Giả mạo thiết bị

Giả mạo thiết bị là hành vi cố tình thao túng tín hiệu của thiết bị để trang web, ứng dụng hoặc hệ thống bảo mật nhìn thấy một thiết bị hoặc trạng thái thiết bị khác. Các tín hiệu bị ảnh hưởng có thể bao gồm thuộc tính trình duyệt, số nhận dạng thiết bị, dữ liệu vị trí, chi tiết mạng, thông tin hệ điều hành hoặc kết quả về tính toàn vẹn của ứng dụng.

Thay đổi một tín hiệu không tạo lại toàn bộ thiết bị. Nó cũng không đảm bảo rằng nền tảng sẽ chấp nhận danh tính mới. Các hệ thống hiện đại so sánh tín hiệu qua nhiều lớp trước khi quyết định xem một môi trường có vẻ quen thuộc, mới, đã sửa đổi hay đầy rủi ro.

Giả mạo thiết bị là gì?

Các dịch vụ trực tuyến không thể kiểm tra thiết bị giống như cách một người có thể kiểm tra điện thoại hoặc máy tính thực tế. Họ xây dựng danh tính từ thông tin có sẵn cho họ.

Một trang web có thể quan sát các thuộc tính của trình duyệt, cookie, cài đặt màn hình, ngôn ngữ, múi giờ, Địa chỉ IP và thông tin đồ họa. Ứng dụng dành cho thiết bị di động cũng có thể nhận được số nhận dạng trong phạm vi ứng dụng, thông tin chi tiết về hệ điều hành, kết quả về tính toàn vẹn và dữ liệu cảm biến. Thông tin chính xác phụ thuộc vào nền tảng, quyền và kiểm soát quyền riêng tư.

Giả mạo thiết bị xảy ra khi một số tín hiệu này bị thay đổi, ẩn, thay thế hoặc báo cáo không chính xác. Mục đích là làm cho môi trường có vẻ khác với trạng thái thực tế của nó.

Ví dụ: một môi trường có thể báo cáo một kiểu thiết bị hoặc phiên bản trình duyệt khác. Giá trị vị trí có thể không khớp với vị trí thực tế. Trình mô phỏng có thể hiển thị dưới dạng điện thoại thực. Ứng dụng đã sửa đổi có thể cố gắng trông giống như phiên bản chính thức.

Những tình huống này không phải tất cả đều có cùng mức độ rủi ro. Kỹ sư QA có thể kiểm tra một ứng dụng theo một số cấu hình thiết bị. Công cụ bảo mật có thể làm giảm lượng thông tin được hiển thị trên các trang web. Kẻ lừa đảo có thể thao túng các tín hiệu tương tự để tạo tài khoản giả hoặc mạo danh một thiết bị đáng tin cậy.

Chỉ riêng sự thay đổi về mặt kỹ thuật không tạo nên được ý định. Việc ủy ​​quyền, lịch sử tài khoản, hành vi và hành động đang được thực hiện vẫn còn quan trọng.

Giả mạo thiết bị hoạt động như thế nào?

Giả mạo thiết bị thường ảnh hưởng đến một hoặc nhiều phần nhận dạng mà dịch vụ xây dựng cho một môi trường.

Quá trình này có thể được hiểu theo năm giai đoạn:

1. Một trang web hoặc ứng dụng thu thập các tín hiệu thiết bị mà nó được phép quan sát.
2. Môi trường báo cáo, che dấu, đặt lại hoặc thay thế một hoặc nhiều giá trị.
3. Dịch vụ so sánh các giá trị đó với các tín hiệu hiện tại khác.
4. Nó kiểm tra kết quả so với các phiên trước, lịch sử tài khoản và các mẫu thiết bị đã biết.
5. Chính sách bảo mật quyết định có cho phép, giám sát, xác minh, xem xét hoặc hạn chế hoạt động hay không.

Các tín hiệu có sẵn sẽ khác nhau tùy theo ngữ cảnh.

Một trang web hoạt động chủ yếu với thông tin được hiển thị thông qua trình duyệt và kết nối mạng. Nó thường không thể đọc IMEI, số sê-ri phần cứng hoặc địa chỉ MAC của giao diện mạng.

