正直、CloudFlareのビジネスはすごく好きだよ。ベンダーロックインもないし、本当に良い製品だと思う。もし彼らが後で悪いことをし始めたら、私がやるべきことは、ネームサーバーを競合に変えるだけで、私のウェブサイトのユーザーも気づかないだろうね。

じゃあ、何もしないのが解決策なの？Cloudflareは多くのことに対して素晴らしい解決策だよ。インターネットは核戦争に耐えられるように設計されているけど、今のインターネットの敵意のレベルには対応していないんだ。

それで、あなたの解決策は「インターネットの全員が善人だと思う」ってこと？これを大規模にどう解決するつもりなの？

これを「既知のセキュリティ問題」とは呼ばないかな。サインアップやパスワード再設定ページに固有の問題だと思う。あと、Turnstileを目に見えないモードで追加したから、ユーザーがイライラすることはないと思うよ。認証フローの特定のページにだけ適用されるし、すでにサインインしてるユーザーには影響ないから。Redditみたいにサイト全体のボット保護を使って、インタースティシャルキャプチャページを作るのとは全然違う。

未確認ユーザーには1通のメールしか送らないようにフローが更新されたから、キャプチャを導入する前にできる限りの対策はされてると思うよ。

私も似たような問題があって、代替案を評価したけど、残念ながら十分に機能するものはなかったよ。信頼性のあるボット防止をどう実装するのがいいと思う？今のところ、LLMはCAPTCHAを解くのが人間よりも得意だからね。

あなたのコメントに完全に同意だわ。ユーザーが何かしら製品に関わるまで、ウェルカムメールを送るのを待つってのはどう？ それで、3ヶ月以上何のアクションもないアカウントは「誤って作成された」として削除しちゃえばいいんじゃない？

いいね。

高エントロピー文字列を検出するための確立されたアルゴリズムがあるのに、LLMを使うのは過剰な気がする。

それだと、追跡されたくない正当なユーザーもブロックしちゃうよね。iCloudの「メールを隠す」サービスを使ってる人たちとか。

それで、君の解決策は、単一のフィールドに対して基本的なルックアップテーブルを使って回避できるブラックボックスを導入することなの？CAPTCHAは、すべての状況で100%機能することを目的にしてないし、唯一のセキュリティソリューションでもないんだ。怠け者のスパマーや低レベルの攻撃をブロックするためのものだけど、興味とリソースがあれば誰でもCAPTCHAを回避できる。確かに「AI」の普及で、これが安くてアクセスしやすくなってきてるけど、CAPTCHAが本質的に無駄だってわけじゃない。これは永遠のいたちごっこの一部なんだよ。LLMのように、特定の信号が疑わしい行動を示す確率に依存してる。Turnstileのような洗練されたものは、多くのデータを分析して、擬似ランダムなキーボード入力を検出するためにLLMを使ってるから、君の特注の解決策よりもずっと効果的だと思う。完璧ではないし、誤検知もあるけど、これは残念ながら現代のインターネットで正当なユーザーにサービスを提供するためにみんなが支払わなきゃいけない代償なんだ。これらのサービスに多くのセンシティブなデータが与えられて、ユーザーの追跡や広告に悪用される可能性があるのは心配だけど、自己ホスティングできるOSSの代替案もあるから、それを使うのもいいかもね。

正直、これってあんまり良い解決策じゃない気がする。なんでこれにLLMを使うの？正当なランダムな文字列をユーザー名にしたい場合はどうするの？

無駄なCAPTCHA（十分に高度なボットはどんなCAPTCHAでも回避できるしね）。うちのスタートアップではこれを（…）で解決したよ。もちろん、ボットが何をしてるか分かってれば簡単に回避できるから、君自身が認めてる通り、その解決策は「十分に高度なボット」の問題を解決してないよね。

うちのスタートアップでは、名前をシンプルなLLMフィルターに通して解決したよ - 名前がPx2846skxojwみたいな意味不明なものであれば、サインアップをブロックするんだ。「LLMが君の名前を意味不明だと思ってる」ってのが新しい「君の名前には無効な文字が含まれてはいけない」にならないことを願ってる。

最近、私も同じことがあったよ。メールの活動を隠してるわけじゃなくて、3000通以上のスパムメールをチェックした。受信トレイに転送ルールが追加されてないか確認して、SIMスワップに対する保護も追加した方がいいよ。私の場合、アカウントは侵害されなかったけど、新しいクレジットカードを開設しようとされたから、クレジットレポートを確認する価値はあると思う。

痛いね。一つのアカウントにつき、クレジットカードの変更は一回だけ？これは、そういうイベントがあった後にしか導入されない監視レベルの一つだよね。例えば、全システムの分析 - 7時間でカード変更機能が何千回も使われるのは、ものすごい赤信号だよ。

