Hoe te begrijpen wanneer proxy's liegen: verificatie van fysieke locaties van netwerkproxy's met behulp van een actief geolocatie-algoritme

Mensen over de hele wereld gebruiken commerciële proxy's om hun echte locatie of identiteit te verbergen. Dit kan gedaan worden om verschillende redenen, waaronder toegang tot geblokkeerde informatie of het waarborgen van privacy.

Maar hoe betrouwbaar zijn de aanbieders van dergelijke proxy's wanneer ze beweren dat hun servers zich in een bepaald land bevinden? Dit is een cruciale vraag, waarvan het antwoord bepaalt of klanten die bezorgd zijn over de bescherming van persoonlijke informatie, bepaalde diensten überhaupt kunnen gebruiken.

Een groep Amerikaanse wetenschappers van de universiteiten van Massachusetts, Carnegie Mellon en Stony Brook publiceerde een onderzoek, waarin de werkelijke locatie van de servers van zeven populaire proxy-aanbieders werd gecontroleerd. We hebben een samenvatting gemaakt van de belangrijkste resultaten.

Inleiding

Proxy-operators bieden vaak geen informatie die de juistheid van hun claims over de serverlocaties zou kunnen bevestigen. Databases voor IP-to-location bevestigen doorgaans de marketingclaims van dergelijke bedrijven, maar er zijn veel aanwijzingen voor fouten in deze databases.

In het onderzoek beoordeelden de Amerikaanse wetenschappers de locatie van 2269 proxy-servers, beheerd door zeven proxy-bedrijven en verspreid over in totaal 222 landen en gebieden. De analyse toonde aan dat minstens een derde van alle servers zich niet bevindt in de landen die de bedrijven in hun marketingmateriaal beweren. In plaats daarvan zijn ze gevestigd in landen met goedkope en betrouwbare hosting: Tsjechië, Duitsland, Nederland, het Verenigd Koninkrijk en de Verenigde Staten.

Analyse van serverlocaties

Commerciële VPN- en proxy-aanbieders kunnen de nauwkeurigheid van IP-to-location databases beïnvloeden – bedrijven hebben de mogelijkheid tot manipulatie, bijvoorbeeld met locatiecodes in de namen van routers. Hierdoor kunnen marketingmateriaal's een groot aantal beschikbare locaties voor gebruikers claimen, terwijl de servers in werkelijkheid fysiek in een beperkt aantal landen zijn geplaatst voor kostenbesparing en verhoogde betrouwbaarheid, hoewel de IP-to-location databases het tegendeel beweren.

Voor de controle van de werkelijke locatie van servers hebben de onderzoekers een algoritme voor actieve geolocatie gebruikt. Hiermee werd de roundtrip van een pakket dat naar de server en naar andere bekende hosts op internet werd gestuurd, geëvalueerd.

Daardoor reageert minder dan 10% van de geteste proxy's op pings, en om de begrijpelijke redenen konden de wetenschappers geen software op de server zelf uitvoeren voor metingen. Ze hadden alleen de mogelijkheid om pakketten via proxy's te versturen, zodat de roundtrip naar elk punt in de ruimte de som is van de tijd die het pakket nodig heeft om van de testhost naar de proxy en van de proxy naar de ontvanger te komen.

Tijdens het onderzoek werd gespecialiseerde software ontwikkeld op basis van vier algoritmen voor actieve geolocatie: CBG, Octant, Spotter en hybride Octant/Spotter. De code van de oplossing beschikbaar is op GitHub.

Omdat men niet op IP-to-location databases kon vertrouwen, gebruikten de onderzoekers een lijst met referentiehosts van RIPE Atlas - de informatie in deze database is online toegankelijk, wordt voortdurend bijgewerkt, en de gedocumenteerde locaties zijn correct; bovendien versturen de hosts in de lijst voortdurend pings naar elkaar en actualiseren ze de roundtrip-gegevens in de openbare database.

De oplossingen die door de wetenschappers zijn ontwikkeld, vormen een webapplicatie die beveiligde (HTTPS) TCP-verbindingen tot stand brengt via de onbeveiligde HTTP-poort 80. Als de server niet op deze poort luistert, vindt er na één verzoek een fout plaats; echter, als de server op deze poort luistert, krijgt de browser een SYN-ACK-reactie met een TLS ClientHello-pakket. Dit zal een protocolfout veroorzaken, en de browser toont een foutmelding, maar pas na de tweede roundtrip.

Op deze manier kan de webapplicatie de tijd van een of twee roundtrips meten. Een soortgelijke service werd gerealiseerd als een programma dat vanuit de opdrachtregel wordt uitgevoerd.

Geen van de geteste providers geeft de exacte locatie van hun proxyservers aan. In het beste geval worden steden genoemd, maar vaker is er alleen informatie over het land. Zelfs wanneer een stad wordt genoemd, kunnen er misverstanden optreden – bijvoorbeeld, onderzoekers hebben het configuratiebestand van een server met de naam usa.new-york-city.cfg bestudeerd, waarin instructies stonden voor verbinding met een server genaamd chicago.vpn-provider.example. Daardoor kan alleen de toewijzing van de server aan een specifiek land redelijkerwijs worden bevestigd.

Resultaten

Na de tests met behulp van een actief geolocatie-algoritme, slaagden de onderzoekers erin om de locatie van 989 van de 2269 IP-adressen te bevestigen. In het geval van 642 was dit niet mogelijk, en 638 bevinden zich zeker niet in het land waarin ze zouden moeten zijn volgens de claims van de proxyservices. Meer dan 400 van deze valse adressen bevinden zich in werkelijkheid op hetzelfde continent als het opgegeven land.

Correcte adressen bevinden zich in landen die het vaakst worden gebruikt voor het hosten van servers (klik om de afbeelding op ware grootte te openen)

Verdachte hosts werden gevonden bij elk van de zeven geteste providers. Onderzoekers vroegen om commentaar van de bedrijven, maar al deze weigerden om te communiceren.

Bron: habr.com