Je me souviens que l'\u00e9t\u00e9 dernier, j'ai aid\u00e9 une plateforme sociale \u00e0 faire face \u00e0 des attaques d'enregistrements malveillants. Cette nuit-l\u00e0, dans les journaux du serveur, des dizaines de milliers de nouveaux comptes sont soudainement apparus, tous les robots fant\u00f4mes, la plateforme a presque \u00e9t\u00e9 entra\u00een\u00e9e vers le bas - de nos jours, m\u00eame le CDN doit se pr\u00e9munir contre les \u201cco\u00e9quipiers\u201d, apr\u00e8s tout, ce n'est pas seulement une g\u00eane, cela peut directement paralyser l'entreprise. Apr\u00e8s tout, l'enregistrement malveillant n'est pas seulement une g\u00eane, il peut directement paralyser l'entreprise.<\/p>\n
J'ai test\u00e9 quelques plateformes sociales grand public et j'ai constat\u00e9 que le simple fait de s'appuyer sur des restrictions d'IP ou sur un code de v\u00e9rification de base ne permet pas de bloquer les scripts avanc\u00e9s ; ces robots peuvent d\u00e9sormais simuler le comportement humain, proc\u00e9der \u00e0 des enregistrements par lots, publier des publicit\u00e9s, effleurer les commentaires, et m\u00eame voler l'identit\u00e9 de l'utilisateur.<\/p>\n
Pourquoi les m\u00e9thodes traditionnelles \u00e9chouent-elles ? Pour faire simple, la liste noire des adresses IP permet facilement de tuer par erreur de vrais utilisateurs, et les codes d'authentification ordinaires, tels que le num\u00e9ro CAPTCHA, ont depuis longtemps \u00e9t\u00e9 pirat\u00e9s par la reconnaissance d'image de l'IA pour tout le monde ; l'ann\u00e9e derni\u00e8re, j'ai particip\u00e9 \u00e0 un projet, la plateforme a utilis\u00e9 un simple code d'authentification, le r\u00e9sultat du taux de r\u00e9ussite du robot allant jusqu'\u00e0 80%, le nombre est effrayant, n'est-ce pas ? Ne croyez pas \u00e0 la rh\u00e9torique marketing \u201cune seule cl\u00e9 contre l'enregistrement\u201d, la s\u00e9curit\u00e9 n'a pas de solution miracle.<\/p>\n
Pour r\u00e9soudre compl\u00e8tement le probl\u00e8me de l'enregistrement malveillant, nous devons le couper \u00e0 la source - la combinaison du CAPTCHA et de l'empreinte digitale de l'appareil est la cl\u00e9 ; le CAPTCHA est charg\u00e9 de contester l'authenticit\u00e9 de l'utilisateur, tandis que l'empreinte digitale de l'appareil suit l'unicit\u00e9 de l'appareil, une approche \u00e0 deux volets qui rendra les bots invisibles.<\/p>\n
Commen\u00e7ons par les CAPTCHA : tous les CAPTCHA ne fonctionnent pas, les CAPTCHA graphiques (comme le texte tordu) sont d\u00e9pass\u00e9s, je recommande les CAPTCHA comportementaux tels que les puzzles \u00e0 glissement ou les tapotements, qui n\u00e9cessitent une coordination main-\u0153il humaine et sont difficiles \u00e0 simuler pour les machines ; par exemple, CDN5 a un CAPTCHA intelligent int\u00e9gr\u00e9 dans son service, qui ajuste dynamiquement la difficult\u00e9 en fonction du risque - un simple glissement pour un risque faible, et une interaction \u00e0 plusieurs tapotements pour un risque \u00e9lev\u00e9. Un simple glissement pour un risque faible, une interaction multi-points pour un risque \u00e9lev\u00e9, ce qui a permis de r\u00e9duire le taux d'enregistrement malveillant de 60% lors de tests en conditions r\u00e9elles.<\/p>\n
Mais le CAPTCHA ne suffit pas, l'empreinte digitale de l'appareil doit \u00eatre remplie ; qu'est-ce que l'empreinte digitale de l'appareil ? Pour parler franchement, il s'agit des caract\u00e9ristiques du navigateur, des informations mat\u00e9rielles (telles que la r\u00e9solution de l'\u00e9cran, la liste des polices) pour g\u00e9n\u00e9rer un identifiant unique, m\u00eame si l'utilisateur change d'adresse IP, l'identifiant de l'appareil peut \u00eatre reconnu ; les outils couramment utilis\u00e9s sont FPJS ou des biblioth\u00e8ques d'empreintes digitales d\u00e9velopp\u00e9es par l'utilisateur lui-m\u00eame ; voici un exemple de code, comment utiliser JavaScript pour collecter des donn\u00e9es d'empreintes digitales de base :<\/p>\n
