Почему прокси - это мнимая безопасность?

Зачастую люди полагают, что подключения к прокси-серверу достаточно для полной анонимизации и защиты своего трафика. На практике же подавляющее большинство массовых решений (HTTP- и классических SOCKS5-прокси) проксируют исключительно TCP-пакеты — и это далеко не полный спектр сетевого взаимодействия современного браузера.

В обычной работе браузер формирует два типа соединений:

TCP — для загрузки веб-страниц, статики, файлов, медиа-контента. Здесь ключевым является надёжность: все пакеты должны дойти, быть упорядочены и собраны в правильном порядке.
UDP — для DNS-запросов, HTTP/3 (QUIC), WebRTC-звонков, потокового вещания и игровых протоколов. В таких сценариях важнее минимальная задержка и высокая пропускная способность, чем абсолютная гарантия доставки каждого байта.

При использовании классического TCP-прокси весь UDP-трафик либо блокируется, либо утекает напрямую в интернет вне прокси, используя основной айпи систему. Анти-фрод-системы (Google, Cloudflare, Discord, Twitter и тд.) анализируют профиль активности клиента:

Если нет UDP-запросов (DNS, WebRTC, HTTP/3 (QUIC) и тд), система помечает сессию как «нетипичную» для реального пользователя.
Клиент, который виден лишь как источник TCP-пакетов, автоматически получает более строгую фильтрацию (капча, верификация номера или другие дополнительные проверки) или вовсе блокируется как потенциальный бот.

Чтобы устранить это несоответствие и повысить уровень доверия со стороны анти-фрод-систем, в ProxyShard была внедрена полноценная поддержка UDP в протоколе SOCKS5. На текущем этапе эта функциональность доступна в тестовом режиме на дата-центр прокси в Нидерландах, но уже в ближайшее время она будет развёрнута в других регионах и на ISP-прокси, которые скоро будут доступны, сейчас ведутся тесты.

Мы и наши клиенты провели серию сравнительных тестов, которые наглядно демонстрируют эффективность UDP-поддержки:

Регистрация Google аккаунтов без номера

С UDP 15 аккаунтов из 15 попыток.
Без UDP 0 из 15.

Регистрация Discord аккаунтов и вход в каналы

С UDP 3 аккаунта из 3 с привязкой первого попавшегося номера с сервиса для активации и вход в каналы с анти-бот защитой (OpenSea, IOTA и тд).
Без UDP на всех аккаунтах не дало привязать номер и не пускало в некоторые каналы.

Регистрация Twitter

С UDP на всех аккаунтах регистрация прошла без капчи, спустя час на все аккаунты прилетел ревериф по почте, везде без каких либо проблем прошёлся.
Без UDP на этапе регистрации была капча и так же примерно спустя час прилетел ревериф, но уже по номеру.

Регистрация Instagram

С UDP на всех аккаунтах регистрация прошла без капчи, реверифа по номеру не последовало.
Без UDP на этапе регистрации была капча, спустя минут 15-20 прилетел ревериф по номеру.

Регистрация Facebook ADS

С UDP на всех аккаунтах регистрация прошла без капчи, реверифа по номеру не последовало. На следующий день прилетела верификация по видео, это нормальное поведения для Facebook, в последнее время он всем рассылает его
Без UDP на этапе регистрации была капча, спустя час заблокировали аккаунт

Подводя итог: для полной маскировки сетевого профиля и обхода детект-механизмов необходимо проксировать не только TCP, но и UDP-трафик. Для работы с UDP-прокси требуются анти-детект браузеры, поддерживающие UDP прокси, о списке которых мы сообщим позже.

Stay turned…