Usuario:MarioGom/Bloqueo de proxies

Conceptos básicos

Dirección IP

Número de identificación asignado a cada dispositivo conectado a Internet. Esta puede mantenerse fija entre conexiones o ser dinámica y cambiar con frecuencia. Existen dos versiones: IPv4 (por ejemplo 16.777.216.0) o IPv6 (por ejemplo 2001:0db8:85a3:08d3:1319:8a2e:0370:7334).

Rango de IPs

Las IPs se agrupan en rangos de varias longitudes. Comunmente se utiliza la notación CIDR, como 16.777.216.0/24, que denota todas las IPs entre 16.777.216.0 y 16.777.216.255.

Proveedor de servicios de Internet (ISP)

Es la empresa que facilita el acceso a Internet a los usuarios. Cada ISP es propietario de uno o más rangos de IPs. Cuando uno de sus clientes se conecta a Internet, el ISP les asigna una IP de uno de sus rangos.

Acceso residencial

Hablaremos de IPs o rangos residenciales para referirnos a todos aquellos que corresponden a usuarios finales. Esto incluye una conexión doméstica por ADSL o fibra óptica, o una conexión de un teléfono móvil.

Proveedor de hosting

Hablaremos de proveedor de hosting, webhost o colocación para englobar a todas aquellas empresas que, en lugar de proveer acceso residencial, tienen centros de procesamiento de datos con servidores. Estas son las computadoras que se encargan de servir páginas web, gestionar correo electrónico, entre otros.

¿Qué es un proxy?

Un servidor proxy es un intermediario de conexiones a Internet. Si un usuario tiene la IP 1.2.3.4 y un proxy tiene la IP 5.6.7.8, cuando el usuario esté utilizando el proxy, aparecerá como si su propia IP fuese 5.6.7.8. Existen muchos tipos de proxy. Sin ser exhaustivos, aquí incluiremos los más relevantes de cara al bloqueo de proxies en los proyectos de Wikimedia.

Proxy abierto

Un proxy abierto es aquel que es accesible públicamente y puede ser utilizado por cualquier usuario conectado a Internet. Debido a su frecuente abuso, lo más común es que los proxies sean abiertos por un error de configuración o por la presencia de malware.

Red privada virtual (VPN)

Una red privada virtual (VPN) establece una red lógica entre varios dispositivos en Internet, interconectándolos de forma segura y ofreciendo características similares a las redes privadas de dispositivos que se encuentran físicamente en el mismo lugar, como una oficina.

Las VPN son habituales en empresas para conectarse a recursos privados desde distintas oficinas o desde casa. Sin embargo, este caso de uso no nos concierne en esta guía y cuando hablemos de VPN nos referiremos aquellas orientadas a usuarios finales como Mullvad, ExpressVPN o NordVPN. Este tipo de VPN, normalmente de pago, se utilizan como proxies, para acceder a Internet mediante una IP del proveedor de VPN y no una propia.

Proxy residencial

Los proxies residenciales son aquellos donde el propio servidor proxy no se encuentra en un proveedor proxy, sino en una conexión de acceso residencial. Es decir, la IP de estos proxies es una IP que aparece ante el mundo como si fuese un usuario desde su casa. Esto se consigue por varias vías. Una de ellas es el malware o aplicaciones móviles que permiten usar un dispositivo como proxy por parte de otras personas, normalmente sin el conocimiento del usuario que instala dichas aplicaciones. En otros casos, un proveedor de proxies puede adquirir tarjetas SIM para conectar sus servidores a Internet como si fuesen un teléfono móvil.

Proxy P2P

Los proxies P2P son un tipo de proxy residencial de especial interés. Se trata de aplicaciones que sirven para usar los dispositivos de otros usuarios como proxies, pero al hacerlo, también se ofrece el propio dispositivo como proxy. Es decir, si un usuario A tiene la IP 1.2.3.4 y un usuario B tiene la IP 5.6.7.8, el usuario A podrá conectarse con la dirección 5.6.7.8, y el usuario B podrá conectarse con la IP 1.2.3.4.

