Sortida VPN compartida, persones diferents: llegir les proves
Una coincidència d’adreça, un enllaç de compte i una semblança temporal són tres afirmacions diferents. Pregunteu quin observador té quin registre abans de treure cap conclusió.
Obriu l’informe i la primera línia normalment anomena una adreça i un compte, com si fossin el mateix fet. No ho són. Una sortida compartida us diu que algun dispositiu va fer servir aquella adreça en un moment registrat, i un enllaç de compte us diu que un servei va reconèixer un identificador. Passar d’un a l’altre necessita una base d’unió que l’informe ha d’indicar.
Comenceu per l’observació que realment teniu
Anoteu què es va registrar i no què sembla que implica. Una adreça, una marca de temps i un camí de petició són observacions, mentre que la frase que diu qui ho va fer és una inferència. Mantenir aquestes dues columnes separades és tota la disciplina, i és més fàcil de mantenir en paper que en una conversa.
Després classifiqueu l’observació, perquè els tipus habituals tenen un pes diferent. Una adreça de sortida compartida, un identificador persistent de compte o de galeta i una semblança en temps o volum no són tres versions d’un sol fet. Dos empleats darrere d’una sortida corporativa comparteixen adreça per disseny, mentre que un empleat que canvia de sortida però continua amb la sessió oberta conserva un enllaç de compte. Tractar-ho tot com un sol fet és on fallen la majoria d’informes segurs.
Anomeneu la base d’unió abans de la conclusió
Una afirmació de correlació ha d’anomenar el camp que uneix dos registres. Es va presentar la mateixa galeta, es va autenticar el mateix compte, es va informar del mateix identificador de dispositiu, o només de la mateixa adreça? Si la resposta és només l’adreça, l’afirmació tracta d’una font de xarxa i s’atura aquí.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
El model de privacitat RFC 6973 tracta la correlació com a combinació d’informació i assenyala que els identificadors persistents enllacen interaccions al llarg del temps. La seva discussió sobre el conjunt d’anonimat afegeix l’altra meitat: l’ocultació depèn de qui més sembla igual a aquell observador concret. Cap de les dues idees no converteix una adreça compartida en una identificació.
Per tant la frase honesta es manté estreta. Aquests dos esdeveniments van compartir una sortida en aquests moments, i qualsevol cosa més enllà necessita un altre registre.
Recorreu la posició de l’observador
Un lloc web veu les seves pròpies peticions, els seus propis inicis de sessió i els seus propis identificadors de sessió, i no hereta els registres d’un altre lloc web només perquè tots dos van fer servir la mateixa sortida. Un observador de la xarxa d’accés veu fluxos i no contingut. Un operador de VPN veu la correspondència entre comptes i sortides. Cada posició sosté una conclusió diferent, i un informe normalment només n’anomena una.
Pregunteu quin observador va produir el registre, i després pregunteu què podia veure realment aquell observador. Els termes propis d’un proveïdor no són el mateix que el seu registre real, i cap de les dues coses no és el mateix que un registre davant vostre. Quan la resposta no és clara, demaneu la font en lloc d’omplir el buit amb una suposició. Un registre sense font és una hipòtesi amb uniforme. La pregunta costa un missatge i estalvia una rectificació.
Manteniu els patrons temporals al seu lloc
Les comparacions de temps i volum no requereixen llegir cap contingut de pàgina, i per això apareixen en debats sobre trànsit xifrat. Una semblança també és compatible amb infraestructura compartida, diversos usuaris simultanis i comportament que simplement s’assembla. Són explicacions alternatives que una avaluació honesta ha de considerar.
Un percentatge citat d’un experiment no relacionat no transmet res. El que significa depèn del conjunt de candidats, de les dades, del mètode i de la taxa d’error mesurada. Sense aquests quatre, un número afegeix confiança sense afegir proves. Tracteu qualsevol semblança única com una hipòtesi, i anoteu què la falsaria abans d’anar a buscar confirmació.
Comproveu què sostenen els registres
Abans que cap conclusió surti de les vostres mans, preserveu els artefactes i els moments. Un fitxer amb un hash i una marca de temps és evidència, mentre que una captura de pantalla en un missatge de xat és un rumor amb bones intencions. Guardeu també la font del rellotge, perquè una marca de temps que no podeu reproduir només és una afirmació sobre una marca de temps.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Aleshores exposeu la conclusió amb la força que permeten els registres, i no més. Una frase de matís és més barata que una rectificació.
Una sortida compartida debilita l’atribució basada només en l’adreça, i no és ni un certificat d’identitat ni una promesa d’anonimat. Pel costat de la privacitat, comenceu per tot el que persisteix entre sessions, perquè el reconeixement poques vegades necessita anàlisi de trànsit. Per a una investigació operativa, manteniu l’observació i la inferència en columnes separades. Deixeu que l’enllaç més feble no suportat sigui el que informeu, i digueu-ho a l’informe mateix.