Ce code n'est que la version de base, en pratique, vous devez ajouter des sources d'entropie telles que le rendu WebGL ou le contexte audio, pour am\u00e9liorer l'unicit\u00e9 ; j'ai aid\u00e9 CDN07 \u00e0 int\u00e9grer cet ensemble de choses, leur CDN de haute d\u00e9fense, l'empreinte digitale des appareils peut identifier 99,8% appareils, les tentatives d'enregistrement r\u00e9p\u00e9t\u00e9es \u00e0 bloquer directement.<\/p>\n
La combinaison du CAPTCHA et de l'empreinte digitale de l'appareil se d\u00e9roule comme suit : lorsqu'un utilisateur s'inscrit, le CAPTCHA est d'abord d\u00e9clench\u00e9, et apr\u00e8s avoir r\u00e9ussi le d\u00e9fi, le serveur v\u00e9rifie l'empreinte digitale de l'appareil - si l'empreinte digitale a \u00e9t\u00e9 associ\u00e9e \u00e0 un comportement malveillant (par exemple, plusieurs tentatives dans un court laps de temps), l'inscription est refus\u00e9e m\u00eame si le CAPTCHA r\u00e9ussit le d\u00e9fi ; les donn\u00e9es de tests en conditions r\u00e9elles montrent que cette strat\u00e9gie combin\u00e9e peut r\u00e9duire les comptes malveillants de 85% ou plus, et le taux de faux positifs n'est que de 0,1%. 85% ou plus, et le taux de faux positifs n'est que de 0,1%.<\/p>\n
Cracher un mot : certaines plateformes, au nom de l'exp\u00e9rience utilisateur, suppriment compl\u00e8tement le CAPTCHA, ce qui a pour r\u00e9sultat de faire pourrir le robot - la s\u00e9curit\u00e9 et l'exp\u00e9rience doivent \u00eatre \u00e9quilibr\u00e9es, il ne faut pas \u00eatre extr\u00eame ; par exemple, la solution de 08Host est intelligente, elle utilise un mod\u00e8le de notation des risques : les dispositifs \u00e0 faible risque (comme la premi\u00e8re visite) sont exempts de CAPTCHA, les dispositifs \u00e0 haut risque renforcent la validation, de sorte que les vrais utilisateurs ne ressentent rien et que les bots aient du mal \u00e0 s'en sortir. que les vrais utilisateurs ne se sentent pas concern\u00e9s et que les robots aient du mal.<\/p>\n
D\u00e9tails techniques, l'impl\u00e9mentation c\u00f4t\u00e9 serveur est importante ; les donn\u00e9es d'empreintes digitales des appareils doivent \u00eatre stock\u00e9es et compar\u00e9es, je pr\u00e9f\u00e8re utiliser Redis pour stocker le hachage des empreintes digitales, d\u00e9finir le TTL pour nettoyer automatiquement les vieilles donn\u00e9es afin d'\u00e9viter le gonflement de la base de donn\u00e9es. Voici un exemple en Node.js :<\/p>\n
Ce code est simple mais efficace, et lorsqu'il est r\u00e9ellement d\u00e9ploy\u00e9, vous devez ajouter des mod\u00e8les d'apprentissage automatique pour analyser les mod\u00e8les comportementaux, tels que la fr\u00e9quence d'enregistrement, les anomalies g\u00e9ographiques, etc. CDN5 et CDN07 offrent tous deux une int\u00e9gration API, mais 08Host est encore plus impitoyable, avec leur analyse comportementale en temps r\u00e9el int\u00e9gr\u00e9e, qui ajuste automatiquement les seuils.<\/p>\n
Comparaison des donn\u00e9es : avec le CAPTCHA seul, le taux de blocage des enregistrements malveillants est d'environ 50-70%, plus l'empreinte digitale de l'appareil qui monte en fl\u00e8che \u00e0 90-95% ; une application sociale que j'ai test\u00e9e l'ann\u00e9e derni\u00e8re avait plus de 3 000 comptes malveillants par jour avant l'int\u00e9gration, et apr\u00e8s l'int\u00e9gration, il est tomb\u00e9 \u00e0 moins de 200, et la charge du serveur a \u00e9t\u00e9 divis\u00e9e par deux - l'effet, qui vaut le prix, a \u00e9t\u00e9 tr\u00e8s positif. L'effet de l'int\u00e9gration vaut son prix.<\/p>\n