そうですね、やるべきことは、通過したカードについてカード発行会社に通知することです。そうすれば、盗まれたカードとしてマークしてもらえます。それは確かにハッカーを喜ばせるでしょうし、再度やる気を失わせるでしょうね :)

$1の認証チャージパターンは、カードテスト攻撃にはすごく一般的だよ。Turnstileを超えて役立つのは、Stripe Radarのルールだね。成功した支払いがないIPからの$2未満のチャージをブロックしたり、短時間に複数のカード試行があったアカウントをフラグすることができる。完璧ではないけど、人間のレビューが始まる前に一層の防御ができるよ。

Cloudflareや他のアンチボットサービスは、回避する意志や知識がない人には効果的だけど、JSは逆コンパイルできるし、検出に使われるデータポイントも見えるからね。何でも偽装できるし、人間の行動に見えるようにできる。もし全てが失敗したら、AIにアウトソースするだけだよ - いつもインディアンだね :D

うちはサイレントブロックを導入してこれを解決したよ。システムが異常な行動（例えば、ユーザーごとの支払い試行が多すぎる場合）に気づくと、その支払い試行をプロバイダーに送らなくなるんだ。代わりに1、2秒待ってから、単に「支払いが拒否されました」と表示するだけ。ほとんどの攻撃者はブロックされてることに気づかず、全てのクレジットカードがダメだと思ってる。

$1の認証チャージパターンがあるから、支払いプロセッサーは君をカードテストを助長してると見なすんだよ、たとえ君が被害者でも。実際、Stripeはこれでアカウントを停止したこともある。Turnstileのインビジブルモードは、基本的にログを取るだけで、ほとんど何も挑戦しないからね。苦い教訓だと思うよ。

いつも同じユーザー名やログインを使ってたのかな？

メール確認をすることで摩擦が生まれるからです。みんな、プライベートデータの漏洩リスクがあっても、摩擦を少なくすることを最優先にしています。間違ってメールを入力したユーザーを責めることができるからです。

これは意図的です。メール確認は摩擦を生むので、ユーザーに購入が本当に必要か再考する機会を与えます。これはビジネスにとって悪いことで、彼らは衝動的に購入してほしいと思っています。また、最近はオートフィル機能があるので、ほとんどの人は正しくメールを入力します。だから、確認メールを送らないのは、スムーズな体験を最適化しているということです。

メールの検証なしにアカウントを作成するのが合法だなんて、驚きです。検証されるまで、アカウント確認以外のメールを送るのは、罰金を科すべきだと思います。検証メールには「二度と連絡しないで」というボタンがあって、ワンクリックで機能し、もし機能しなければ大きな罰金が科されるべきです。

確かに、メールは往復が早いですが、郵便の確認を求められることはありませんよね。どこでも購入を確認しなければならないのはかなり面倒だと思いますし、オンラインで全ての商人にサインアップしたくないのと同じです。ゲストとして購入させて、OTPを入力する必要はないようにしてほしいです。

それは本当に狂っていますね。私も同じ状況で、住宅ローンの申請書や警察の詳細、警察の仕事の応募、マッサージの領収書など、色々なものを受け取っています。多くは顧客データの重要な漏洩と見なされるでしょう。技術系で活動している誰かと同じ名前を持っているため、機密と思われる創業者レベルのメールが私に送られてきたこともあります。小規模なグループを運営している明らかに実在の人物からのものには返信したり報告したりしますが、大企業に対しては、企業メールに素早く返信する以外にほとんどできることはありません。この「悪意のない間違った人の同名エラー」という特定の問題に対して何かを構築するための高レベルの議論があればいいのにと思います。Googleならできると思いますが、彼らが気にする規模で収益化できないからだと思います。メールのモノリスの外でこれを機能させる方法を考えられませんでした。もしアイデアがある人がいれば、ぜひ教えてほしいです。

私は非常に初期のGmailアドレスを持っています。とても一般的な名前に2文字の追加です。今ではほとんど使えません。請求書、サブスクリプション、誰かの不動産取引に関する重要な書類など、全て私の受信箱に入ってきます。約20〜30のGoogleアカウントがあり、そこに私がバックアップメールアドレスとして登録されています。その人たちがパスワードを忘れたり、アカウントを使わなくなったりすると、通知メールが届きます。私の側での確認は必要ありません。新しいアドレスを設定しましたが、これが問題になる可能性は低いです。ただ、古いアドレスから移行するのは簡単ではありません…

よく言われることだけど、最適な詐欺の量はゼロじゃないんだよね。 https://www.bitsaboutmoney.com/archive/optimal-amount-of-fra... 彼らは、気軽に物を買えるように最適化してるんだ。

予想通り、これはひどいね。