XF Bot Guard 1.3.3

Перенаправление, укрепление коллекторов и усовершенствование процесса проверки.​

Это обновление улучшает процесс проверки XF Bot Guard, целостность браузера-сборщика данных, обработку доверенных поисковых роботов и интеграцию с XenForo без изменения основной модели защиты.
Исправлена ошибка, из-за которой посетители, прошедшие CAPTCHA, могли возвращаться на главную страницу форума, а не на ту страницу, на которую они пытались попасть.

XF Bot Guard теперь сохраняет исходный безопасный URL-адрес, запрашиваемый в процессе проверки, и после успешной проверки возвращает посетителя на эту страницу.

Сюда входят сценарии с первым посещением и новой сессией, например, когда посетитель открывает защищенную ветку или страницу форума до того, как у него появится сессия на форуме.

Небезопасные цели возврата отклоняются автоматически, в том числе внешние URL-адреса, маршруты Bot Guard, маршруты входа/выхода/регистрации, маршруты API, пути для администрирования/установки, пути в стиле вебхуков, пути в стиле платежных обратных вызовов, а также некорректные значения.

Если исходный URL для возврата отсутствует или небезопасен, XF Bot Guard, как и раньше, безопасно перенаправляет на индекс форума.
Обнаружение известных разрешенных поисковых роботов теперь работает как полноценное разрешение, если включена обработка доверенных поисковых роботов.

Ранее обнаружение известных краулеров снижало показатель риска, но запрос все равно мог быть отклонен, если по другим причинам набирал достаточно высокий балл.

XF Bot Guard по-прежнему вычисляет и регистрирует оценку для мониторинга, но подтвержденные запросы от известных ботов могут быть разрешены на уровне принятия решений без лишних проверок.

Это позволяет отслеживать работу поисковых роботов в журнале событий, а также обеспечивает более стабильное поведение доверенных поисковых роботов.
Браузерный сборщик данных теперь использует недолговечные доказательства, выдаваемые сервером, чтобы лучше привязывать данные, собранные сборщиком, к текущей странице, сеансу и временному окну.

Из-за этого сборщикам данных становится сложнее воспроизвести или синтезировать данные независимо от реальной загрузки страницы.

Достоверность данных, полученных от коллектора, проверяется до того, как метаданные браузера будут приняты в качестве подтверждения надежности коллектора. Недействительные, просроченные, повторно использованные, отсутствующие или несовпадающие данные, полученные от коллектора, обрабатываются безопасным способом и регистрируются для мониторинга.

Эта защита рассчитана на безопасный сбой без нарушения нормальной загрузки страницы.
XF Bot Guard теперь может запрашивать обновление данных браузера при изменении контекста запроса, что может снизить надежность старых метаданных.

Примеры включают:

• Изменения в семействе User-Agent
• Изменения в стране
• Изменения в ASN, если таковые имеются
• Устаревшие метаданные сборщика
• Подозрительные семейства маршрутов
• Отсутствие метаданных сборщика, несмотря на наличие отпечатка посетителя
• Несоответствия в связях между отпечатком и сеансом

Это не приводит к немедленному включению CAPTCHA. Это промежуточный этап, на котором XF Bot Guard может обновить данные браузера, прежде чем перейти к проверке.
В этом обновлении добавлен небольшой уровень риска для семейства маршрутов, которые обычно используются для сбора данных или их перечисления.

Примеры включают:

• Страницы поиска
• Страницы в стиле «Что нового»
• Список участников и перечисление профилей
• Глубокая пагинация
• Повторное перечисление или обход индекса

Это лишь незначительные вспомогательные факторы риска. Они призваны повысить объяснимость и точность оценки, не оказывая существенного влияния на итоговую оценку риска.
Убрал предсказуемый запасной путь для хеширования.

XF Bot Guard теперь использует настроенный хэш-секрет Bot Guard, если он доступен, или глобальную соль XenForo, если она доступна.

Если ни то, ни другое не доступно, XF Bot Guard не генерирует предсказуемые хэши, при необходимости блокирует доступ для посетителей и регистрирует проблему с конфигурацией, чтобы администратор мог ее устранить.
В файлах cookie Bot Guard теперь используются явные современные атрибуты файлов cookie.

Теперь для файлов cookie установлено значение SameSite=Lax, используется протокол Secure при передаче по протоколу HTTPS, а доступ к JavaScript разрешен только в тех случаях, когда это действительно необходимо браузеру.

Это повышает согласованность работы с файлами cookie в современных браузерах, сохраняя при этом совместимость с поддерживаемыми версиями XenForo.
В разделе «Текущие посетители / онлайн-пользователи» на XenForo теперь отображается более четкий текст об активности пользователей.

Теперь посетители, проходящие верификацию, должны видеть общую информацию о процессе верификации, а не неизвестный или непонятный маршрут.

Отображаемый текст действия не содержит конфиденциальных URL-адресов возврата, хэшей посетителей, хэшей IP-адресов, идентификаторов отпечатков, значений nonce или метаданных запроса.
В существующем журнале событий XF Bot Guard теперь более наглядно отображаются новые сценарии поведения.

