobiele netwerk voeg vertraging by wat niks met geografie te doen het nie, en 'n VPN-uitgang in die besoeker se eie land lyk plaaslik. Geografiese ligging op stadsvlak rapporteer dikwels die datasentrum eerder as die persoon.

Neem verskeie monsters en gebruik die mediaan sodat een stadige versoek nie die resultaat verskuif nie. Die lus hieronder druk die mediaan van vyf.

for i in 1 2 3 4 5; do
  curl -o /dev/null -s -w "%{time_connect} %{time_starttransfer}\n" https://www.example.com/
done | sort -n | sed -n 3p

Vergelyk die syfer met die verspreiding vir gebruikers wat as goed bekend is, eerder as met 'n absolute drempel, en kombineer dit met die ASN. Twee swak seine wat saamstem, is sterker as elk alleen, maar die gevolgtrekking gaan steeds oor 'n pad, nie oor opset nie, so dit hoort in 'n telling eerder as in 'n verbod.

Besluit, teken aan en rol terug

Voordat jy 'n reël aktiveer, speel 'n dag se verkeer in waarnemingsmodus oor en tel wat sou gebeur het. Berg die puntinsette, die redekode en die reëlweergawe, maar hou rou adresse slegs vir die hersieningsvenster. As die reël op 'n wettige rekening afgaan, moet die rekord verduidelik waarom sonder 'n tweede ondersoek.

Gee elke reël sy eie skakelaar. Wanneer trapskakel-voltooiing daal of ondersteuningskaartjies opvlam, deaktiveer daardie reël en hou die res van die pyplyn aan die gang; 'n enkele globale noodskakelaar maak 'n instellingsprobleem 'n onderbreking. Kyk ná die verandering na die uitdaging-voltooiingsyfer en die appèlwaglys, nie net die bloktelling nie.

Laastens, hou die reaksie in verhouding tot die verlies wat jy voorkom. Vir advertensiebedrog is VPN-status 'n swak aanduiding van 'n valse klik, en gedragseine soos omskakelingspatrone en toestelkonsekwentheid spreek die werklike skade aan. 'n Omkeerbare uitdaging beskerm die inkomste en die regte gebruiker terselfdertyd.