Πώς λειτουργεί η ανίχνευση VPN και proxy και πού αποτυγχάνει
Οι λίστες IP, τα API φήμης και τα αποτυπώματα αποτυγχάνουν με διαφορετικούς τρόπους. Αποφασίστε ποια κατάχρηση σταματάτε, μετρήστε τα ψευδώς θετικά και μετά εφαρμόστε με κωδικό αιτίας.
Όταν κάποιος ρωτά πώς να μπλοκάρει χρήστες VPN, τρία διαφορετικά αιτήματα κρύβονται στην πρόταση: σταμάτησε την απάτη, σταμάτησε το scraping ή επέβαλε ένα όριο άδειας. Κάθε ένα ανέχεται διαφορετικό ποσοστό σφάλματος, και κανένα δεν απαντιέται γνωρίζοντας αν μια διεύθυνση ανήκει σε τούνελ. Αυτό που επιστρέφει ένας ταξινομητής είναι μια πιθανότητα για την υποδομή, όχι μια δήλωση για το πρόσωπο που τη χρησιμοποιεί.
Τι υπολογίζει στην πραγματικότητα ένας ταξινομητής IP
Οι περισσότερες υπηρεσίες συνδυάζουν τέσσερις πηγές δεδομένων, και αυτές γερνούν με διαφορετικούς ρυθμούς. Οι λίστες εξόδου Tor προέρχονται από τη συναίνεση του καταλόγου και είναι σχεδόν πλήρεις όσο διαρκεί. Οι λίστες ανοιχτού proxy είναι μερικές και παλιώνουν μέσα σε μέρες. Οι εμπορικές λίστες εξόδου υστερούν έναντι των νέων παρόχων εξ ορισμού, επειδή οι διευθύνσεις περιστρέφονται πιο γρήγορα απ' ό,τι μπορεί να τις σαρώσει οποιοσδήποτε προμηθευτής. Η ευρετική των περιοχών φιλοξενίας είναι το φθηνότερο και το πιο χοντροκομμένο σήμα.
Το τελευταίο είναι εκεί όπου γεννιούνται τα περισσότερα ψευδώς θετικά. Οι εταιρικές έξοδοι, τα προγράμματα περιήγησης που φιλοξενούνται στο cloud, το NAT της πανεπιστημιούπολης και οι πύλες κινητών παρόχων μοιάζουν όλα με φιλοξενία ή κοινόχρηστη υποδομή, και κάθε ένα από αυτά μπορεί να περιέχει συνηθισμένους πελάτες.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
Το IPv6 αφαιρεί κάθε εναπομένουσα άνεση. Ένας πελάτης μπορεί να έχει διαφορετική διεύθυνση ανά σύνδεση, και ένας πάροχος μπορεί να περιστρέφει ένα πρόθεμα μεταξύ αιτημάτων, οπότε ένας κανόνας που αντιμετωπίζει τη διεύθυνση ως διαρκή ταυτότητα θα απομακρυνθεί από την πραγματικότητα μέσα σε εβδομάδες.
Γιατί τα αποτυπώματα πρωτοκόλλου φθείρονται
Οι διαφορές MSS και χρονισμού μπορούν να αναγνωρίσουν ορισμένες ρυθμίσεις OpenVPN, και η τεχνική είναι πραγματικά εύθραυστη. Το σήμα εξαρτάται από επιλογές που ελέγχει ο χρήστης, από το MTU της διαδρομής και από ενδιάμεσα κουτιά που δεν σας ανήκουν. Αλλάξτε έναν κρυπταλγόριθμο ή ένα όριο MSS και το αποτύπωμα μετακινείται. Ένας πάροχος που κυκλοφορεί μια νέα προεπιλογή κάνει το ίδιο στον κανόνα σας μέσα σε μια νύχτα.
Οι αντίστροφες ανιχνεύσεις έχουν χειρότερο πρόβλημα από την ευθραυστότητα: είναι εχθρικές. Η σάρωση των θυρών ενός επισκέπτη είναι αργή, μπλοκάρεται εύκολα από το ίδιο εταιρικό τείχος προστασίας πίσω από το οποίο κάθονται οι πελάτες σας, και είναι δύσκολο να υπερασπιστεί σε έλεγχο απορρήτου. Τα κατώφλια καθυστέρησης πιάνουν απομακρυσμένους χρήστες εξίσου αξιόπιστα με χρήστες τούνελ, που σημαίνει ότι ο κανόνας σας είναι στην πραγματικότητα «μπλοκάρετε ανθρώπους μακριά» με άλλη ετικέτα.
