Ako funguje detekcia VPN a proxy a kde zlyháva
Zoznamy IP, reputačné API a odtlačky zlyhávajú rôzne. Rozhodnite, akému zneužitiu bránite, zmerajte falošne pozitívne a potom to presaďte s kódom dôvodu.
Keď sa niekto pýta, ako blokovať používateľov VPN, vo vete sa skrývajú tri rôzne požiadavky: zastaviť podvody, zastaviť scraping alebo presadiť licenčnú hranicu. Každá znáša inú mieru chýb a ani jednu nevyrieši to, že vieme, či adresa patrí tunelu. Čo klasifikátor vracia, je pravdepodobnosť o infraštruktúre, nie tvrdenie o človeku, ktorý ju používa.
Čo vlastne IP klasifikátor počíta
Väčšina služieb kombinuje štyri zdroje údajov a tie starnú rôznym tempom. Zoznamy výstupov Tor pochádzajú z konsenzu adresára a sú takmer úplné, kým trvá. Zoznamy otvorených proxy sú čiastočné a do niekoľkých dní zastarané. Komerčné zoznamy výstupov zaostávajú za novými poskytovateľmi už z princípu, pretože adresy rotujú rýchlejšie, než ich ktorýkoľvek dodávateľ stihne prejsť. Heuristika hostingových rozsahov je najlacnejší a najhrubší signál.
Práve ten posledný rodí väčšinu falošne pozitívnych prípadov. Firemné výstupy, prehliadače hostované v cloude, kampusový NAT a brány mobilných operátorov vyzerajú všetky ako hosting alebo zdieľaná infraštruktúra a každý z nich môže obsahovať bežných zákazníkov.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 odstraňuje aj posledné pohodlie. Klient môže mať inú adresu pre každé spojenie a poskytovateľ môže medzi požiadavkami rotovať prefix, takže pravidlo, ktoré s adresou zaobchádza ako s trvalou identitou, sa v priebehu týždňov odchýli od reality.
Prečo odtlačky protokolov chátrajú
Rozdiely v MSS a v časovaní môžu identifikovať niektoré OpenVPN konfigurácie a technika je naozaj krehká. Signál závisí od volieb, ktoré ovláda používateľ, od MTU cesty a od medziľahlých prvkov, ktoré nevlastníte. Zmeňte jednu šifru alebo jeden MSS limit a odtlačok sa posunie. Poskytovateľ, ktorý vydá nový predvolený stav, urobí to isté vášmu pravidlu cez noc.
Reverzné sondy majú horší problém než krehkosť: sú nepriateľské. Skenovanie portov návštevníka je pomalé, ľahko ho zablokuje ten istý firemný firewall, za ktorým sedia vaši zákazníci, a v audite súkromia sa obhajuje ťažko. Prahy latencie zachytia vzdialených používateľov rovnako spoľahlivo ako používateľov tunela, čo znamená, že vaše pravidlo je vlastne „blokuj ľudí ďaleko“ s inou etiketou.
Čokoľvek si vyberiete, musíte to vedieť vysvetliť podpornému agentovi o 2 ráno. Signál, ktorý nikto nedokáže opísať, sa stane blokom, ktorý nikto nedokáže zrušiť. Napíšte vysvetlenie skôr, než napíšete pravidlo, nie po prvej sťažnosti.
Identita a správanie porážajú dohady o anonymite
Obmedzenia rýchlosti, požiadavky na prihlásenie, kontroly platieb a kvóty na účet riešia zneužitie bez trestania čitateľov, ktorým záleží na súkromí. Fungujú aj vtedy, keď sa adresa zmení, pretože sa viažu na niečo, čo klient nemôže zdarma rotovať.
Ak je geografické obmedzenie licenčnou požiadavkou, presadzujte ho ako zdokumentovanú politiku s jasnou chybovou správou a pravidelnou revíziou. To je iná kontrola než hádanie anonymity a v texte pre zákazníka sa má opisovať inak. Blokovanie portov, ktoré používa protokol VPN, môže znížiť automatizované zneužitie, ale tiež ničí legitímny vzdialený prístup a ktokoľvek odhodlaný ho ľahko obíde.
Najprv to nasaďte ako meranie
Spustite klasifikátor na pár týždňov v režime iba-správa. Porovnajte populáciu, ktorú by zablokoval, s registráciami, konverziami a podpornými tikami, a potom stanovte rozpočet falošne pozitívnych pred nastavením prahu.
Otestujte znova na malej známej množine: domáce pripojenie, mobilný operátor, firemný výstup a komerčná VPN. Štyri prípady odhalia väčšinu chýb, ktoré by sa inak dostali k zákazníkom, a stoja jedno popoludnie.
Držte surový signál a rozhodnutie o zásahu oddelene. Zaznamenávajte skóre aj keď je prah vysoký, smerujte nejednoznačný stred do ľudskej fronty a označte každý blok kódom dôvodu, aby ďalšia revízia politiky vedela povedať, ktorý signál si svoje miesto zaslúžil.
Cesta odvolania je súčasťou kontroly
Každý automatický blok potrebuje ľudskú cestu: kontaktnú adresu, uvedený čas odozvy a menovaného vlastníka revízie. Bez toho je falošne pozitívny tichý stratený zákazník a tiket podpory, s ktorým nikto nemôže nič urobiť.
Povedzte jasne, že prístup môže byť obmedzený, prečo a ako požiadať o revíziu. Verzujte politiku, aby podpora mohla povedať, ktoré pravidlo platilo k danému dátumu. Blok, ktorý nedokážete vysvetliť, zrušiť alebo zmerať, nie je kontrola; je to dohad s riadkom v logu.