ข้อกำหนดด้านสภาพแวดล้อมและข้อมูลสำหรับการใช้งานหลายบัญชี Target

Target เป็นแพลตฟอร์มค้าปลีกขนาดใหญ่อันดับสองของสหรัฐอเมริกา รองจาก Walmart ครอบคลุมสินค้าประจำวัน สินค้าแม่และเด็ก เสื้อผ้า อิเล็กทรอนิกส์ และของใช้ในบ้าน ฐานผู้ใช้ขนาดใหญ่และทราฟฟิกที่คงที่ทำให้แพลตฟอร์มนี้เป็นเป้าหมายของหลายทีมข้ามพรมแดนที่ต้องการสร้างระบบการใช้งานบัญชีเช่นกัน

ในช่วงไม่กี่ปีที่ผ่านมา การควบคุมความเสี่ยงของแพลตฟอร์มเข้มงวดขึ้น และไวต่อการเข้าสู่ระบบจำนวนมาก อุปกรณ์ที่ผิดปกติ และการเปลี่ยนที่อยู่สำหรับการชำระเงินบ่อยครั้ง หลายคนคิดว่าเพียงแค่บัญชีไม่ชนกันโดยตรงก็ไม่น่ามีปัญหา แต่จริง ๆ แล้วแพลตฟอร์มพิจารณาคุณลักษณะหลายชุดร่วมกันและใช้ผลสะสมในการตัดสิน

แพลตฟอร์มไม่ได้เห็นเพียงบัญชี แต่เห็นชุดลักษณะของอุปกรณ์และเบราว์เซอร์

Cookies เป็นเพียงหนึ่งในองค์ประกอบ ข้อมูลที่เบราว์เซอร์ส่งยังรวมถึง User-Agent เวอร์ชันเอนจิน เขตเวลาและภาษา ระบบปฏิบัติการ ความละเอียดหน้าจอ และรายการฟอนต์ที่ติดตั้ง ในระดับกราฟิกมีผลการเรนเดอร์ Canvas รายงาน WebGL และรุ่น GPU ส่วนระดับการจัดเก็บมี Cookies, LocalStorage และ IndexedDB เมื่อนำพารามิเตอร์เหล่านี้มารวมกันก็เพียงพอที่จะแยกอุปกรณ์หนึ่งออกจากอีกอุปกรณ์หนึ่ง

เมื่อหลายบัญชีใช้คอมพิวเตอร์เครื่องเดียวและเบราว์เซอร์เดียวกัน พารามิเตอร์เหล่านี้จะทับซ้อนกันสูง แพลตฟอร์มไม่จำเป็นต้องยืนยันว่าคุณคือใคร เพียงเส้นทางของอุปกรณ์ที่สอดคล้องกันก็สามารถใช้สนับสนุนการตัดสินว่าบัญชีมีความเชื่อมโยงกันได้

สัญญาณสามด้าน: การชำระเงิน ที่อยู่ และตำแหน่งการเข้าสู่ระบบ

ข้อมูลที่เกี่ยวกับตัวตนอธิบายได้ยากกว่าข้อมูลอุปกรณ์ ที่อยู่จัดส่ง วิธีชำระเงิน และหมายเลขโทรศัพท์ที่ผูกไว้ มักถูกมองว่าเป็นองค์ประกอบหลักของตัวตน หากบัญชีหนึ่งนำข้อมูลเหล่านี้จากบัญชีอื่นมาใช้ซ้ำ หรือเปลี่ยนเพียงไม่กี่ตัวอักษร ความเชื่อมโยงก็ยังสามารถเกิดขึ้นได้

ตำแหน่งการเข้าสู่ระบบเป็นอีกด้านหนึ่งของสัญญาณ ระบบอาจพิจารณาภูมิภาคของ IP ขาออก ประเภทผู้ให้บริการว่าเป็นเครือข่ายที่อยู่อาศัยหรือศูนย์ข้อมูล และตรงกับภูมิภาคที่ลงทะเบียนของบัญชีหรือไม่ การกระโดดข้ามประเทศในช่วงเวลาสั้น ๆ และหลายบัญชีที่มาจาก subnet เดียวกันเป็นสัญญาณที่ชัดเจน

จังหวะพฤติกรรมก็ถูกบันทึกเช่นกัน การคลิกแทบจะทันที เส้นทางการคลิกที่คงที่ไม่เปลี่ยน และไม่มีเวลาค้างอยู่บนหน้า ในมุมมองของระบบแทบไม่ต่างจากการทำงานด้วยสคริปต์

เหตุใดหลายบัญชีจึงถูกจัดรวมเป็นความเชื่อมโยงเดียวได้ง่าย

เมื่อดูสัญญาณเหล่านี้ร่วมกัน ปัญหาจะชัดเจนขึ้น หากหลายบัญชีใช้สภาพแวดล้อมเดียวกัน มีโครงสร้างข้อมูลคล้ายกัน และทำสิ่งคล้ายกันในช่วงเวลาที่ใกล้เคียง ระบบจะไม่มองว่าเป็นผู้ใช้หลายคนที่เป็นอิสระ แต่เป็นร่องรอยหลายชุดจากการดำเนินงานเดียวกัน