Ứng dụng di động gốc có thể truy cập vào một bộ thông tin khác. Quyền truy cập đó được kiểm soát bởi hệ điều hành, quyền ứng dụng, kênh phân phối và chính sách nền tảng. Một số giá trị nhận dạng dành riêng cho ứng dụng. Những người khác có thể được người dùng đặt lại hoặc có thể thay đổi sau khi cài đặt lại.

Dịch vụ toàn vẹn thêm một lớp khác. Họ có thể cung cấp bằng chứng có chữ ký về ứng dụng, hệ điều hành hoặc môi trường thiết bị. Bằng chứng này khó thay đổi hơn giá trị trình duyệt tự báo cáo, nhưng nó vẫn cần được xác minh bởi dịch vụ nhận nó.

Những tín hiệu thiết bị nào có thể bị trình bày sai?

Nhận dạng thiết bị không phải là một con số phổ quát. Nó là tập hợp các tín hiệu có phạm vi và tuổi thọ khác nhau.

Một số giá trị có thể dễ dàng thay đổi. Những người khác được bảo vệ bởi các quy tắc của hệ điều hành hoặc các khóa được hỗ trợ bằng phần cứng. Sự khác biệt này là lý do tại sao các dịch vụ hiếm khi tin tưởng vào một thuộc tính thiết bị.

Một thay đổi tác nhân người dùng đơn giản có thể thay đổi tên trình duyệt được hiển thị trong yêu cầu. Nó không tự động thay đổi đầu ra đồ họa, API được hỗ trợ, Gợi ý ứng dụng khách, thuộc tính màn hình hoặc dữ liệu phiên được lưu trữ. Nếu sự kết hợp thu được là không hợp lý thì sự thay đổi đó có thể tạo ra nhiều rủi ro hơn thay vì ít hơn.

Giả mạo thiết bị so với Vân tay thiết bị

Dấu vân tay trình duyệt thu thập và kết hợp các tín hiệu môi trường và trình duyệt có thể quan sát được. Kết quả có thể giúp dịch vụ nhận ra môi trường cũ hoặc so sánh nó với các mẫu đã biết.

Giả mạo thiết bị thay đổi hoặc trình bày sai một số tín hiệu đó.

Sự khác biệt rất đơn giản:

• Lấy dấu vân tay là một phương pháp quan sát.
• Giả mạo là một nỗ lực để thay đổi những gì được quan sát.

Dấu vân tay không phải lúc nào cũng là một định danh vĩnh viễn. Cập nhật trình duyệt, thay đổi trình điều khiển, cài đặt quyền riêng tư và thay đổi phần cứng có thể gây ra hiện tượng trôi dấu vân tay thông thường. Hai thiết bị cũng có thể chia sẻ các thuộc tính tương tự.

Vì lý do tương tự, việc thay đổi giá trị dấu vân tay không nhất thiết tạo ra một danh tính mới thuyết phục. Dịch vụ có thể so sánh sự thay đổi với cookie, lịch sử tài khoản, thông tin mạng và hành vi.

Giả mạo thiết bị so với Mô phỏng thiết bị

Trình giả lập Android tái tạo môi trường Android trong phần mềm. Các nhà phát triển sử dụng chúng để thử nghiệm, gỡ lỗi, kiểm tra tính tương thích và đảm bảo chất lượng tự động.

Trình mô phỏng không tự động là một thiết bị giả mạo. Nó có thể tự xác định chính xác nó là một trình giả lập. Trong trường hợp đó, nó chỉ đơn giản là một loại môi trường thời gian chạy khác.

Mô phỏng trở thành một phần của Giả mạo thiết bị khi môi trường được cố tình hiển thị dưới dạng một thiết bị vật lý khác hoặc ẩn trạng thái thực tế của nó khỏi hệ thống nhận.

Sự khác biệt này quan trọng. Việc chặn mọi trình mô phỏng có thể làm gián đoạn quá trình thử nghiệm hợp pháp. Việc coi mọi trình mô phỏng như một thiết bị vật lý cũng có thể tạo ra các lỗ hổng bảo mật. Chính sách tốt hơn sẽ xem xét hành động, tài khoản, môi trường và mức độ tin cậy cần thiết.

