Il miglior metodo per prevenire i giochi con voto anonimo

Question

Sto per scrivere un metodo di voto per il mio sito. Voglio un metodo per impedire alle persone di votare per la stessa cosa due volte. Finora i miei pensieri sono stati:

• cadere un biscotto, una volta il voto è completa (suscettibile di più il gioco del browser)
• Log indirizzo IP per ogni voto (questo fallirà nel proxy/ambienti aziendali)
• Forza accessi

Questo sito non è account in base quanto tale, sebbene aggrega dati di Twitter, quindi non c'è possibilità di usare Twitter OAuth come mezzo di identificazione.

Quali sistemi esistenti esistono e come fanno questo?

Answer 1

La cosa migliore sarebbe non consentire il voto anonimo. Se l'utente è obbligato ad accedere, è possibile salvare l'ID utente con ciascun voto e accertarsi che voti una sola volta.

L'approccio dei cookie è molto delicato poiché i cookie possono essere eliminati facilmente. L'approccio con l'indirizzo IP ha la carenza che tu stesso descrivi.

Answer 2

Un passo verso un sistema di utente di autenticazione, ma non tutte le complicazioni:

ottenere l'utente di inserire il proprio indirizzo e-mail e confermare il loro voto, non sarebbe sradicare il gioco, ma si dovrebbe rendere più difficile per i giocatori di registrarsi un altro indirizzo e-mail e poi votare ecc.

Potrebbe valere il passaggio in più.

Facci sapere per cosa stai andando.

Answer 3

approccio diverso, proprio per offrire un'alternativa:

Supponendo che la maggior parte delle persone sanno come comportarsi o semplicemente non può essere disturbato a comportarsi male, solo retroattivamente pulire i voti. Ciò manterrebbe anche il voto discreto per gli elettori.

Così, i cookies, log ogni voto e poi (o su un intervallo di tempo?), Passare attraverso i risultati e rimuovere i duplicati in base ai valori dei cookie, combinazioni IP/UserAgent ecc

Mi piacerebbe pensare che non bloccare attivamente più voti dalla stessa persona riduce al minimo l'utilizzo di metodi di elusione altamente tecnici e i risultati sono facili da pulire.

Come lato negativo, non è possibile visualizzare in tempo reale i conteggi dei voti effettivi sull'interfaccia utente, altrimenti le sopracciglia si alzeranno quando mancherà il mazzo di voti.

Answer 4

Se si desidera utilizzare i cookie, utilizzare uno evercookie.

evercookie è un'API JavaScript disponibili che produce cookie estremamente persistenti in un browser. Il suo obiettivo è identificare un client anche dopo aver rimosso i cookie standard , i cookie Flash (Local Shared Objects o LSO) e gli altri .

evercookie realizza questo memorizzando i dati dei cookie in diversi tipi di meccanismi di archiviazione disponibili su il browser locale. Inoltre, se evercookie ha rilevato che l'utente ha rimosso uno qualsiasi dei tipi di cookie in questione, lo li ricrea utilizzando ciascun meccanismo disponibile.

I cheat multi-browser non saranno interessati, ovviamente.

Answer 5

Anche se probabilmente non lo farei io stesso, ma guarda questi biscotti, sono abbastanza difficile sbarazzarsi di:

http://samy.pl/evercookie/

Un modo diverso che ho dovuto affrontare questo problema e lotta la frode elettorale, doveva richiedere un indirizzo e-mail, quindi una persona poteva ancora votare, ma i voti non venivano conteggiati fino a quando non facevano clic su un link nell'email. Questo è stato più facile rispetto alla registrazione completa, ma è stato comunque molto efficace nell'eliminare la maggior parte dei voti fraudolenti.

Answer 6

Se non vuoi che gli utenti forzino l'accesso, considera questo evercookie, ma forza lo script java per abilitare la registrazione!

Questo evercookie è banale da bloccare perché è basato su script java. L'autore dell'attacco non avrebbe probabilmente utilizzato il browser, con il ricciolo che poteva generare troppe richieste. Hovewer tali strumenti hanno solitamente un supporto javascript di solito scarso.

Mail è ancora più facile da imbrogliare. Quando si esegue il proprio server, è possibile accettare tutti gli indirizzi e-mail, in modo da avere un numero praticamente illimitato di indirizzi da utilizzare.

Answer 7

Di quale tipo di giochi vuoi proteggerti? Qualcuno crea un paio di robot e ti bombarda con migliaia (milioni) di richieste? O qualcuno senza cose migliori da fare e provare a fare 10-20 voti?

Sì, lo so: entrambi - ma quale è la vostra principale preoccupazione qui?

L'utilizzo di CAPTCHA insieme alla votazione basata su e-mail (inviare un collegamento all'e-mail per convalidare il voto) potrebbe funzionare bene con i robot. Ma un umano può sfruttare più o meno facilmente il sistema di posta elettronica (come commento in una risposta e postare di nuovo qui)

Possiedo un dominio personalizzato e posso avere qualsiasi email che voglio al suo interno.

Un altro esempio: se la tua e-mail è myuser * @ gmail.com *, è possibile utilizzare "myuser+1@gmail.com" myuser+2@gmail.com, ecc (il segno più e il testo dopo viene ignorato e viene consegnato al tuo account). Puoi anche includere i punti nel tuo nome utente (my.user@gmail.com). (Questo solo opere su indirizzi gmail!)

per la protezione contro gli esseri umani, non so mai-cookie ma potrebbe essere una buona scelta. L'utilizzo di OAuth integrato con Twitter, FB e altre reti potrebbe funzionare anche bene.

Inoltre, ricorda: richiedere email a qualcuno per votare spaventerà molte persone! Otterrai molti meno voti!

Un'altra opzione è quella di limitare il numero di voti il ​​sistema accetta da ogni ip al minuto (o ora o qualsiasi altra cosa). Per proteggersi dagli attacchi distribuiti, limita il numero totale di voti accettati dal tuo sistema entro un periodo di tempo prestabilito.