Một trang kiểm tra báo môi trường có vấn đề không đồng nghĩa môi trường thực sự lỗi. Khác biệt về tiêu chí đánh giá, tiện ích mở rộng, cơ sở dữ liệu IP cập nhật chậm, uy tín IP đầu ra và tham số thiếu nhất quán đều có thể gây báo sai. Bài viết sắp xếp quy trình kiểm tra theo thứ tự đầu ra, tham số, tiện ích và hành vi.
Khi mở hai trang kiểm tra, một trang có thể cho rằng môi trường sạch trong khi trang kia đánh dấu đỏ nhiều đặc điểm. Tình huống này rất phổ biến khi vận hành nhiều tài khoản. Nguyên nhân thường không nằm ở chính công cụ, mà ở việc hoạt động phát hiện vốn không có một tiêu chuẩn thống nhất.
Mỗi trang phát hiện dùng cơ sở dữ liệu và tiêu chí khác nhau
Mỗi trang tập trung vào những loại thông tin khác nhau. Có trang dùng JavaScript để kiểm tra các đặc điểm trình duyệt như Canvas, WebGL và Audio API. Có trang phụ thuộc nhiều hơn vào tiêu đề yêu cầu HTTP, kiểm tra chuỗi user agent, ngôn ngữ được chấp nhận và thiết lập Cookie. Một số trang khác lại tập trung vào cấu hình mạng và thông tin hệ điều hành. Vì vậy, cùng một thiết bị có thể nhận kết quả khác nhau trong các hệ thống chấm điểm khác nhau.
Phía IP cũng tương tự. Cơ sở dữ liệu phân giải mà các trang phát hiện sử dụng không phải lúc nào cũng được cập nhật theo thời gian thực. Địa chỉ có thể được cấp phát động, một dải mới được cấp có thể chưa được ghi nhận, hoặc thông tin địa lý đã thay đổi nhưng cơ sở dữ liệu vẫn giữ dữ liệu cũ. Nếu dùng đầu ra ở Mỹ nhưng bị định vị sang khu vực khác, đây thường là nguyên nhân chứ không phải do cấu hình sai.
Sự khác nhau giữa các danh sách đen cũng cần được tính đến. Nhiều nền tảng bảo mật tự duy trì danh sách địa chỉ độc hại riêng. Cùng một IP có thể bị đánh dấu là không đáng tin ở một dịch vụ nhưng lại có uy tín tốt ở dịch vụ khác. Việc IP có bị liệt kê hay không phụ thuộc vào trang bạn đang kiểm tra.
Chỉ nhìn một chiều rất dễ dẫn đến đánh giá sai
Các báo sai phổ biến thường đến từ hai hướng. Thứ nhất là tiện ích mở rộng: trình chặn quảng cáo và tiện ích bảo mật có thể ngăn script thu thập dữ liệu Canvas hoặc danh sách phông chữ. Chúng cũng có thể thêm dấu hiệu vào tiêu đề yêu cầu hoặc thay đổi cách xử lý user agent. Những thay đổi này đều trở thành một phần của dấu vân tay. Vì vậy, sau khi cài tiện ích, việc đặc điểm phát hiện khác với giá trị được gắn nhãn không nhất thiết là bất thường.
Hướng thứ hai là coi một kết quả đơn lẻ như kết luận tổng thể. Cần xem đồng thời WebRTC hoặc DNS có làm lộ IP thật hay không, danh sách phông chữ và tiện ích có quá độc đáo hay không, các đặc điểm phần cứng như độ phân giải màn hình có nằm trong phạm vi phổ biến không và JavaScript để lộ bao nhiêu thông tin. Một mục đỏ riêng lẻ không đủ để đưa ra kết luận.