Por su naturaleza, no ofrecen las posibles ventajas de seguridad o privacidad que podría ofrecer una VPN en algunos casos, pero son frecuentes en distintos tipos de abuso y fraude.

Apple Private Relay

Las últimas versiones del sistema operativo de Apple para móviles incluyen un servicio de proxy integrado (Apple Private Relay) y se espera que otros proveedores sigan un camino similar en el futuro. Por lo que sabemos hasta ahora, estos servicios tienen algunas limitaciones respecto a otros tipos de proxies que lo pueden hacer menos atractivo a la hora de abusar de ellos. Algunos proyectos de Wikimedia no bloquean estos proxies, mientras que otros los bloquean pero sólo para la edición anónima. Más información en meta:Apple iCloud Private Relay.

¿Por qué bloquear proxies?

Aunque existen usos legítimos como conectarse a Wikipedia desde China, los proxies en proyectos Wikimedia son también usados muy frecuentemente de forma abusiva:

1. Para utilizar múltiples usuarios títeres intentando evadir la detección por parte de verificadores de usarios o checkusers.
2. Para seguir editando tras un bloqueo cambiando a la IP de un nuevo proxy, evadiendo las sanciones impuestas por los administradores.

Por ello, existe una política global de bloqueo de proxies abiertos (meta:No open proxies), y adaptaciones de esta a varios proyectos (en:Wikipedia:Open proxies). Bajo esta política, es frecuente el bloqueo de IPs y rangos utilizados como proxies abiertos, VPNs, Tor, etc.

Nota importante: El bloqueo de proxies es una herramienta para mitigar el abuso de los proyectos y no es un fin en si mismo. Usar un proxies no es una actividad sancionable, aunque la dirección IP dicho proxy pueda ser bloqueada en cualquier momento.

¿Cómo bloquear proxies?

Hacer un listado exhaustivo de proxies existentes es un problema intratable. Un único proveedor comercial de proxies puede operar decenas de miles. Algunos proveedores aseguran operar millones y, aunque a veces esta puede ser una exageración de su departamento de mercadotecnia, es posible que sí alcancen cientos de miles. Cada proveedor comercial de VPNs puede tener cientos repartidos en distintos países y rangos. En cuanto al número de proxies puramente abiertos por problemas de configuración o malware, en 2008 se estimaban en cientos de miles.

Existen varios servicios comerciales y gratuitos dedicados a su detección. Algunos tienen una muy baja cobertura: es decir, detectan un porcentaje muy bajo de los proxies existentes. Otros tienen más alta cobertura, pero tienen muchos falsos positivos: detectan como proxies cosas que no lo son. Algunos sufren de ambos problemas.

De momento no podemos decir que la comunidad de Wikimedia sea capaz de resolver este reto técnico que ninguna otra organización ha conseguido. Por eso necesitamos combinar varias técnicas fiables, descartar otras no fiables, y tomar algunos atajos. El objetivo: maximizar la efectividad a la hora de prevenir el abuso mediante proxies (sabiendo que no seremos 100% efectivos), y minimizar los problemas para usuarios legítimos.

Pasemos a describir los distintos métodos en uso.

Bots de detección de proxies

Bots de detección de proxies abiertos

Wikipedia en inglés tiene ST47ProxyBot. Este bot tiene un sistema de detección propia de proxies abiertos (no VPNs, o proxies privados, sólo aquellos puramente abiertos). Consiste en encontrar direcciones de proxies en varias listas online y posteriormente comprobar si realmente lo son. Dado que los proxies abiertos a menudo aparecen y desaparecen o cambian de IP, no procede bloquearlos por demasiado tiempo. Así que la primera vez que el bot encuentra un proxy, lo bloquea durante un día. Cada vez que termina el periodo, si la misma IP sigue siendo un proxy, los bloqueos van siendo más largos. En el momento en el que el proxy deje de estar presente en una IP, el bloqueo no se renovará. Al momento de escribir esta guía (agosto de 2023), hay 22.314 bloqueos vigentes de proxies abiertos realizados por ST47ProxyBot.