Giả mạo thiết bị so với Giả mạo vị trí

Giả mạo vị trí làm thay đổi hoặc làm sai lệch thông tin liên quan đến vị trí. Nó có thể ảnh hưởng đến tọa độ GPS, múi giờ, miền địa phương hoặc các tín hiệu vị trí khác.

Điều này hẹp hơn Giả mạo thiết bị. Vị trí chỉ là một phần của hồ sơ thiết bị.

Sự không phù hợp không phải lúc nào cũng đáng nghi ngờ. Ai đó có thể đi du lịch trong khi vẫn giữ cài đặt ngôn ngữ và múi giờ gốc của họ. Mạng công ty có thể định tuyến lưu lượng truy cập qua một quốc gia khác. Định tuyến của nhà cung cấp dịch vụ di động cũng có thể làm cho việc định vị địa lý IP kém chính xác hơn.

Nền tảng nên so sánh tín hiệu vị trí với lịch sử gần đây và hành động đang được thực hiện. Thay đổi vị trí trong quá trình duyệt thông thường khác với thay đổi đột ngột trong yêu cầu khôi phục tài khoản hoặc thanh toán nhạy cảm.

Giả mạo thiết bị so với Giả mạo IP

Giả mạo IP là một cuộc tấn công mạng trong đó gói chứa Địa chỉ IP nguồn giả mạo. Nó thường liên quan đến các cuộc tấn công không yêu cầu kết nối hai chiều thông thường.

Sử dụng proxy hoặc VPN không giống như giả mạo địa chỉ nguồn của các gói mạng. Proxy thay đổi tuyến đường mà lưu lượng truy cập đến một dịch vụ. Dịch vụ liên lạc với địa chỉ proxy thông qua kết nối hợp lệ.

Một Địa chỉ IP khác có thể thay đổi bối cảnh mạng nhưng không thay thế thông tin về trình duyệt, ứng dụng, thiết bị hoặc phiên. Sự khác biệt giữa proxy, VPN và Trình duyệt antidetect rất quan trọng khi đánh giá các lớp này.

Tại sao Giả mạo thiết bị được sử dụng?

Việc sửa đổi tín hiệu tương tự có thể hỗ trợ hoạt động kiểm tra hợp pháp hoặc hoạt động trái phép. Bối cảnh xung quanh quyết định rủi ro.

Sử dụng hợp pháp

Các nhóm được ủy quyền có thể sửa đổi thông tin thiết bị cho:

• Kiểm tra khả năng tương thích của trình duyệt và ứng dụng
• Xác nhận kiểm soát gian lận
• Đảm bảo chất lượng trên các cấu hình thiết bị
• Nghiên cứu về quyền riêng tư và bảo mật
• Tự động hóa được kiểm soát
• Tái tạo các lỗi dành riêng cho thiết bị
• Kiểm tra cài đặt khu vực hoặc ngôn ngữ

Các quy trình công việc này phải sử dụng các tài khoản đã được phê duyệt, môi trường kiểm tra được ghi lại, tỷ lệ yêu cầu hợp lý và kiểm soát quyền truy cập rõ ràng.

Sử dụng lạm dụng

Giả mạo thiết bị cũng có thể hỗ trợ:

• Tiếp quản tài khoản
• Tạo tài khoản giả
• Lạm dụng quảng cáo và giới thiệu
• Gian lận quảng cáo
• Gian lận thanh toán
• Trò chơi gian lận
• Truy cập nhiều lần sau khi hạn chế thiết bị
• Cố gắng ẩn hoạt động tự động

Trong những trường hợp này, rủi ro xuất phát từ mục đích và hành vi của hoạt động. Sự hiện diện của một tín hiệu đã được sửa đổi là bằng chứng hỗ trợ chứ không phải toàn bộ trường hợp.

Nền tảng phát hiện Giả mạo thiết bị như thế nào?

Hệ thống phát hiện tìm kiếm sự không nhất quán, những thay đổi không mong muốn, những lần kiểm tra tính toàn vẹn không thành công và các mẫu có liên quan đến hành vi lạm dụng.

Tính nhất quán của tín hiệu chéo

Nền tảng có thể so sánh các giá trị để xem chúng có nhất quán và hợp lý khi xét cùng nhau hay không.

