Resumo: comparação de falsos positivos em deteção de VPN de topo
- As listas de bloqueio de IP são um problema resolvido para burlões preguiçosos e um encolher de ombros para quem tem um proxy residencial. O IP de saída pertence a uma casa real no Ohio e cada verificação de reputação volta limpa.
- A cside usa a impressão do handshake TLS para sinalizar sessões mediadas por proxy pela forma como o navegador negoceia o handshake, não pelo IP, por isso proxies residenciais e nós de saída Tor aparecem mesmo quando MaxMind e IPinfo classificam o IP como residencial.
- Se a tua resposta a um flag de VPN é um bloqueio automático, vais castigar utilizadores reais preocupados com a privacidade. Se o alimentares como mais um sinal num score de risco composto, este é o input de maior fidelidade.
O melhor software de deteção de VPN identifica sessões mediadas por proxy através de fingerprinting TLS TLS handshake fingerprint, em vez de depender apenas de listas de bloqueio de IP. Essa diferença é importante porque os proxies residenciais saem através de endereços IP reais de banda larga doméstica que nenhuma lista de bloqueio irá alguma vez sinalizar.
O software de deteção de VPN identifica ligações que estão a ser encaminhadas através de uma VPN, proxy ou rede de anonimização. Para as equipas de fraude, o uso de VPN no início de sessão ou no checkout é um sinal de risco significativo. É a técnica de evasão padrão para operações de credential stuffing, apropriação de conta e fraude de pagamento que precisam de mascarar a sua verdadeira origem. O desafio da deteção é que as listas de bloqueio de IP, a abordagem mais comum, ignoram por definição as configurações de VPN mais sofisticadas e todos os proxies residenciais.
| Ferramenta | Método de deteção | Cobertura de proxy residencial | Atualizações em tempo real | Plano gratuito |
|---|---|---|---|---|
| cside | Fingerprinting TLS TLS handshake fingerprint + sinais na camada do navegador | Na camada de ligação, independente do IP | Sim | Sim, 1,000 chamadas API/mês |
| MaxMind GeoIP | Consulta em base de dados de endereços IP | Baseada em base de dados de IP | Atualização da base de dados | Limitado |
| IPinfo | Classificação de endereços IP | Baseada em base de dados de IP | Atualização da base de dados | Limitado |
Porque é que as listas de bloqueio de IP falham as ligações VPN mais perigosas
As listas de bloqueio de IP funcionam mantendo uma base de dados de endereços IP conhecidos de nós de saída de VPN e de gamas de IP de centros de dados. Quando uma ligação chega de um IP que está na lista de bloqueio, é sinalizada como tráfego de VPN ou proxy. Esta abordagem apanha ligações de serviços de VPN comerciais que usam gamas de IP previsíveis, como a NordVPN, a ExpressVPN e serviços semelhantes cujos nós de saída estão bem documentados.
Não apanha redes de proxy residencial. Os serviços de proxy residencial encaminham o tráfego através dos endereços IP de ligações de internet de consumidores reais, banda larga doméstica operada por ISPs reais. O nó de saída parece um agregado familiar em Ohio ou um apartamento em Manchester. Não está em nenhuma lista de bloqueio. Parece idêntico à ligação doméstica de um utilizador legítimo em todas as verificações baseadas em IP.
Os fraudadores que conduzem campanhas de apropriação de conta usam especificamente proxies residenciais para derrotar a deteção de VPN baseada em IP. Os IPs através dos quais saem não são IPs de centros de dados, não são gamas de VPN conhecidas e não são sinalizados por nenhuma lista de bloqueio. A deteção baseada em IP vê-os como tráfego residencial limpo.
Como a cside usa o fingerprinting TLS TLS handshake fingerprint
O fingerprinting TLS TLS handshake fingerprint analisa como um dispositivo negoceia uma ligação TLS: os conjuntos de cifras que propõe, as extensões TLS que inclui e os valores específicos e a ordem dos parâmetros de negociação. Esse comportamento de negociação reflete como a ligação está a ser mediada. Um navegador que se liga diretamente produz uma impressão digital de negociação TLS diferente da de um navegador cujo tráfego é encaminhado através de um intermediário proxy, mesmo quando o endereço IP parece residencial.
A deteção de VPN da cside usa fingerprinting TLS TLS handshake fingerprint para identificar ligações mediadas por proxy na camada da sessão. Como o TLS handshake fingerprint analisa o handshake TLS em vez do endereço IP, deteta proxies residenciais, nós de saída Tor e configurações de VPN sofisticadas que produzem IPs com aparência residencial. A cside devolve isto como parte de um veredicto de sessão em tempo real, juntamente com a impressão digital do dispositivo e outros sinais de risco da sessão.
O TLS handshake fingerprint é uma norma aberta. Capta uma característica estrutural de como a ligação é feita, uma que não depende de bases de dados de IPs maliciosos conhecidos e não precisa de atualizações contínuas de listas para se manter eficaz.
MaxMind GeoIP
O MaxMind GeoIP é uma base de dados de inteligência de endereços IP amplamente utilizada que fornece dados de geolocalização, de ISP e de tipo de ligação para endereços IP. Inclui indicadores para IPs conhecidos de VPN, proxy e fornecedores de alojamento com base na análise de gamas de IP e em inteligência da comunidade.
O MaxMind é rigoroso para os serviços de VPN comerciais e para as gamas de IP de centros de dados. Para os proxies residenciais, a técnica de evasão preferida das operações de fraude sofisticadas, o MaxMind vê um endereço IP de um ISP residencial e classifica-o em conformidade. A qualidade dos dados do MaxMind não é o problema aqui. A análise baseada em IP não consegue estruturalmente revelar um proxy quando o IP de saída é genuinamente residencial. O IP é real. O proxy é invisível na camada de IP.
O MaxMind funciona bem como sinal complementar. Para aplicações sensíveis a fraude, é melhor combiná-lo com um sinal na camada de ligação do que usá-lo como a única verificação de VPN.
IPinfo
O IPinfo fornece inteligência de IP semelhante: geolocalização, dados de ASN, informação da operadora e indicadores de deteção de privacidade que identificam IPs de VPN e proxy a partir de gamas conhecidas. A sua base de dados de deteção de privacidade cobre serviços de VPN comerciais, fornecedores de alojamento e nós de saída Tor.
A mesma limitação estrutural aplica-se a qualquer abordagem baseada em IP. Os proxies residenciais que usam endereços IP genuínos de consumidores são classificados como residenciais, porque na camada de IP é isso que são. Um sinal na camada de ligação como o TLS handshake fingerprint vê o proxy independentemente de como o IP se resolve.
Usar a deteção de VPN como sinal de fraude
O uso de VPN no início de sessão ou no checkout é um sinal de risco, não um critério de bloqueio automático. Muitos utilizadores legítimos navegam através de VPNs por razões de privacidade. O sinal é mais útil em combinação com outros dados da sessão. Uma ligação VPN combinada com uma impressão digital de dispositivo nova e não reconhecida e uma assinatura de sessão automatizada é um indicador de fraude de elevada confiança. Uma ligação VPN a partir de um dispositivo com um histórico de conta longo e consistente é um risco muito mais baixo.
A cside devolve o estado de VPN e de proxy como parte do seu veredicto de sessão em tempo real, juntamente com a impressão digital do dispositivo e um indicador para sessões de agentes de IA e automatizadas. A sua aplicação combina estes sinais para tomar uma decisão de risco proporcional, em vez de aplicar um bloqueio de VPN generalizado.
