לאיסורים של כתובות IP יש פגמים כפי שאתה מזכיר, אבל אני חושב שהסיבה העיקרית לכך שהם משמשים היא פשוט שאין באמת חלופות טובות יותר. תכונות זיהוי אחרות, כמו סוכן המשתמשים בדפדפן, קובצי cookie, טביעת אצבע בדפדפן וכו 'קלות יותר לזייף או לעקוף. יש הרבה תוספים שבהם אתה יכול להשתמש כדי לשנות את סוכן המשתמשים שלך או את טביעת האצבע שלך, וניתן פשוט למחוק קובצי cookie.

לדוגמה, אנו מכבים את הנתב שלנו כל לילה כך שכתובת ה- IP שלנו משתנה לעתים הבוקר. יתר על כן, לעתים קרובות מספיק מחזור חשמל פשוט בכדי לשנות את כתובת ה- IP. לפיכך, איסורי כתובות IP אינם יעילים יחסית.

הקלות בה אתה יכול לשנות את כתובת ה- IP שלך תלויה במידה רבה בספק האינטרנט. למשל, כשהיה לי Verizon DSL, כתובת ה- IP שלי תשתנה בכל פעם שכיביתי את המודם והופעל אותו בדיוק כמו מה שאתה מתאר. אך לאחר שעברתי ל Comcast, כתובת ה- IP שלי לא השתנתה במשך כל השנתיים שאני נמצא איתם, גם לאחר הפסקות חשמל מרובות ומודם מחדש. אז דרך הפיתרון "אתחול מחדש של הנתב" לא בהכרח תפעל עבור כולם.

דבר נוסף שעליך לקחת בחשבון הוא שגם אם אתה מאותם אנשים שיכולים לשנות את כתובת ה- IP שלך באמצעות אתחול מחדש, אתה ' סביר להניח שעדיין מקבלים כתובת IP ממאגר כתובות מוגבל למדי. הסיבה לכך היא שספקי האינטרנט בדרך כלל לא מקצים כתובות באופן אקראי לחלוטין; הם מחלקים את אזור השירות שלהם לאזורים קטנים יותר (למשל שכונות) ואז מקצים מגוון קטן של כתובות להקצות ללקוחות בכל אזור. כך שאם היה ממש משתמש מתמיד ובעייתי, מנהל אתר יכול לאסור את כל טווח הכתובות (אם כי זה עלול לגרום לבעיות משמעותיות עבור משתמשים אחרים כפי שאתה מציין).

הערה צדדית: ראוי להזכיר שיש דרכים אחרות להסוות את כתובת ה- IP שלך שעוקפות את הבעיה הזו, כמו שימוש בשירות VPN או Tor. אתרים מסוימים, כמו ויקיפדיה, מנסים לחסום את כל כתובות ה- IP של פרוקסי ציבור ידועים כדי להתמודד עם זה.

מצד שני, איסור כתובות IP יכול לגרום צער רב לחפים מפשע. משתמשים המשתמשים בכתובות IP לשעבר של משתמש זדוני, ולעיתים נאסר טווח של כתובות IP ובכך גורם לאיסור משתמשים חפים מפשע להשפיע על אנשים רבים יותר.

כן, כתובת IP האיסורים הם כלי בוטה וזו אחת הבעיות הטמונות בהם. זה במיוחד המקרה כאשר כתובת IP משותפת על ידי מאות או אלפי משתמשים באותו הבניין, או אפילו חלק גדול מ מדינה שלמה באמצעות NAT. . באחריותם של מנהלי האתרים למזער את ההשפעות של איסורי כתובות IP על משתמשים לגיטימיים. ניתן לנקוט באמצעים שונים - למשל, תוכל להתאמץ לזהות כתובות IP משותפות ולוודא שכתובות IP אלו אסורות לתקופות קצרות בלבד, או לעשות זאת כך שמשתמשים בעלי מוניטין מינימלי מסוים עדיין יוכלו להיכנס לחסומים כתובות IP ונשארות לא מושפעות מהן. אם נעשה נכון, איסורי כתובות IP יכולים להיות יעילים מאוד לחסימת משתמשים לא רצויים תוך השפעה מינימלית על אלה לגיטימיים.

מדוע אנשים משתמשים באיסורי כתובות IP כאשר כתובות IP משתנות לעתים קרובות?

דוגמא מעשית המהווה החזר השקעה עצום:

כי fail2ban ( ויקיפדיה / fail2ban) הוא הרבה יותר מהיר ומסתגל מאשר חידוש DHCP ( שגיאת שרת, תקן חכירה של DHCP) איחור של ספק שירותי האינטרנט של תוקף או רובוט טיפש.

