Sdílený výstup VPN, různí lidé: jak číst důkazy
Shoda adresy, propojení účtu a podobnost v čase jsou tři různá tvrzení. Ptejte se, který pozorovatel drží který záznam, než vyvodíte jakýkoli závěr.
Otevřete zprávu a první řádek obvykle jmenuje jednu adresu a jeden účet, jako by šlo o stejný fakt. Nejsou. Sdílený výstup vám říká, že nějaké zařízení použilo tu adresu v zaznamenaný čas, a propojení účtu říká, že nějaká služba rozpoznala identifikátor. Přechod od jednoho k druhému vyžaduje základ spojení, který zpráva musí uvést.
Začněte pozorováním, které skutečně máte
Zapište, co bylo zaznamenáno, ne co to zdánlivě naznačuje. Adresa, časové razítko a cesta požadavku jsou pozorování, zatímco věta, která říká, kdo to udělal, je odvození. Držet tyto dva sloupce oddělené je celá disciplína a na papíře se udržuje snáz než v rozhovoru.
Pak pozorování roztřiďte, protože obvyklé druhy nesou různou váhu. Sdílená výstupní adresa, trvalý identifikátor účtu nebo cookie a podobnost v čase či objemu nejsou tři verze jednoho faktu. Dva zaměstnanci za jedním firemním výstupem sdílejí adresu záměrně, zatímco jeden zaměstnanec, který střídá výstupy, ale zůstává přihlášený, si drží propojení účtu. Právě tady se většina sebevědomých zpráv mýlí.
Pojmenujte základ spojení před závěrem
Tvrzení o korelaci musí pojmenovat pole, které spojuje dva záznamy. Byla předložena stejná cookie, byl ověřen stejný účet, byl hlášen stejný identifikátor zařízení, nebo jen stejná adresa? Pokud je odpovědí jen adresa, tvrzení se týká síťového zdroje a končí tam.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Model soukromí RFC 6973 chápe korelaci jako kombinování informací a poznamenává, že trvalé identifikátory propojují interakce v čase. Jeho diskuse o anonymitní množině dodává druhou polovinu: skrytí závisí na tom, kdo další vypadá pro toho konkrétního pozorovatele stejně. Ani jedna z těchto myšlenek nemění sdílenou adresu v identifikaci.
Poctivá věta proto zůstává úzká. Tyto dvě události sdílely výstup v těchto časech a cokoli dalšího potřebuje jiný záznam.
Projděte pozici pozorovatele
Web vidí své vlastní požadavky, svá vlastní přihlášení a své vlastní identifikátory relace a nedědí záznamy jiného webu jen proto, že oba náhodou použily stejný výstup. Pozorovatel v přístupové síti vidí toky, nikoli obsah. Provozovatel VPN vidí mapování mezi účty a výstupy. Každá pozice podporuje jiný závěr a zpráva obvykle jmenuje jen jednu z nich.
Ptejte se, který pozorovatel záznam vytvořil, a pak se ptejte, co ten pozorovatel skutečně mohl vidět. Vlastní podmínky poskytovatele nejsou totéž co jeho skutečné logování a ani jedno z toho není totéž co záznam před vámi. Když odpověď není jasná, žádejte zdroj, místo abyste mezeru vyplnili předpokladem. Záznam bez zdroje je hypotéza v uniformě. Otázka stojí jednu zprávu a ušetří jedno odvolání.
Držte časové vzorce na jejich místě
Srovnání času a objemu nevyžadují čtení obsahu stránky, proto se objevují v diskusích o šifrovaném provozu. Podobnost je také slučitelná se sdílenou infrastrukturou, několika souběžnými uživateli a chováním, které prostě vypadá stejně. To jsou alternativní vysvětlení, která poctivé hodnocení musí zvážit.
Procento citované z nesouvisejícího experimentu nic nepřenáší. Jeho význam závisí na množině kandidátů, datech, metodě a změřené chybovosti. Bez těchto čtyř číslo přidává jistotu, aniž by přidalo důkaz. Berte každou jednotlivou podobnost jako hypotézu a zapište, co by ji vyvrátilo, než se vydáte hledat potvrzení.
Ověřte, co záznamy podporují
Než jakýkoli závěr opustí vaše ruce, uchovejte artefakty a časy. Soubor s hashem a časovým razítkem je důkaz, zatímco snímek obrazovky v chatové zprávě je fáma s dobrými úmysly. Uložte i zdroj hodin, protože časové razítko, které nedokážete reprodukovat, je jen tvrzení o časovém razítku.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Potom vyslovte závěr s takovou silou, jakou záznamy dovolují, a ne silněji. Jedna věta s výhradou je levnější než odvolání.
Sdílený výstup oslabuje přiřazení založené jen na adrese a není ani certifikátem identity, ani slibem anonymity. Na straně soukromí začněte vším, co přetrvává mezi relacemi, protože rozpoznání zřídka vůbec potřebuje analýzu provozu. Pro operativní vyšetřování držte pozorování a odvození v oddělených sloupcích. Nechť nejslabší nepodložený článek je to, co hlásíte, a řekněte to v samotné zprávě.