Que tipo de dispositivo e sinal IP podem e não podem te dizer

Os sinais do dispositivo e do endereço IP informam sobre o aparelho e a conexão de rede, não sobre a pessoa que está segurando o telefone. Alguns deles são fortes indícios de alerta: um aplicativo rodando em um emulador ou um cadastro em um serviço de hospedagem em nuvem. A maioria, isoladamente, é fraca: um telefone compartilhado por várias pessoas, vários cadastros a partir de um mesmo endereço IP ou uma localização derivada de um endereço IP.

Portanto, considere-os como corroboração. Deixe que os mais fortes enviem um caso para revisão, deixe que os mais fracos contribuam para a pontuação e nunca permita que um endereço IP substitua o local de residência de alguém. Em redes móveis, em particular, a localização por IP é confiável em nível de país e não muito mais detalhada.

Por que os endereços IP são considerados evidências tão fracas da identidade de uma pessoa?

Porque em muitas redes, um mesmo endereço IP público é usado por vários clientes ao mesmo tempo.

Os endereços IPv4 são escassos; RFC A norma 6598 descrevia o espaço de endereçamento como "quase esgotado" em 2012. A resposta padrão para as operadoras é "Carrier-Grade" (nível de serviço da operadora). NAT ( CGN ): a operadora atribui a cada assinante um endereço privado e traduz o tráfego através de um endereço público compartilhado dentro de sua própria rede. RFC 6888 (abre num novo separador) , publicado em abril de 2013, descreve um CGN como uma função "usada para compartilhar o mesmo endereço IPv4 entre vários assinantes", localizada na rede da operadora e traduzindo "o tráfego de potencialmente muitos assinantes". RFC A norma 6598 (abre num novo separador) , publicada em abril de 2012, reservou um bloco de endereços, 100.64.0.0/10, especificamente para numerar os links entre CGN dispositivos e equipamentos dos clientes.

RFC A regra 6888 também explica por que o endereço público sozinho não consegue identificar ninguém: para encontrar o assinante por trás de um endereço compartilhado, a operadora precisa de seus próprios registros com o endereço traduzido, a porta e a hora. Você não tem esses registros. Você tem um único endereço que muitas pessoas desconhecidas estão usando ao mesmo tempo.

Isso tem três consequências para as regras antifraude:

• A velocidade do tráfego IP é instável. Vinte cadastros de um mesmo endereço em uma hora podem ser resultado de uma operação fraudulenta ou de vinte clientes da mesma operadora de celular na mesma região.

• Um endereço IP compartilhado não constitui uma relação. Dois clientes que utilizam o mesmo endereço IP público podem nunca ter se encontrado.

• A localização IP descreve o gateway. Os bancos de dados de localização mapeiam o endereço público, que corresponde ao local onde o gateway da operadora está situado. Um cliente pode parecer estar em uma cidade diferente a cada sessão, sem que isso esteja errado.

O que cada sinal pode e não pode lhe dizer

Leia a tabela como dois grupos. As linhas superiores descrevem como a sessão foi produzida, algo que um cliente real raramente altera. As linhas inferiores descrevem a vida cotidiana, que está em constante mudança.

Como combinar sinais de dispositivos e IPs?

Siga três regras.

1. Nunca tome decisões baseadas em um único sinal fraco. Um dispositivo compartilhado ou um IP estrangeiro, por si só, não devem ser motivo para rejeitar ninguém.

2. Deixe que os sinais fortes cheguem às pessoas, e não às rejeições automáticas. Um emulador ou um endereço IP de data center é um motivo para investigar, e às vezes um desenvolvedor está testando seu aplicativo.

3. Combine sinais fracos com evidências de identidade. Um dispositivo compartilhado, mais uma correspondência facial com outra conta, mais uma sequência de dados de um mesmo IP, configura um padrão. Nenhum deles isoladamente é suficiente.

Um exemplo ilustrativo: um aplicativo de empréstimo recebe uma solicitação de empréstimo em que o dispositivo foi usado por outros quatro mutuários verificados neste mês, o endereço IP pertence a um provedor de hospedagem e o solicitante alega estar no Quênia, enquanto o país do endereço IP é outro. Cada um desses fatores é explicável. Juntos, eles descrevem um padrão que merece uma análise mais detalhada, e a resposta correta é a revisão antes da liberação do empréstimo, não uma recusa automática nem uma aprovação automática.

E quanto às provas de localização que o cliente lhe fornece?

Localização proveniente do próprio dispositivo do cliente, como um GPS A localização que alguém coloca num mapa é um tipo de evidência diferente de uma consulta de IP. Ainda é uma afirmação e pode ser falsificada, mas descreve o aparelho da pessoa, e não a rede da sua operadora. Trate-a como um sinal independente e não a combine com a localização por IP de forma a conferir ao IP a precisão da localização.

Como Toden Gerencia sinais de dispositivos e IP.

Inteligência de Dispositivos, a análise de dispositivos e IP em Toden fluxos de trabalho (abre num novo separador) , está ativado por padrão. Ele busca reutilização de dispositivos entre pessoas, sinais de emuladores, IPs de datacenter e velocidade de IP, e os disponibiliza para regras de decisão comodevice.matchedEntities,device.emulator,ip.country,ip.type,ip.datacenter,ip.countryMismatcheip.velocity1h( campos de decisão (abre num novo separador) ). Esses sinais alimentam sua decisão; eles nunca alteram o resultado de aprovação ou reprovação da verificação.

Deliberadamente, relatamos a localização do IP apenas em nível de país . As operadoras de telefonia móvel encaminham muitos assinantes por meio de gateways compartilhados, portanto, uma cidade derivada de um endereço IP descreve o gateway, não a pessoa, e apresentá-la como se fosse precisa induziria os revisores ao erro.

Um dispositivo usado por mais de uma pessoa não é tratado como fraude por si só; uma detecção de dispositivo compartilhado recomenda revisão e nunca bloqueia uma conta automaticamente ( detecção de dispositivos de verificação (abre num novo separador) ). A biblioteca de modelos de fluxo de trabalho inclui uma proteção contra fraudes por dispositivo e IP que encaminha sinais de múltiplas contas, emuladores e bots para revisão, o que é um bom ponto de partida para ajustes.

Antes de escrever sua próxima regra

1. Classifique todos os dispositivos e sinais IP que você usa em "como a sessão foi produzida" e "uso normal".

2. Remova qualquer regra que seja rejeitada com base em um único sinal fraco.

3. Substitua as regras de IP-cidade por verificações em nível de país ou remova-as.

4. Defina os limites de compartilhamento de dispositivos como uma contagem de outras pessoas verificadas e aumente-os para produtos de baixo risco.

5. Analise uma amostra de casos revisados ​​mensalmente para verificar quais sinais realmente previram fraudes em sua base de clientes.