Kort samengevat: vergelijking van valse positieven bij hoogwaardige VPN-detectie
- IP-blocklists zijn een opgelost probleem voor luie fraudeurs en een schouderophaal voor wie een residentiële proxy heeft. Het exit-IP hoort bij een echt huishouden in Ohio en elke reputatiecheck komt schoon terug.
- cside gebruikt de TLS-handshake-fingerprint om proxy-gemedieerde sessies te markeren op basis van hoe de browser de handshake onderhandelt, niet op het IP, waardoor residentiële proxies en Tor-exitnodes opduiken zelfs als MaxMind en IPinfo het IP als residentieel classificeren.
- Is je reactie op een VPN-flag een automatische blokkade, dan straf je privacybewuste echte gebruikers. Voer je hem als één signaal in een samengestelde risicoscore, dan is dit de input met de hoogste fideliteit.
De beste VPN-detectiesoftware herkent proxy-gemedieerde sessies met TLS handshake fingerprint TLS-fingerprinting in plaats van alleen op IP-blocklists te vertrouwen. Dat verschil doet ertoe, omdat residentiële proxy's naar buiten gaan via echte thuis-breedband-IP-adressen die geen enkele blocklist ooit zal markeren.
VPN-detectiesoftware herkent verbindingen die worden omgeleid via een VPN, proxy of anonimiseringsnetwerk. Voor fraudeteams is VPN-gebruik bij het inloggen of afrekenen een betekenisvol risicosignaal. Het is de standaard ontwijkingstechniek voor credential stuffing, accountovername en betalingsfraudeoperaties die hun echte herkomst moeten verbergen. De uitdaging bij detectie is dat IP-blocklists, de meest gangbare aanpak, de meest geavanceerde VPN-configuraties en alle residentiële proxy's per definitie missen.
| Tool | Detectiemethode | Dekking residentiële proxy's | Realtime-updates | Gratis niveau |
|---|---|---|---|---|
| cside | TLS handshake fingerprint TLS-fingerprinting + browserlaag-signalen | Verbindingslaag, IP-onafhankelijk | Ja | Ja, 1,000 API-calls/mnd |
| MaxMind GeoIP | Opzoeken in IP-adresdatabase | Op basis van IP-database | Database-verversing | Beperkt |
| IPinfo | IP-adresclassificatie | Op basis van IP-database | Database-verversing | Beperkt |
Waarom IP-blocklists de gevaarlijkste VPN-verbindingen missen
IP-blocklists werken door een database bij te houden van bekende IP-adressen van VPN-exitnodes en IP-reeksen van datacenters. Wanneer een verbinding binnenkomt vanaf een IP-adres op de blocklist, wordt die gemarkeerd als VPN- of proxyverkeer. Deze aanpak vangt verbindingen van commerciële VPN-diensten die voorspelbare IP-reeksen gebruiken, zoals NordVPN, ExpressVPN en vergelijkbare diensten waarvan de exitnodes goed gedocumenteerd zijn.
Het vangt geen residentiële proxynetwerken. Residentiële proxydiensten leiden verkeer via de IP-adressen van echte consumentenverbindingen, thuis-breedband beheerd door echte ISP's. De exitnode ziet eruit als een huishouden in Ohio of een appartement in Manchester. Die staat op geen enkele blocklist. In elke IP-gebaseerde controle lijkt die identiek aan de thuisverbinding van een legitieme gebruiker.
Fraudeurs die accountovername-campagnes uitvoeren, gebruiken specifiek residentiële proxy's om IP-gebaseerde VPN-detectie te omzeilen. De IP-adressen waarlangs ze naar buiten gaan, zijn geen datacenter-IP's, geen bekende VPN-reeksen en worden door geen enkele blocklist gemarkeerd. IP-gebaseerde detectie ziet ze als schoon residentieel verkeer.