นี่เป็นเหตุผลว่าทำไมการแก้เพียงจุดเดียวจึงมีความหมายไม่มาก เปลี่ยน IP แต่สภาพแวดล้อมยังเหมือนเดิม หรือแก้ข้อมูลแต่โครงสร้างที่อยู่ยังเป็นแบบเทมเพลต ก็ยังคงเหลือเบาะแสของความเชื่อมโยงอยู่

ในระดับสภาพแวดล้อม สิ่งสำคัญคือไม่ให้มีการทับซ้อนกัน

สำหรับทีมที่จำเป็นต้องใช้งานหลายบัญชีจริง ๆ ข้อกำหนดด้านสภาพแวดล้อมค่อนข้างตรงไปตรงมา แต่ละบัญชีควรมีสภาพแวดล้อมเบราว์เซอร์แยกจากกัน และลายนิ้วมือ Cookies พื้นที่จัดเก็บภายในเครื่อง และทางออกเครือข่ายไม่ควรทับซ้อนกับบัญชีอื่น ไม่ควรใช้สถานะการเข้าสู่ระบบ แคช หรือ IP ขาออกร่วมกัน

เครื่องมือที่ออกแบบมาเพื่อแยกสภาพแวดล้อมสำหรับหลายบัญชีโดยเฉพาะ เช่น PurpleMark แก้ปัญหาในชั้นนี้โดยทำให้สภาพแวดล้อมเบราว์เซอร์และการตั้งค่าเครือข่ายของแต่ละบัญชีแยกออกจากกัน ไม่ต้องอาศัยการจำด้วยคนว่าคอมพิวเตอร์เครื่องใดตรงกับบัญชีใด

อีกจุดหนึ่งของทางออกเครือข่ายที่มักถูกมองข้ามคือ ภูมิภาคและประเภทควรมีความคงที่ในระยะยาว บัญชีที่ใช้ทางออกจากภูมิภาคเดิมอย่างต่อเนื่องจะใกล้เคียงพฤติกรรมผู้ใช้ปกติมากกว่าบัญชีที่เปลี่ยนบ่อย IP ของศูนย์ข้อมูลที่ถูกใช้ซ้ำจำนวนมากก็เป็นสัญญาณความเสี่ยงสูงในตัวเอง

ข้อมูลบัญชีต้องสอดคล้องกับตัวตนหรือองค์กรจริง

ปัญหาของข้อมูลลงทะเบียนไม่ได้อยู่ที่สุ่มมากพอหรือไม่ แต่อยู่ที่สอดคล้องกับตัวตนหรือองค์กรจริงหรือไม่ หากตัวตนเดียวกันใช้ที่อยู่จัดส่ง วิธีชำระเงิน หรือข้อมูลติดต่อซ้ำในหลายบัญชี ต่อให้เปลี่ยนรูปแบบการเขียน ความเชื่อมโยงก็ยังคงอยู่

อีกวิธีที่ไม่แนะนำคือกรอกฟอร์มจำนวนมากด้วยข้อมูลที่คล้ายกันมาก เช่น โครงสร้างชื่อชุดเดียวกัน รูปแบบการตั้งชื่ออีเมลคล้ายกัน หรือที่อยู่ที่ต่างกันเพียงไม่กี่ตัวเลข ระบบจับคู่ความคล้ายของแพลตฟอร์มถูกออกแบบมาเพื่อค้นหาการผสมลักษณะเช่นนี้ จึงทำให้บัญชีทั้งกลุ่มถูกจัดการพร้อมกันได้ง่าย

จังหวะการใช้งานปกติมีความแปรผันตามธรรมชาติ

บัญชีใหม่มักถูกสังเกตอย่างละเอียดขึ้นในช่วงแรก ซึ่งเป็นแนวปฏิบัติทั่วไปของแพลตฟอร์ม แต่พฤติกรรมของคนจริงมีช่วงหยุดและความแปรผันตามธรรมชาติ เวลาในการเรียกดูไม่เท่ากัน เส้นทางไม่ซ้ำเดิมทั้งหมด และก่อนสั่งซื้อผู้ใช้มักลังเลหรือเปรียบเทียบตัวเลือก

ดังนั้น วิธีที่ใช้งานได้จริงกว่าคือไม่สร้างตารางเวลาที่แม่นถึงระดับนาที แต่ปล่อยให้พฤติกรรมของบัญชีเดินตามความต้องการทางธุรกิจจริง ในข้อมูลสามารถเห็นความแตกต่างระหว่างการกระทำที่เกิดจากความต้องการจริงกับการกระทำที่สร้างขึ้นเพียงเพื่อเติมรูปแบบ

ความมั่นคงมาจากธุรกิจจริง

ความยากของการใช้งานหลายบัญชีไม่ได้อยู่ที่เทคโนโลยีทำได้หรือไม่ แต่อยู่ที่ว่าจะรักษาความมั่นคงในระยะยาวได้หรือไม่ สภาพแวดล้อมที่ไม่ทับซ้อน ข้อมูลที่ตรงกับตัวตนจริง และพฤติกรรมที่เดินตามธุรกิจจริง จะสร้างฐานที่มั่นคง หากส่วนใดส่วนหนึ่งอาศัยการปะติดปะต่อหรือกิจกรรมที่ทำขึ้นอย่างฝืน ๆ ผลลัพธ์อาจย้อนกลับมาในรูปของข้อจำกัดบัญชีในภายหลัง