Bots de detección de proxies P2P

ST47ProxyBot también detecta un proveedor de proxies P2P que no nombraremos en esta guía para no promocionar su uso, ya que además el software en cuestión supone un riesgo de seguridad considerable para sus propios usuarios. El bloqueo de esta red de proxies P2P se hizo necesario dado el muy alto volumen de abuso a largo plazo que partía de este. En la Wikipedia Español, un titiritero muy activo también ha supuesto un problema por su uso de esta red de proxies. Por razones de seguridad operativa, el método de detección no es público, pero fue descubierto por editores de Wikimedia y llevado a producción por la empresa Spur (web oficial) que actualmente provee los resultados a operadores de bots. Al momento de escribir esta guía, hay 152,586 bloqueos vigentes sólo de esta red de proxies P2P. La mayoría de estos bloqueos son de muy corta duración, a menudo unos pocos días.

Bloqueo de proveedores de hosting

Como hemos visto, el número de de proxies es muy alto, pero en muchos casos están concentrados sólo en proveedores de hosting. Además algunos proveedores de hosting, como M247, concentran una buena parte de la cuota de mercado. Bloquear los rangos de IPs de estos proveedores de hosting es una forma efectiva de bloquear muchos proxies con un riesgo muy bajo de daño colateral, ya que estos proveedores no dan acceso a Internet residencial. El bloqueo de estos rangos se realiza de forma manual, tanto en la Wikipedia en inglés, como a nivel global en Meta.

La comunidad Wikimedia que ayudan a identificarlos, algunas especializadas como ASNBlock o isprangefinder, y otras más generales como whois. Pero la decisión de cada bloqueo recae en un administrador o steward.

A diferencia de otros bloqueos de proxies, los bloqueos de proveedores de hosting se suelen realizar con una mayor duración, que puede oscilar entre 1 y 3 años. Esto es debido a que se trata de rangos estables, que suelen permanecer como propiedad de la misma empresa durante años, o se traspasan a empresas del mismo tipo. En raras ocasiones alguien detecta que un rango de un proveedor de hosting pasa a ser un rango de acceso residencial. Cuando esto ocurre, se desbloquea manualmente.

En estos momentos hay bloqueos vigentes en la Wikipedia en inglés de más de 30.000 rangos de este tipo, más otros tantos bloqueos globales.

Otros métodos

A veces los bloqueos manuales se inician a raíz de reportes en meta:Steward requests/Global, en:Wikipedia:WikiProject on open proxies u otros tablones de la comunidad, así como herramientas de detección (pero no bloqueo automático) como ProxyReport.

¿Qué ocurre cuando un bloqueo afecta a usuarios legítimos?

Algunos bloqueos tienen el parámetro "sólo anónimos" y no afectan a usuarios registrados. Otros, sin dicho parámetro, afectan a todos los usuarios. Cuando un usuario, registrado o no, intenta editar y está afectado por un bloqueo de IP, se le muestra un motivo de bloqueo. En el caso de bloqueo de proxies, se le muestra una plantilla como {{Webhost bloqueado}} o {{Proxy bloqueado}}. Estas plantillas proveen instrucciones para reportar el problema usando la plantilla {{Desbloquear}}.

Una vez revisada una petición, un bibliotecario puede tomar alguna de las siguientes medidas:

1. Solicitar al usuario que desactive el proxy o la VPN a la hora de editar Wikipedia.
2. Dar el permiso exento de bloqueo de IP a un usuario registrado, eximiéndole de estos bloqueos.
3. Rebajar el nivel del bloqueo, para que sólo afecte a usuarios sin registrar.
4. Desbloquear la IP o rango si procede.