7caa240c2e
Especificaciones tomadas del manual del propietario del gabinete PowerEdge M1000e (Dell, modelo BMX01, rev. A06, oct. 2019), que corrige el spec sheet comercial usado hasta ahora. Hardware: - Peso máximo 200,5 kg, no 179. Profundidad 75,5 cm - Seis fuentes y nueve ventiladores obligatorios, se usen 3 blades o 16. Toda bahía vacía necesita relleno - Conector CEI/IEC C20 a 16 A. La fuente de 3.000 W exige 200-240 V - Irrupción de 55 A por fuente durante 10 ms: un magnetotérmico de curva C salta, hace falta curva D - Temperatura de funcionamiento continuo 10-35 °C - ECM obligatorio con blades M630 de 120 W o más, o por encima de 30 °C Red: - Fabric A (ranuras A1/A2) es la Ethernet integrada de cada blade, así que no hacen falta tarjetas intermedias. Fabrics B y C sí las exigirían y no se usan - Pendiente saber si en A1/A2 hay un switch o un módulo de paso a través: cambia el montaje de red por completo Costes recalculados: el suelo fijo del chasis sube de 350 a ~500 W al contar los nueve ventiladores, los módulos de I/O y las pérdidas de las seis fuentes. 360 €/mes a 24/7, 59 €/mes por ventanas. Que las fuentes y los ventiladores sean obligatorios convierte en hecho documentado lo que antes era estimación: los pilotos parciales en el chasis son el peor caso posible. Documentación: - assets/ con cuatro diagramas SVG propios: arquitectura, chasis, stack de software y modos de red - docs/usabilidad.md: órdenes, flujos de trabajo, problemas conocidos y ergonomía del hardware - Diagramas ASCII del panel frontal, el posterior y la topología de fabrics en hardware_m1000e.md - Eliminada la parte de charla y divulgación, fuera del alcance del repo
13 KiB
La capa de identidad: verificación, reputación de IP y atestación
Por qué la identidad, y no el cómputo, es el cuello de botella de una granja, y cómo se integran las capas que la componen.
Alcance: esto describe cómo funcionan los mecanismos y por qué las granjas pierden contra ellos. No es un manual operativo de alta masiva de cuentas — no hay proveedores de SIM, ni técnicas de evasión de fingerprint, ni calendarios de maduración. Esa parte es fraude de identidad a escala y está bajo persecución activa en la UE; ver legal_ue.md.
Una plataforma no pregunta quién eres. Comprueba tres cosas —si controlas un número, desde dónde llegas y qué dispositivo eres— y luego una cuarta: en qué te pareces a las otras cuentas. Las tres primeras se atacan con dinero. La cuarta no, y es la que hunde el negocio.
1 · Verificación telefónica
Qué se comprueba
El OTP por SMS no verifica tu identidad. Verifica que controlas un número en el momento del alta. Es una prueba de posesión, no de identidad. Pero detrás del número hay una cadena que sí lleva a una persona:
número → operador → contrato o prepago registrado → KYC → persona
En la UE, esa cadena existe casi siempre. En España el registro de prepago es obligatorio desde 2007. Es el motivo por el que el eslabón telefónico es el que rompe las investigaciones: la plataforma no sabe quién eres, pero el operador sí, y a la policía se lo cuenta.
Por qué el mercado usa SIM físicas
Las granjas no compran números uno a uno: compran acceso a números por API. Detrás hay SIM-boxes — bastidores con cientos de ranuras de SIM físicas y un módem por ranura — con una capa de software que expone "dame un número de país X" y "dame el SMS que acaba de llegar al número Y".
El suministro es prepago comprado a granel en jurisdicciones donde el registro es débil o evitable. Eso es lo que se revende como número como servicio.
La eSIM: por qué NO es la respuesta
La eSIM es peor para una granja que la SIM física. Para ver por qué hay que mirar el aprovisionamiento.
Una eSIM no es un fichero que se copia. Es un perfil que se descarga a un chip concreto:
eUICC (chip físico soldado, con su EID único de fábrica)
↑
│ descarga de perfil autenticada contra el EID
│
SM-DP+ del operador ← contrato / alta ← KYC
Tres consecuencias que lo descartan:
- El EID es una identidad de hardware. Cada descarga de perfil queda asociada a un chip físico concreto, registrado por el operador y por el SM-DP+. Donde la SIM prepago de plástico es anónima hasta el registro, la eSIM nace atada a un identificador de hardware trazable.
- El aprovisionamiento deja rastro contractual. Necesitas un código de activación emitido por un operador, y para eso, una relación con él. Justo lo que una granja quiere evitar.
- No escala como el plástico. Un SIM-box acepta cientos de tarjetas de plástico intercambiables en segundos. Los perfiles eSIM se aprovisionan uno a uno contra EIDs distintos, y moverlos entre dispositivos depende de que el operador lo permita.
