Paylaşılan VPN çıxışı, fərqli insanlar: sübutları oxumaq
Ünvan uyğunluğu, hesab bağlantısı və vaxt oxşarlığı üç fərqli iddiadır. Hər hansı nəticəyə gəlməzdən əvvəl hansı müşahidəçinin hansı qeydi saxladığını soruşun.
Hesabatı açın; ilk sətir adətən bir ünvanı və bir hesabı sanki eyni fakt imiş kimi qeyd edir. Amma belə deyil. Paylaşılan çıxış sizə hansısa cihazın həmin ünvandan qeydə alınmış vaxtda istifadə etdiyini deyir, hesab bağlantısı isə hansısa xidmətin bir identifikatoru tanıdığını bildirir. Birindən digərinə keçmək üçün hesabatın göstərməli olduğu birləşdirmə əsası lazımdır.
Əlinizdə olan müşahidədən başlayın
Göründüyü nəticəni deyil, qeydə alınanı yazın. Ünvan, vaxt damğası və sorğu yolu müşahidələrdir, kimin etdiyini deyən cümlə isə çıxarışdır. Bu iki sütunu ayrı saxlamaq bütün intizamdır və bunu kağız üzərində saxlamaq söhbətdəkindən daha asandır.
Sonra müşahidəni təsnif edin, çünki adi növlər fərqli çəki daşıyır. Paylaşılan çıxış ünvanı, davamlı hesab və ya kuki identifikatoru və vaxt və ya həcmdə oxşarlıq eyni faktın üç variantı deyil. Bir korporativ çıxışın arxasındakı iki işçi dizayn üzrə ünvanı paylaşır, çıxışları dəyişib daxil olmuş qalan bir işçi isə hesab bağlantısını saxlayır. Bunları tək fakt kimi qəbul etmək ən inamlı hesabatların səhv etdiyi yerdir.
Nəticədən əvvəl birləşdirmə əsasını adlandırın
Korrelyasiya iddiası iki qeydi birləşdirən sahəni adlandırmalıdır. Eyni kuki təqdim edildimi, eyni hesab autentifikasiya olundumu, eyni cihaz identifikatoru bildirildimi, yoxsa yalnız eyni ünvan? Əgər cavab yalnız ünvandırsa, iddia şəbəkə mənbəyi haqqındadır və orada dayanır.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
RFC 6973 məxfilik modeli korrelyasiyanı məlumatların birləşdirilməsi kimi qəbul edir və davamlı identifikatorların qarşılıqlı təsirləri vaxt boyunca əlaqələndirdiyini qeyd edir. Onun anonimlik dəsti müzakirəsi digər yarısını əlavə edir: gizlənmə başqalarının həmin konkret müşahidəçiyə necə görünməsindən asılıdır. Heç bir fikir paylaşılan ünvanı şəxsiyyətin müəyyənləşdirilməsinə çevirmir.
Beləliklə, dürüst cümlə dar qalır. Bu iki hadisə bu vaxtlarda çıxışı paylaşdı və bundan artıq hər şey başqa qeyd tələb edir.
Müşahidəçinin mövqeyini gəzin
Veb sayt öz sorğularını, öz girişlərini və öz sessiya identifikatorlarını görür və digər veb saytın qeydlərini miras almır, sadəcə hər ikisi eyni çıxışdan istifadə etdiyi üçün. Giriş şəbəkəsi müşahidəçisi məzmunu deyil, axınları görür. VPN operatoru hesablarla çıxışlar arasındakı xəritələməni görür. Hər mövqe fərqli nəticəni dəstəkləyir və hesabat adətən yalnız birini adlandırır.
Qeydi hansı müşahidəçinin yaratdığını soruşun, sonra o müşahidəçinin həqiqətən nə görə bildiyini soruşun. Provayderin öz şərtləri onun faktiki jurnal qeydləri ilə eyni şey deyil və heç biri qarşınızdakı qeydlə eyni şey deyil. Cavab aydın olmayanda boşluğu fərziyyə ilə doldurmaq əvəzinə mənbəyi soruşun. Mənbəsiz qeyd uniforma geyinmiş fərziyyədir. Sual bir mesaja başa gəlir və bir düzəlişi qənaət edir.
Vaxt nümunələrini öz yerində saxlayın
Vaxt və həcm müqayisələri heç bir səhifə məzmununu oxumağı tələb etmir, buna görə şifrələnmiş trafik müzakirələrində görünürlər. Oxşarlıq həm də paylaşılan infrastrukturla, bir neçə eyni vaxtlı istifadəçi ilə və sadəcə oxşar görünən davranışla uyğundur. Bunlar dürüst qiymətləndirmənin nəzərə almalı olduğu alternativ izahlardır.
Əlaqəsiz bir təcrübədən sitat gətirilən faiz heç nə ötürmür. Onun mənası namizəd çoxluğundan, verilənlərdən, üsuldan və ölçülən xəta nisbətindən asılıdır. Bu dördü olmadan rəqəm sübut əlavə etmədən inam əlavə edir. Hər hansı tək oxşarlığı fərziyyə kimi qəbul edin və təsdiq axtarmağa getməzdən əvvəl onu nəyin təkzib edəcəyini yazın.
Qeydlərin nəyi dəstəklədiyini yoxlayın
Hər hansı nəticə əllərinizdən çıxmazdan əvvəl artefaktları və vaxtları qoruyun. Hash və vaxt damğası olan fayl sübutdur, söhbət mesajındakı ekran şəkli isə yaxşı niyyətli şaiyədir. Saat mənbəyini də saxlayın, çünki təkrar istehsal edə bilmədiyiniz vaxt damğası yalnız vaxt damğası haqqında bir iddiadır.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Sonra nəticəni qeydlərin icazə verdiyi gücdə, daha güclü deyil, ifadə edin. Bir ehtiyat cümləsi düzəlişdən ucuzdur.
Paylaşılan çıxış yalnız ünvana əsaslanan aidiyyəti zəiflədir və o, nə şəxsiyyət sertifikatı, nə də anonimlik vədidir. Məxfilik tərəfində sessiyalar boyu davam edən hər şeylə başlayın, çünki tanınma nadir hallarda trafik analizinə ehtiyac duyur. Əməliyyat araşdırması üçün müşahidəni və çıxarışı ayrı sütunlarda saxlayın. Bildirdiyiniz şey ən zəif dəstəksiz halqa olsun və bunu hesabatın özündə deyin.