Клоноводство/взломы и как их обнаруживать

[kotenok gav]

Представим, что есть сайт, на котором правилами запрещено наличие нескольких аккаунтов у одного человека (чтобы далеко не ходить, как пример можно взять хоть dxdy).
Как можно детектировать использование нескольких аккаунтов одним человеком (клоноводство) и использование одного аккаунта несколькими людьми (как правило, такое происходит в результате взлома аккаунта другим человеком) с хорошей точностью?
Можно использовать fingerprint или какие-то методы автороведческих экспертиз, но у такого подхода не очень высокая точность и сейчас такие методы не очень приемлемы (скажем, большинство браузеров стараются как можно сильнее усложнить использование fingerprint в целях блокировки отслеживания пользователей). Поэтому несколько вопросов:
1) Можно ли детектировать это без использования fingerprint?
2) Если нет, то как лучше всего детектировать это с использованием fingerprint?
3) Какие методы детектирования этого сейчас используются?

[Emergency]

Одним из стандартных способов подтверждения личности, применяемых банками и сайтами, является посылка письма/смс со ссылкой/кодом.
Это не очень надежный способ, но само его применение говорит о том, что другие способы хуже/сложнее.

[kotenok gav]

Это практически решает проблему со взломами (хотя не думаю, что необходимость потверждать личность почтой при каждом новом входе будет слишком нравиться пользователю), но абсолютно не решает проблему с клоноводством (легко зарегистрировать новую почту).

[Xugin]

kotenok gav в сообщении #1507868 писал(а):

как пример можно взять хоть dxdy

Не надо, запрета на многоаккаунтность здесь нет. Это только для тех кто в вечный бан угодил.

[Mikhail_K]

Xugin в сообщении #1507890 писал(а):

Не надо, запрета на многоаккаунтность здесь нет.

Фактически есть: при выявлении многоаккаунтности, как правило, участнику предлагают выбрать один аккаунт, а остальные блокируют.

Xugin в сообщении #1507890 писал(а):

Это только для тех кто в вечный бан угодил.

Тоже неточно: даже если бан не вечный, использование другого аккаунта до истечения срока бана запрещено и карается вечным баном.

[mustitz]

kotenok gav в сообщении #1507887 писал(а):

но абсолютно не решает проблему с клоноводством (легко зарегистрировать новую почту).

Зарегистрировать новый телефонный номер немного сложнее... Также возможен доступ через своё мобильное приложение. Опять же, несколько клонов скорее никак эффективно не проверить.

[ozheredov]

kotenok gav в сообщении #1507868 писал(а):

скажем, большинство браузеров стараются как можно сильнее усложнить использование fingerprint в целях блокировки отслеживания пользователей

Позвольте с Вами не согласиться. Браузеры специально затачивают под сбор инфы на предмет контекстной рекламы и пр. -- а зачем они еще нужны? Та же самая якобы бескорыстная Лиса наверняка кормится от Гугла. Так что фингерпринты там наверняка есть, другое дело, что они не для средних умов, и если я сейчас подниму сервер на пыхе, то фингерпринты я не получу, надо изощряться. Плюс, всякие закономерности по периодичности захода на сайт, особенности текстовой стилистики, предпочтительные темы ну и т.д. -- когда это все бьется, это уже фингерпринт

[arseniiv]

Я бы сказал неутешительную банальность: стоит стараться сделать сервис не требующим запрета множества аккаунтов одного человека, а или автоматически это учитывающим из-за самой своей архитектуры, или вообще не зависеть в результатах своей работы от того, у кого сколько. Даже на платформах для общения клоноводство — отнюдь не корень зла ни в каком смысле. Клоны, рекламирующие что-то усердно за оплату, виноваты в последнем (когда это живые люди вообще); клоны, разжигающие флейм (сами по себе или за оплату), виноваты опять в последнем. Запрет клоноводства никак от этих вещей не спасёт, даже количественно, именно потому что он так неэффективен при большом потоке посещений. Что будет, если нанять много людей следить за этим, мы тоже уже знаем. Что будет, если применить ИИ, но не особо заботиться обо всех клиентах (ну тех, которые на бумаге называются клиентами), тоже знаем. Короче когда есть возможность сделать всё правильно и не давит потеря дохода — лучше делать правильно. Свобода никого ещё не убила.

-- Пт мар 05, 2021 02:41:04 --

TL;DR: по-моему это проблема XY. (Ну, не взломы. Взломы стоит конечно стараться обнаруживать, хотя лучше просто найти кому это занятие делегировать. Капчу например сейчас же не будут велосипедить, а это из того же разряда.)

[kotenok gav]

mustitz в сообщении #1507901 писал(а):

Зарегистрировать новый телефонный номер немного сложнее...