Resumen: la eSIM cambia un consumible anónimo y barato por un identificador de hardware trazable con contrato detrás. Por eso el mercado sigue con plástico — no por inercia, por diseño.
El problema para un rack
Un contenedor redroid no tiene banda base. No hay módem, no hay IMEI legítimo, no puede recibir un SMS. Nunca. Así que el número y el dispositivo están necesariamente desacoplados: el SMS llega a un SIM-box en otro sitio y alguien lo teclea en el Android.
Ese desacople es en sí mismo una señal. La plataforma puede comprobar la coherencia entre el prefijo del número, el operador que lo emite, la geolocalización de la IP, el idioma del sistema, la zona horaria y el teclado. En un móvil real de una persona real, todo eso concuerda solo. En una granja, concuerda solo si alguien lo hace concordar, en cada cuenta, cada vez.
Por qué es el eslabón que cae
Operación SIMCARTEL, Europol, octubre de 2025: 1.200 SIM-boxes, 40.000 SIMs activas, 49 millones de cuentas falsas, 7 detenidos, gogetsms.com y apisim.com incautados.
No cayeron por la parte técnica. Cayeron por la capa SIM: las tarjetas tienen KYC en origen y el dinero de comprarlas deja rastro. Detalle en legal_ue.md.
2 · Reputación de IP
La segunda pregunta: desde dónde llegas.
Las tres clases de dirección
Toda IP pública cae en una de tres categorías, y las plataformas las tratan de forma radicalmente distinta:
| Clase | Qué es | Cómo la trata la plataforma |
|---|---|---|
| Datacenter | AWS, Hetzner, OVH, cualquier hosting | Bandera roja inmediata en un alta de consumidor. Nadie se abre Instagram desde un rack |
| Residencial | ISP doméstico — Movistar fibra, Vodafone | Normal. Es de donde viene la gente |
| Móvil | Red celular — datos de Movistar, Orange | La más limpia de todas. Y por una razón estructural |
Por qué la IP móvil es el producto premium
No es que sea "más confiable". Es que la plataforma no puede castigarla.
Los operadores móviles usan CGNAT: miles de abonados comparten una misma IP pública. Bloquear esa IP significa bloquear a miles de clientes legítimos a la vez. Ninguna plataforma puede permitírselo.
Ese es todo el secreto del mercado de proxies móviles: no vende anonimato, vende inmunidad al bloqueo por daño colateral.
De dónde salen los proxies residenciales
La mayoría del inventario residencial no viene de servidores: viene de SDKs embebidos en apps y VPNs gratuitas, que convierten el móvil del usuario en nodo de salida a cambio de que la app sea gratis. El consentimiento suele estar enterrado en unos términos que nadie lee.
Cuando alguien compra tráfico residencial, muy probablemente está saliendo por la conexión de una persona que no lo sabe. Eso ha generado litigios.
Qué mira la plataforma, más allá de la clase
La clasificación es solo el principio. Hay un mercado entero de datos de reputación — MaxMind, IPQualityScore, Spur, IPinfo — que vende exactamente esto:
- Clasificación de ASN: si el rango pertenece a un hosting, se sabe
- Detección de proxy/VPN conocido: los rangos de los proveedores comerciales están catalogados
- Velocidad: cuántas cuentas se han dado de alta desde esa IP y en cuánto tiempo
- Distribución: una IP residencial con 40 cuentas es más rara que 40 IPs con una cada una
- Coherencia geográfica: IP en Letonia, número español, dispositivo en inglés, zona horaria de Vietnam. Cada desajuste es una señal
- Huella de transporte: JA3/JA4 (el fingerprint del handshake TLS), orden de cabeceras HTTP, versión de la librería de red. Identifica al cliente por debajo de la aplicación
Con eso último no hace falta mirar la app para saber que no es la app.
3 · Atestación de dispositivo
La tercera pregunta: qué dispositivo eres. Es donde se decidió la partida.
De SafetyNet a Play Integrity
SafetyNet Attestation, la generación anterior, era básicamente software comprobando software: se podía derrotar con suficiente trabajo, y por eso existió un mercado de bypasses. Google la retiró y la sustituyó por la Play Integrity API, que devuelve tres veredictos escalonados:
| Veredicto | Qué afirma |
|---|---|
MEETS_BASIC_INTEGRITY |
Algo parecido a un Android, sin garantías fuertes |
MEETS_DEVICE_INTEGRITY |
Dispositivo Android real, con Play Services y arranque verificado |
MEETS_STRONG_INTEGRITY |
Lo anterior más prueba respaldada por hardware |
Qué significa "respaldada por hardware"
Es la clave técnica del proyecto entero.