Новые или улучшенные возможности отображения событий:

• URL-адрес для возврата с помощью CAPTCHA восстановлен или безопасно удален
• Известные случаи переопределения уровня принятия решений поисковыми роботами
• Сбои при проверке доказательств, собранных коллектором
• Запросы на повторный сбор данных в браузере
• Модификаторы рисков для семейства маршрутов
• Проблемы с конфигурацией секретного ключа хеширования / глобальной соли

Коды причин и метаданные по-прежнему используют существующую структуру журнала событий.
В этом выпуске представлен набор инструментов для проверки работоспособности и состояния внутренних компонентов, который используется для улучшения тестирования релизов.

Обвязка охватывает такие ключевые функции, как переопределение доверия к CAPTCHA, переопределение известных поисковых роботов, проверка URL-адреса возврата, отклонение небезопасных возвратов, отклонение самомаршрутов Bot Guard, проверка подлинности сборщика данных, очистка метаданных, энтропийная оценка, классификация маршрутов, исключенные пути/маршруты/методы и поддержка онлайн-активности Bot Guard.

Этот внутренний инструмент дополняет обычное ручное тестирование совместимости XenForo 2.1, 2.2 и 2.3.
Это обновление не требует изменения схемы базы данных и добавления новой страницы конфигурации администратора.

Администраторы, использующие доверенную обработку поисковых роботов, должны убедиться, что их прокси-сервер и среда заголовков настроены должным образом, поскольку решения о доверии к поисковым роботам зависят от надежности заголовков запросов.

Усиление защиты браузера и повышение надежности CAPTCHA​

Это обновление улучшает проверку браузера XF Bot Guard и обработку запросов без изменения основной модели защиты.
XF Bot Guard теперь собирает и анализирует более широкий спектр легковесных браузерных сигналов, чтобы лучше выявлять подозрительные или автоматизированные шаблоны трафика. Эти проверки помогают отличить обычную активность браузера от сеансов, которые кажутся непоследовательными, неполными, автоматизированными или искусственно созданными.

Новые проверки включают в себя:

• Обнаружение артефактов WebDriver и автоматизации
• Проверка согласованности User-Agent и Client Hints
• Проверка согласованности платформы, экрана, сенсорного управления и аппаратного обеспечения
• Проверка правдоподобности языка, часового пояса и страны
• Проверка загрузки и рендеринга ресурсов
• Проверка согласованности возможностей использования файлов cookie

Эти сигналы используются только в качестве вспомогательных факторов риска. Они не заменяют существующую скоринговую модель.
Теперь сигналы о согласованности работы браузеров ограничены, чтобы не наказывать слишком сильно необычные, но легальные браузеры, расширения для защиты конфиденциальности, старые устройства или нестандартные сетевые конфигурации.

Индикаторы высокой степени автоматизации, такие как явное использование WebDriver или безголового браузера, по-прежнему могут существенно влиять на оценку риска.
Браузерный сборщик теперь хранит более подробные, но при этом конфиденциальные метаданные. XF Bot Guard по-прежнему не сохраняет необработанную энтропию компонентов FingerprintJS, необработанные IP-адреса и неограниченные данные на стороне клиента.

Собранные метаданные ограничиваются компактными сигналами о браузере и согласованности запросов, которые используются для оценки риска использования ботов.
Исправлена ошибка, из-за которой посетителю, успешно прошедшему CAPTCHA, сразу же снова предлагалось пройти проверку, если его базовый показатель риска оставался высоким.

При успешном прохождении CAPTCHA теперь корректно учитывается заданная продолжительность периода доверия. В течение активного периода доверия посетитель может пройти проверку без повторного запроса.

Новые факторы риска, связанные с согласованностью браузеров, теперь отображаются в существующем журнале событий XF Bot Guard в виде именованных кодов причин со значениями баллов.

Окно подтверждения CAPTCHA также позволяет вести четкий учет, чтобы было проще понять, когда посетителю разрешили пройти проверку.

Это обновление не добавляет новых параметров конфигурации и не требует внесения изменений в схему базы данных.

• Новая настройка по умолчанию помогает предотвратить получение начального «льготного периода» для трафика с высоким уровнем риска и без проверки браузера.
• Если эта функция включена, Bot Guard принимает более взвешенное решение о допустимом уровне риска, прежде чем разрешить «льготный период».

• В разделе «Участники» и в статистике онлайн-активности теперь не учитываются посетители, которые в данный момент проходят проверку XF Bot Guard и еще не прошли верификацию.
• Добавлена новая строка «Боты» под статистикой онлайн-активности, чтобы показывать, сколько посетителей в данный момент проходят проверку Bot Guard.
• Добавлена новая опция для администраторов, позволяющая включать и отключать корректировку онлайн-активности Bot Guard. По умолчанию эта опция включена.
• Добавлена автоматическая очистка данных о временном отслеживании онлайн-активности, чтобы предотвратить ненужный рост таблицы в долгосрочной перспективе.
• Улучшена обработка установки/обновления для задач очистки Bot Guard по расписанию, благодаря чему необходимые задания по очистке остаются активными и выполняются по расписанию.
• Улучшена совместимость с XenForo 2.1, 2.2 и 2.3 для отслеживания онлайн-активности за счет синхронизации отслеживания запросов Bot Guard с собственными записями об активности сессий в XenForo.