Hệ điều hành được báo cáo phải hỗ trợ phiên bản trình duyệt được xác nhận quyền sở hữu. Khả năng đồ họa phải phù hợp với kiểu máy của thiết bị. Thuộc tính màn hình phải phù hợp với danh mục thiết bị. Ngôn ngữ, múi giờ, GPS và vị trí mạng không nên tạo thành một sự kết hợp bất khả thi.

Không có sự không khớp nào chứng tỏ có sự giả mạo. Lỗi trình duyệt, công cụ bảo mật, máy tính để bàn từ xa, phần mềm trợ năng và phần cứng bất thường đều có thể tạo ra kết quả không bình thường.

Tính liên tục của thiết bị

Dịch vụ có thể so sánh tín hiệu hiện tại với các phiên trước đó.

Danh tính thiết bị thay đổi hoàn toàn trong phiên hoạt động có thể cần được xem xét kỹ lưỡng hơn. Một bản cập nhật trình duyệt thông thường ít gây lo ngại hơn khi phần còn lại của phiên vẫn nhất quán.

Cookie, lịch sử đăng nhập, bản ghi thiết bị đáng tin cậy và sự kiện khôi phục tài khoản giúp cung cấp bối cảnh này. Tốt Quản lý phiên giúp đánh giá những thay đổi này dễ dàng hơn.

Tính toàn vẹn của ứng dụng và thiết bị

Nền tảng di động cung cấp bằng chứng toàn vẹn mạnh mẽ hơn cho quy trình làm việc của ứng dụng nhạy cảm.

Tính toàn vẹn của Google Play có thể trả về thông tin về tệp nhị phân của ứng dụng, nguồn cài đặt, tính toàn vẹn của thiết bị, môi trường mô phỏng và hoạt động gần đây của thiết bị. Chứng thực ứng dụng Apple cho phép máy chủ xác minh các xác nhận được tạo bởi phiên bản ứng dụng hợp pháp bằng cách sử dụng khóa được phần cứng hỗ trợ.

Các dịch vụ này rất hữu ích vì quá trình xác thực cuối cùng diễn ra trên máy chủ. Ứng dụng bị xâm phạm sẽ không đáng tin cậy để báo cáo trạng thái bảo mật của chính ứng dụng đó.

Kết quả toàn vẹn vẫn cần có chính sách. Thiết bị không được hỗ trợ, lỗi nền tảng tạm thời, hệ điều hành tùy chỉnh hoặc cài đặt lại ứng dụng có thể tạo ra kết quả không mong muốn mà không cho thấy gian lận.

Hành vi và vận tốc

Một thiết bị phù hợp về mặt kỹ thuật vẫn có thể hoạt động theo cách nguy hiểm.

Nền tảng có thể kiểm tra:

• Số lượng tài khoản được liên kết với một môi trường
• Đăng nhập thất bại
• Tần suất yêu cầu
• Tuyên bố khuyến mãi lặp đi lặp lại
• Số lần thanh toán
• Thứ tự điều hướng
• Thời lượng phiên
• Những thay đổi đột ngột trong hành vi tài khoản thông thường

Các tín hiệu này cũng xuất hiện trong Phát hiện bot. Giả mạo thiết bị tập trung vào độ tin cậy của môi trường. Phát hiện bot hỏi liệu hoạt động có xuất hiện tự động hay không và cách phân loại hoạt động đó. Hai hệ thống có thể chia sẻ bằng chứng, nhưng chúng trả lời các câu hỏi khác nhau.

Phản ứng dựa trên rủi ro

Việc phát hiện phải đưa ra bằng chứng hoặc đánh giá rủi ro. Chính sách nên quyết định phản ứng.

Một chuỗi phản ứng thực tế là:

1. Cho phép hoạt động có rủi ro thấp.
2. Quan sát hoạt động không chắc chắn.
3. Yêu cầu xác minh bổ sung cho các hành động nhạy cảm.
4. Gửi các trường hợp có tác động cao để xem xét.
5. Hạn chế hoạt động khi có bằng chứng và tác hại tiềm ẩn biện minh cho việc đó.

