Limites de la détection VPN : ce qu'un indicateur réseau peut vous apprendre

Comment fonctionne la détection basée sur des listes

Watch-IP compare une adresse IPv4 ou IPv6 qui se connecte à des listes maintenues séparément pour les nœuds de sortie Tor, les fournisseurs de VPN commerciaux, les réseaux de centres de données/hébergement, les plages ou ASN connus pour des menaces, et les opérateurs réseau sous sanctions étatiques. Une correspondance met à true le champ correspondant (isTor, isVpn, isDatacenter, isThreat, isSanctionedNetwork). Cela ne fonctionne que pour les réseaux qui figurent sur une liste que Watch-IP a chargée — cela ne peut pas détecter un service de VPN ou de proxy absent de toute liste, aussi performant soit-il techniquement.

False, absent et true ne veulent pas dire la même chose

Un objet security absent signifie que votre forfait n'inclut pas du tout cette donnée — pas que la connexion a été vérifiée et jugée propre. Une valeur false sur un champ inclus signifie l'absence de correspondance dans les listes actuellement chargées, ce qui est une affirmation plus faible que « sûr » : la couverture des listes est intrinsèquement incomplète, et un fournisseur de VPN nouveau ou de petite taille peut ne pas encore y figurer. N'affichez jamais un résultat non évalué ou false comme « Propre », « Sûr » ou « Vérifié » — ces mots affirment plus de certitude qu'une correspondance de liste ne peut le garantir.

IPv6 présente une vraie lacune de couverture

Les connexions IPv4 sont vérifiées sur les cinq catégories. Les connexions IPv6 sont vérifiées sur toutes les catégories sauf Tor — il n'existe actuellement aucune source gratuite de liste de sortie Tor pour IPv6, donc isTor vaut toujours false pour une connexion IPv6, qu'il s'agisse réellement d'un nœud de sortie Tor ou non. Si votre logique de revue se branche sur isTor, un visiteur en IPv6 reçoit une vérification structurellement différente (plus faible) qu'un visiteur en IPv4, pas seulement un résultat différent.

Ce que ces listes ne couvrent pas

Les services de proxy résidentiel — qui font transiter le trafic par de vraies adresses IP grand public plutôt que par un centre de données — posent un problème de détection nettement plus difficile que le VPN commercial ou Tor, et les listes actuelles ne les couvrent pas. Les points de terminaison de recherche par IP arbitraire (GET/POST /v1/lookup) ne renvoient pas du tout ce bloc ; c'est une capacité de GET /v1/geo liée au navigateur qui se connecte, pas quelque chose que vous pouvez demander pour une IP stockée ou fournie.

Une politique de revue prudente

Traitez isVpn ou isDatacenter comme un signal parmi d'autres dans une file de revue manuelle, aux côtés de l'historique du compte et d'autres indices — pas comme le seul fondement d'un blocage automatique. Des utilisateurs légitimes passent par des VPN et des réseaux partagés pour des raisons ordinaires (préférence de confidentialité, réseau d'entreprise, voyage), donc une politique qui bloque d'emblée sur un seul indicateur rejettera de vrais clients. Associer un indicateur réseau à un second signal sur le même événement, comme une correspondance d'e-mail jetable, constitue un fondement plus défendable pour orienter vers une revue que chaque signal pris isolément.

Ce que cet article n'affirme pas

Ceci décrit l'implémentation propre à Watch-IP basée sur des listes, pas une affirmation générale sur ce que la détection VPN peut accomplir à l'échelle du secteur. Watch-IP ne détecte pas les proxys résidentiels, ne vérifie pas l'identité, et ses listes sont actualisées selon un calendrier (stockées dans notre propre stockage) plutôt qu'en continu — un rafraîchissement lent ou échoué dégrade vers des données obsolètes ou vides, ce qui se lit comme « aucune correspondance ».

Sources

• Tor Project — liste groupée des nœuds de sortie