Limiti del rilevamento VPN: cosa può dirti un flag di rete

Come funziona il rilevamento basato su liste

Watch-IP verifica un indirizzo IPv4 o IPv6 in connessione rispetto a liste mantenute separatamente per nodi di uscita Tor, fornitori VPN commerciali, reti datacenter/hosting, intervalli o ASN di minacce note e operatori di rete soggetti a sanzioni statali. Una corrispondenza imposta a true il campo corrispondente (isTor, isVpn, isDatacenter, isThreat, isSanctionedNetwork). Questo funziona solo per le reti presenti in una lista caricata da Watch-IP — non può rilevare un servizio VPN o proxy che non è in nessuna lista, per quanto funzioni bene dal punto di vista tecnico.

False, omesso e true significano cose diverse

Un oggetto security omesso significa che il tuo piano non include affatto questi dati — non che la connessione sia stata verificata e risultata pulita. Un valore false su un campo incluso significa nessuna corrispondenza nelle liste attualmente caricate, un'affermazione più debole di "sicuro": la copertura delle liste è intrinsecamente incompleta, e un fornitore VPN nuovo o di piccole dimensioni potrebbe non essere ancora presente. Non presentare mai un risultato non valutato o false come "Pulito", "Sicuro" o "Verificato" — queste parole affermano più certezza di quanta ne possa garantire una corrispondenza con una lista.

IPv6 presenta una reale lacuna di copertura

Le connessioni IPv4 vengono verificate rispetto a tutte e cinque le categorie. Le connessioni IPv6 vengono verificate rispetto a tutto tranne Tor — attualmente non esiste una fonte gratuita di elenco di uscita Tor per IPv6, quindi isTor è sempre false per una connessione IPv6, che si tratti o meno effettivamente di un nodo di uscita Tor. Se la logica di revisione si ramifica in base a isTor, un visitatore IPv6 riceve un controllo strutturalmente diverso (più debole) rispetto a un visitatore IPv4, non solo un risultato diverso.

Cosa non coprono queste liste

I servizi proxy residenziali — che instradano il traffico attraverso indirizzi IP reali di consumatori anziché attraverso un datacenter — rappresentano un problema di rilevamento decisamente più difficile rispetto a VPN commerciali o Tor, e le liste attuali non li coprono. Gli endpoint di ricerca per IP arbitrario (GET/POST /v1/lookup) non restituiscono affatto questo blocco; è una funzionalità di GET /v1/geo legata al browser che si connette, non qualcosa che puoi richiedere per un IP memorizzato o fornito.

Una policy di revisione prudente

Considera isVpn o isDatacenter come uno degli elementi di una coda di revisione manuale insieme alla cronologia dell'account e ad altri segnali — non come unica base per un blocco automatico. Utenti legittimi passano attraverso VPN e reti condivise per ragioni ordinarie (preferenza per la privacy, rete aziendale, viaggio), quindi una policy che blocca direttamente in base a un singolo flag respingerà clienti reali. Abbinare un flag di rete a un secondo segnale sullo stesso evento, come una corrispondenza con un'email usa e getta, è una base più difendibile per indirizzare a revisione rispetto a ciascun segnale da solo.

Cosa questo articolo non afferma

Questo descrive l'implementazione basata su liste propria di Watch-IP, non un'affermazione generale su ciò che il rilevamento VPN può ottenere a livello di settore. Watch-IP non rileva i proxy residenziali, non verifica l'identità, e le sue liste vengono aggiornate secondo una pianificazione (archiviate nella nostra infrastruttura) anziché in modo continuo — un aggiornamento lento o non riuscito degrada verso dati obsoleti o vuoti, che si leggono allo stesso modo di "nessuna corrispondenza".

Fonti

• Tor Project — bulk exit list