Proxy miễn phí hay proxy trả phí? Rủi ro của danh sách proxy miễn phí

Ở một proxy miễn phí, bạn không biết chủ máy chủ là ai, họ có ghi lại lưu lượng của bạn không, có chèn mã vào trang không, và IP đó trước đây đã bị dùng vào việc gì. Ở một dịch vụ trả phí, câu trả lời cho những câu hỏi này được ghi trong hợp đồng, trên trang sản phẩm và qua kênh hỗ trợ.

Proxy miễn phí là gì, danh sách đến từ đâu?

Danh sách proxy miễn phí thường được tạo ra bằng cách quét. Các trang danh sách dò địa chỉ IP trên internet ở những port proxy phổ biến (như 8080, 3128, 1080), tìm các máy chủ chấp nhận kết nối mà không yêu cầu xác thực rồi đưa vào bảng. Vì vậy, phần lớn địa chỉ trong danh sách không phải là dịch vụ được mở có chủ đích. Nguồn của chúng thường là:

• Máy chủ cấu hình sai. Một proxy Squid hoặc tương tự mà công ty dựng cho mạng nội bộ bị để lộ ra internet vì quên đặt quy tắc truy cập. Chủ máy chủ không biết lưu lượng của bạn đang đi qua máy của họ.
• Thiết bị bị chiếm quyền. Modem, camera IP hoặc máy chủ không được cập nhật bị phần mềm độc hại biến thành proxy. Khi đó bạn đang dùng thiết bị của người khác mà không hề hay biết.
• Máy chủ được mở có chủ đích. Một số được dựng với ý tốt; số khác được mở để thu thập lưu lượng đi qua. Nhìn vào danh sách, bạn không phân biệt được đâu là loại nào.

Nhãn quốc gia, tốc độ và “ẩn danh” trong danh sách cũng thường chỉ là kết quả đo ở lần kiểm tra gần nhất của công cụ quét. Vài giờ sau, cùng địa chỉ đó có thể đã ngừng hoạt động, chậm đi hoặc đổi cách hoạt động. Công cụ danh sách proxy miễn phí của WeProxy cũng hiển thị các địa chỉ tổng hợp từ nguồn công khai; mục đích là để khám phá và so sánh, không có cam kết nào về độ an toàn hay thời gian hoạt động của các địa chỉ này.

Danh sách proxy miễn phí có những rủi ro gì?

Proxy là máy chủ đứng giữa đường đi của lưu lượng. Ai vận hành nó sẽ thấy metadata của lưu lượng; với lưu lượng không mã hóa, họ còn thấy và sửa được cả nội dung. Ở proxy miễn phí, bạn không biết ai vận hành máy chủ, nên rủi ro bắt nguồn trực tiếp từ đó.

Một trong những phép đo đầy đủ nhất về chủ đề này là nghiên cứu An Extensive Evaluation of the Internet’s Open Proxies, công bố tại ACSAC 2018. Trong 50 ngày, các nhà nghiên cứu đã kiểm tra hơn 107.000 proxy mở được đăng trên các trang danh sách và thấy hơn 92% proxy trong danh sách hoàn toàn không phản hồi request. Trong số proxy còn hoạt động, họ phát hiện có proxy chèn mã đào tiền mã hóa vào trang, có proxy tấn công xen giữa (MitM) vào kết nối TLS, và có proxy cài trojan truy cập từ xa vào chương trình được tải xuống.

Trên thực tế, các rủi ro thường gặp là:

1. Sửa đổi nội dung. Quảng cáo, mã theo dõi hoặc script đào coin có thể bị chèn vào các trang HTTP thuần. Một tệp bạn tải xuống có thể bị thay bằng tệp khác trên đường truyền.
2. Lộ thông tin đăng nhập. Dữ liệu form, cookie và header Authorization gửi qua HTTP đến tay chủ proxy ở dạng văn bản rõ. Với trang HTTPS, nội dung vẫn được mã hóa, nhưng tên miền bạn kết nối tới vẫn bị nhìn thấy.
3. Chứng chỉ giả. Proxy có thể thử xen vào bằng chứng chỉ của chính nó. Trình duyệt sẽ cảnh báo; bỏ qua cảnh báo, hoặc dùng script tắt xác minh chứng chỉ (curl -k, verify=False), là tự tay gỡ bỏ lớp bảo vệ này.
4. Lưu log. Việc bạn kết nối tới trang nào, lúc nào có thể được lưu lại cùng địa chỉ IP của bạn. Bạn không có ai để hỏi các log này được giữ ở đâu và trong bao lâu.
5. Lịch sử IP xấu. Cùng một địa chỉ có thể đã bị hàng nghìn người dùng để spam, dò mật khẩu kiểu brute force hoặc đăng ký tự động. Trang đích thường chặn các IP này hoặc chuyển sang CAPTCHA. Trang web cũng có thể gắn lưu lượng của người khác từ IP đó với bạn.
6. Không ổn định. Proxy có thể tắt trong vài giờ. Job scraping bị dừng giữa chừng; phiên đã đăng nhập buộc phải tiếp tục với một IP mới đến từ quốc gia khác.