נעשה שימוש בעיקר באיסורי IP מכיוון ש אין באמת דרך טובה יותר לאסור משתמש , במיוחד אם הם פשוט משתמשים באתר שלך. כן, די הרבה כתובות IP מקומיות הן דינמיות (aka, הן משתנות בכל פעם שהמודם מתחבר לספק האינטרנט), אבל באמת, איך עוד תיפטרו ממשתמש, מלבד למצוא אותם פיזית ולעצור אותם כך:

אם אתה מנסה לחסום את כתובת ה- IP של המשתמש להתחבר לשרת שלך באמצעות לקוח ליישום (שאתה / החברה שלך ייצרת) מותקן במחשב שלהם, יש לך גישה ל שלל מידע שבו אתה יכול להשתמש כדי לאסור לצמיתות מישהו בלי להשתמש בכתובת ה- IP שלהם, כגון מציאת ושימוש במספרים הסידוריים של החומרה שלהם כמזהה (כגון לוח אם, או אפילו MAC [אם כי טכנית זה לא סדרתי]). אתה יכול לעשות את זה כך שתוכל לחסום את תעודת הזהות שלו אם אינך רוצה שהמשתמש, ואז יצטרך להחליף את החומרה שלו (או להשתמש במחשב אחר) כדי לגשת שוב לשירות שלך.

חזרה לשאלה: ספקי שירותי האינטרנט משתמשים בדרך כלל ב טווח ספציפי של כתובות IP עבור כתובות IP דינמיות; אם למשתמש אכן יש IP דינמי, אתה כמעט יכול להמר שהוא ישתמש באותו טווח IP בעתיד הקרוב (או אפילו באותו IP).

ספק שירותי אינטרנט יכול למשל לעבור בין 123.46.7x.xxx , 47.91.43.xxx ו- 93.41.235.xxx ; תוך שימוש בהיגיון זה, ניתן פשוט לאסור את IP הסדרים שהמשתמש משתמש בהם, אך זה יגרום לבעיות עם משתמשים אחרים המשתמשים באותו טווח IP.

בתקופתי (בעיקר שרתים למשחקים) ראיתי שמנהלי מערכות רבים לא מבינים ו חושבים שלכל משתמש הוקצה להם IP סטטי , ואל תבין שקיימים כתובות IP דינמיות. זה, כשלעצמו, יכול להיות בחלקו מדוע עדיין נעשה שימוש באיסורי IP.

יש כמה הנחות שאתה צריך לזהות:

• זמן
• כוונת האיסור

איסור על כתובות IP אין טעם אם הם נועדו להוות פיתרון לטווח ארוך, מסיבות שאתה מזהה. בטווח הקצר (פחות מיום אחד), הם יכולים להיות יעילים מאוד.

כשאתה צריך להתמודד עם בעיות ברמת התנועה אז איסור כתובת IP לטווח קצר עובד טוב מאוד. כן, התוקף יכול לשנות את כתובת ה- IP שלהם בקלות, אך מערכת האוסרת על כתובת IP אוטומטית עובדת היטב (ומשמשת בדרך כלל). שוב, זה עובד כשמשתמשים באיסורים לטווח קצר.

נראה שהשאלה שלך מודאגת מאיסורים ארוכי טווח עם חשבונות. אם זה נכון, אני לא יכול לעזור לך. אני יכול רק לנחש שאדריכל שעושה זאת לא יכול היה לדמיין דרך טובה יותר להתמודד עם הבעיה והשתמש בכלי קהה.

למרות שהם משתנים, הם משתנים לאט לאורך זמן. אורח לא רצוי יכול להיסגר בטווח הקצר על ידי איסור כתובת ה- IP. אם האיסור הוא גם לטווח קצר בלבד, אין הצטברות כוללת של כתמים מתים.

זה יהיה הגיוני לחלוטין לאסור על מגוון כתובות אם אין סיכוי שתנועה לגיטימית תגיע מכתובות אלה. כמו שכתבת:

[...] לפעמים אסור על מגוון כתובות IP ובכך גורם לאיסור משתמשים חפים מפשע להשפיע על אנשים רבים יותר.

לא פירטת איזה סוג של איסורים ספציפיים, אך לדוגמא, אין סיבה שטווחי כתובות חיוג של IP לצרכן יהיו מקור דואר, ולכן הגבלת הגישה שלהם הגיונית אם אני מודאג מספאם. אם אינך מצפה שמשתמשים מרוחקים ייגשו למערכת שלך ממקומות אחדים בלבד, חסימת טווחים אחרים רק תפחית תנועה מזויפת.

זה יעזור אם תוכל לספק דוגמאות קונקרטיות יותר למה בדיוק אתה אתה מתייחס. איסורים על שרתי המשחק שונים בהרבה מחסימת גישה לשירות מסחרי.

איסור כתובות IP סטטיות

כתובות IP סטטיות כבר הוזכרו והן אחת הסיבות. הם כבר מוצעים על ידי ספקי אינטרנט מסוימים, והם עשויים לצבור פופולריות ככל שגובר השימוש ב- IPv6.

