Gedeelde VPN-uitgang, verskillende mense: die bewyse lees
’n Adresooreenstemming, ’n rekeningkoppeling en ’n tydsverband is drie verskillende bewerings. Vra watter waarnemer watter rekord hou voordat jy enige gevolgtrekking maak.
Maak die verslag oop, en die eerste reël noem gewoonlik een adres en een rekening, asof die twee dieselfde feit is. Hulle is nie. ’n Gedeelde uitgang vertel jou dat een of ander toestel daardie adres op ’n aangetekende tyd gebruik het, en ’n rekeningkoppeling vertel jou dat ’n diens ’n identifiseerder herken het. Om van die een na die ander te stap, vereis ’n verbindingsgrondslag wat die verslag moet noem.
Begin met die waarneming wat jy werklik het
Skryf neer wat aangeteken is eerder as wat dit blykbaar impliseer. ’n Adres, ’n tydstempel en ’n versoekpad is waarnemings, terwyl die sin wat sê wie dit gedoen het, ’n afleiding is. Om daardie twee kolomme apart te hou, is die hele dissipline, en dit is makliker op papier vol te hou as in ’n gesprek.
Klassifiseer dan die waarneming, want die algemene soorte dra verskillende gewig. ’n Gedeelde uitgangadres, ’n blywende rekening- of koekie-identifiseerder en ’n ooreenkoms in tydsberekening of volume is nie drie weergawes van een feit nie. Twee werknemers agter een korporatiewe uitgang deel ’n adres volgens ontwerp, terwyl een werknemer wat uitgange wissel maar aangemeld bly, ’n rekeningkoppeling behou. Om dit as een feit te behandel, is waar die meeste selfversekerde verslae verkeerd gaan.
Noem die verbindingsgrondslag voor die gevolgtrekking
’n Korrelasiebewering moet die veld noem wat twee rekords verbind. Is dieselfde koekie aangebied, dieselfde rekening geauthentiseer, dieselfde toestelidentifiseerder gerapporteer, of net dieselfde adres? As die antwoord net die adres is, gaan die bewering oor ’n netwerkbron en stop daar.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Die RFC 6973-privaatheidsmodel beskou korrelasie as die kombinasie van inligting, en dit merk op dat blywende identifiseerders interaksies oor tyd verbind. Die bespreking van anonimiteitsversamelings voeg die ander helfte by: verberging hang daarvan af wie anders vir daardie spesifieke waarnemer dieselfde lyk. Nie een van die twee idees verander ’n gedeelde adres in ’n identifikasie nie.
So bly die eerlike sin eng. Hierdie twee gebeurtenisse het op hierdie tye ’n uitgang gedeel, en enigiets verder as dit benodig nog ’n rekord.
Stap deur die waarnemer se posisie
’n Webwerf sien sy eie versoeke, sy eie aanmeldings en sy eie sessie-identifiseerders, en dit erf nie ’n ander webwerf se rekords nie net omdat albei toevallig dieselfde uitgang gebruik het. ’n Toegangsnetwerk-waarnemer sien vloei eerder as inhoud. ’n VPN-operateur sien die kartering tussen rekeninge en uitgange. Elke posisie ondersteun ’n ander gevolgtrekking, en ’n verslag noem gewoonlik net een daarvan.
Vra watter waarnemer die rekord geskep het, en vra dan wat daardie waarnemer werklik kon sien. ’n Diensverskaffer se eie bepalings is nie dieselfde ding as sy werklike logboek nie, en nie een van die twee is dieselfde as ’n rekord voor jou nie. Wanneer die antwoord onduidelik is, vra vir die bron eerder as om die leemte met ’n aanname te vul. ’n Rekord sonder bron is ’n hipotese in ’n uniform. Die vraag kos een boodskap en spaar ’n regstelling.
Hou tydpatrone op hulle plek
Vergelykings van tydsberekening en volume vereis nie dat enige bladsyinhoud gelees word nie, en daarom verskyn hulle in besprekings oor geënkripteerde verkeer. ’n Ooreenkoms is ook versoenbaar met gedeelde infrastruktuur, verskeie gelyktydige gebruikers en gedrag wat bloot eenders lyk. Dit is alternatiewe verklarings wat ’n eerlike beoordeling moet oorweeg.
’n Persentasie wat uit ’n onverwante eksperiment aangehaal word, dra niks oor nie. Wat dit beteken, hang af van die kandidatestel, die data, die metode en die gemete foutkoers. Sonder daardie vier voeg ’n getal vertroue by sonder om bewyse by te voeg. Behandel enige enkele ooreenkoms as ’n hipotese, en skryf neer wat dit sou weerlê voordat jy na bevestiging gaan soek.
Kyk wat die rekords ondersteun
Voordat enige gevolgtrekking jou hande verlaat, bewaar die artefakte en die tye. ’n Lêer met ’n hash en ’n tydstempel is bewyse, terwyl ’n skermkiekie in ’n kletsboodskap ’n gerug met goeie bedoelings is. Stoor ook die klokbron, want ’n tydstempel wat jy nie kan weergee nie, is net ’n bewering oor ’n tydstempel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Stel dan die gevolgtrekking op die sterkte wat die rekords toelaat, en nie sterker nie. Een sin van versagting is goedkoper as ’n regstelling.
’n Gedeelde uitgang verswak suiwer adresgebaseerde toeskrywing, en dit is nóg ’n sertifikaat van identiteit nóg ’n belofte van anonimiteit. Aan die privaatheidkant, begin met alles wat oor sessies heen bly voortbestaan, want herkenning benodig selde enige verkeersanalise. Vir ’n operasionele ondersoek, hou die waarneming en die afleiding in aparte kolomme. Laat die swakste ongestaafde skakel die ding wees wat jy rapporteer, en sê so in die verslag self.