Lưu lượng đi ra từ một thiết bị bị chiếm quyền sẽ dùng kết nối internet của chủ thiết bị mà không có sự đồng ý của họ. Ngoài rủi ro kỹ thuật, đây còn là vấn đề đạo đức và pháp lý. Proxy dùng cho công việc phải có nguồn gốc rõ ràng, giải thích được.

Bảng so sánh proxy miễn phí và proxy trả phí

Mỗi dòng ở cột trả phí sẽ khác nhau giữa các nhà cung cấp. Dịch vụ trả phí không có nghĩa là tự nó an toàn; bạn cũng cần hỏi nhà cung cấp trả phí đúng những câu hỏi đó.

Khi nào có thể dùng proxy miễn phí?

Proxy miễn phí chỉ hợp lý trong vài trường hợp hẹp, và điểm chung của chúng là lưu lượng bị đọc hay bị sửa trên đường đi cũng không gây hại:

• Thử cách cấu hình proxy trong một client khi đang tìm hiểu khái niệm proxy.
• Xem parser hoặc đoạn mã xử lý lỗi bạn tự viết hoạt động ra sao với kết nối chậm và hay bị ngắt.
• Xem một lần trang công khai, không cần đăng nhập, hiển thị thế nào từ quốc gia khác.

Không nên dùng proxy miễn phí cho những việc sau:

• Đăng nhập bất kỳ tài khoản nào (email, mạng xã hội, bảng quản lý quảng cáo, ngân hàng, trang quản trị).
• Công việc làm thay khách hàng và mọi luồng có dữ liệu cá nhân. Xét theo KVKK (Thổ Nhĩ Kỳ) và GDPR, cho dữ liệu đi qua máy chủ của một bên thứ ba không rõ danh tính không phải là lựa chọn có thể bào chữa được.
• Tải chương trình, driver hoặc package.
• Các job scraping, theo dõi SERP hoặc theo dõi giá chạy trong thời gian dài. IP tắt nhanh và phần lớn bị chặn, nên công việc liên tục bị gián đoạn.

Nếu chưa chắc nên dùng loại IP nào cho một việc, bài viết về các trường hợp sử dụng proxy phân tích riêng từng nhóm việc SEO, thu thập dữ liệu và quảng cáo.

Kiểm tra proxy miễn phí như thế nào?

Trước khi dùng một proxy, hãy xác minh ba điều: nó có hoạt động không, thực sự đi ra từ IP nào, và có chèn thêm gì vào request của bạn không. Đừng gửi bất kỳ thông tin đăng nhập nào trong các bài kiểm tra này.

Trước tiên, kiểm tra IP đầu ra. Trong lệnh dưới đây, 203.0.113.10:8080 đại diện cho địa chỉ trong danh sách:

curl -s --max-time 10 -x "http://203.0.113.10:8080" https://api.ipify.org

Nếu IP trả về khác với địa chỉ trong danh sách, hoặc chính là IP của bạn, proxy đang không hoạt động như bạn mong đợi. Hãy ghi lại IP của mình trước bằng công cụ My IP.

Sau đó, xem proxy thêm những header nào vào request:

curl -s --max-time 10 -x "http://203.0.113.10:8080" http://httpbin.org/headers

Nếu IP thật của bạn xuất hiện trong header X-Forwarded-For hoặc Via ở kết quả, proxy đang chuyển danh tính của bạn tới trang đích. Bài kiểm tra này cố ý dùng HTTP thuần, vì proxy chỉ chèn được header vào lưu lượng không mã hóa. Cũng theo cách này, bạn có thể so sánh bản tải qua proxy và bản tải trực tiếp của một trang bằng sha256sum để phát hiện nội dung bị sửa.

Để kiểm tra hàng loạt, bạn có thể dán danh sách vào công cụ proxy checker. Công cụ cho biết địa chỉ nào có phản hồi, nhưng proxy có phản hồi chưa chắc đã an toàn. Nếu dùng SOCKS5, hãy chọn scheme socks5h:// để truy vấn DNS cũng đi qua proxy; để kiểm tra rò rỉ DNS và WebRTC trên trình duyệt, xem hướng dẫn về rò rỉ DNS.

Quy tắc này áp dụng cả với proxy miễn phí đã vượt qua kiểm tra: tuyệt đối không bỏ qua cảnh báo chứng chỉ và không tắt xác minh TLS trong script.

Cần chú ý gì khi mua proxy trả phí?

