[论文解读] Exploring Server-side Blocking of Regions

Sadia Afroz, Michael Carl Tschantz+4 more|arXiv (Cornell University)|May 29, 2018

Spam and Phishing Detection参考文献 28被引用 10

一句话总结

本文通过一项测量研究证明，网站通过服务器端机制主动阻止来自特定地区的用户，利用traceroute和人工验证确认了封锁行为，且不依赖网站自身披露。研究发现，14个网站对来自巴基斯坦的用户实施封锁，13个对非洲用户实施封锁，主要出于欺诈担忧和成本考虑，尽管无恶意意图，但仍引发关于间接歧视的担忧。

ABSTRACT

One of the Internet's greatest strengths is the degree to which it facilitates access to any of its resources from users anywhere in the world. However, users in the developing world have complained of websites blocking their countries. We explore this phenomenon using a measurement study. With a combination of automated page loads, manual checking, and traceroutes, we can say, with high confidence, that some websites do block users from some regions. We cannot say, with high confidence, why, or even based on what criteria, they do so except for in some cases where the website states a reason. We do report qualitative evidence that fears of abuse and the costs of serving requests to some regions may play a role.

研究动机与目标

• 通过实证方法证明网站存在基于服务器端的区域封锁行为，该行为与审查或中间盒干扰相区别。
• 开发并应用一种方法，无需依赖网站提供的解释，即可确认服务器端封锁。
• 调查此类封锁背后的原因，特别是发展中国家的欺诈风险和运营成本。
• 评估此类封锁对区域公平、商业可及性以及‘差别影响’等概念解释的影响。
• 警惕将服务器端封锁与审查混淆，并倡导在网页访问政策中提出更强有力的正当理由。

提出的方法

• 从美国及巴基斯坦、非洲等发展中国家的观测点，开展自动化与人工的网站可用性测试。
• 使用traceroute分析，以区分服务器端封锁与中间盒干扰或网络级问题。
• 人工验证不可用模式，并检查封锁页面、CAPTCHA或静态的“访问被拒绝”消息等响应。
• 从论坛和社交媒体收集定性证据，以理解封锁决策背后的动机。
• 运用代理类比，将法律概念如‘差别影响’应用于框架化区域封锁的规范性影响。
• 优先减少误报，倾向误报为假阴性，以确保报告的封锁案例具有高度可信度。

实验结果

研究问题

• RQ1 网站在多大程度上通过服务器端机制封锁整个地区，且独立于政府审查？
• RQ2 哪些技术与运营因素——如欺诈风险或网络成本——促使网站实施区域封锁？
• RQ3 如何可靠地测量服务器端封锁，并将其与其他形式的不可用性区分开来？
• RQ4 在何种方式下，广泛的区域封锁可能构成间接或差别影响，即使无故意偏见？
• RQ5 不透明的封锁实践对用户信任、区域公平以及全球互联网访问的未来有何影响？

主要发现

• 本研究以高度置信度确认，14个网站通过服务器端机制封锁来自巴基斯坦的用户，13个封锁来自非洲的用户，尽管这些网站从美国可访问。
• 其中许多封锁归因于欺诈担忧，包括419诈骗和配送欺诈，部分网站明确提及这些原因。
• 大量被封锁的网站源自印度，而非发达国家，这挑战了人们关于此类封锁来源的既有假设。
• 封锁往往具有不透明性——用户仅收到通用的“访问被拒绝”消息而无解释，增加了被误解为排外主义的风险。
• 研究发现，服务器端封锁并非统一适用，可能不成比例地影响整个地区，即使仅少数用户构成风险。
• 本研究指出，当前的审查测量工具可能因将业务或安全原因导致的服务器端封锁误认为审查，从而高估了审查程度。