Ό,τι κι αν επιλέξετε, πρέπει να μπορείτε να το εξηγήσετε σε έναν υπάλληλο υποστήριξης στις 2 τα ξημερώματα. Ένα σήμα που κανείς δεν μπορεί να περιγράψει γίνεται ένα μπλοκ που κανείς δεν μπορεί να άρει. Γράψτε την εξήγηση πριν γράψετε τον κανόνα, όχι μετά το πρώτο παράπονο.
Η ταυτότητα και η συμπεριφορά νικούν τις εικασίες για την ανωνυμία
Τα όρια ρυθμού, οι απαιτήσεις σύνδεσης, οι έλεγχοι πληρωμών και οι ποσοστώσεις ανά λογαριασμό αντιμετωπίζουν την κατάχρηση χωρίς να τιμωρούν αναγνώστες που νοιάζονται για την ιδιωτικότητα. Επίσης συνεχίζουν να λειτουργούν όταν αλλάζει η διεύθυνση, επειδή προσκολλώνται σε κάτι που ο πελάτης δεν μπορεί να περιστρέψει δωρεάν.
Αν ένας γεωγραφικός περιορισμός είναι απαίτηση άδειας, εφαρμόστε τον ως τεκμηριωμένη πολιτική με σαφές μήνυμα σφάλματος και περιοδικό έλεγχο. Αυτός είναι διαφορετικός έλεγχος από το να μαντεύετε την ανωνυμία, και θα πρέπει να περιγράφεται διαφορετικά στο κείμενο προς τον πελάτη. Το μπλοκάρισμα των θυρών που χρησιμοποιεί ένα πρωτόκολλο VPN μπορεί να μειώσει την αυτοματοποιημένη κατάχρηση, αλλά σπάει επίσης τη νόμιμη απομακρυσμένη πρόσβαση και παρακάμπτεται ασήμαντα από οποιονδήποτε αποφασισμένο.
Κυκλοφορήστε το πρώτα ως μέτρηση
Τρέξτε τον ταξινομητή σε λειτουργία μόνο-αναφοράς για δύο εβδομάδες. Συγκρίνετε τον πληθυσμό που θα είχε μπλοκάρει με εγγραφές, μετατροπές και δελτία υποστήριξης, και μετά ορίστε τον προϋπολογισμό ψευδώς θετικών πριν ορίσετε το κατώφλι.
Δοκιμάστε ξανά σε ένα μικρό γνωστό σύνολο: μια οικιακή σύνδεση, έναν πάροχο κινητής, μια εταιρική έξοδο και ένα εμπορικό VPN. Τέσσερις περιπτώσεις αποκαλύπτουν τα περισσότερα σφάλματα που θα έφταναν στους πελάτες, και κοστίζουν ένα απόγευμα.
Κρατήστε το ακατέργαστο σήμα και την απόφαση επιβολής χωριστά. Καταγράψτε το σκορ ακόμη και όταν το κατώφλι είναι υψηλό, δρομολογήστε το αμφίβολο μέσο σε ανθρώπινη ουρά και σημάνετε κάθε μπλοκ με κωδικό αιτίας ώστε η επόμενη αναθεώρηση πολιτικής να μπορεί να πει ποιο σήμα κέρδισε τη θέση του.
Η διαδρομή έφεσης είναι μέρος του ελέγχου
Κάθε αυτόματο μπλοκ χρειάζεται ανθρώπινη διαδρομή: μια διεύθυνση επικοινωνίας, δηλωμένο χρόνο απόκρισης και επώνυμο υπεύθυνο αναθεώρησης. Χωρίς αυτήν, ένα ψευδώς θετικό είναι ένας σιωπηλά χαμένος πελάτης και ένα δελτίο υποστήριξης που κανείς δεν μπορεί να χειριστεί.
Πείτε απλά ότι η πρόσβαση μπορεί να περιοριστεί, γιατί και πώς να ζητήσετε αναθεώρηση. Κάντε έκδοση της πολιτικής ώστε η υποστήριξη να μπορεί να πει ποιος κανόνας ίσχυε σε μια δεδομένη ημερομηνία. Ένα μπλοκ που δεν μπορείτε να εξηγήσετε, να άρετε ή να μετρήσετε δεν είναι έλεγχος· είναι μια εικασία με μια γραμμή αρχείου.