IP beveiliging

[Verwijderd]

Ik heb een poll gemaakt waarop je 1x kan stemmen per IP-adres.
Nou weet ik dat het niet echt veilig is, maar dat is niet zo'n probleem.

Bij elke stem wordt het IP-adres opgeslagen.
Bij het stemmen wordt gecontroleerd of het IP-adres al aanwezig is.

Je kan natuurlijk met je proxy klooien en via andere websites gaan.
Maar ik ga er vanuit dat de meeste mensen dit niet kennen en dat dit aardig wat werk is om veel stemmen uit te brengen.

Als je het goed wilt beveiligen, dan moet je met inlogcodes werken.
Maar dan moeten mensen eerst een account aanmaken ed.
Deze drempel is veel te hoog.

Maar nu komt het....
Er is iets teveel gestemd op 1 antwoord.

En dit zet me uiteraard aan het denken.
Zie ik iets over het hoofd?
Is er bv een programma dat bij ieder bezoek je een ander IP-adres geeft?
Hebben jullie misschien een betere oplossing voor deze beveiliging?

[Verwijderd]

Verwijderd schreef op donderdag 06 augustus 2009 @ 10:19:
Maar nu komt het....
Er is iets teveel gestemd op 1 antwoord.

En dit zet me uiteraard aan het denken.
Zie ik iets over het hoofd?
Is er bv een programma dat bij ieder bezoek je een ander IP-adres geeft?
Hebben jullie misschien een betere oplossing voor deze beveiliging?

Hoe weet je dat er iets teveel gestemd is? Omdat de uitslag niet overeen komt met je verwachtingen?

In welke orde vindt de poll plaats? 10 mensen, 100 mensen of duizenden? Bekenden of onbekenden?

[frederikske]

Met een IP controle alleen kom je niet ver. Als ik op mijn pc zit hoef ik maar even de modem naast mij af-en-aan te zetten en voila: ander IP. Je breidt je controle best uit naar een combinatie van IP & cookie controle. Maar zelfs dan is het nog niet moeilijk om meermaals te stemmen: Cookie wissen, ip veranderen.

[Soldaatje]

Topictitel moet meer iets zijn als: "Stemfraude IP-logging"

[Moning2]

Als mensen het willen, gebeurt het wel. Daar kun je niet omheen zonder naar officiële identificatiedocumenten te vragen...
Lijkt mij
Door het moeilijker te maken zullen meer mensen het laten er mee te sjoemelen, maar zoals ik al zei, als iemand het wil, gebeurt het wel.
Verificatie via e-mail is misschien een optie, paar klikjes meer voor de stemmer maar meer zekerheid.
1 stem per IP zorgt er wel voor dat meerdere computers in een LAN netwerk in totaal maar 1 keer mogen stemmen.

[ Voor 28% gewijzigd door Moning2 op 06-08-2009 10:26 ]

[Matis]

Het feit dat er veel gestemd is op 1 antwoord hoeft geen fraude te zijn. Wanneer iemand op een forum vraagt of iedereen op zijn/haar antwoord wil stemmen is dat in zekere zin geen fraude.

Bij ons op school had iedere PC een ander extern IP adres (Sufrnet). Volgens de systeembeheerder ging het al gouw over 10.000 PC's. Wanneer iedere PC stemt op 1 antwoord dan is daar volgens jouw script niets mis mee en in praktijk ook niet.

Daarnaast is het wegschrijven van een cookie ook een goed idee. Natuurlijk kun je met een clean van je temp dir dit ook weer omzeilen, maar ja; Daar doe je niets aan.

Ik stel voor om op IP basis (server-side) en cookie basis (client-side) te checken of er al gestemd is op dat IP/van die PC.

Robuuster kun je het bijna niet maken, wel kun je er een captcha inbouwen, zodat je praktisch zeker weet dat er een mens stemt, en geen botnet!

