Hvordan VPN- og proxyoppdagelse fungerer, og hvor den svikter
IP-lister, omdømme-API-er og fingeravtrykk svikter på forskjellige måter. Bestem hvilket misbruk du stopper, mål falske positiver, og håndhev deretter med en årsakskode.
Når noen spør hvordan man blokkerer VPN-brukere, skjuler det seg tre forskjellige ønsker i setningen: stopp svindel, stopp skraping, eller håndhev en lisensgrense. Hver tåler en annen feilrate, og ingen av dem besvares ved å vite om en adresse hører til en tunnel. Det en klassifiserer returnerer, er en sannsynlighet om infrastruktur, ikke en uttalelse om personen som bruker den.
Hva en IP-klassifiserer faktisk beregner
De fleste tjenester kombinerer fire datakilder, og de eldes i ulikt tempo. Tor-utgangslister kommer fra katalogens konsensus og er nesten komplette så lenge den holder. Åpne proxylister er delvise og foreldede innen dager. Kommersielle utgangslister ligger etter nye leverandører av design, fordi adresser roterer raskere enn noen leverandør kan gjennomgå dem. Heuristikk for hostingområder er det billigste og groveste signalet.
Det siste er der de fleste falske positive fødes. Bedriftsutganger, skyhostede nettlesere, campus-NAT og mobiloperatørers gatewayer ser alle ut som hosting eller delt infrastruktur, og hver av dem kan inneholde vanlige kunder.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 fjerner all gjenværende komfort. En klient kan ha en annen adresse per tilkobling, og en leverandør kan rotere et prefiks mellom forespørsler, så en regel som behandler en adresse som varig identitet vil drive bort fra virkeligheten innen uker.
Hvorfor protokollfingeravtrykk forfaller
MSS- og tidsforskjeller kan identifisere noen OpenVPN-konfigurasjoner, og teknikken er virkelig skjør. Signalet avhenger av alternativer brukeren kontrollerer, av MTU på veien og av mellomledd du ikke eier. Endre én chiffer eller én MSS-grense, og fingeravtrykket flytter seg. En leverandør som sender ut en ny standard gjør det samme med regelen din over natten.
Omvendte sonder har et verre problem enn skjørhet: de er fiendtlige. Å skanne portene til en besøkende er tregt, lett blokkert av den samme bedriftsbrannmuren som kundene dine sitter bak, og vanskelig å forsvare i en personvernrevisjon. Latenssterskler fanger fjerne brukere like pålitelig som tunnelbrukere, noe som betyr at regelen din egentlig er «blokker folk langt borte» med en annen etikett.
Uansett hva du velger, må du kunne forklare det for en støtteagent klokken 2 om natten. Et signal ingen kan beskrive blir en blokkering ingen kan oppheve. Skriv forklaringen før du skriver regelen, ikke etter den første klagen.
Identitet og atferd slår gjetninger om anonymitet
Hastighetsgrenser, påloggingskrav, betalingskontroller og kvoter per konto håndterer misbruk uten å straffe lesere som bryr seg om personvern. De fortsetter også å virke når adressen endres, fordi de henger på noe klienten ikke kan rotere gratis.
Hvis en geografisk begrensning er et lisenskrav, håndhev den som en dokumentert policy med en klar feilmelding og en jevnlig gjennomgang. Det er en annen kontroll enn å gjette på anonymitet, og den bør beskrives annerledes i teksten til kunden. Å blokkere portene en VPN-protokoll bruker kan redusere automatisert misbruk, men det ødelegger også legitim fjernadgang og omgås trivielt av enhver som er bestemt.
Rull det ut som en måling først
Kjør klassifisereren i kun-rapport-modus i et par uker. Sammenlign populasjonen den ville ha blokkert med påmeldinger, konverteringer og støttebilletter, og sett deretter budsjettet for falske positive før du setter terskelen.
Test på nytt mot et lite kjent sett: en hjemmetilkobling, en mobiloperatør, en bedriftsutgang og en kommersiell VPN. Fire tilfeller avdekker de fleste feilene som ellers ville nå kundene, og de koster en ettermiddag.
Hold det rå signalet og håndhevingsbeslutningen atskilt. Logg poengsummen selv når terskelen er høy, send det tvetydige midten til en menneskelig kø, og merk hver blokkering med en årsakskode slik at neste policygjennomgang kan si hvilket signal som fortjente plassen sin.
Klageveien er en del av kontrollen
Hver automatisk blokkering trenger en menneskelig vei: en kontaktadresse, en oppgitt svartid og en navngitt eier av gjennomgangen. Uten en er en falsk positiv en stille tapt kunde og en støttebillett ingen kan gjøre noe med.
Si klart at tilgang kan begrenses, hvorfor, og hvordan man ber om en gjennomgang. Versjoner policyen slik at støtten kan si hvilken regel som gjaldt på en gitt dato. En blokkering du ikke kan forklare, oppheve eller måle er ikke en kontroll; det er en gjetning med en logglinje.