Múltiples tipos de seguimiento

En mi opinión, la limitación por IP es demasiado estricta:

• Como dijiste, hay un problema con la IP dinámica. Pero esto solo podría resolverse si se aplica este límite solo dentro de un marco de tiempo específico porque la IP no cambia tan a menudo.
• Pero las corporaciones e instituciones a menudo usan direcciones IP privadas dentro y tienen pocas puertas de enlace de Internet. Esto significa que todos los usuarios tienen la misma IP saliente.
• Y luego DS-Lite y métodos de acceso similares. Aquí los usuarios obtienen solo una dirección IPv4 privada y comparten la misma dirección pública IPv4 porque no hay suficientes direcciones IPv4 públicas para todos. Sin embargo, generalmente tienen una dirección IPv6 única. Este tipo de acceso afecta probablemente a la mayoría de las redes móviles, gran parte de Asia, pero también a algunos ISP en Europa o América.

Creo que la mejor manera es limitar las revisiones por cuenta y luego dificultar la creación de la cuenta, es decir, usar captchas, etc. También se está investigando para detectar una cuenta falsa, de modo que pueda cerrar cuentas más tarde y eliminar las revisiones, vea por ejemplo Ayudando a la detección de cuentas falsas en servicios sociales en línea a gran escala de la reciente conferencia de USENIX.

Por supuesto, todo lo que haga para limitar el abuso podría hacerlo más complejo y podría disuadir a algunos usuarios benignos de usar su sistema. Pero si hay demasiado abuso, su sistema también es inútil para ellos. Probablemente sea muy difícil lograr el equilibrio correcto y, si observa las redes sociales, los correos electrónicos gratuitos, etc., cambian constantemente sus procedimientos para facilitar que los usuarios benignos utilicen el sistema, pero los spammers no pueden utilizarlo. Como los spammers también evolucionan en sus técnicas, probablemente debas ajustar tu sistema regularmente. O puede intentar beneficiarse de las validaciones que Google, etc. haga con sus cuentas y, en lugar de realizar toda la creación y validación de la cuenta por su cuenta, deje que el usuario inicie sesión con sus cuentas de Google o Facebook.

¿Por qué no usar la autenticación de dos pasos? Cualquier usuario que realice una revisión debe obtener un código de autorización en su número de celular. Después de proporcionar ese código en el navegador, él / ella podría realizar la revisión del producto.

Debe haber un límite en el número de celda: un usuario con un número de celda específico puede revisar por una vez.

Análisis técnico de los mecanismos de identificación de clientes de Google detalla muchas heurísticas a nivel de navegador y red para los navegadores / usuarios de huellas dactilares:

1.1 HTTP cookies
1.2 Flash LSOs
1.3 Silverlight Isolated Storage
1.4 HTML5 client-side storage mechanisms
1.5 Cached objects
1.6 Cache metadata: ETag and Last-Modified
1.7 HTML5 AppCache
1.8 Flash resource cache
1.9 SDCH dictionaries
1.10 Other script-accessible storage mechanisms
1.11 Lower-level protocol identifiers

Puede encontrar una implementación de ejemplo sobre estas técnicas y algunas más en BrowserLeaks .