[frederikske]

Ik heb nog even zitten denken, wat je zou kunnen doen om het verder te beveiligen:

- IP controle
- Cookie controle
- Email sturen met link om hun stem te 'activeren', die link bevat een gegenereerde string die op dat ogenblik al in de database zit voor een entry met een nog niet geactiveerde vote

Verder sla je in de database op welke combinatie van browser + OS er wordt gebruikt voor een vote, zo kan je zien als 98% van de votes is gedaan met vb. :"Mozilla/5.0 (Windows; U; Windows NT 6.0; nl; rv:1.9.1.2) Gecko/20090729 Firefox/3.5.2 (.NET CLR 3.5.30729) " (die .NET CLR 3.5 is vb specifiek)

Daarnaast sla je ook niet alleen het IP op, maar ook de hostname:
IP Address : 91.180.15.9
Host Name : 9.15-180-91.adsl-dyn.isp.belgacom.be

Op die manier moeten ze niet inloggen, enkel hun mail controleren en daarin hun stem bevestigen...

Helaas, dit alles is te omzeilen:

- IP: modem herstarten
- Cookie: cookies wissen
- Email: meerdere email adressen (catch all: *@mijndomein.com)

[ Voor 28% gewijzigd door frederikske op 06-08-2009 10:34 ]

[Verwijderd]

Antwoord op allen

Het gaat om zo'n 1000 bezoekers per dag.

Aan een Cookie/Sessie beveiliging heb ik ook gedacht, maar als iemand zijn proxy instellingen kan veranderen is dit natuurlijk ook geen probleem meer.

Ik verwacht ook geen echte fraude, maar ik ben bang dat ik iets over het hoofd zie.
Dat je bv. via een website kan surfen die je bij elke refresh een nieuw IP-adres geeft.
Dat er iets is op dit gebied waarvan ik het bestaan nog niet weet (uiteraard zijn die er ).

Maar zo te horen hoef ik me niet echt zorgen te maken.
Het blijft een simpele en effectieve manier op een poll te beschermen begrijp ik

[Matis]

Om het echt te beschermen tegen geautomatiseerde stemmers zou ik toch serieus overwegen om een captcha in te bouwen. Niet moeilijk. Desnoods kun je een som inbouwen.

Iets in de trant van "Hoeveel is 6 plus 9" en dan de getallen relatief klein houden natuurlijk...

[Verwijderd]

frederikske schreef op donderdag 06 augustus 2009 @ 10:28:
- Email sturen met link om hun stem te 'activeren', die link bevat een gegenereerde string die op dat ogenblik al in de database zit voor een entry met een nog niet geactiveerde vote

Dit vind ik al te ver gaan.

frederikske schreef op donderdag 06 augustus 2009 @ 10:28:
Verder sla je in de database op welke combinatie van browser + OS er wordt gebruikt voor een vote, zo kan je zien als 98% van de votes is gedaan met vb. :"Mozilla/5.0 (Windows; U; Windows NT 6.0; nl; rv:1.9.1.2) Gecko/20090729 Firefox/3.5.2 (.NET CLR 3.5.30729) " (die .NET CLR 3.5 is vb specifiek)

Daarnaast sla je ook niet alleen het IP op, maar ook de hostname:
IP Address : 91.180.15.9
Host Name : 9.15-180-91.adsl-dyn.isp.belgacom.be

Dit is wel een goed idee.
Zo kan je fraude makkelijker detecteren.

frederikske schreef op donderdag 06 augustus 2009 @ 10:28:
Helaas, dit alles is te omzeilen:
- IP: modem herstarten
- Cookie: cookies wissen
- Email: meerdere email adressen (catch all: *@mijndomein.com)

Alles is inderdaad te omzeilen.
Maar het zijn ook geen staatssgeheimen oid

[Verwijderd]

Matis schreef op donderdag 06 augustus 2009 @ 10:36:
Om het echt te beschermen tegen geautomatiseerde stemmers zou ik toch serieus overwegen om een captcha in te bouwen. Niet moeilijk. Desnoods kun je een som inbouwen.

Iets in de trant van "Hoeveel is 6 plus 9" en dan de getallen relatief klein houden natuurlijk...

Automatische stemmers hebben toch altijd hetzelfde IP-adres?

[frickY]

Verwijderd schreef op donderdag 06 augustus 2009 @ 10:19:
Is er bv een programma dat bij ieder bezoek je een ander IP-adres geeft?

Ja, tientallen dan wel honderden.
Zoek eens naar anonymizer

[disjfa]

Dus je wilt dat fraude niet gebeurt, maar je wilt verder je code niet aanpassen aanegzien het dan ingewikkelder word.

Zorg gewoon dat je alles netjes bijhoud bij een poll en dan kan je kijken wat je kan aanpassen. IP`s useragents, tijden, etc etc. Het kan net zo goed wat googlebots zijn die je polls hebben ingevuld

[Matis]

Verwijderd schreef op donderdag 06 augustus 2009 @ 10:39:
Automatische stemmers hebben toch altijd hetzelfde IP-adres?