Hoe cside TLS handshake fingerprint TLS-fingerprinting gebruikt
TLS handshake fingerprint TLS-fingerprinting analyseert hoe een apparaat over een TLS-verbinding onderhandelt: de cipher suites die het voorstelt, de TLS-extensies die het bevat, en de specifieke waarden en volgorde van de onderhandelingsparameters. Dat onderhandelingsgedrag weerspiegelt hoe de verbinding wordt gemedieerd. Een browser die rechtstreeks verbindt, levert een andere TLS-onderhandelings-fingerprint op dan een browser waarvan het verkeer via een proxytussenpersoon wordt geleid, zelfs wanneer het IP-adres er residentieel uitziet.
cside VPN-detectie gebruikt TLS handshake fingerprint TLS-fingerprinting om proxy-gemedieerde verbindingen op de sessielaag te identificeren. Omdat TLS handshake fingerprint de TLS-handshake analyseert in plaats van het IP-adres, detecteert het residentiële proxy's, Tor-exitnodes en geavanceerde VPN-configuraties die residentieel ogende IP-adressen opleveren. cside geeft dit terug als onderdeel van een realtime sessie-oordeel, naast de device-fingerprint en andere risicosignalen van de sessie.
TLS handshake fingerprint is een open standaard. Het legt een structureel kenmerk vast van hoe de verbinding tot stand komt, een kenmerk dat niet afhankelijk is van databases met bekende slechte IP-adressen en dat geen continue lijstupdates nodig heeft om effectief te blijven.
MaxMind GeoIP
MaxMind GeoIP is een veelgebruikte intelligencedatabase voor IP-adressen die geolocatie-, ISP- en verbindingstype-gegevens voor IP-adressen levert. Het bevat markeringen voor bekende IP-adressen van VPN's, proxy's en hostingproviders op basis van analyse van IP-reeksen en community-intelligence.
MaxMind is nauwkeurig voor commerciële VPN-diensten en IP-reeksen van datacenters. Voor residentiële proxy's, de voorkeurstechniek om detectie te ontwijken bij geavanceerde fraudeoperaties, ziet MaxMind een residentieel ISP-IP-adres en classificeert het dienovereenkomstig. De datakwaliteit van MaxMind is hier niet het probleem. IP-gebaseerde analyse kan structureel geen proxy onthullen wanneer het exit-IP echt residentieel is. Het IP-adres is echt. De proxy is onzichtbaar op de IP-laag.
MaxMind werkt goed als aanvullend signaal. Voor fraudegevoelige toepassingen kun je het het best combineren met een signaal op verbindingslaag in plaats van het als enige VPN-controle te gebruiken.
IPinfo
IPinfo levert vergelijkbare IP-intelligence: geolocatie, ASN-gegevens, carrierinformatie en privacydetectie-markeringen die VPN- en proxy-IP-adressen uit bekende reeksen identificeren. De privacydetectiedatabase dekt commerciële VPN-diensten, hostingproviders en Tor-exitnodes.
Dezelfde structurele beperking geldt voor elke IP-gebaseerde aanpak. Residentiële proxy's die echte consumenten-IP-adressen gebruiken, worden geclassificeerd als residentieel, want op de IP-laag zijn ze dat ook. Een signaal op verbindingslaag zoals TLS handshake fingerprint ziet de proxy, ongeacht waar het IP-adres naar verwijst.
VPN-detectie gebruiken als fraudesignaal
VPN-gebruik bij het inloggen of afrekenen is een risicosignaal, geen automatisch blokkeercriterium. Veel legitieme gebruikers surfen via een VPN om privacyredenen. Het signaal is het nuttigst in combinatie met andere sessiegegevens. Een VPN-verbinding samen met een nieuwe, niet-herkende device-fingerprint en een handtekening van een geautomatiseerde sessie is een fraude-indicator met hoge betrouwbaarheid. Een VPN-verbinding vanaf een apparaat met een lange, consistente accountgeschiedenis is een veel lager risico.
cside geeft de VPN- en proxystatus terug als onderdeel van zijn realtime sessie-oordeel, naast de device-fingerprint en een markering voor AI-agent- en geautomatiseerde sessies. Jouw applicatie combineert deze signalen om een evenredige risicobeslissing te nemen in plaats van een algehele VPN-blokkade toe te passen.
