Споделен изход на VPN, различни хора: как да четем доказателствата
Съвпадение на адрес, връзка на акаунт и сходство във времето са три различни твърдения. Питайте кой наблюдател държи кой запис, преди да правите какъвто и да е извод.
Отворете доклада и първият ред обикновено назовава един адрес и един акаунт, сякаш двете са един и същ факт. Но не са. Споделеният изход ви казва, че някое устройство е използвало този адрес в записано време, а връзката на акаунта ви казва, че някаква услуга е разпознала идентификатор. Преминаването от едното към другото изисква основа за свързване, която докладът трябва да посочи.
Започнете с наблюдението, което наистина имате
Запишете какво е било записано, а не какво сякаш предполага то. Адресът, времевата марка и пътят на заявката са наблюдения, докато изречението, което казва кой го е направил, е извод. Да държите тези две колони разделени е цялата дисциплина и е по-лесно да се поддържа на хартия, отколкото в разговор.
След това класифицирайте наблюдението, защото обичайните видове имат различно тегло. Споделен адрес на изход, постоянен идентификатор на акаунт или бисквитка и сходство във времето или обема не са три версии на един факт. Двама служители зад един корпоративен изход споделят адрес по проект, докато един служител, който сменя изходите, но остава вписан, запазва връзка на акаунта. Третирането на тези неща като един факт е мястото, където повечето уверени доклади грешат.
Назовете основата за свързване преди извода
Твърдението за корелация трябва да назове полето, което свързва два записа. Представена ли е същата бисквитка, удостоверен ли е същият акаунт, докладван ли е същият идентификатор на устройство или само същият адрес? Ако отговорът е само адресът, твърдението е за мрежов източник и спира дотам.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Моделът за поверителност RFC 6973 разглежда корелацията като комбиниране на информация и отбелязва, че постоянните идентификатори свързват взаимодействията във времето. Обсъждането на набора за анонимност добавя другата половина: прикритието зависи от това кой друг изглежда по същия начин за този конкретен наблюдател. Нито една от двете идеи не превръща споделения адрес в идентификация.
Затова честното изречение остава тясно. Тези две събития са споделили изход в тези времена и всичко отвъд това изисква друг запис.
Минете през позицията на наблюдателя
Един уебсайт вижда своите заявки, своите влизания и своите идентификатори на сесии и не наследява записите на друг уебсайт само защото и двата случайно са използвали един и същ изход. Наблюдател в мрежата за достъп вижда потоци, а не съдържание. Оператор на VPN вижда съответствието между акаунти и изходи. Всяка позиция подкрепя различен извод и докладът обикновено назовава само една от тях.
Питайте кой наблюдател е създал записа, после питайте какво всъщност е могъл да види този наблюдател. Собствените условия на доставчика не са същото нещо като действителното му журналиране и нито едно от двете не е същото като запис пред вас. Когато отговорът е неясен, поискайте източника, вместо да запълвате празнината с предположение. Запис без източник е хипотеза в униформа. Въпросът струва едно съобщение и спестява едно опровержение.
Дръжте времевите модели на мястото им
Сравненията на времето и обема не изискват четене на съдържание на страница, затова се появяват в обсъждания на криптиран трафик. Сходството е съвместимо и със споделена инфраструктура, няколко едновременни потребители и поведение, което просто изглежда еднакво. Това са алтернативни обяснения, които честната оценка трябва да разгледа.
Процент, цитиран от несвързан експеримент, не пренася нищо. Значението му зависи от набора от кандидати, данните, метода и измерения процент на грешки. Без тези четири числото добавя увереност, без да добавя доказателства. Отнасяйте се към всяко отделно сходство като към хипотеза и запишете какво би я опровергало, преди да тръгнете да търсите потвърждение.
Проверете какво подкрепят записите
Преди какъвто и да е извод да напусне ръцете ви, запазете артефактите и времената. Файл с хеш и времева марка е доказателство, докато екранна снимка в чат съобщение е слух с добри намерения. Съхранете и източника на часовника, защото времева марка, която не можете да възпроизведете, е само твърдение за времева марка.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'След това изразете извода със силата, която записите позволяват, и не по-силно. Едно изречение на уговорка е по-евтино от опровержение.
Споделеният изход отслабва атрибуцията само по адрес и той не е нито сертификат за самоличност, нито обещание за анонимност. От страната на поверителността започнете с всичко, което остава между сесиите, защото разпознаването рядко изобщо се нуждае от анализ на трафика. За оперативно разследване дръжте наблюдението и извода в отделни колони. Нека най-слабата неподкрепена връзка бъде това, за което съобщавате, и го кажете в самия доклад.