Pot un registre VPN mostrar l'historial de navegació? Què proven les proves
Un registre de sessió, una consulta al resolutor i un registre de flux proven coses diferents. Trieu la pregunta, uniu identitat i temps, i digueu només què s'ha demostrat.
Dues preguntes d'auditoria sonen semblants i requereixen proves de tipus diferents. Quina sessió ha contactat aquesta adreça és una pregunta que es pot respondre amb registres de connexió i de flux. Quina persona ha obert aquesta pàgina normalment no, almenys no amb aquests registres. Triar el recopilador abans de triar la pregunta és com un equip de xarxa acaba presentant un nom d'amfitrió com un historial de navegació.
Comenceu per l'esdeveniment que l'auditoria ha d'establir
Escriviu la pregunta com una frase amb subjecte, verb i temps. Aquesta disciplina sola ja exposa la diferència entre un registre de sessió i una visualització de pàgina. Un registre de sessió estableix que una identitat va ser acceptada durant un interval, amb una adreça assignada sota una política registrada, i no pot establir quina pàgina ha llegit ningú perquè mai no va veure la sol·licitud.
Etiqueteu l'observació abans de dissenyar la recollida. Un camp anomenat com un lloc visitat que en realitat desa un nom resolt és un error futur, no una comoditat. Els noms dels camps sobreviuen a les persones que els van triar, així que trieu-ne que descriguin la prova i no la conclusió.
Què pot i què no pot sostenir cada registre
Quatre tipus de registre apareixen en gairebé tots els dissenys d'auditoria, i cadascun respon una pregunta diferent. Manteniu-los separats tant a l'informe com al pipeline, perquè barrejar-los és com una troballa defensable es converteix en una vergonya.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Llegiu l'última columna amb la mateixa cura que la del mig. Un registre de flux descriu adreces i ports, i una consulta inversa d'una adreça no reconstrueix el nom que va fer servir un navegador, perquè una adreça pot allotjar molts llocs no relacionats. Una consulta al resolutor prova que es va fer una pregunta, no que es mostrés una pàgina. Un nom d'amfitrió visible durant una negociació TLS tampoc no és el camí xifrat de la sol·licitud.
Cadascuna d'aquestes és una observació real, i cap no és l'observació que la gent suposa. Un navegador que insisteix en el seu propi resolutor xifrat queda fora de l'abast monitoritzat, i l'anàlisi no pot recuperar el que el registre mai no va veure. Aquest buit pertany a l'informe com a límit declarat, no com a nota al peu.
Consultes anticipades i respostes a la memòria cau
Els navegadors resolen noms per avançat, de vegades sense carregar res. També responen des de la memòria cau sense enviar una consulta nova al resolutor que esteu vigilant, cosa que significa que l'absència d'una consulta no és l'absència d'una visita. Tots dos comportaments trenquen l'equació ingènua entre un registre DNS i un historial de navegació.
DNS sobre HTTPS afegeix una segona frontera: un navegador o una aplicació convidada amb resolutor propi no pregunta mai res al registrador de l'organització. Les transaccions exactes només vénen dels esdeveniments de la pròpia aplicació o d'un proxy el registre del qual recolzeu explícitament. Un túnel HTTPS CONNECT simple deixa el proxy sense cap visió dels camins de pàgina que hi ha a dins. Tenir la xarxa no és permís per substituir en silenci el model de confiança de l'aplicació.
L'adreça pertany a una sessió, no a una persona
Un registre de flux amb una adreça del rang del túnel és un punt de partida, no una resposta. Uniu aquesta adreça i la marca de temps a l'assignació de sessió activa en aquell moment, perquè aquesta adreça pot reassignar-se a una altra sessió una hora després. L'adreçament estàtic és una manera de mantenir aquesta associació, i no l'única.
Quan un pas de traducció col·lapsa diversos dispositius en una sola adreça d'origen per sobre del sensor, la unió només pot anomenar la sessió de passarel·la compartida. Un compte compartit o un certificat usat per diverses persones limita l'atribució per completa que sembli la informació de xarxa. Tots dos pertanyen a l'informe com a límits, no com a advertiments per a més endavant.
Registreu la zona horària, la font del rellotge, el punt d'observació i cada frontera de traducció entremig. L'absència mereix la mateixa cura que la presència, perquè un registre que falta pot significar que una entrada de flux ha caducat, que un sensor no va veure mai el paquet o que un registre d'aplicació estava desactivat.
Dissenyau per a la finalitat declarada i després provau el pipeline
Un cop fixada la pregunta, definiu quins camps calen, qui els pot llegir i quant de temps es guarden. Recollir més perquè l'emmagatzematge és barat crea una responsabilitat que sobreviu a la investigació. El model de privadesa del RFC 6973 tracta la correlació, l'atribució errònia i la recollida innecessària com a problemes de disseny, no com a pensaments posteriors.
Protegiu el mapatge i els registres com un sol objecte, perquè cada un per separat és molt menys sensible que la parella. Després valideu el disseny contra activitat que teniu permís de generar i que ja enteneu, amb la consulta més petita en què es basarà l'informe. Un pipeline que no pot reproduir un esdeveniment conegut tampoc no reproduirà un de desconegut. Informeu de l'esdeveniment que les proves sostenen, amb les paraules que les proves permeten, i deixeu que el lector arribi a la conclusió més gran sense ajuda.
Escriviu els límits al costat de la troballa: què s'ha unit, què s'ha traduït i quin registre ha callat. Una troballa que declara els seus propis límits sobreviu a una revisió que un resum confiat no sobreviu. Aquesta és la diferència entre una prova i una història sobre una prova.