Proxys résidentiels : pourquoi votre liste noire d'IP a cessé de fonctionner
Le service devenu banal qui a transformé le trafic des attaquants en trafic grand public — d'où viennent les adresses, pourquoi les bloquer est un piège, et quoi noter à la place.
Ce qui a changé, et quand
Pendant presque toute l'histoire du web, l'automatisation hostile était facile à situer. Elle venait d'un centre de données. L'adresse appartenait à un hébergeur, le système autonome se consultait, et bloquer la plage entière ne coûtait rien puisque aucun client n'y habitait.
Cette heuristique est morte, et elle est morte commercialement, pas techniquement. Les réseaux de proxys résidentiels vendent désormais l'accès à des millions d'adresses de connexions domestiques et mobiles ordinaires, au gigaoctet, avec un tableau de bord en libre-service et une rotation à chaque requête.
Résultat : le trafic d'un attaquant arrive maintenant du même espace d'adressage que celui de vos clients. Pas d'un espace qui lui ressemble — du même, souvent chez le même FAI, parfois dans la même ville.
Tout contrôle bâti sur « cette adresse est-elle suspecte en soi » a désormais un problème de faux négatifs qu'aucune amélioration de la liste ne corrigera.
D'où viennent les adresses
Cela compte, car cela détermine ce que vous pouvez faire sans danger.
Certaines sont consenties. Quelqu'un installe un VPN gratuit, une extension de navigateur ou un jeu mobile dont les conditions indiquent, quelque part, que la bande passante inutilisée est revendue. Il a accepté, au sens où les juristes emploient ce mot.
Certaines le sont à peine. Un SDK embarqué dans une application que l'utilisateur voulait vraiment, avec une mention rédigée pour être techniquement présente et pratiquement non lue.
Certaines ne le sont pas du tout. Routeurs compromis, objets connectés et téléphones enrôlés dans un réseau de proxys par un logiciel malveillant, dont le propriétaire ignore que sa connexion est revendue.
Derrière une adresse de proxy résidentiel, il y a donc généralement une vraie personne qui ne vous attaque pas et qui, souvent, ignore que sa ligne est utilisée. C'est toute la raison pour laquelle bloquer l'adresse est le mauvais geste.
Pourquoi acheter une liste de proxys ne règle rien
La réponse évidente consiste à acheter un flux d'adresses de proxys résidentiels connues et à les bloquer. Elle échoue pour quatre raisons qui se cumulent.
Les pools tournent plus vite que les listes. Une adresse est dans le pool le temps d'une session, puis n'y est plus. Quand un flux la répertorie, elle peut être redevenue le simple haut débit d'une famille.
Les listes vieillissent dans le sens qui fait mal. Un faux positif sur une adresse recyclée bloque une vraie cliente, et vous ne le saurez pas : les gens qui n'arrivent pas à payer n'ouvrent pas de ticket, ils partent.
La couverture est une fraction. Les estimations de taille de pool se comptent en dizaines de millions d'adresses. Aucun flux ne les a toutes, et celles qu'il a sont celles qui étaient bon marché à trouver.
Et vous répondez toujours à la mauvaise question. « Cette adresse est-elle dans un pool de proxys » n'est pas « cette session est-elle automatisée », et seule la seconde vous intéresse. Un journaliste sur un VPN de confidentialité et un scraper sur un proxy résidentiel peuvent partager une adresse ; l'un des deux doit passer.
Ce qui survit au changement
Tout ce qui décrit la session plutôt que l'adresse.
Les empreintes de transport. Le proxy relaie des octets ; il ne réécrit pas la poignée de main TLS. Le client qui a établi la connexion annonce toujours son propre ensemble ordonné de suites de chiffrement, d'extensions et de courbes — le hachage JA3 ou JA3N. Une bibliothèque de scraping derrière une adresse résidentielle ressemble toujours à une bibliothèque de scraping, et imiter ici un vrai navigateur revient à reproduire toute une pile cryptographique plutôt qu'à modifier un en-tête.
Le comportement. Une session qui remplit un formulaire sans le rythme de la frappe, déplace le focus d'une façon qu'une main ne produit pas, ou envoie plus vite qu'une personne n'aurait pu lire la page, est automatisée quel que soit le haut débit qu'elle a emprunté.
Le rythme par comptes, pas par adresses. Le signal du credential stuffing n'a jamais été « beaucoup de tentatives depuis une adresse » — cela a cessé d'être vrai le jour où la rotation est devenue bon marché. C'est « une tentative contre chacun de quatre cents comptes », et cela n'est visible que si quelque chose note l'acteur au lieu de compter les requêtes par adresse.
La cohérence. Un client qui se dit Safari sur iOS tout en présentant une empreinte TLS qu'aucune version d'iOS ne produit s'est contredit, et le proxy ne l'aide pas là-dessus.
Une réputation qui vaut la peine
La réputation d'adresse n'est pas devenue inutile après ce changement — elle doit simplement être pondérée correctement.
Pondérez selon le degré de partage de l'adresse. Une adresse qui résout vers un FAI résidentiel ou un opérateur mobile est probablement partagée, et une seule mauvaise session doit déplacer sa réputation bien moins que la même session depuis un hébergeur dédié. Se tromper là-dessus, c'est bloquer une entreprise parce qu'une personne de son réseau a lancé un scraper.
Faites-la décroître. La réputation sur un pool en rotation doit vieillir vite, sinon vous punissez le prochain occupant de l'adresse pour le locataire du mois dernier.
Privilégiez le signal inter-sites au premier contact. La première fois qu'une adresse apparaît chez vous, vous n'avez pas d'historique. Si elle a passé une liste d'identifiants sur la connexion de quelqu'un d'autre la nuit dernière, cela vaut d'être su — et c'est la seule chose qui aide à la toute première requête.
Gardez le veto humain. Quoi que dise le scoring, il vous faut une liste d'autorisation qui prime dessus, et il faut la tenir réellement à jour.
Où se situe Karma
Karma note la session — signaux comportementaux et empreintes TLS/HTTP2 — et garde la réputation d'adresse comme une entrée pondérée, pas comme la réponse. Les adresses qui semblent partagées sont traitées comme telles, et la réputation décroît.
Le pool partagé, sur option, couvre le cas du premier contact : une adresse qui s'est comportée comme un bot sur le site d'un autre compte est connue avant d'atteindre le vôtre — précisément le moment où une liste noire propre à votre site n'a rien à dire.
Le forfait gratuit Detect fait tourner tout cela avec l'application désactivée, pour que vous puissiez voir quelle part de votre trafic arrive de l'espace résidentiel et ce que les verdicts en disent, avant de changer quoi que ce soit.