Агульны выхад VPN, розныя людзі: як чытаць доказы
Супадзенне адраса, сувязь уліковага запісу і падабенства ў часе — гэта тры розныя сцвярджэнні. Спытайце, які назіральнік трымае які запіс, перш чым рабіць якую-небудзь выснову.
Адкрыйце справаздачу, і першы радок звычайна называе адзін адрас і адзін уліковы запіс, нібы гэта адзін і той жа факт. Але гэта не так. Агульны выхад кажа вам, што нейкая прылада выкарыстала гэты адрас у зафіксаваны час, а сувязь уліковага запісу кажа, што нейкая служба распазнала ідэнтыфікатар. Каб перайсці ад аднаго да другога, патрэбна аснова сувязі, якую справаздача павінна назваць.
Пачніце з назірання, якое ў вас сапраўды ёсць
Запішыце тое, што было зафіксавана, а не тое, што яно нібы прадугледжвае. Адрас, адзнака часу і шлях запыту — гэта назіранні, а сказ, які кажа, хто гэта зрабіў, — гэта выснова. Трымаць гэтыя два слупкі асобна — уся дысцыпліна, і на паперы яе трымаць прасцей, чым у размове.
Затым класіфікуйце назіранне, бо звычайныя віды маюць розную вагу. Агульны адрас выхаду, пастаянны ідэнтыфікатар уліковага запісу або кукі і падабенства ў часе ці аб'ёме — гэта не тры версіі аднаго факту. Два супрацоўнікі за адным карпаратыўным выхадам дзеляць адрас па задуме, а адзін супрацоўнік, які змяняе выхады, але застаецца ўвайшоўшым, захоўвае сувязь уліковага запісу. Менавіта тут большасць упэўненых справаздач памыляецца.
Назвіце аснову сувязі да высновы
Сцвярджэнне пра карэляцыю павінна назваць поле, якое звязвае два запісы. Ці была прадстаўлена тая ж кукі, ці быў аўтэнтыфікаваны той жа ўліковы запіс, ці быў паведамлены той жа ідэнтыфікатар прылады, ці толькі той жа адрас? Калі адказ — толькі адрас, сцвярджэнне датычыцца сеткавай крыніцы і на гэтым спыняецца.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Мадэль прыватнасці RFC 6973 разглядае карэляцыю як аб'яднанне інфармацыі і адзначае, што пастаянныя ідэнтыфікатары звязваюць узаемадзеянні ў часе. Яе разгляд набору ананімнасці дадае другую палову: утойванне залежыць ад таго, хто яшчэ выглядае так жа для гэтага канкрэтнага назіральніка. Ні адна з ідэй не ператварае агульны адрас у ідэнтыфікацыю.
Таму сумленны сказ застаецца вузкім. Гэтыя дзве падзеі дзялілі выхад у гэтыя часы, і ўсё, што далей, патрабуе іншага запісу.
Прайдзіце пазіцыю назіральніка
Вэб-сайт бачыць свае ўласныя запыты, свае ўваходы і свае ідэнтыфікатары сеансаў і не атрымлівае запісы іншага сайта толькі таму, што абодва выпадкова выкарысталі адзін выхад. Назіральнік сеткі доступу бачыць патокі, а не змест. Аператар VPN бачыць адпаведнасць паміж уліковымі запісамі і выхадамі. Кожная пазіцыя падтрымлівае розную выснову, і справаздача звычайна называе толькі адну з іх.
Спытайце, які назіральнік стварыў запіс, затым спытайце, што гэты назіральнік сапраўды мог бачыць. Уласныя ўмовы пастаўшчыка — гэта не тое ж самае, што яго фактычнае журналаванне, і ні тое, ні другое не тое ж самае, што запіс перад вамі. Калі адказ неясны, папрасіце крыніцу, а не затыкайце прабел здагадкай. Запіс без крыніцы — гэта гіпотэза ў форме. Пытанне каштуе аднаго паведамлення і зберагае адно выпраўленне.
Трымайце часовыя заканамернасці на іх месцы
Параўнанні часу і аб'ёму не патрабуюць чытання якога-небудзь змесціва старонкі, таму яны з'яўляюцца ў абмеркаваннях шыфраванага трафіку. Падабенства таксама сумяшчальна з агульнай інфраструктурай, некалькімі адначасовымі карыстальнікамі і паводзінамі, якія проста выглядаюць падобна. Гэта альтэрнатыўныя тлумачэнні, якія сумленная ацэнка павінна разгледзець.
Працэнт, узяты з незвязанага эксперыменту, нічога не перадае. Яго сэнс залежыць ад набору кандыдатаў, даных, метаду і вымеранай долі памылак. Без гэтых чатырох лік дадае ўпэўненасці, не дадаючы доказаў. Разглядайце любое адзіночнае падабенства як гіпотэзу і запішыце, што яе аспрэчыць, перш чым шукаць пацвярджэнне.
Праверце, што падмацоўваюць запісы
Перш чым любая выснова пакіне вашы рукі, захавайце артэфакты і часы. Файл з хэшам і адзнакай часу — гэта доказ, а здымак экрана ў паведамленні чата — гэта чутка з добрымі намерамі. Захавайце таксама крыніцу гадзінніка, бо адзнака часу, якую вы не можаце прайграць, — гэта толькі сцвярджэнне пра адзнаку часу.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Затым выкажыце выснову з той сілай, якую дапускаюць запісы, і не мацней. Адзін сказ агаворкі таннейшы за выпраўленне.
Агульны выхад паслабляе атрыбуцыю толькі па адрасе, і ён не з'яўляецца ні сертыфікатам асобы, ні абяцаннем ананімнасці. З боку прыватнасці пачніце з усяго таго, што застаецца паміж сеансамі, бо распазнаванне рэдка патрабуе аналізу трафіку. Для аператыўнага расследавання трымайце назіранне і выснову ў асобных слупках. Няхай самае слабае непадмацаванае звяно будзе тым, пра што вы паведамляеце, і скажыце пра гэта ў самой справаздачы.