Tài khoản tạo trên thiết bị thật so với trên giả lập

Điện thoại để lộ những gì mà phần mềm không có

Một chiếc điện thoại thật trong tay một người thật tạo ra dữ liệu cảm biến liên tục và lộn xộn. Cảm biến gia tốc ghi lại cái rung nhẹ của bàn tay. Con quay hồi chuyển ghi lại độ nghiêng khi bạn xê dịch trên ghế sofa. Pin tụt theo một đường cong được định hình bởi độ sáng màn hình và mức dùng sóng. Màn hình cảm ứng báo về diện tích tiếp xúc và lực nhấn thay đổi theo từng cú chạm.

Trình giả lập không tự sinh ra được thứ nào trong số đó. Người ta có thể bắt nó phát lại một bản ghi có sẵn, nhưng dữ liệu cảm biến phát lại thì lặp, và sự lặp lại qua hàng nghìn tài khoản chính là thứ mà việc gom cụm đi tìm.

Dấu vân tay thiết bị

Ngoài cảm biến, một ứng dụng còn đọc được một danh sách dài các thuộc tính ổn định: mẫu phần cứng, chuỗi định danh bản dựng, tập các gói hệ thống đã cài, chuỗi mô tả trình kết xuất GPU, danh sách phông chữ, kích thước điểm ảnh và tần số quét chính xác của màn hình, sự hiện diện của những tính năng phần cứng cụ thể.

Trình giả lập buộc phải trả lời tất cả những thứ đó. Chúng thường trả lời y hệt nhau mỗi lần, hoặc chỉ với một nhóm nhỏ biến thể mà phần mềm nuôi trại hỗ trợ. Một trăm tài khoản cùng chia sẻ một chuỗi trình kết xuất GPU không tồn tại ở đâu ngoài đời thật thì chẳng kín đáo chút nào.

Vì sao các trại vẫn dùng giả lập

Vì kinh tế. Một trại điện thoại cần điện thoại thật, SIM thật, mặt bằng, điện, và người ngồi thao tác. Một trại giả lập chỉ cần một máy chủ.

Một máy có thể chạy song song hàng chục phiên bản, nên chi phí biên của một tài khoản gần như bằng không. Đó chính là toàn bộ lý do tài khoản $20 tồn tại — và cũng là lý do chúng không đi kèm bảo hành thay mới nào, vì người bán chẳng biết cái nào trong số đó tuần sau còn sống.

Mạng đóng góp thêm gì

Thiết bị mới là một nửa. Nửa còn lại là kết nối. Dải IP của trung tâm dữ liệu được công bố công khai và nhận ra dễ như bỡn, còn các kho proxy dân cư thì cháy dần khi bị bán đi bán lại.

Một tài khoản được tạo trên kết nối gia đình hoặc di động bình thường, ở đúng quốc gia mà nó khai, trên một thiết bị từ trước tới nay chỉ chạy đúng tài khoản đó, thì chẳng có gì bất thường để tìm ra. Đó là toàn bộ mẹo — chẳng có kỹ thuật cao siêu nào, chỉ là không có điểm bất thường nào.

Phần mà proxy không sửa được

Câu trả lời quen thuộc cho chuyện bị phát hiện là proxy dân cư: cho trình giả lập đi qua một kết nối hộ gia đình thật, thế là nửa vấn đề về mạng biến mất. Cách đó chạy được, nhưng chỉ trong chốc lát.

Các kho proxy dân cư bị bán đi bán lại, nên cùng một nhúm địa chỉ đầu ra gánh lưu lượng cho hàng nghìn tài khoản không liên quan gì đến nhau, trải trên hàng chục dịch vụ. Một địa chỉ đã đăng ký hai trăm tài khoản trong tháng này không phải là tín hiệu trung tính — nó còn tệ hơn một IP trung tâm dữ liệu, vì giờ đây nó gắn liền cụ thể với việc đăng ký tự động.

Và nó vẫn để nguyên phần thiết bị. Một IP dân cư hoàn hảo gắn với một thiết bị không báo về chuyển động nào, không xoay lần nào và không có camera nào còn là tổ hợp lạ hơn cả từng vấn đề riêng lẻ. Hai nửa phải khớp nhau, nói cách khác là bộ thiết lập phải đúng là thứ mà nó tự nhận.

Cách nhận biết bạn đang mua gì

Hỏi hôm đó họ đã tạo bao nhiêu tài khoản. Một người tạo tài khoản từng cái một sẽ đưa ra con số một chữ số.

Hỏi sau đó chiếc thiết bị đi đâu. Với một quy trình thiết bị thật, chiếc điện thoại vẫn ở lại với người đã tạo tài khoản, và chính chiếc máy đó không chạy hai mươi tài khoản khác.

Hỏi thẳng địa chỉ email của tài khoản ngay từ đầu. Người bán làm việc theo lô thường không đưa được, vì cả lô được tạo trên những hộp thư mà họ vẫn đang giữ.

Hỏi về tuần đầu tiên. Người bán tự tin vào cách tài khoản được tạo sẽ thay mới nếu nó chết sớm. Người bán lại sẽ giải thích vì sao đó không phải chuyện của họ.

Giới hạn, nói thật

Thiết bị thật không làm cho tài khoản bất tử. Nó chỉ loại bỏ những lý do khiến tài khoản bị xóa vì bản thân nó là gì, chứ không phải vì nó làm gì. Chuyện xảy ra sau đó tùy thuộc vào cách tài khoản được sử dụng — và vào một tỷ lệ thất bại còn sót lại mà không ai xóa bỏ được.

Vì thế câu hỏi hữu ích không phải "có được bảo đảm không?" mà là "chuyện gì xảy ra khi một tài khoản chết?"