プロキシ、VPN、レジデンシャルアドレス:ウェブサイトに分かること、分からないこと
どのウェブサイトも、リクエストが届いたアドレスを見ています。そのアドレスについて何を判断するかは別の話ですが、この2つはしょっちゅう混同されます。この記事では、サーバーが観測できることと、検知ベンダーが販売しているものを切り分けます。
サーバーが観測するもの
サーバーが見るのは、送信元アドレスとポートです。アドレスからは、ルックアップによって、おおよその位置、その範囲を所有する組織(ASN)、そしてその範囲が一般消費者向けISP、ホスティング会社、モバイルキャリア、大学のどれに登録されているかを導き出せます。さらに、TLSハンドシェイクの詳細、クライアントが送信したHTTPヘッダー、接続のタイミングも見えます。直接得られる証拠は、これですべてです。
ルックアップが加えるもの
商用データベースは、アドレス範囲を分類しています。「レジデンシャル」「データセンター」「既知のVPN出口」「Tor出口」「モバイル」といった具合です。これらは、公開されている登録データ、トラフィックのパターン、そしてVPNプロバイダーが公開している、あるいは観測された出口のリストから作られています。サイトはこれらのデータベースへのアクセスを購入し、訪問者ごとに問い合わせます。一部の診断ページに表示される「Proxy: yes」という判定は、その問い合わせへの回答です。ブラウザが言ったことではなく、背後にあるデータベースの質にしか左右されません。
そのため、こうしたデータベースに問い合わせない診断は、プロキシ、ブラックリスト、匿名性のチェックについて、推測するのではなく「未テスト」と表示すべきなのです。ブラウザのシグナルだけから推測すると、誤解を招くほど頻繁に外れるでしょう。
サーバー側から見たプロキシ、VPN、レジデンシャル
VPNはデバイスのすべてのトラフィックを運ぶので、ブラウザのHTTPリクエスト、WebRTCパケット、DNSクエリはすべて同じ場所から出ていきます。サーバーには1つの一貫したアドレスが見え、通常はデータベースがVPNプロバイダーのものと把握している範囲に属しています。
ブラウザに設定されたプロキシが運ぶのは、ブラウザがそれを通して送るトラフィックだけです。HTTPはプロキシを通りますが、WebRTC用のUDPは通らないことがあり、DNS解決はプロキシの種類によってローカルで行われることも、プロキシ側で行われることもあります。サーバーは、リクエスト内にプロキシのアドレスを、そしてWebRTCが封じ込められていなければ、候補内に別のアドレスを見ることができます。注目されるのはプロキシそのものではなく、この不一致です。
レジデンシャルアドレスとは、一般消費者向けISPに登録されたアドレスです。実際の訪問者の大半が持っているものなので、データベースは最も疑わしくないカテゴリとして扱います。レジデンシャルプロキシネットワークはそうしたアドレスを経由してトラフィックを流します。だからこそ割高で販売され、検知ベンダーは登録情報ではなく挙動によってそれらを特定することに力を注いでいるのです。
データベースを必要としないチェック
ベンダーがまったくいなくても成り立つ比較が3つあります。ブラウザのタイムゾーンはアドレスのものと一致しているか。WebRTCの候補はリクエストのアドレスと一致しているか。言語リストはその地域に合っているか。どれも何かを証明するものではありませんが、いずれも無料であり、3つすべてで不一致があれば説明がつきにくくなります。これらを並べて表示する診断は、サイトがルックアップにお金をかける前に得るのと同じ視点を、あなたに提供しています。
持ち帰るべきこと
アドレスは事実です。分類は、あなたには見えないデータベースによる意見です。アドレスとブラウザが報告するそれ以外のすべてとの一貫性は、あなたが管理できる部分であり、確認する価値のある部分です。