Het gaat misschien wat ver, maaaaaaaaaaarrrr: Wikipedia: Botnet

[Verwijderd]

frickY schreef op donderdag 06 augustus 2009 @ 10:40:
[...]

Ja, tientallen dan wel honderden.
Zoek eens naar anonymizer

Kijk, hier was ik al bang voor.
Session en cookies kunnen dit misschien nog een beetje blokken...

disjfa schreef op donderdag 06 augustus 2009 @ 10:40:
Dus je wilt dat fraude niet gebeurt, maar je wilt verder je code niet aanpassen aanegzien het dan ingewikkelder word.

Zorg gewoon dat je alles netjes bijhoud bij een poll en dan kan je kijken wat je kan aanpassen. IP`s useragents, tijden, etc etc. Het kan net zo goed wat googlebots zijn die je polls hebben ingevuld

Het gaat er niet om dat het technisch teveel werk wordt.
Dat is geen probleem.
Het gaat erom dat het stemmen zo simpel mogelijk moet zijn.
Als mensen via een email hun stem moeten verifiëren, dan vindt ik die drempel te hoog.

Matis schreef op donderdag 06 augustus 2009 @ 10:45:
[...]

Het gaat misschien wat ver, maaaaaaaaaaarrrr: Wikipedia: Botnet

lol, als er een botnet gebruikt wordt voor mijn poll dan ben ik zeer vereerd

[ Voor 66% gewijzigd door Verwijderd op 06-08-2009 10:50 ]

[Voutloos]

disjfa schreef op donderdag 06 augustus 2009 @ 10:40:
Het kan net zo goed wat googlebots zijn die je polls hebben ingevuld

Als dat zo is, faal je op het gebied van basic http kennis: Het verschil tussen GET en POST (idempotentie dus).

[Verwijderd]

Voutloos schreef op donderdag 06 augustus 2009 @ 10:46:
[...]
Als dat zo is, faal je op het gebied van basic http kennis: Het verschil tussen GET en POST (idempotentie dus).

Dit gebeurt sowieso niet.
User input wordt gecontroleerd en er idd wordt met POST gewerkt.

[disjfa]

Voutloos schreef op donderdag 06 augustus 2009 @ 10:46:
[...]
Als dat zo is, faal je op het gebied van basic http kennis: Het verschil tussen GET en POST (idempotentie dus).

ik gebruik niet altijd een forrmuliertje om een poll te maken En dat is ook compleet irrelevant. Maar de ts gebruikt wel een formulier dus deze reactie is ook irrelevant

[Mental]

catchpa gebruiken of user accounts gebruiken.
Hoewel je dan natuurlijk nog steeds niet 100% zeker bent is het in ieder geval wat.
Met ip beveiliging schiet je bijzonder weinig op (zoals hierobven ook al vastgesteld is).

Dus, code aanpassen of niet druk over maken

[Voutloos]

disjfa schreef op donderdag 06 augustus 2009 @ 10:54:
[...]

ik gebruik niet altijd een forrmuliertje om een poll te maken En dat is ook compleet irrelevant. Maar de ts gebruikt wel een formulier dus deze reactie is ook irrelevant

Als je een link gebruikt faal je dus qua HTTP kennis. En een formulier hoeft niet per se POST te zijn.

[FragFrog]

Verwijderd schreef op donderdag 06 augustus 2009 @ 10:46:
lol, als er een botnet gebruikt wordt voor mijn poll dan ben ik zeer vereerd

Is helaas nog niet eens zo gek ver gezocht

Zelf heb ik een tijdje de site mmolist.nl gerunt: MMO servers kunnen zich daar aanmelden, krijgen hippe links, info pagina, een controle of ze online zijn en, uiteraard, de mogelijkheid een knop op hun eigen site te plaatsen om op die server te stemmen. Qua controle heb ik gebruik gemaakt van een combinatie IP logging en (sessie) cookie wat bijhoudt op welke server de gebruiker al gestemd had. Daarnaast zat er nog een extra random, eenmalige sessie variabele ook in het POST formulier om automatische requests van buitenaf tegen te gaan.