Un Android certificado sale de fábrica con una clave privada de atestación grabada en su elemento seguro — el TEE, o StrongBox si hay chip dedicado. Esa clave nunca sale del hardware. Cuando la plataforma pide una prueba, el dispositivo genera una clave dentro del TEE y devuelve una cadena de certificados que se remonta, eslabón a eslabón, hasta una raíz firmada por Google.
En la cadena viaja además el estado de Verified Boot: si el arranque está verificado
(GREEN), si el bootloader está desbloqueado (ORANGE), si hay algo modificado.
Entonces, ¿qué le falta a un contenedor redroid, o a cualquier emulador?
La clave privada. No es que sea difícil de imitar: es que no la tiene y no puede tenerla. Está grabada en silicio en la fábrica de un dispositivo certificado. No hay software que la produzca, porque su valor consiste precisamente en que no se puede producir por software.
Junto a eso, todo lo demás cae por su propio peso: sin TEE, sin arranque verificado, sin banda base, sin IMEI legítimo, con cadenas de GPU que dicen SwiftShader, sin acelerómetro que dé ruido real, sin sensor de luz que varíe.
Por qué esto ya no es una carrera armamentística
Esto cambia la naturaleza del problema:
La detección de emulador dejó de ser estadística y pasó a ser criptográfica.
Antes, detectar un emulador era acumular indicios y decidir con un umbral — y todo umbral se puede esquivar. Ahora es verificar una firma contra una raíz de confianza. O tienes la clave o no la tienes. No hay evasión posible, solo robo de claves de dispositivos reales, que es otro delito y otro mercado.
Explica también por qué GenFarmer vende cajas con teléfonos físicos de 400 $ en vez de software para tu servidor: lo que venden no es cómputo, es el único sitio donde vive la clave.
4 · Cómo se integra todo: la correlación
Las tres capas anteriores se pueden atacar por separado con dinero: SIM-box, proxies móviles, teléfonos físicos. Caras, pero atacables. Lo que hunde el negocio es la cuarta pregunta, y es de otra naturaleza.
La plataforma no evalúa cuentas, evalúa grupos
Una cuenta se mira sola solo en el alta. A partir de ahí, los sistemas antiabuso hacen clustering: buscan grupos de cuentas que se parecen más entre sí de lo que se parecerían por azar.
Las aristas que unen el grafo:
- Dispositivo: identificadores, huellas de hardware, versiones exactas de SO y app
- Red: rangos de IP, ASN, huellas TLS, patrones de tránsito
- Comportamiento: horas de actividad, velocidad de escritura, ritmo de desplazamiento, tiempo entre acciones, sesiones
- Grafo social: a quién siguen, en qué orden, qué contenido tocan
- Temporal: cohortes de registro. 45 cuentas dadas de alta el mismo martes por la tarde ya son un grupo, aunque todo lo demás esté impecable
El problema de escala
Fabricar una cuenta indistinguible de la de una persona real es caro pero factible.
Fabricar cuarenta y cinco cuentas mutuamente independientes es un problema distinto: no basta con que cada una parezca real, hace falta que no se parezcan entre sí más de lo normal. Cada recurso compartido — un rango de IP, un patrón horario, una plantilla de comportamiento, el momento del alta — es una arista que las une.
De ahí sale la conclusión económica que explica todo el mercado:
El coste por cuenta crece con el tamaño de la flota, en vez de bajar.
Es lo contrario de una economía de escala. Y por eso el sector es un flujo constante de operadores pequeños quemando cuentas, en lugar de unos pocos grandes con márgenes estables. La única forma de que salgan las cuentas es externalizar el riesgo: comprar las SIMs a nombre de otros, sacar los proxies de los móviles de terceros. Que es exactamente lo que persiguen y por lo que caen.
5 · Qué significa para este proyecto
El rack no sirve para las plataformas sociales, y no por falta de potencia: no tiene la clave. Ninguna cantidad de blades, RAM o ancho de banda produce una clave de atestación grabada en fábrica. La detección no es un umbral que se pueda esquivar, es una firma que no se puede falsificar.
Sí sirve como laboratorio de QA propio. Probar oasis_mobile en una matriz de versiones de
Android, y el escenario multi-dispositivo de los dos APKs que se tienen que ver entre sí, es
exactamente para lo que 45 Android en red interna son buenos. Ahí no hay atestación que superar:
es tu app en tus dispositivos.
Fuentes y lecturas
- Play Integrity API — los tres veredictos
- Android Key Attestation — la cadena de certificados hasta la raíz de Google
- Verified Boot — estados de arranque
- GSMA eSIM / arquitectura de aprovisionamiento remoto — EID, SM-DP+, perfiles
- Europol, Operación SIMCARTEL — ver fuentes.md
- Informes de transparencia DSA de TikTok y Meta — cifras de cuentas falsas bloqueadas