设备和 IP 信号能告诉你什么，不能告诉你什么？
Charles Archibong, 联合创始人
设备和 IP 信号描述的是手机和连接，而不是用户本身。模拟器和数据中心 IP 地址是强有力的警示信号；共享设备、IP 速度和 IP 位置信息则较为薄弱。应将它们作为佐证，并且仅信任国家/地区级别的 IP 位置信息。
要点
- 设备和 IP 信号描述的是手机和连接，而不是人。
- 运营商级 NAT 将许多移动用户置于一个公共 IP 地址之后（RFC 6888）。
- 移动网络上的 IP 地址所指的城市通常是指运营商的网关，而不是客户。
- 模拟器和数据中心信号强；共享设备、速度和位置信号弱。
设备和 IP 信号只能告诉你手机和网络连接的信息，而无法告诉你手机持有者是谁。其中一些信号是强烈的警告信号：例如，应用程序在模拟器中运行，或者通过云托管服务提供商注册。但大多数信号单独来看并不十分可靠：例如，多人共用一部手机、多个用户使用同一个 IP 地址注册，或者根据 IP 地址推断出的位置信息。
因此，应将它们作为佐证。让强有力的证据提交复核，让较弱的证据计入评分，但切勿用 IP 地址来代替某人的居住地。尤其是在移动网络中，IP 地址定位的可靠性仅限于国家/地区级别，无法精确到更高级别。
为什么IP地址作为证明个人身份的证据如此薄弱？
因为在很多网络中，一个公网 IP 地址会被多个客户同时使用。
IPv4 地址稀缺； RFC 6598 在 2012 年将地址空间描述为“几乎耗尽”。运营商的标准答案是运营商级地址。 NAT （ CGN ）：运营商为每个用户分配一个私有地址，并通过其自身网络内的共享公共地址转换用户的流量。 RFC （在新标签页中打开）2013年4月发布的 第6888号文件描述了…… （在新标签页中打开）CGN 作为“用于在多个用户之间共享同一个 IPv4 地址”的功能，放置在运营商的网络中，并转换“可能来自众多用户的流量”。 RFC 2012年4月发布的第6598号公告 （在新标签页中打开）专门预留了地址块100.64.0.0/10，用于对链路进行编号。 CGN 设备和客户的设备。
RFC 6888 还解释了为什么仅凭公钥地址无法识别任何人：要找到共享地址背后的用户，运营商需要自己的地址转换日志，包括端口和时间。而你没有这些日志。你只有一个地址，但很多陌生人在同一时间都在使用。
这会对反欺诈规则产生三方面的影响：
IP地址传输速度波动很大。一小时内来自同一地址的20个注册用户可能是诈骗团伙，也可能是同一地区同一移动运营商的20个用户。
共享IP地址并不代表存在某种关系。使用同一公网IP地址的两个客户可能从未见过面。
IP 地址描述了网关的位置。位置数据库映射了运营商网关所在的公共地址。因此，客户每次会话都可能显示位于不同的城市，而不会出现任何问题。
每个信号能告诉你什么，不能告诉你什么？
信号 | 它能告诉你什么 | 普通无辜者 | 建议重量 |
|---|---|---|---|
在模拟器中运行的应用程序 | 这次通话并非普通的电话通话。 | 开发人员和测试人员 | 强：评论 |
来自托管或数据中心网络的 IP 地址 | 流量正在通过服务器传输， VPN 或代理 | 企业 VPN、隐私工具 | 中等偏强：检查或增加摩擦力 |
同一设备被多名经核实的人使用。 | 一部手机，多种身份 | 家庭成员、帮助客户的代理人、共享电话 | 计数高时为中等；计数为两三时为弱。 |
一小时内来自同一 IP 地址的多次验证 | 一个地址上的活动突然增多 | 运营商级 NAT 校园或办公网络 | 除非极端，否则较弱 |
IP地址所在国家/地区与声称的国家/地区不同 | 连接通过另一个国家/地区路由 | 海外客户、旅行、漫游、VPN | 弱：与其他信号结合 |
基于IP的城市 | 运营商网关的大致位置 | 几乎所有移动用户 | 请勿用于决策 |
这是该客户新添置的设备 | 这是你以前从未见过的手机。 | 新手机、重新安装、借来的手机 | 单独来看，他很弱；但在敏感行动之前，他很强大。 |
请将表格分为两部分阅读。上几行描述了会话的生成方式，而真实的客户很少会改变会话内容。下几行描述了日常生活，日常生活瞬息万变。
如何将设备信号和IP信号结合起来？
遵循三条规则。
切勿仅凭一个微弱的信号就断定对方无法连接。仅凭共享设备或国外IP地址不应导致连接失败。
让强信号直接传递给用户，而不是自动拒绝。模拟器或数据中心 IP 地址是需要检查的原因，有时开发者正在测试你的应用也是原因之一。
弱信号与身份证据叠加起来。共享设备、与另一个帐户匹配的人脸信息以及来自同一 IP 地址的突发流量，这构成了一种模式。其中任何一项都不足以构成模式。
举个例子：一款贷款应用收到一份贷款申请，该申请的设备本月已被其他四位已验证的借款人使用，IP地址属于一家主机服务提供商，申请人声称自己在肯尼亚，但IP地址所在的国家/地区却在其他国家/地区。这些情况各自都能解释。但它们共同构成了一种值得深入调查的模式，正确的做法是在放款前进行审核，而不是自动拒绝或自动批准。
客户提供的位置信息又该如何处理？
来自客户自身设备的位置信息，例如 GPS 他们在地图上标记的位置与 IP 地址查询提供的证据类型不同。它仍然是一种声明，也可能被伪造，但它描述的是用户的手机，而不是运营商的网络。应将其视为独立的信号，不要将其与 IP 地址位置信息混淆，以免 IP 地址获得与标记位置相同的精度。
如何 Toden 处理设备和IP信号
设备智能，即设备和 IP 分析 Toden 工作流 （在新标签页中打开）默认开启。它会查找跨人员、模拟器标识、数据中心 IP 和 IP 速度的设备复用情况，并将其提供给决策规则。device.matchedEntities，device.emulator，ip.country，ip.type，ip.datacenter，ip.countryMismatch和ip.velocity1h（决策字段 （在新标签页中打开））。这些信号会影响您的决策；它们绝不会改变验证自身的通过或失败结果。
我们特意只报告国家/地区级别的IP 地址位置。移动运营商通过共享网关路由众多用户，因此从 IP 地址推导出的城市信息描述的是网关，而非用户本身，如果将其呈现为精确位置信息，会误导审核人员。
多人使用同一设备本身并不构成欺诈；发现共享设备会建议进行审核，但不会单独封禁账户（设备验证结果 （在新标签页中打开））。工作流程模板库包含设备和 IP 欺诈防护功能，可将多账户、模拟器和机器人信号路由至审核，这是一个合理的调整起点。
在你写下一条规则之前
将您使用的每个设备和 IP 信号分类为“会话生成方式”和“日常生活”。
删除任何因单个微弱信号而拒绝交易的规则。
将 IP 城市规则替换为国家/地区级别的检查，或者将其删除。
将共享设备阈值设定为其他已验证人员的数量，并提高低风险产品的阈值。
每月抽取部分已审核案例进行检查，以了解哪些信号能够真正预测客户群中的欺诈行为。
参考来源