איסור פרוקסי

בשאלתך אתה מניח שמשתמשים אינם לא להשתמש ב- proxy ובכך פשוט לשנות את כתובת ה- IP האישית שלהם. אך רוב התוקפים משתמשים ב- Proxy כך שלא ניתן יהיה לאתר את ההתקפה אליהם, והם לא יכולים פשוט לקבל כתובת IP חדשה לשם כך.

נניח שתוקף רוצה לבצע כוח אכזרי. לתקוף את השירות הספציפי שלך. הם אוספים 200 פרוקסי עבודה ומתחילים לתקוף. בואו נגיד שכל פרוקסי חסום למשך שעה לאחר חמש ניסיונות. זה משאיר 1000 ניחושים לשעה, וזה לא כל כך הרבה. ואם כתובת ה- IP חסומה ליום, זה רק 1000 ניחושים ביום.

או נניח שתוקף רוצה לעשות משהו יותר לא חוקי מאשר מתקפת כוח אכזרי. הם עשויים לרצות להגדיר פרוקסי משלהם בשרת שבבעלותם (אנונימית) או בשליטתו, כדי שיוכלו לוודא שהפרוקסי אינו מתעד את ההתקפות שלהם. בהתאם למשאבי התוקף, יתכן שיש להם רק מספר מוגבל מאוד של אנשי כוח אלה, ולכן עליהם לבטל את ההתקפה שלהם אם כולם חסומים בגלל פעילות זדונית.

גם נימוק זה לא משתנה. לאיסורים לטווח ארוך עוד יותר. ככל שכתובת ה- IP נאסרת זמן רב יותר, כך נרכשת יותר אבטחה, אך משתמשים לגיטימיים מושפעים יותר. באופן אישי לא הייתי אוסר יותר משעה לשירותים עם הרבה משתמשים, אבל אולי האנשים שיש להם צרכי אבטחה גבוהים יותר.

לדוגמה, אנו מכבים את הנתב שלנו כל לילה כך שכתובת ה- IP שלנו משתנה לעתים קרובות בבוקר. יתר על כן, לעתים קרובות מספיק מחזור חשמל פשוט בכדי לשנות את כתובת ה- IP. לפיכך, איסורי כתובות IP אינם יעילים יחסית.

הצהרה זו לא תמיד נכונה. ספק שירותי האינטרנט שלך עשוי לספק לך כתובת IP קבועה, והיא עושה זאת במקרים מסוימים. בנוסף, יתכן שאין לך שום כתובת ציבורית ציבורית (כלומר להשתמש ב- proxy או ב- NAT המקור). במקרה זה כל רשת ה- ISP שלך עשויה להיות אסורה, לכן שינוי ה- IP בתוך רשת זו לא יעזור.

ישנם מספר מקרים בהם איסור IP הוא פיתרון טוב:

• פתח proxy או ממסר פתוח זמין במארח כלשהו. כל דואר זבל רשאי להשתמש בו, ולכן יש לאסור IP כזה אלא אם מנהל הרשת יתקן את הבעיה.
• רשת ענקית שאינך מעוניין בה בוודאות. דמיין שאתה מנהל פורום עבור הקהילה המקומית שלך (אנשי העיירה שלך). יום אחד התמודדת עם התקפת דואר זבל ממדינה כלשהי, מרחק שלושים ומיילים ממך. אתה יכול לאסור רשת שלמה (אפילו על ידי מסיכת / 8 !) מכיוון שאתה בטוח שמישהו מהמדינה הזו הוא דואר זבל. ואין לך זמן לאסור מיליון דואר זבל במדינה באופן אישי. מדוע כדאי להשקיע את המעבד והכוח שלך לשרת אותם אפילו עם captcha?
• החומרה שלך גרועה, ומישהו עושה לך מינון. זה לא יחסוך לך במקרה של התקפה אמיתית של ddos ​​(מכיוון שהיא תשתמש במיליוני כתובות IP בכל רחבי העולם), אך עשויה לחסוך ממערכת סקריפט עם 10 מחשבים ברשת.

אך באופן כללי "איסור קבוע על ידי IP" אינו פועל בשירותים ציבוריים. עליך להשתמש ב- captcha, באן זמני או בטכניקות אחרות כדי להציל את עצמך מספאם.

מרבית כתובות ה- IP אינן משתנות אוטומטית, ולכן זו דרך טובה לאסור משתמש בשרת שלך מכיוון שכתובת ה- IP עשויה להשתנות מ- "XYZ1" ל "XYZ255" , לכן לאחר שינוי כתובת ה- IP פעמים רבות, תיאסר לאחר שכתובת ה- IP שלך תחזור ל "XYZ1" .