VPN検知の限界:ネットワークフラグから分かること

リスト型検知の仕組み

Watch-IPは、接続元のIPv4またはIPv6アドレスを、Tor出口ノード、商用VPNプロバイダー、データセンター・ホスティングネットワーク、既知の脅威範囲やASN、国家により制裁対象とされたネットワーク事業者について、それぞれ別途維持されているリストと照合します。一致すると、該当するフィールド(isTor、isVpn、isDatacenter、isThreat、isSanctionedNetwork)がtrueになります。これはWatch-IPが読み込んでいるリストに掲載されているネットワークに対してのみ機能します—技術的にどれだけうまく動作していても、いずれのリストにも掲載されていないVPNやプロキシサービスは検知できません。

false・省略・trueが意味することの違い

securityオブジェクトが省略されている場合、それはお使いのプランにこのデータが一切含まれていないことを意味し、接続がチェックされて問題なしと判定されたわけではありません。含まれているフィールドでのfalseの値は、現在読み込まれているリストに一致がなかったことを意味するにすぎず、「安全」よりも弱い主張です:リストのカバレッジは本質的に不完全であり、新しい、あるいは小規模なVPNプロバイダーはまだリストに掲載されていない可能性があります。未評価やfalseの結果を「クリーン」「安全」「検証済み」として表示することは絶対に避けてください—これらの言葉は、リストとの照合結果が裏付けられる以上の確実性を主張することになります。

IPv6には実際のカバレッジの欠落がある

IPv4接続は5つのカテゴリーすべてと照合されます。IPv6接続はTorを除くすべてと照合されます—現在、無料で利用できるIPv6版のTor出口リストの情報源が存在しないため、実際にTor出口であるかどうかにかかわらず、IPv6接続のisTorは常にfalseになります。審査ロジックがisTorで分岐している場合、IPv6の訪問者は単に異なる結果になるだけでなく、IPv4の訪問者とは構造的に異なる(より弱い)チェックを受けることになります。

これらのリストが対象としないもの

住宅用プロキシサービス—データセンターではなく実際の消費者向けIPアドレスを経由してトラフィックをルーティングするもの—は、商用VPNやTorよりも実質的に検知が難しい問題であり、現在のリストでは対象外です。任意のIPを扱うルックアップエンドポイント(GET/POST /v1/lookup)は、このブロックを一切返しません—これは接続元のブラウザに紐づくGET /v1/geoの機能であり、保存済みや指定されたIPに対してリクエストできるものではありません。

慎重な審査ポリシー

isVpnやisDatacenterは、アカウント履歴やその他のシグナルと合わせた手動審査キューへの1つの入力として扱い、自動ブロックの唯一の根拠にはしないでください。正当な利用者も、プライバシー上の理由、企業ネットワーク、出張といったごく普通の理由でVPNや共有ネットワークを経由することがあるため、単一のフラグだけで即座にブロックするポリシーは、正規の顧客を拒否してしまいます。同じイベントにおいて、ネットワークフラグを使い捨てメールの一致など2つ目のシグナルと組み合わせることは、いずれか一方のシグナル単独よりも、審査に回す根拠として説得力があります。

この記事が主張していないこと

これはWatch-IP自身のリスト型実装について説明するものであり、業界全体でVPN検知が何を達成できるかについての一般的な主張ではありません。Watch-IPは住宅用プロキシを検知せず、本人確認も行わず、リストは(自社のストレージに保存され)継続的にではなくスケジュールに従って更新されます—更新が遅延または失敗すると、データが古くなる、または空になる形で劣化し、これは「一致なし」と同じように読み取られます。

情報源

• Tor Project — 一括出口リスト