Recuerdo que el verano pasado, ayud\u00e9 a una plataforma social para hacer frente a los ataques de registro malicioso, esa noche en los registros del servidor de repente apareci\u00f3 decenas de miles de nuevas cuentas, todo el robot fantasma, la plataforma fue casi arrastrado hacia abajo - en estos d\u00edas, incluso el CDN tienen que protegerse contra \u201ccompa\u00f1eros de equipo\u201d, despu\u00e9s de todo, no es s\u00f3lo una molestia, puede paralizar directamente el negocio. Despu\u00e9s de todo, el registro malicioso no es s\u00f3lo una molestia, puede paralizar directamente el negocio.<\/p>\n
Registro malicioso de este asunto, en la superficie es la proliferaci\u00f3n de cuentas basura, pero la fuga de datos oculta profunda, transacciones fraudulentas, e incluso ataques DDoS de los peligros ocultos; He probado algunas plataformas sociales principales, y encontr\u00f3 que simplemente se basan en las restricciones de IP o c\u00f3digo de verificaci\u00f3n b\u00e1sica no puede bloquear los scripts avanzados, los robots ahora pueden simular el comportamiento humano, el registro a granel, la publicaci\u00f3n de anuncios, cepillarse los comentarios, e incluso robar la identidad del usuario.<\/p>\n
\u00bfPor qu\u00e9 fallan los m\u00e9todos tradicionales? En pocas palabras, la lista negra de IP es f\u00e1cil de matar por error a los usuarios reales, y los c\u00f3digos de autenticaci\u00f3n ordinarios, tales como CAPTCHA digital, ha sido agrietado por el reconocimiento de im\u00e1genes de IA a todos y cada uno; el a\u00f1o pasado, particip\u00e9 en un proyecto, la plataforma utiliza un c\u00f3digo de autenticaci\u00f3n simple, el resultado de la tasa de \u00e9xito del robot de hasta 80%, el n\u00famero de miedo, \u00bfverdad? No creas en esos \u201cuna clave anti-registro\u201d ret\u00f3rica de marketing, la seguridad sin bala de plata.<\/p>\n
Para resolver completamente el registro malicioso, tenemos que cortarlo de ra\u00edz: la combinaci\u00f3n de CAPTCHA y huella digital del dispositivo es la clave; CAPTCHA se encarga de cuestionar la autenticidad del usuario, mientras que la huella digital del dispositivo rastrea la unicidad del dispositivo, un enfoque doble que har\u00e1 invisibles a los bots.<\/p>\n
Comencemos con CAPTCHA: no todos los CAPTCHAs funcionan, los CAPTCHAs gr\u00e1ficos (como el texto retorcido) son obsoletos, recomiendo CAPTCHAs de comportamiento como rompecabezas de deslizamiento o golpeteo, que requieren coordinaci\u00f3n mano-ojo humana, y son dif\u00edciles de simular para las m\u00e1quinas; por ejemplo, CDN5 tiene un CAPTCHA inteligente integrado en su servicio, que ajusta din\u00e1micamente la dificultad basada en el riesgo - deslizamiento simple para bajo riesgo, e interacci\u00f3n de m\u00faltiples puntos para alto riesgo. Deslizamiento simple para bajo riesgo, e interacci\u00f3n multipunto para alto riesgo, lo que ha reducido la tasa de registros maliciosos en 60% en pruebas reales.<\/p>\n
Pero CAPTCHA no es suficiente, la huella digital del dispositivo para rellenar; \u00bfqu\u00e9 es la huella digital del dispositivo? Para decirlo sin rodeos, es a trav\u00e9s de las caracter\u00edsticas del navegador, informaci\u00f3n de hardware (como la resoluci\u00f3n de pantalla, lista de fuentes) para generar un identificador \u00fanico, incluso si el usuario cambia de IP, el ID del dispositivo puede ser reconocido; I herramientas de uso com\u00fan son FPJS o bibliotecas de huellas dactilares de desarrollo propio, aqu\u00ed para dar un ejemplo de c\u00f3digo, c\u00f3mo utilizar JavaScript para recopilar datos b\u00e1sicos de huellas dactilares:<\/p>\n
Este c\u00f3digo es s\u00f3lo la versi\u00f3n b\u00e1sica, en la pr\u00e1ctica, usted tiene que agregar fuentes de entrop\u00eda como WebGL renderizado o contexto de audio, para mejorar la singularidad; Ayud\u00e9 a CDN07 integrado este conjunto de cosas, su CDN de alta defensa, dispositivo de huellas dactilares puede identificar 99,8% dispositivos, repetir los intentos de registro para bloquear directamente.<\/p>\n
El flujo de trabajo de la combinaci\u00f3n de CAPTCHA y huella dactilar del dispositivo es el siguiente: cuando un usuario se registra, se activa primero el desaf\u00edo CAPTCHA y, tras superar el desaf\u00edo, el servidor comprueba la huella dactilar del dispositivo; si la huella dactilar se ha asociado a un comportamiento malicioso (por ejemplo, m\u00faltiples intentos en un breve periodo de tiempo), se deniega el registro aunque el CAPTCHA supere el desaf\u00edo; los datos de pruebas reales muestran que esta estrategia combinada puede reducir las cuentas maliciosas en 85% o m\u00e1s, y la tasa de falsos positivos es de solo 0,1%. 85% o m\u00e1s, y la tasa de falsos positivos es de s\u00f3lo 0,1%.<\/p>\n