Cách tiếp cận này làm giảm thiệt hại do dương tính giả. Nó cũng tránh coi mọi thiết bị bất thường là thù địch.

Giới hạn và dương tính giả

Nhận dạng thiết bị không hoàn hảo vì thiết bị thay đổi trong quá trình sử dụng bình thường.

Bản cập nhật trình duyệt có thể thay đổi giá trị dấu vân tay. Người dùng có thể thay thế trình điều khiển đồ họa, cài đặt lại ứng dụng, đặt lại ID quảng cáo, chuyển mạng hoặc khôi phục điện thoại. Một thiết bị của công ty có thể chạy phần mềm quản lý. Nhà phát triển có thể sử dụng trình giả lập hoặc điện thoại thử nghiệm đã root.

Các công cụ bảo mật tạo ra một thách thức khác. Họ có thể chuẩn hóa, chặn hoặc giảm thông tin thiết bị. Điều này có thể khiến nhiều người dùng trông giống nhau hoặc tạo ra những kết hợp không phổ biến trong các trình duyệt thông thường.

Liên kết thiết bị mạnh cũng có thể gây ra sự cố trong quá trình khôi phục tài khoản. Người bị mất điện thoại sẽ không bị mất quyền truy cập vĩnh viễn vào tài khoản. Các dịch vụ cần đường dẫn khôi phục sử dụng nhiều hơn danh tính thiết bị trước đó.

Hoạt động thu thập cũng cần được chăm sóc. Tín hiệu của thiết bị có thể trở thành dữ liệu cá nhân hoặc số nhận dạng trực tuyến khi chúng được liên kết với tài khoản hoặc được sử dụng để nhận dạng một người. Các tổ chức chỉ nên thu thập những gì họ cần, hạn chế lưu giữ, bảo vệ quyền truy cập và giải thích cách thông tin hỗ trợ các quyết định bảo mật.

Giả mạo thiết bị và Hồ sơ trình duyệt

Hồ sơ trình duyệt lưu giữ cài đặt trình duyệt, cookie, bộ nhớ và trạng thái phiên trong một môi trường riêng biệt. Điều này giúp các nhóm sắp xếp quy trình công việc được ủy quyền và giảm tình trạng chồng chéo ngẫu nhiên giữa các phiên.

Hồ sơ không sao chép một thiết bị vật lý. Nó không thể thay thế chứng thực di động được hỗ trợ bằng phần cứng. Nó cũng không thể kiểm soát cách nền tảng khác đánh giá tài khoản, mạng, nhiệm vụ hoặc kiểu hành vi.

Các nhóm có thể sử dụng API MoreLogin để quản lý quy trình làm việc dựa trên hồ sơ đã được phê duyệt. Việc ủy ​​quyền, quy tắc nền tảng, giới hạn tốc độ, ghi nhật ký và đánh giá của con người vẫn được áp dụng.

Bài học chính

• Giả mạo thiết bị làm thay đổi hoặc trình bày sai các tín hiệu liên quan đến thiết bị.
• Nhận dạng thiết bị được xây dựng từ nhiều lớp thay vì một mã định danh chung.
• Dấu vân tay của thiết bị quan sát tín hiệu. Giả mạo thiết bị làm thay đổi những gì được quan sát.
• Trình mô phỏng, proxy, VPN, trình duyệt bảo mật hoặc thiết bị đã root không phải là bằng chứng gian lận tự động.
• Tính năng phát hiện hoạt động tốt nhất khi kết hợp tính nhất quán, tính toàn vẹn, lịch sử, hành vi và bối cảnh kinh doanh.
• Hồ sơ trình duyệt tách biệt các môi trường trình duyệt. Chúng không sao chép các thiết bị vật lý hoặc đảm bảo kết quả của nền tảng.

Câu hỏi thường gặp về Giả mạo thiết bị

Giả mạo thiết bị nói một cách đơn giản là gì?

Giả mạo thiết bị có nghĩa là thay đổi thông tin liên quan đến thiết bị để trang web, ứng dụng hoặc hệ thống bảo mật nhìn thấy một thiết bị hoặc trạng thái thiết bị khác. Thông tin được thay đổi có thể bao gồm thuộc tính trình duyệt, số nhận dạng ứng dụng, vị trí, ngữ cảnh mạng hoặc tín hiệu toàn vẹn.

