地理定位曾经是了解您的公司正在与谁打交道（有时他们在做什么）的一种极好的方式。 然后 VPN 开始破坏这一点。 而现在，情况变得如此糟糕，以至于 Apple App Store 和 Google Play 都提供了一些应用程序，它们毫不掩饰地宣称它们可以欺骗位置——而且移动操作系统供应商都没有采取任何措施来阻止它。
为什么？ 这些开发人员正在使用的漏洞似乎是苹果和谷歌造成的。
简而言之，苹果和谷歌——为了在不同地区测试他们的应用程序——需要能够欺骗系统，让他们认为他们的开发者在他们想说的任何地方。 正如他们所说，对移动鹅有什么好处。
[通过 Computerworld 的时事通讯了解最新的 IT 思想领导力、见解、操作方法和分析。 ]
送餐服务使用地理定位来跟踪送货人员，并查看他们是否确实已送货到客户的地址。 银行使用位置来查看银行账户申请人是否真的在申请人声称的地方 – 或者查看多个虚假申请是否来自同一地区。 据移动定位安全公司 Incognia 的首席执行官安德烈·费拉兹 (André Ferraz) 称，AirBNB 使用地理定位来尝试检测虚假列表和虚假评论。
Ferraz 说：“对于欺诈者来说，除了利用开发者模式改变 GPS 坐标外，许多其他工具也可以实现位置欺骗，包括基于 IP 的地理定位和基于 GPS 的地理定位。”对于基于 IP 的地理定位，有 VPN、代理、tor , 隧道。 对于 GPS，最容易访问的是假 GPS 应用程序。 尽管如此，还有篡改和检测工具、root 或越狱设备、模拟器、篡改运动中的位置数据等等。”
令人遗憾的是，费拉兹是对的。 无论欺诈者选择使用众多选项中的哪一个，底线是 IT 无法再信任地理定位的大部分内容。 在某些应用程序中，由于位置欺诈而造成重大损害的风险非常低，因此使用位置可能没问题——例如，一个游戏应用程序，其中有人假装在中央公园，而实际上他们并不在。 如果他们得到的只是积分或获得特殊的视觉享受，那可能是无害的。
在这里，信任是关键词。 如果您的企业需要信任位置数据，则需要另一种选择。
[‘IT 有一个新的’It Crowd’：加入 CIO Tech Talk 社区]
可以检测到此位置欺诈吗？ 它变得棘手。 可以检测到某些欺诈方法，但不是全部——当然也不是所有时候。 更重要的是，仅检测地理位置异常本身不应确定欺诈行为。
VPN 就是一个很好的例子。 许多用户已经习惯了以 VPN 模式上网，以至于他们一直这样做。 这意味着他们在尝试开立银行账户时甚至可能不会考虑它。 银行可以提供一个简单的弹出警告，而不是假设欺诈和阻止访问并拒绝申请，而是提供一个简单的弹出警告：“看来您正在使用 VPN。 尽管我们赞赏您的安全和隐私意图，但似乎是 VPN 正在干扰我们的位置检测。 请关闭您的 VPN，关闭您的浏览器，重新启动您的浏览器并返回。”
欺骗检测的问题是一些公司会反应过度并假设是故意欺诈。 没那么简单。
Ferraz 选择不去指责谷歌或苹果，因为它们确实需要模拟全球各地的位置。
“这项功能让开发人员能够像在其他地方一样测试他们的应用程序，这是操作系统提供商 Android 和 iOS 有意构建的。 因此，它不是操作系统的安全漏洞。 否则，开发人员将无法远程工作，例如，因为他们需要亲自前往 App 提供某些基于位置的服务以进行测试的地方，”Ferraz 说。 “操作系统甚至为开发人员提供 API，以识别设备是否处于开发人员模式，并激活了使他们能够更改 GPS 坐标的工具。 不幸的是，许多开发人员不使用这个和其他设备信号来识别位置欺骗。”
Ferraz 将送餐服务作为一个典型的例子，说明一些公司如何尝试使用位置跟踪——但可能会被烧毁。 欺诈者试图通过多种方式敲诈送餐服务； 有些人会接受交货并且根本不会去任何地方。 相反，他们欺骗送餐系统，让送餐系统认为他们接了订单然后送了出去。
其中一些服务的问题在于，一旦系统认为食物已经送达，它们就会立即付款。 如果他们选择等待，比如说一个小时左右，他们就可以避免欺诈。 那个小时留给顾客足够的时间打电话抱怨食物从未送达。 （有时，送餐公司会通过查看地理定位跟踪来“验证”食物是否已送达。糟糕！他们无法送达，并可能称客户为骗子。）
有时，送餐欺诈与金钱无关——而是与食物本身有关。 Ferraz 说，一些司机实际上会自己取餐并吃掉——同时欺骗应用程序“看到”司机将食物交付给客户。
这就提出了 IT 应该如何处理这个问题的问题。 “不使用地理定位”和“不信任地理定位”之间存在很大差异。 这类似于记者处理不可靠消息来源的方式； 您不一定会忽略他们在说什么，但是您会三重验证所有内容。
以网络安全身份验证为例。 如果你做的一切都正确——尤其是在零信任环境中——你可能会依赖几十个或更多的数据点。 在那种情况下，使用地理定位数据就可以了。 毕竟，大部分数据可能都没有问题。 就像银行的例子一样，不要仅仅因为位置不匹配就拒绝某人。 但是使用任何不匹配来触发进一步的问题是完全合适的。
没有理由不能有不同的流程； 在某些情况下，依赖于地理位置的准确性； 在其他情况下，它只是补充； 在其他情况下，这并不重要（可能是游戏）。 简而言之，使用地理定位但不再考虑信任它。
