Kako deluje zaznavanje VPN in proxyja ter kje odpove
Seznami IP, API-ji za ugled in prstni odtisi odpovejo na različne načine. Odločite se, katero zlorabo ustavljate, izmerite lažno pozitivne in nato uveljavite s kodo razloga.
Ko nekdo vpraša, kako blokirati uporabnike VPN, se v stavku skrivajo tri različne zahteve: ustaviti goljufijo, ustaviti strganje ali uveljaviti licenčno mejo. Vsaka prenaša drugačno stopnjo napak in nobene ne odgovori vedenje, ali naslov pripada tunelu. Kar klasifikator vrne, je verjetnost o infrastrukturi, ne izjava o osebi, ki jo uporablja.
Kaj IP klasifikator dejansko izračuna
Večina storitev združuje štiri vire podatkov in ti starajo z različno hitrostjo. Seznami izhodov Tor prihajajo iz soglasja imenika in so skoraj popolni, dokler traja. Seznami odprtih proxyjev so delni in v nekaj dneh zastareli. Komercialni seznami izhodov po zasnovi zaostajajo za novimi ponudniki, ker se naslovi vrtijo hitreje, kot jih lahko kateri koli prodajalec pregleda. Hevristika gostiteljskih obsegov je najcenejši in najbolj grob signal.
Prav zadnji rodi večino lažno pozitivnih. Korporacijski izhodi, brskalniki v oblaku, univerzitetni NAT in prehodi mobilnih operaterjev so videti kot gostovanje ali skupna infrastruktura, in vsak od njih lahko vsebuje običajne stranke.
| Signal | What it shows | Typical failure |
|---|---|---|
| Tor exit consensus | A known exit relay | Good coverage, obvious to anyone who cares |
| Hosting or datacentre ASN | Infrastructure, not a home line | Flags corporate egress and cloud browsers |
| Commercial exit list | A provider's current ranges | Always behind new providers and rotations |
| Behavioural rate | What the client is doing | Needs tuning, but survives address changes |
IPv6 odpravi vso preostalo udobje. Odjemalec ima lahko drug naslov za vsako povezavo, ponudnik pa lahko med zahtevami vrti predpono, zato bo pravilo, ki naslov obravnava kot trajno identiteto, v nekaj tednih odstopilo od resničnosti.
Zakaj prstni odtisi protokolov propadajo
Razlike v MSS in času lahko prepoznajo nekatere OpenVPN konfiguracije in tehnika je resnično krhka. Signal je odvisen od možnosti, ki jih nadzoruje uporabnik, od MTU poti in od vmesnih naprav, ki niso vaše. Spremenite eno šifro ali eno mejo MSS in odtis se premakne. Ponudnik, ki izda novo privzeto vrednost, stori isto vašemu pravilu v eni noči.
Obrnjene sonde imajo hujšo težavo od krhkosti: so sovražne. Skeniranje vrat obiskovalca je počasno, zlahka ga blokira ista korporacijska požarna pregrada, za katero sedijo vaše stranke, in v pregledu zasebnosti ga je težko braniti. Pragovi zakasnitve ujamejo oddaljene uporabnike enako zanesljivo kot uporabnike tunela, kar pomeni, da je vaše pravilo v resnici «blokiraj ljudi daleč» z drugo etiketo.
Karkoli izberete, morate to znati razložiti agentu za podporo ob 2 uri zjutraj. Signal, ki ga nihče ne zna opisati, postane blokada, ki je nihče ne zna preklicati. Napišite razlago, preden napišete pravilo, ne po prvi pritožbi.
Identiteta in vedenje premagata ugibanja o anonimnosti
Omejitve hitrosti, zahteve za prijavo, preverjanja plačil in kvote na račun obravnavajo zlorabo, ne da bi kaznovali bralce, ki jim je zasebnost pomembna. Delujejo tudi naprej, ko se naslov spremeni, ker se vežejo na nekaj, česar odjemalec ne more brezplačno zavrteti.
Če je geografska omejitev licenčna zahteva, jo uveljavite kot dokumentirano politiko z jasnim sporočilom o napaki in rednim pregledom. To je drugačna kontrola od ugibanja o anonimnosti in v besedilu za stranko jo je treba opisati drugače. Blokiranje vrat, ki jih uporablja protokol VPN, lahko zmanjša avtomatizirano zlorabo, a tudi zlomi zakonit oddaljen dostop in vsak odločen se mu trivialno izogne.
Najprej ga uvedite kot meritev
Zaženite klasifikator za nekaj tednov v načinu samo-poročanja. Primerjajte populacijo, ki bi jo blokiral, s prijavami, konverzijami in podpornimi zahtevki, nato določite proračun lažno pozitivnih, preden določite prag.
Ponovno preizkusite na majhnem znanem naboru: domača povezava, mobilni operater, korporacijski izhod in komercialni VPN. Štirje primeri razkrijejo večino napak, ki bi sicer dosegle stranke, in stanejo eno popoldne.
Surovi signal in odločitev o uveljavitvi držite ločeno. Zabeležite rezultat tudi, ko je prag visok, dvoumno sredino pošljite v človeško vrsto in vsako blokado označite s kodo razloga, da bo naslednji pregled politike lahko povedal, kateri signal si je prislužil svoje mesto.
Pot pritožbe je del kontrole
Vsaka samodejna blokada potrebuje človeško pot: kontaktni naslov, naveden odzivni čas in imenovanega lastnika pregleda. Brez tega je lažno pozitiven tiho izgubljena stranka in zahtevek za podporo, s katerim nihče ne more nič storiti.
Povejte jasno, da je dostop lahko omejen, zakaj in kako zaprositi za pregled. Verzionirajte politiko, da bo podpora lahko povedala, katero pravilo je veljalo na določen datum. Blokada, ki je ne morete razložiti, preklicati ali izmeriti, ni kontrola; je ugibanje z vrstico v dnevniku.