Com funciona la detecció de VPN i proxy, i on falla
Les llistes d'IP, les API de reputació i les empremtes fallen de maneres diferents. Decidiu quin abús atureu, mesureu els falsos positius i apliqueu-ho amb un codi de motiu.
Quan algú pregunta com bloquejar usuaris de VPN, a la frase s'amaguen tres peticions diferents: aturar el frau, aturar l'scraping o aplicar una frontera de llicència. Cada una tolera una taxa d'error diferent, i cap no es respon sabent si una adreça pertany a un túnel. El que retorna un classificador és una probabilitat sobre la infraestructura, no una afirmació sobre la persona que la fa servir.
Què calcula realment un classificador d'IP
La majoria de serveis combinen quatre fonts de dades, i envelleixen a ritmes diferents. Les llistes de sortida de Tor provenen del consens del directori i són gairebé completes mentre dura. Les llistes de proxy obert són parcials i queden obsoletes en pocs dies. Les llistes de sortida comercials van per darrere dels proveïdors nous per disseny, perquè les adreces roten més de pressa del que qualsevol venedor pot rastrejar. L'heurística de rangs d'allotjament és el senyal més barat i el més groller.
L'últim és on neixen la majoria de falsos positius. Les sortides corporatives, els navegadors allotjats al núvol, el NAT de campus i les passarel·les d'operadors mòbils semblen tots allotjament o infraestructura compartida, i cada un pot contenir clients ordinaris.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 elimina qualsevol comoditat restant. Un client pot tenir una adreça diferent per connexió, i un proveïdor pot rotar un prefix entre peticions, així que una regla que tracti una adreça com a identitat duradora s'allunyarà de la realitat en poques setmanes.
Per què decauen les empremtes de protocol
Les diferències de MSS i de temps poden identificar algunes configuracions d'OpenVPN, i la tècnica és realment fràgil. El senyal depèn d'opcions que controla l'usuari, de l'MTU del camí i de caixes intermèdies que no teniu. Canvieu un xifratge o un límit d'MSS i l'empremta es mou. Un proveïdor que publica un nou valor per defecte fa el mateix a la vostra regla d'un dia per l'altre.
Les sondes inverses tenen un problema pitjor que la fragilitat: són hostils. Escanejar els ports d'un visitant és lent, fàcilment bloquejat pel mateix tallafoc corporatiu darrere del qual seuen els vostres clients, i difícil de defensar en una revisió de privadesa. Els llindars de latència atrapen usuaris llunyans tan fiablement com usuaris de túnel, cosa que significa que la vostra regla en realitat és «bloqueja la gent llunyana» amb una etiqueta diferent.
Triïs el que triïs, ho has de poder explicar a un agent de suport a les 2 de la matinada. Un senyal que ningú pot descriure es converteix en un bloqueig que ningú pot revertir. Escriviu l'explicació abans d'escriure la regla, no després de la primera queixa.
La identitat i el comportament superen les conjectures sobre l'anonimat
Els límits de taxa, els requisits d'inici de sessió, les comprovacions de pagament i les quotes per compte aborden l'abús sense castigar els lectors que es preocupen per la privadesa. També continuen funcionant quan l'adreça canvia, perquè s'enganxen a una cosa que el client no pot rotar gratis.
Si una restricció geogràfica és un requisit de llicència, apliqueu-la com a política documentada amb un missatge d'error clar i una revisió periòdica. És un control diferent d'endevinar l'anonimat, i s'ha de descriure de manera diferent al text adreçat al client. Bloquejar els ports que fa servir un protocol VPN pot reduir l'abús automatitzat, però també trenca l'accés remot legítim i qualsevol persona decidida el pot evitar trivialment.
Poseu-lo en marxa primer com a mesura
Executeu el classificador en mode només-informe durant un parell de setmanes. Compareu la població que hauria bloquejat amb els registres, les conversions i els tiquets de suport, i després fixeu el pressupost de falsos positius abans de fixar el llindar.
Torneu a provar amb un conjunt petit i conegut: una connexió domèstica, un operador mòbil, una sortida corporativa i una VPN comercial. Quatre casos exposen la majoria d'errors que d'altra manera arribarien als clients, i costen una tarda.
Manteniu el senyal brut i la decisió d'aplicació separats. Registreu la puntuació fins i tot quan el llindar és alt, encamineu el mig ambigu a una cua humana i etiqueteu cada bloqueig amb un codi de motiu perquè la propera revisió de polítiques pugui dir quin senyal s'ha guanyat el lloc.
El camí d'apel·lació forma part del control
Cada bloqueig automatitzat necessita una ruta humana: una adreça de contacte, un temps de resposta declarat i un responsable de revisió amb nom. Sense això, un fals positiu és un client perdut en silenci i un tiquet de suport que ningú pot gestionar.
Digues clarament que l'accés pot ser restringit, per què i com demanar una revisió. Versiona la política perquè el suport pugui dir quina regla s'aplicava en una data concreta. Un bloqueig que no pots explicar, revertir o mesurar no és un control; és una conjectura amb una línia de registre.