Detecção de proxy residencial: por que é tão difícil
A detecção de proxy residencial é a tentativa de identificar tráfego roteado por conexões de internet domésticas ou móveis comuns, alugadas por seus donos, e é um dos problemas mais difíceis da inteligência de IP. O ipto não detecta proxies residenciais. Seus indicadores cobrem endereços de VPN, Tor, abuso e datacenter, e um proxy residencial normalmente voltará limpo, por isso vale entender o motivo antes de projetar uma defesa baseada apenas em dados de IP.
Como funcionam os proxies residenciais
Um proxy de datacenter roda em um servidor de uma rede de hospedagem, então seu endereço pertence a um ASN de hospedagem, fácil de atribuir. Um proxy residencial é diferente: o endereço de saída pertence a um ISP de consumo e está atribuído a uma residência ou telefone reais. Os provedores obtêm acesso a essas conexões por meio de software embutido em aplicativos, extensões de navegador ou dispositivos, em que o dono do dispositivo concordou (muitas vezes sem muita atenção) em compartilhar largura de banda, ou por meio de malware que inscreve dispositivos sem consentimento. O tráfego de um cliente é retransmitido pelo dispositivo inscrito que o provedor selecionar.
Para o site de destino, a requisição chega de um endereço pertencente a um ISP normal, em uma faixa de consumo normal, com uma cidade plausível. Nada nos dados de registro o marca como proxy, porque no nível da rede ele não é um serviço de proxy. É uma linha de assinante legítima transportando tráfego que o assinante não originou.
Por que a detecção por lista falha
A maior parte da detecção de proxy baseada em IP funciona por atribuição e listas: listas publicadas de saída de VPN e Tor, além de dados de ASN mostrando que um endereço está dentro de uma rede de hospedagem ou de VPN. Essa abordagem é eficaz contra proxies de datacenter porque a infraestrutura é concentrada e estável. As redes residenciais quebram cada uma dessas premissas.
- Sem infraestrutura estável. Os endereços de saída estão espalhados por milhares de ISPs de consumo, então não há um pequeno conjunto de ASNs para marcar. Bloquear esses ASNs bloquearia clientes comuns.
- Rotação constante. Um provedor pode entregar um dispositivo diferente, e portanto um endereço diferente, a cada requisição ou sessão. Qualquer lista está desatualizada antes de ser publicada.
- Endereços compartilhados. O mesmo IP pode servir ao mesmo tempo uma família real, um conjunto de CGNAT com muitos usuários e uma sessão de proxy, então um veredito em nível de endereço é ambíguo mesmo em princípio.
- Reputação limpa no início. Um dispositivo recém-inscrito não tem histórico de abuso, então os feeds de reputação não têm nada a informar até que ele tenha sido usado de forma indevida.
A consequência prática é que uma consulta como o verificador de VPN, Tor e proxy do ipto retornando "não conhecido" diz que o endereço não está em uma lista conhecida de VPN ou Tor nem em uma rede voltada à hospedagem. Não diz que o tráfego é humano.
O que ainda pode ajudar
Como o próprio IP carrega pouca evidência, a detecção passa para o comportamento e o contexto. Nenhum desses elementos é conclusivo isoladamente, e todos exigem dados do seu próprio aplicativo, e não de uma consulta de IP.
- Padrões comportamentais: cadência das requisições, ordem de navegação, carregamentos de recursos ausentes, tempos idênticos de preenchimento de formulários e durações de sessão que não se parecem com as de pessoas.
- Consistência do cliente: um User-Agent interpretado que diverge de outros cabeçalhos, configurações de idioma ou características de TLS. O analisador de User-Agent é uma forma rápida de verificar se o navegador e o SO declarados são internamente plausíveis.
- Velocidade entre contas: muitos cadastros, logins ou checkouts espalhados por muitos endereços distintos e individualmente discretos.
- Contexto de rede: a consulta de ASN diz em qual ISP um endereço está, o que ajuda a ver que uma rajada de tráfego está espalhada de forma incomumente ampla entre provedores, embora não possa provar um proxy.
- Risco combinado: sinais de IP, e-mail e telefone em conjunto, como o verificador de pontuação de fraude oferece, pegam casos em que o endereço parece normal mas os dados de identidade não.
Projetando em torno da lacuna
Trate a inteligência de IP como uma camada e seja explícito sobre o que ela cobre. A consulta de IP do ipto retorna is_vpn, is_tor, is_abuser e is_datacenter, e seus feeds de ameaças são atualizados a cada 6 horas, o que é útil para a grande parcela da automação indesejada que roda a partir de redes de hospedagem. Para o restante, conte com limites de taxa por conta e por ação, verificação adicional para operações sensíveis e fluxos de desafio contra bots que avaliem o cliente em vez do endereço.
Desconfie de quem promete identificação certa de proxies residenciais apenas a partir de um endereço IP. Como o endereço é uma linha de assinante genuína, a posição honesta é probabilística: alguns provedores e fornecedores afirmam inferir o uso de proxy por análise de tráfego ou dados em nível de dispositivo, mas nenhuma lista pública de IP pode estabelecê-lo. O contexto relacionado sobre como as listas de VPN são construídas está em como funciona a detecção de VPN.