Giả mạo thiết bị hoạt động như thế nào?

Nó hoạt động bằng cách thay đổi, che giấu, đặt lại hoặc thay thế một hoặc nhiều tín hiệu được sử dụng để xác định môi trường. Dịch vụ nhận có thể so sánh các giá trị đó với các tín hiệu khác, các phiên trước đó, lịch sử tài khoản và bằng chứng về tính toàn vẹn để quyết định xem kết quả có đáng tin cậy hay không.

Trang web có thể xem thông tin thiết bị nào?

Một trang web có thể xem các thuộc tính của trình duyệt, thông tin màn hình, ngôn ngữ, múi giờ, khả năng đồ họa, cookie, ngữ cảnh IP và các giá trị khác được trình duyệt hiển thị. Nói chung, nó không thể đọc trực tiếp IMEI, số sê-ri phần cứng hoặc địa chỉ MAC của giao diện mạng.

Giả mạo thiết bị có giống với việc lấy dấu vân tay của thiết bị không?

KHÔNG. Dấu vân tay của thiết bị thu thập và kết hợp các tín hiệu có thể quan sát được để nhận biết hoặc so sánh các môi trường. Giả mạo thiết bị thay đổi hoặc trình bày sai một số tín hiệu đó. Lấy dấu vân tay là quá trình quan sát, trong khi việc giả mạo ảnh hưởng đến những gì người quan sát nhận được.

Trình mô phỏng có phải là thiết bị giả mạo không?

Không nhất thiết phải như vậy. Trình mô phỏng là môi trường thiết bị dựa trên phần mềm. Nó trở thành một phần của hành vi giả mạo khi cố tình che giấu trạng thái mô phỏng hoặc tuyên bố mình là một thiết bị vật lý khác. Nhiều nhà phát triển sử dụng trình mô phỏng minh bạch để thử nghiệm hợp pháp.

VPN có giả mạo một thiết bị không?

KHÔNG. VPN thay đổi tuyến mạng và bối cảnh IP rõ ràng. Nó không tự động thay đổi thuộc tính trình duyệt, số nhận dạng ứng dụng, trạng thái hệ điều hành, khóa hỗ trợ phần cứng hoặc lịch sử phiên. Bối cảnh mạng chỉ là một phần của nhận dạng thiết bị.

Làm cách nào để ứng dụng phát hiện Giả mạo thiết bị?

Các ứng dụng và máy chủ của chúng có thể so sánh tín hiệu thiết bị, kiểm tra các thay đổi không mong muốn, phân tích hành vi và sử dụng các dịch vụ về tính toàn vẹn của nền tảng. Các quyết định nhạy cảm phải được đưa ra trên máy chủ vì ứng dụng được sửa đổi có thể làm sai lệch các bước kiểm tra chỉ được thực hiện trên thiết bị.

Việc phát hiện Giả mạo thiết bị có thể mắc lỗi không?

Đúng. Cập nhật phần mềm, cài đặt lại ứng dụng, công cụ bảo mật, hệ điều hành tùy chỉnh, trình mô phỏng, mạng chia sẻ và phần cứng mới có thể tạo ra kết quả bất thường. Nền tảng nên sử dụng các tùy chọn xác minh và khôi phục bổ sung trước khi đưa ra quyết định có tác động lớn.

Giả mạo thiết bị có bất hợp pháp không?

Giả mạo thiết bị không bị chi phối bởi một quy tắc chung. Vị trí pháp lý và hợp đồng phụ thuộc vào phương pháp, ủy quyền, mục đích, dữ liệu liên quan và luật pháp địa phương. Kiểm tra môi trường có sự cho phép khác với việc mạo danh một thiết bị đáng tin cậy để có được quyền truy cập trái phép.

Hồ sơ trình duyệt có giả mạo thiết bị vật lý không?

KHÔNG. Cấu hình trình duyệt quản lý cài đặt phía trình duyệt, cookie, bộ nhớ và trạng thái phiên. Nó không tái tạo điện thoại hoặc máy tính thực tế và không cung cấp bằng chứng dựa trên phần cứng được hệ thống chứng thực thiết bị di động sử dụng.