VPNとプロキシの検出はどう機能し、どこで破綻するのか

VPN利用者をブロックする方法を尋ねられるとき、その一文には詐欺を止める、スクレイピングを止める、ライセンスの境界を強制するという三つの異なる要求が隠れています。それぞれ許容できる誤り率は異なり、アドレスがトンネルに属するかどうかを知ってもどれも答えにはなりません。分類器が返すのはインフラに関する確率であって、それを使う人についての断定ではありません。

IP分類器が実際に計算しているもの

ほとんどのサービスは四つのデータ源を組み合わせており、それぞれ老いる速さが違います。Torの出口リストはディレクトリの合意から作られ、それが続く限りほぼ完全です。オープンプロキシのリストは部分的で、数日で古くなります。商用の出口リストは、アドレスの回転がどの販売業者の巡回よりも速いため、設計上、新しい事業者に遅れます。ホスティング範囲のヒューリスティックは最も安く、最も粗いシグナルです。

誤検知のほとんどは、まさに最後のものから生まれます。企業の出口、クラウドでホストされるブラウザ、キャンパスのNAT、携帯事業者のゲートウェイはどれもホスティングや共有インフラに見え、そのどれにも普通の顧客が含まれ得ます。

IPv6は残った安心を奪います。クライアントは接続ごとに別のアドレスを持て、事業者はリクエストの間にプレフィックスを回転できるので、アドレスを永続的な身元として扱うルールは数週間で現実からずれます。

プロトコルのフィンガープリントが朽ちる理由

MSSとタイミングの差で一部のOpenVPN設定を識別できますが、この手法は本当に脆いものです。シグナルは利用者が制御するオプション、経路のMTU、そしてあなたが所有しない中間装置に依存します。暗号を一つ、あるいはMSSの上限を一つ変えれば、フィンガープリントは動きます。新しい既定値を出す事業者は、一晩であなたのルールに同じことをします。

逆方向の探査には脆さより悪い問題があり、それは敵対的だということです。訪問者のポートを走査するのは遅く、顧客がその背後にいるのと同じ企業ファイアウォールに簡単に遮断され、プライバシー審査で弁護するのも困難です。遅延のしきい値は遠くの利用者をトンネル利用者と同じくらい確実に捕まえるので、あなたのルールは別のラベルを貼った「遠くの人をブロックする」にすぎません。

何を選ぶにせよ、午前2時にサポート担当者へ説明できなければなりません。誰も説明できないシグナルは、誰も解除できないブロックになります。ルールを書く前に説明を書きなさい、最初の苦情の後では遅すぎます。

身元と行動は匿名性の推測に勝る

レート制限、ログイン要件、支払い確認、アカウントごとの割当は、プライバシーを気にする読者を罰せずに濫用に対処します。アドレスが変わっても、クライアントが無料で回転できない何かに紐づいているため機能し続けます。

地理的な制限がライセンス要件なら、明確なエラーメッセージと定期的な見直しを伴う文書化されたポリシーとして強制してください。それは匿名性を推測するのとは別の統制であり、顧客向けの文章では別の説明になるべきです。VPNプロトコルが使うポートを塞ぐと自動化された濫用は減るかもしれませんが、正当なリモートアクセスも壊し、本気の相手には簡単に回避されます。

まず測定として導入する

分類器を数週間、報告のみのモードで動かします。ブロックしたはずの集団を登録、転換、サポートチケットと比較し、しきい値を決める前に誤検知の予算を決めます。

小さな既知の集合、つまり家庭の接続、携帯事業者、企業の出口、商用VPNで再試験します。四つの事例で、顧客に届いてしまうほとんどの誤りが露呈し、費用は半日で済みます。

生のシグナルと適用の判断を分けてください。しきい値が高くてもスコアを記録し、曖昧な中間は人による審査待ちに回し、すべてのブロックに理由コードを付ければ、次のポリシー見直しでどのシグナルが居場所を得たのか分かります。

異議申し立ての経路は統制の一部です

自動ブロックにはすべて、連絡先、明示された応答時間、名前のある見直し責任者という人の経路が必要です。それがなければ、誤検知は静かに失われる顧客であり、誰も対応できないサポートチケットです。

アクセスが制限され得ること、その理由、見直しを求める方法を明確に伝えてください。ポリシーを版管理すれば、サポートはある日にどのルールが適用されたかを言えます。説明も取り消しも測定もできないブロックは統制ではなく、ログ一行を伴う推測です。