Kako prepoznavanje VPN-a i proxyja funkcioniše i gdje pada
IP liste, API-ji za reputaciju i otisci padaju na različite načine. Odlučite koju zloupotrebu zaustavljate, izmjerite lažno pozitivne, pa primijenite uz kod razloga.
Kada neko pita kako blokirati korisnike VPN-a, u rečenici se skrivaju tri različita zahtjeva: zaustaviti prevaru, zaustaviti skrejpovanje ili provesti licencnu granicu. Svaki podnosi drugu stopu greške, i nijedan se ne rješava saznanjem pripada li adresa tunelu. Ono što klasifikator vraća je vjerovatnoća o infrastrukturi, a ne tvrdnja o osobi koja je koristi.
Šta IP klasifikator zaista izračunava
Većina servisa kombinuje četiri izvora podataka, i oni stare različitom brzinom. Liste Tor izlaza dolaze iz konsenzusa direktorija i gotovo su potpune dok traje. Liste otvorenih proxyja su djelimične i zastarjele za nekoliko dana. Komercijalne liste izlaza zaostaju za novim provajderima po dizajnu, jer se adrese okreću brže nego što ih bilo koji dobavljač može popisati. Heuristika hosting raspona je najjeftiniji i najgrublji signal.
Upravo posljednji rađa većinu lažno pozitivnih. Korporativni izlazi, preglednici hostovani u oblaku, NAT kampusa i mrežni prolazi mobilnih operatera izgledaju kao hosting ili zajednička infrastruktura, i svaki od njih može sadržavati obične korisnike.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 uklanja i posljednju udobnost. Klijent može imati drugu adresu za svaku vezu, a provajder može rotirati prefiks između zahtjeva, pa će pravilo koje adresu tretira kao trajni identitet odstupiti od stvarnosti u roku od nekoliko sedmica.
Zašto protokolni otisci propadaju
MSS i vremenske razlike mogu identifikovati neke OpenVPN konfiguracije, a tehnika je zaista krhka. Signal zavisi od opcija koje korisnik kontroliše, od MTU putanje i od međuuređaja koji ne posjedujete. Promijenite jednu šifru ili jedno MSS ograničenje i otisak se pomjera. Provajder koji isporuči novi default učini isto vašem pravilu preko noći.
Obrnute sonde imaju gori problem od krhkosti: one su neprijateljske. Skeniranje portova posjetioca je sporo, lako blokirano od istog korporativnog firewall-a iza kojeg sjede vaši korisnici, i teško se brani u pregledu privatnosti. Pragovi kašnjenja hvataju udaljene korisnike jednako pouzdano kao korisnike tunela, što znači da vaše pravilo zapravo glasi «blokiraj ljude daleko» pod drugom etiketom.
Šta god odabrali, to morate moći objasniti agentu podrške u 2 sata ujutro. Signal koji niko ne može opisati postaje blok koji niko ne može poništiti. Napišite objašnjenje prije nego napišete pravilo, a ne poslije prve žalbe.
Identitet i ponašanje pobjeđuju nagađanja o anonimnosti
Ograničenja brzine, zahtjevi za prijavu, provjere plaćanja i kvote po računu rješavaju zloupotrebu bez kažnjavanja čitalaca kojima je privatnost važna. Ona takođe nastavljaju raditi kada se adresa promijeni, jer se vežu za nešto što klijent ne može rotirati besplatno.
Ako je geografska restrikcija licencni zahtjev, provodite je kao dokumentovanu politiku sa jasnom porukom o grešci i periodičnim pregledom. To je druga kontrola od nagađanja o anonimnosti, i treba je drugačije opisati u tekstu za korisnike. Blokiranje portova koje koristi VPN protokol može smanjiti automatizovanu zloupotrebu, ali takođe kvari legitimni udaljeni pristup i trivijalno ga zaobilazi svako ko je odlučan.
Prvo je pustite kao mjerenje
Pokrenite klasifikator u režimu samo-izvještavanja nekoliko sedmica. Uporedite populaciju koju bi blokirao sa registracijama, konverzijama i tiketima podrške, zatim postavite budžet lažno pozitivnih prije nego što postavite prag.
Ponovo testirajte na malom poznatom skupu: kućna veza, mobilni operater, korporativni izlaz i komercijalni VPN. Četiri slučaja otkrivaju većinu grešaka koje bi inače stigle do korisnika, i koštaju jedno poslijepodne.
Držite sirovi signal i odluku o provođenju odvojeno. Bilježite rezultat i kada je prag visok, usmjerite dvosmislenu sredinu u ljudski red, i označite svaki blok kodom razloga kako bi sljedeći pregled politike mogao reći koji je signal zaslužio svoje mjesto.
Put žalbe je dio kontrole
Svaki automatski blok treba ljudski put: kontakt adresu, navedeno vrijeme odgovora i imenovanog vlasnika pregleda. Bez toga, lažno pozitivan je tiho izgubljeni korisnik i tiket podrške s kojim niko ne može ništa učiniti.
Recite jasno da pristup može biti ograničen, zašto, i kako zatražiti pregled. Verzirajte politiku kako bi podrška mogla reći koje je pravilo važilo na dati datum. Blok koji ne možete objasniti, poništiti ili izmjeriti nije kontrola; to je nagađanje sa linijom u logu.