Но такая проверка ещё сложнее для пользователя. Но, в принципе, это вариант.

ozheredov в сообщении #1507906 писал(а):

Плюс, всякие закономерности по периодичности захода на сайт, особенности текстовой стилистики, предпочтительные темы ну и т.д. -- когда это все бьется, это уже фингерпринт

Об этом я уже говорил:

kotenok gav в сообщении #1507868 писал(а):

Можно использовать fingerprint или какие-то методы автороведческих экспертиз

arseniiv в сообщении #1507910 писал(а):

Я бы сказал неутешительную банальность: стоит стараться сделать сервис не требующим запрета множества аккаунтов одного человека, а или автоматически это учитывающим из-за самой своей архитектуры, или вообще не зависеть в результатах своей работы от того, у кого сколько. Даже на платформах для общения клоноводство — отнюдь не корень зла ни в каком смысле.

Ну, честно говоря, я не совсем согласен. Но на моей платформе есть причины, почему клоноводство запрещено (или по крайней мере о всех клонах должно быть известно).

arseniiv в сообщении #1507910 писал(а):

Взломы стоит конечно стараться обнаруживать, хотя лучше просто найти кому это занятие делегировать. Капчу например сейчас же не будут велосипедить, а это из того же разряда.

Ну вот я и спрашиваю что-нибудь, что может это делать. Но если такого нет в открытом доступе, то прошу хотя бы метод.

[mustitz]

kotenok gav в сообщении #1507923 писал(а):

Но такая проверка ещё сложнее для пользователя. Но, в принципе, это вариант.

Мне по SMS удобнее, потому что телефон почти всегда под рукой. А на e-mail ты путаешься между рабочим, домашним, вторым рабочим, ... Поэтому часто приходится переходить с рабочего ноута на домашний десктоп, смотреть там, копировать ссылку в Telegram, ...

[kotenok gav]

mustitz в сообщении #1507945 писал(а):

Мне по SMS удобнее, потому что телефон почти всегда под рукой. А на e-mail ты путаешься между рабочим, домашним, вторым рабочим, ... Поэтому часто приходится переходить с рабочего ноута на домашний десктоп, смотреть там, копировать ссылку в Telegram, ...

Хорошо, а есть ли варианты без использования "потверждения личности" по почте/SMS?

[EUgeneUS]

kotenok gav в сообщении #1507923 писал(а):

Но на моей платформе есть причины, почему клоноводство запрещено (или по крайней мере о всех клонах должно быть известно).

1. Кто такие "клоны"?
Насколько понимаю, это разные аккаунты, связанные с одним и тем же физическим или юридическим лицом.

2. Если требование жесткое, то это физическое лицо должно быть идентифицировано. А это только в офф-лайне, с предъявлением паспорта.
С юридическими лицами ещё сложнее - кроме идентификации представителя юрлица, ещё и аутентификацию нужно проводить. А то вдруг этот Вася уже уволился из ООО "Ромашка".

3. Поэтому стОит подумать, о том, насколько это требование жесткое:
а) клоны вообще запрещены или какое-то количество не выявленных клонов допустимо?
б) может ли у пользователя быть заинтересованность в создании клонов?

[upgrade]

гугл
"Компания Google внедрила на своих сайтах поддержку стандартов FIDO2 и WebAuthn. Это значит, что теперь при их посещении на Android-смартфоне не нужно вводить пароль — можно залогиниться с использованием сканера отпечатков пальцев. Такой же способ входа доступен на тех сайтах, где в качестве логина используется аккаунт Google."

[kotenok gav]

EUgeneUS в сообщении #1507953 писал(а):

1. Кто такие "клоны"?
Насколько понимаю, это разные аккаунты, связанные с одним и тем же физическим или юридическим лицом.

Физическим.

EUgeneUS в сообщении #1507953 писал(а):

Если требование жесткое, то это физическое лицо должно быть идентифицировано. А это только в офф-лайне, с предъявлением паспорта.

Это уже слишком жёстко.

EUgeneUS в сообщении #1507953 писал(а):

клоны вообще запрещены или какое-то количество не выявленных клонов допустимо?

Запрещены.

EUgeneUS в сообщении #1507953 писал(а):

может ли у пользователя быть заинтересованность в создании клонов?

Да.

upgrade в сообщении #1507959 писал(а):

Компания Google внедрила на своих сайтах поддержку стандартов FIDO2 и WebAuthn. Это значит, что теперь при их посещении на Android-смартфоне не нужно вводить пароль — можно залогиниться с использованием сканера отпечатков пальцев. Такой же способ входа доступен на тех сайтах, где в качестве логина используется аккаунт Google.

Это тоже слишком жёстко.

[upgrade]

kotenok gav в сообщении #1507972 писал(а):

Это тоже слишком жёстко.

В чём жесткость? Доступ на форум с помощью мобильного устройства, приложив палец к кнопке ... да я так по 10 раз на день делаю, чтобы разблокировать телефон.