Miten VPN- ja välityspalvelimen tunnistus toimii ja missä se epäonnistuu
IP-luettelot, maine-API:t ja sormenjäljet epäonnistuvat eri tavoin. Päätä, mitä väärinkäyttöä pysäytät, mittaa vääriä positiivisia ja valvo sitten syykoodilla.
Kun joku kysyy, miten VPN-käyttäjiä estetään, lauseessa piilee kolme eri pyyntöä: pysäytä petos, pysäytä kaavinta tai aseta lisenssiraja. Jokainen sietää eri virheasteen, eikä yhteenkään vastata tietämällä, kuuluuko osoite tunneliin. Se, mitä luokittelija palauttaa, on todennäköisyys infrastruktuurista, ei väite sitä käyttävästä henkilöstä.
Mitä IP-luokittelija oikeastaan laskee
Useimmat palvelut yhdistävät neljä tietolähdettä, ja ne vanhenevat eri tahtiin. Tor-poistumisluettelot tulevat hakemiston konsensuksesta ja ovat lähes täydellisiä niin kauan kuin se kestää. Avoimien välityspalvelimien luettelot ovat osittaisia ja vanhenevat päivissä. Kaupalliset poistumisluettelot laahaavat uusien tarjoajien perässä suunnittelun vuoksi, koska osoitteet pyörivät nopeammin kuin mikään toimittaja ehtii ne käydä läpi. Hosting-alueiden heuristiikka on halvin ja karkein signaali.
Viimeinen niistä synnyttää useimmat väärät positiiviset. Yritysten poistumispisteet, pilvessä isännöidyt selaimet, kampuksen NAT ja matkapuhelinoperaattoreiden yhdyskäytävät näyttävät kaikki hostingilta tai jaetulta infrastruktuurilta, ja jokainen niistä voi sisältää tavallisia asiakkaita.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 poistaa viimeisenkin mukavuuden. Asiakkaalla voi olla eri osoite jokaista yhteyttä kohden, ja tarjoaja voi kierrättää etuliitettä pyyntöjen välillä, joten sääntö, joka kohtelee osoitetta pysyvänä identiteettinä, ajautuu pois todellisuudesta viikoissa.
Miksi protokollien sormenjäljet rapistuvat
MSS- ja ajoituserot voivat tunnistaa joitakin OpenVPN-kokoonpanoja, ja tekniikka on todella hauras. Signaali riippuu käyttäjän hallitsemista asetuksista, reitin MTU:sta ja väliköistä, jotka eivät ole sinun. Vaihda yksi salaus tai yksi MSS-raja, ja sormenjälki liikkuu. Tarjoaja, joka toimittaa uuden oletusarvon, tekee saman säännöllesi yhdessä yössä.
Käänteisissä luotauksissa on pahempi ongelma kuin hauraus: ne ovat vihamielisiä. Käyttäjän porttien skannaaminen on hidasta, saman yrityspalomuurin helposti estettävissä, jonka takana asiakkaasi istuvat, ja vaikea puolustaa yksityisyyden tarkastuksessa. Viivekynnykset nappaavat kaukaiset käyttäjät yhtä luotettavasti kuin tunnelinkäyttäjät, mikä tarkoittaa, että sääntösi on oikeasti «estä ihmiset kaukana» eri nimikkeellä.
Mitä ikinä valitset, sinun on pystyttävä selittämään se tukityöntekijälle kello 2 yöllä. Signaalista, jota kukaan ei osaa kuvata, tulee esto, jota kukaan ei osaa perua. Kirjoita selitys ennen kuin kirjoitat säännön, älä vasta ensimmäisen valituksen jälkeen.
Identiteetti ja käyttäytyminen voittavat anonyymiysarvelut
Nopeusrajat, kirjautumisvaatimukset, maksutarkistukset ja tilikohtaiset kiintiöt käsittelevät väärinkäyttöä rankaisematta lukijoita, joille yksityisyys on tärkeää. Ne myös jatkavat toimintaansa, kun osoite muuttuu, koska ne kiinnittyvät johonkin, jota asiakas ei voi kierrättää ilmaiseksi.
Jos maantieteellinen rajoitus on lisenssivaatimus, valvo sitä dokumentoituna käytäntönä selkeällä virheilmoituksella ja säännöllisellä tarkastuksella. Se on eri valvontakeino kuin anonyymiyden arvailu, ja se tulisi kuvata eri tavalla asiakkaalle suunnatussa tekstissä. VPN-protokollan käyttämien porttien estäminen voi vähentää automatisoitua väärinkäyttöä, mutta se rikkoo myös laillisen etäkäytön ja kuka tahansa päättäväinen ohittaa sen triviaalisti.
Ota se käyttöön ensin mittauksena
Aja luokittelijaa pari viikkoa vain raportointi -tilassa. Vertaa populaatiota, jonka se olisi estänyt, rekisteröitymiin, konversioihin ja tukipyyntöihin, ja aseta sitten väärien positiivisten budjetti ennen kuin asetat kynnyksen.
Testaa uudelleen pientä tunnettua joukkoa vastaan: kotiyhteys, matkapuhelinoperaattori, yrityksen poistumispiste ja kaupallinen VPN. Neljä tapausta paljastaa useimmat virheet, jotka muuten päätyisivät asiakkaille, ja ne maksavat yhden iltapäivän.
Pidä raakasignaali ja valvontapäätös erillään. Kirjaa pistemäärä myös silloin, kun kynnys on korkea, ohjaa monitulkintainen keskiosa ihmisjonoon ja merkitse jokainen esto syykoodilla, jotta seuraava käytäntökatsaus voi kertoa, mikä signaali ansaitsi paikkansa.
Valituspolku on osa valvontaa
Jokainen automaattinen esto tarvitsee inhimillisen reitin: yhteysosoitteen, ilmoitetun vastausajan ja nimetyn tarkastuksen omistajan. Ilman sitä väärä positiivinen on hiljaa menetetty asiakas ja tukipyyntö, jolle kukaan ei voi tehdä mitään.
Sano suoraan, että pääsyä voidaan rajoittaa, miksi ja miten tarkastusta pyydetään. Versioi käytäntö, jotta tuki voi kertoa, mikä sääntö oli voimassa tiettynä päivänä. Esto, jota et pysty selittämään, perumaan tai mittaamaan, ei ole valvontaa; se on arvaus ja lokirivi.