Un dernier mot d'avertissement : ne vous attendez pas \u00e0 en finir, le chantage \u00e9volue ; des mises \u00e0 jour r\u00e9guli\u00e8res des algorithmes d'empreintes digitales et des types de CAPTCHA sont essentielles, et je r\u00e9vise ma politique de s\u00e9curit\u00e9 tous les trimestres. En r\u00e9sum\u00e9, combiner CAPTCHA et empreintes digitales n'est pas une option, mais une n\u00e9cessit\u00e9, en particulier pour les plateformes sociales.<\/p>\n
Si vous choisissez un service CDN, CDN5 Captcha est fort mais l'empreinte digitale est faible, CDN07 Device Fingerprinting est pr\u00e9cis mais plus cher, 08Host est rentable et adapt\u00e9 aux petits et moyens projets - choisissez-le selon vos besoins, la s\u00e9curit\u00e9, investir plus que vous ne le regretterez.<\/p>","protected":false},"excerpt":{"rendered":"
Je me souviens que l'\u00e9t\u00e9 dernier, j'ai aid\u00e9 une plateforme sociale \u00e0 faire face \u00e0 des attaques d'enregistrements malveillants. Cette nuit-l\u00e0, dans les journaux du serveur, des dizaines de milliers de nouveaux comptes sont soudainement apparus, tous les robots fant\u00f4mes, la plateforme a presque \u00e9t\u00e9 entra\u00een\u00e9e vers le bas - de nos jours, m\u00eame le CDN doit se pr\u00e9munir contre les \u201cco\u00e9quipiers\u201d, apr\u00e8s tout, ce n'est pas seulement une g\u00eane, cela peut directement paralyser l'entreprise. En effet, l'enregistrement malveillant n'est pas seulement une g\u00eane, il peut directement paralyser l'entreprise. J'ai test\u00e9 quelques plateformes sociales grand public et j'ai constat\u00e9 que les restrictions d'IP ou le code de v\u00e9rification de base ne suffisent pas \u00e0 bloquer les scripts avanc\u00e9s. Ces robots peuvent d\u00e9sormais simuler le comportement humain, proc\u00e9der \u00e0 des enregistrements par lots, publier des publicit\u00e9s, effleurer les commentaires et m\u00eame voler l'identit\u00e9 de l'utilisateur. Pourquoi les m\u00e9thodes traditionnelles \u00e9chouent-elles ? Pour faire simple, les listes noires d'adresses IP peuvent facilement tuer des utilisateurs r\u00e9els par erreur, tandis que les codes de v\u00e9rification ordinaires ne peuvent pas bloquer les scripts avanc\u00e9s.<\/p>","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"","sticky":false,"template":"","format":"gallery","meta":{"_seopress_robots_primary_cat":"","_seopress_titles_title":"","_seopress_titles_desc":"","_seopress_robots_index":"","footnotes":""},"categories":[150],"tags":[],"collection":[],"class_list":["post-960","post","type-post","status-publish","format-gallery","hentry","category-updates","post_format-post-format-gallery"],"_links":{"self":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/960","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/comments?post=960"}],"version-history":[{"count":1,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/960\/revisions"}],"predecessor-version":[{"id":1165,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/posts\/960\/revisions\/1165"}],"wp:attachment":[{"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/media?parent=960"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/categories?post=960"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/tags?post=960"},{"taxonomy":"collection","embeddable":true,"href":"https:\/\/www.ddosgj.com\/fr\/wp-json\/wp\/v2\/collection?post=960"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}