Trả tiền không tự động khiến một proxy đáng tin. Trước khi mua, bạn phải tìm được câu trả lời cho các câu hỏi sau trên trang web của nhà cung cấp:

1. Công ty là ai? Tên thương mại, địa chỉ và hợp đồng phải được công khai. WeProxy do WE1TOWN Pazarlama ve Bilişim Teknolojileri Ltd. Şti. vận hành và có đăng ký trong ETBİS, hệ thống đăng ký thương mại điện tử của Thổ Nhĩ Kỳ.
2. IP đến từ đâu? Nguồn của IP residential phải được công bố. Ở WeProxy, địa chỉ residential đến từ một chương trình hợp tác SDK dựa trên sự đồng ý; người tham gia được thông báo và được trả tiền.
3. Quyền truy cập được bảo vệ ra sao? Proxy chỉ nên mở cho riêng bạn qua tên người dùng/mật khẩu hoặc IP whitelist. Sản phẩm nào hỗ trợ phương thức nào được liệt kê theo từng sản phẩm trong hướng dẫn xác thực proxy.
4. Giao thức và vị trí có rõ ràng không? Hỗ trợ HTTP, SOCKS5 và UDP, danh sách quốc gia và cách xoay IP phải được ghi trên trang sản phẩm. Ví dụ, gói static residential Thổ Nhĩ Kỳ hoạt động với HTTP và SOCKS5, không hỗ trợ UDP.
5. Có chính sách sử dụng được chấp nhận không? Một chính sách sử dụng được chấp nhận cấm lạm dụng sẽ hạn chế việc IP trong cùng pool bị dùng để spam hoặc tấn công, và điều đó ảnh hưởng trực tiếp đến uy tín của IP.
6. Điều kiện dùng thử và hoàn tiền thế nào? WeProxy có bản dùng thử miễn phí 1 GB cho Premium Rotating Residential. Điều kiện hoàn tiền được ghi trong hợp đồng dịch vụ; gói residential không được hoàn tiền, vì vậy hãy thử trước bằng bản dùng thử hoặc gói nhỏ.

Nên chọn proxy trả phí nào thay cho proxy miễn phí?

Phần lớn người chuyển từ danh sách miễn phí sang dịch vụ trả phí sẽ tìm lựa chọn có giá thấp nhất. Ở đây, chi phí tổng trên mỗi công việc quan trọng hơn giá: một IP rẻ nhưng hay bị chặn sẽ tốn nhiều lưu lượng hơn vì phải thử lại. Cách tính này được trình bày trên trang proxy giá rẻ dựa trên chi phí cho mỗi request thành công.

Với các gói bán theo GB, lưu lượng bạn mua không có thời hạn; nó nằm trong số dư cho đến khi dùng hết và không bị đặt lại hằng tháng. Với dự án nhỏ chạy không đều, điều này có nghĩa là bạn không phải trả tiền cho lưu lượng không dùng tới. Để xem chi tiết khác biệt giữa IP residential và datacenter, đọc bài so sánh residential vs datacenter; để xem các sản phẩm đặt cạnh nhau theo mục đích sử dụng, vào trang mua proxy.

Với proxy trả phí, hãy xác minh theo cùng cách khi cài đặt lần đầu: kiểm tra IP đầu ra, rồi bắt đầu công việc với khối lượng nhỏ.

curl -s -x "http://USER:[email protected]:8989" https://api.ipify.org

Nếu gặp lỗi như 407 hoặc 502, bạn có thể dùng hướng dẫn mã lỗi proxy để phân biệt lỗi đến từ proxy hay từ trang đích.

VPN miễn phí và proxy miễn phí có cùng rủi ro không?

Phần lớn là có. Ở cả hai, lưu lượng của bạn đi qua máy chủ của người khác, và dịch vụ miễn phí phải lấy tiền từ đâu đó để bù chi phí: quảng cáo, thu thập dữ liệu hoặc bán lưu lượng cho khách hàng khác. Khác biệt nằm ở phạm vi. Proxy miễn phí chỉ thấy lưu lượng của ứng dụng bạn cấu hình nó; VPN miễn phí thì mang toàn bộ hoặc phần lớn lưu lượng của thiết bị. Vì vậy, một ứng dụng VPN có ý đồ xấu có thể thấy nhiều dữ liệu hơn. Mặt khác, VPN miễn phí do một công ty có tên tuổi phát hành vẫn có chính sách quyền riêng tư và có người chịu trách nhiệm; địa chỉ trong một danh sách proxy mở thì không có cả hai.

Mỗi công nghệ dùng cho việc gì và vì sao chúng hoạt động khác nhau được so sánh trong bài proxy hay VPN. Nếu đang chọn giao thức, bài HTTP vs SOCKS5 trình bày khác biệt về bảo mật và khả năng tương thích của hai giao thức.

Chỉ dùng danh sách proxy miễn phí cho những lần thử không có đăng nhập, dữ liệu cá nhân hay tải xuống, và không gửi thông tin đăng nhập. Khi có tài khoản, khách hàng hoặc công việc thường xuyên, hãy dùng proxy trả phí có nguồn gốc và quyền truy cập rõ ràng, đồng thời tuân thủ điều khoản của trang đích, quy tắc robots.txt và chính sách sử dụng được chấp nhận.