Dit werkte vrij aardig, tot er opeens een server 5000 votes op een dag kreeg (tegen ~10.000 votes in totaal normaal gesproken). Hoe ze het precies gedaan hebben weet ik nog steeds niet, maar in m'n logs stond een hele rij opeenvolgende IP adressen uit china die allemaal op die ene server hebben lopen stemmen.

Uiteraard die user gebanned met de melding dat'ie dat soort geintjes niet opnieuw moet proberen

Moraal van dit verhaal: helemaal waterdicht krijgen gaat je niet lukken, niet zonder je bezoekers ernstig te hinderen. Op een ander forum ben ik zelfs wel eens mensen tegengekomen die botnets aanbieden voor dit soort doeleinden (vrij schappelijke prijs ook nog), het enige wat je daaraan kan doen is bezoekers- en votetrends bijhouden en als je iets raars ziet gebeuren actie ondernemen.

[MSalters]

De meeste websites hier zouden er goed aan doen om Azie in z'n geheel uit te sluiten. Kosten wegen niet tegen de baten op.

[Soultaker]

Over wat voor aantallen stemmen gaat het nu precies?

Er zijn wel wat trucjes als het gebruik van proxies of het resetten van je DHCP lease, maar als je daarmee (zeg) honderd keer wil stemmen ben je al snel urenlang bezig. Bij gemiddelde internetpoll is die moeite niet waard.

MSalters schreef op donderdag 06 augustus 2009 @ 19:18:
De meeste websites hier zouden er goed aan doen om Azie in z'n geheel uit te sluiten. Kosten wegen niet tegen de baten op.

Dat druist wel heel erg tegen de open ideologie van het internet in. Sowieso lijkt me dat geen effectieve maatregel: óf je hebt een site die voor Aziaten interessant is (zoals b.v. de MMORPG site die eerder genoemd was) en dan sluit je op deze manier dus een groot deel van je doelgroep uit, óf je site is alleen voor westerlingen interessant, maar dan zul je toch weinig last hebben van Aziaten (zeker met betrekking tot doelbewuste fraude).

Ik zou dus liever voor fatsoenlijke beveiliging zorgen, en alleen in incidentele gevallen en bij een concrete aanleiding tot het bannen van IP ranges overgaan.

[ Voor 60% gewijzigd door Soultaker op 06-08-2009 20:35 ]

[Precision]

Het hangt er maar vanaf welke gegevens je wilt meesturen, als jezelf je socket verbinding maakt. En je "vergeet" de cookie parameters mee te sturen. En ip-adressen enzo kun je ook moeilijk gaan controleren ivm proxy's en dergelijke. Browser controle is hetzelfde als bij de cookies je stuurt mee wat je zelf wenst mee te sturen. Ik ging vroeger te werk met een lijstje (array) van ~ 500 reeele opstellingen qua browser en os (hiervoor maakte ik handig gebruik van mijn eigen stats), tijdens het versturen koos ik er at random eentje uit. Een nieuw ip-adres opvragen duurt bij mij 1 - 3 sec en dit kan ook geautomatiseerd dankzij die browser interfaces van de routers. Router rebooten kan je ook gebruiken maar duurt net iets langer 30 - 45 sec.

Ook met een e-mailbevestiging werken is niet echt een oplossing, je hebt een ~ 10-tal domeinnamen in bezit, op alle 10 stop je catch all en stuur je door naar 1 e-mailadres dit monitor je zelf. Je schrijft je eigen mailclient, je stelt gewoon in dat hij pas reageert als hij mail krijgt van adres x en dan stop je er template van de mail in. Zodat hij niet automatisch op iets doms gaat klikken , na het klikken-op-de-link flikker je de mail weg of sla je op in databank dat je die mail al hebt gehad. ( afhankelijk van het protocol imap <> pop3 )

En namen, op het internet vind je kant en klare excel/access lijsten met 40-50k namen in. Ofwel schrijf je zelf een algortime die aannemelijke namen maakt. Sommige klinkers en medeklinkers komen vaker voor dan anderen en je bekijkt gewoon de afstand tussen klinker en medeklinker.

Conclusie: Je huidige opstelling is niet veilig.