Mọi phép kiểm tra đều xanh nhưng tài khoản vẫn bất thường
Hai vấn đề này có liên quan nhưng không đồng nhất. Trang phát hiện nhìn thấy các đặc điểm mà trình duyệt thể hiện ra bên ngoài. Hệ thống quản trị rủi ro của nền tảng còn xem hồ sơ phía tài khoản: giờ đăng nhập có đều không, tần suất thao tác có lệch khỏi người dùng bình thường không, nội dung có chạm quy tắc không, thông tin danh tính và thanh toán có nhất quán không.
Vì vậy, khi gặp tình huống này, đừng vội xây dựng lại toàn bộ môi trường. Nguyên nhân thường gặp hơn là ở hành vi, chẳng hạn theo dõi hoặc nhắn tin hàng loạt trong thời gian ngắn, thay đổi đầu ra thường xuyên, hoặc một tài khoản được nhiều người sử dụng cùng lúc. Các trang phát hiện không thể nhìn thấy những hành vi này.
Thứ tự kiểm tra
Hãy đi theo thứ tự dưới đây. Những mục đầu có thể giải thích phần lớn vấn đề, nên không cần thay đổi các lớp sau nếu chưa cần thiết.
Đầu tiên là đầu ra. Xác nhận mức độ dùng chung của đầu ra hiện tại, lịch sử sử dụng và khu vực có phù hợp với thị trường mục tiêu hay không. Nếu chỉ một vài trang cho điểm tiêu cực, hãy đối chiếu thêm với một hoặc hai dịch vụ khác rồi mới quyết định có đổi hay không. Đừng đổi IP chỉ vì thấy một dấu đỏ.
Thứ hai là tính nhất quán của tham số. Vị trí địa lý, múi giờ và ngôn ngữ nên đi theo khu vực của đầu ra, không nên chỉ thay đổi riêng một mục. Nếu môi trường khai báo là thiết bị di động, toàn bộ bộ tham số cũng phải có đặc điểm của thiết bị di động. Các tham số mâu thuẫn với nhau là một trong những dấu vết dễ bị nhận diện nhất của một môi trường được dựng nhân tạo.
Thứ ba là tiện ích mở rộng. Gỡ những tiện ích không còn sử dụng. Với môi trường cần duy trì tính nhất quán, chỉ giữ tiện ích cần thiết và cập nhật định kỳ để tránh tiện ích cũ đưa thêm đặc điểm mới vào dấu vân tay.
Thứ tư là hành vi. Xem lại nhật ký thao tác gần đây: giờ đăng nhập, tần suất hoạt động và liệu một tài khoản có được nhiều người sử dụng cùng lúc hay không.
Cuối cùng mới đến khác biệt phía nền tảng. Cùng một môi trường có thể hoạt động khác nhau trên các nền tảng vì mỗi nơi có mô hình và ngưỡng rủi ro riêng. Nếu chỉ một nền tảng có dấu hiệu bất thường trong khi phát hiện và tham số đều ổn, khả năng cao hơn là do tiêu chí phán định khác nhau; xây dựng lại môi trường sẽ không giải quyết được.
Một số câu hỏi thường gặp
Kết quả phát hiện bất thường có trực tiếp khiến tài khoản bị khóa không? Không trực tiếp. Kết luận của trang phát hiện không giống hệ thống quản trị rủi ro của nền tảng, nhưng vẫn là một tín hiệu tham khảo đáng xem.
Nếu cùng một môi trường hôm nay bình thường nhưng ngày mai bất thường, nguyên nhân thường liên quan đến cập nhật cơ sở dữ liệu phân giải, đầu ra được cấp lại hoặc tiện ích tự động cập nhật. Hãy kiểm tra ba điểm này trước.
Có cần đạt điểm tuyệt đối trên mọi trang phát hiện không? Không cần. Thuật toán của mỗi bên khác nhau nên đạt điểm tuyệt đối ở tất cả các trang vừa không thực tế vừa không cần thiết. Trọng tâm là loại bỏ những mâu thuẫn tham số và vấn đề đầu ra thực sự tồn tại.