Escupe una palabra: algunas plataformas en aras de la experiencia del usuario, cortar por completo el CAPTCHA, el resultado es que el robot se lava podrido - la seguridad y la experiencia tienen que ser equilibrados, no ser extrema; por ejemplo, la soluci\u00f3n de 08Host es inteligente, utilizan el modelo de puntuaci\u00f3n de riesgo: los dispositivos de bajo riesgo (como la primera vez para visitar) libre de la CAPTCHA, de alto riesgo es fortalecer la validaci\u00f3n, de modo que el verdadero. usuarios no tengan sentimientos y los bots lo pasen mal.<\/p>\n
Detalles t\u00e9cnicos, la implementaci\u00f3n del lado del servidor es importante; los datos de la huella digital del dispositivo necesitan ser almacenados y emparejados, prefiero usar Redis para almacenar el hash de la huella digital, establecer el TTL para limpiar autom\u00e1ticamente los datos antiguos para evitar la hinchaz\u00f3n de la base de datos. Aqu\u00ed hay un ejemplo Node.js:<\/p>\n
Este c\u00f3digo es sencillo pero eficaz, y cuando se despliega realmente hay que a\u00f1adir modelos de aprendizaje autom\u00e1tico para analizar patrones de comportamiento, como la frecuencia de registro, anomal\u00edas geogr\u00e1ficas, etc.; tanto CDN5 como CDN07 ofrecen integraci\u00f3n API, pero 08Host es a\u00fan m\u00e1s implacable, con su an\u00e1lisis de comportamiento en tiempo real incorporado, que ajusta autom\u00e1ticamente los umbrales.<\/p>\n
Comparaci\u00f3n de datos: s\u00f3lo con CAPTCHA, la tasa de bloqueo de registros maliciosos es de aproximadamente 50-70%, m\u00e1s la huella digital del dispositivo se dispara a 90-95%; una aplicaci\u00f3n social que prob\u00e9 el a\u00f1o pasado ten\u00eda m\u00e1s de 3.000 cuentas maliciosas al d\u00eda antes de la integraci\u00f3n, y despu\u00e9s de la integraci\u00f3n se redujo a menos de 200, y la carga del servidor se redujo a la mitad - el efecto, vale la pena el precio.<\/p>\n
Una \u00faltima advertencia: no esperes acabar con todo, el chantaje evoluciona; las actualizaciones peri\u00f3dicas de los algoritmos de huellas dactilares y los tipos de CAPTCHA son clave, y yo reviso mi pol\u00edtica de seguridad trimestralmente. En resumen, combinar CAPTCHA y huellas digitales de dispositivos no es una opci\u00f3n, sino una obligaci\u00f3n, especialmente para las plataformas sociales.<\/p>\n
Si usted est\u00e1 eligiendo un servicio CDN, CDN5 Captcha es fuerte pero la huella digital es d\u00e9bil, CDN07 Device Fingerprinting es preciso pero m\u00e1s caro, 08Host es rentable y adecuado para proyectos peque\u00f1os y medianos - el\u00edjalo seg\u00fan sea necesario, cosas de seguridad, invirtiendo m\u00e1s de lo que se arrepiente.<\/p>","protected":false},"excerpt":{"rendered":"
Recuerdo que el verano pasado, ayud\u00e9 a una plataforma social para hacer frente a los ataques de registro malicioso, esa noche en los registros del servidor de repente apareci\u00f3 decenas de miles de nuevas cuentas, todo el robot fantasma, la plataforma fue casi arrastrado hacia abajo - en estos d\u00edas, incluso el CDN tienen que protegerse contra \u201ccompa\u00f1eros de equipo\u201d, despu\u00e9s de todo, no es s\u00f3lo una molestia, puede paralizar directamente el negocio. Despu\u00e9s de todo, el registro malicioso no es s\u00f3lo una molestia, puede paralizar directamente el negocio. Registro malicioso de este asunto, en la superficie es la proliferaci\u00f3n de cuentas basura, pero la profunda fuga de datos ocultos, transacciones fraudulentas, e incluso ataques DDoS de los peligros ocultos; He probado algunas plataformas sociales principales, y encontr\u00f3 que simplemente se basan en las restricciones de IP o c\u00f3digo de verificaci\u00f3n b\u00e1sica no puede bloquear los scripts avanzados, los robots ahora pueden simular el comportamiento humano, el registro por lotes, la publicaci\u00f3n de anuncios, el cepillado de los comentarios, e incluso robar la identidad del usuario. \u00bfPor qu\u00e9 fallan los m\u00e9todos tradicionales? En pocas palabras, las listas negras de IP son f\u00e1ciles de matar a usuarios reales por error, mientras que la verificaci\u00f3n ordinaria<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-960","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/960","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/comments?post=960"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/960\/revisions"}],"predecessor-version":[{"id":1165,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/posts\/960\/revisions\/1165"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/media?parent=960"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/categories?post=960"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/tags?post=960"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/es\/wp-json\/wp\/v2\/collection?post=960"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}