Edit:
@fragfrog
Je vraagt gewoon jou formulier op en je doet beetje research wat variabel is en wat niet. En je haalt er de variabelen uit. En vervolgens stuur je je eigen gemaakte formulier terug op. In de praktijk werkt het door jou oplossing 0,1 sec trager dan anders

[ Voor 7% gewijzigd door Precision op 08-08-2009 13:44 ]

[FragFrog]

flanderssoft schreef op zaterdag 08 augustus 2009 @ 13:37:
Edit:
@fragfrog
Je vraagt gewoon jou formulier op en je doet beetje research wat variabel is en wat niet. En je haalt er de variabelen uit. En vervolgens stuur je je eigen gemaakte formulier terug op. In de praktijk werkt het door jou oplossing 0,1 sec trager dan anders

Als je mijn gehele post las weet je dat het systeem inderdaad niet waterdicht is. Die illusie heb ik ook nooit gehad. Daarom juist is het zo belangrijk alles goed te loggen, zodra je dan iets raars ziet (zoals een hele reeks opeenvolgende IP adressen die snel achter elkaar stemmen) kun je simpelweg die user blocken. Tenzij jij een botnet beheert met locaties over de hele wereld en 'm heel geleidelijk steeds vaker laat posten zal ook de oplossing die jij voorschrijft snel door de mand vallen als cheaten, mits er maar geregeld gekeken wordt naar vreemde situaties

[TRON]

@TS: Ik beheer zelf een poll site (TRON's Poll). Het is niet te voorkomen dat men misbruik maakt, je kan het alleen wel wat moeilijker maken. Ik doe een controle op IP-adres en zorg bij elke stembeurt dat er een soort 'token' gegenereerd wordt waarmee de stem werkelijkheid wordt. Als men echt wil cheaten, dan is dat vrijwel niet tegen te gaan.

Een oplossing is om persoonlijke 'codes' uit te delen waarmee men een stem kan plaatsen. Een code mag dan maar één keer te gebruiken zijn. Deze mogelijkheid zal ik zelf binnenkort inbouwen in TRON's Poll om te kijken of daar behoefte aan is.

[MuisM4t]

Net als bij spam in comments en emailformulieren: je moet een afweging maken tussen gebruikersgemak en veiligheid.

Je zou hier inderdaad gebruik kunnen maken van emailadressen en tokens, echter is dit zoals flandersoft omschrijft toch nog te omzeilen; daarnaast hinder je je bezoeker met dit soort maatregelen, wat de drempel om te stemmen hoger maakt.

Zoals Akismet doet met comments voor een Wordpress blog, zou je stemmen en gegevens van de stemmer (headers) kunnen opslaan in een database. Op basis van een aantal regels kun je bepaalde stemmen dan markeren als verdacht en deze verwijderen, zonder dat de user hier last van heeft. Zo zijn veel stemmen tegelijkertijd vanaf ip-adressen uit hetzelfde subnet verdacht, maar misschien ook een veelvoorkomende user-agent / stem combinatie binnen korte tijd.

Je kunt een programma schrijven dat aan de hand van regels checkt of stemmen ongeldig zijn, maar je kunt natuurlijk ook zelf kijken naar verdachte patronen, want het opstellen van goede regels en het schrijven van een applicatie die hierop controleert is veel werk. De regels die ik hierboven noemde zouden ook onschuldige stemmen kunnen treffen.

[ Voor 3% gewijzigd door MuisM4t op 09-08-2009 14:45 ]

[Precision]

@FragFrog, installeer even live http headers (firefox plugin) analyseer het verkeer grondig en simuleer het vervolgens. Alle parameters waar jij op controleert manipuleer ik zodanig dat jij ze krijgt zoals jij ze wilt (ip-adres enzo er even buiten gelaten omdat dit een andere netwerklaag is (Wikipedia: OSI-model)). Ook de tijdstippen van registreren zijn met een algoritme "random" te definieren zodat die ook niet opvallen, dus niet elke 5 minuten. Maar het systeem kiest bvb zelf een tijdstip tussen een half uur en 3 uur, je slaat de tijdstippen op en zorgt ervoor dat er geen voorspelbare/opvallende patronen inzitten. Voor de rest zorg je dat het programma op meerdere pc's/servers staat in verschillende landen dus verschillende providers en ip-adressen (ranges).
edit:
Nog een handige link: Wikipedia: Hypertext Transfer Protocol en dan heb je nog de rfc's: http://www.rfc-editor.org/rfc/rfc4229.txt en http://www.rfc-editor.org/rfc/rfc4229.txt

[ Voor 13% gewijzigd door Precision op 09-08-2009 15:01 ]