Delt VPN-udgang, forskellige mennesker: at læse beviserne
Et adressematch, en kontolink og en tidsmæssig lighed er tre forskellige påstande. Spørg, hvilken observatør der holder hvilken registrering, før du drager nogen konklusion.
Åbn rapporten, og den første linje nævner normalt én adresse og én konto, som om de to var det samme faktum. Det er de ikke. En delt udgang fortæller dig, at en eller anden enhed brugte den adresse på et registreret tidspunkt, og en kontolink fortæller dig, at en tjeneste genkendte en identifikator. At gå fra det ene til det andet kræver et sammenkoblingsgrundlag, som rapporten skal angive.
Begynd med den observation, du rent faktisk har
Skriv ned, hvad der blev registreret, i stedet for hvad det tilsyneladende antyder. En adresse, et tidsstempel og en anmodningssti er observationer, mens sætningen, der siger, hvem der gjorde det, er en slutning. At holde de to kolonner adskilt er hele disciplinen, og det er lettere at opretholde på papir end i en samtale.
Klassificér derefter observationen, fordi de almindelige typer har forskellig vægt. En delt udgangsadresse, en vedvarende konto- eller cookie-identifikator og en lighed i tid eller volumen er ikke tre versioner af ét faktum. To medarbejdere bag én virksomhedsudgang deler en adresse efter design, mens én medarbejder, der skifter udgange men forbliver logget ind, beholder en kontolink. At behandle dem som ét faktum er, hvor de fleste selvsikre rapporter tager fejl.
Navngiv sammenkoblingsgrundlaget før konklusionen
En korrelationspåstand skal navngive det felt, der forbinder to registreringer. Blev den samme cookie præsenteret, blev den samme konto autentificeret, blev den samme enhedsidentifikator rapporteret, eller kun den samme adresse? Hvis svaret kun er adressen, handler påstanden om en netværkskilde og stopper der.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
RFC 6973-privatlivsmodellen behandler korrelation som kombination af information og bemærker, at vedvarende identifikatorer forbinder interaktioner over tid. Dens diskussion af anonymitetsmængder tilføjer den anden halvdel: skjul afhænger af, hvem der ellers ser ens ud for netop den observatør. Ingen af de to ideer gør en delt adresse til en identifikation.
Så den ærlige sætning forbliver snæver. Disse to begivenheder delte en udgang på disse tidspunkter, og alt derudover kræver en anden registrering.
Gå observatørens position igennem
Et websted ser sine egne anmodninger, sine egne logins og sine egne sessionsidentifikatorer, og det arver ikke et andet websteds registreringer, blot fordi begge tilfældigvis brugte den samme udgang. En observatør i adgangsnettet ser flows frem for indhold. En VPN-operatør ser koblingen mellem konti og udgange. Hver position understøtter en forskellig konklusion, og en rapport nævner normalt kun én af dem.
Spørg, hvilken observatør der skabte registreringen, og spørg derefter, hvad den observatør faktisk kunne se. En udbyders egne vilkår er ikke det samme som dens faktiske logning, og ingen af delene er det samme som en registrering foran dig. Når svaret er uklart, bed om kilden i stedet for at udfylde hullet med en antagelse. En registrering uden kilde er en hypotese i uniform. Spørgsmålet koster én besked og sparer en berigtigelse.
Hold tidsmønstre på deres plads
Sammenligninger af tid og volumen kræver ikke læsning af noget sideindhold, og derfor optræder de i diskussioner om krypteret trafik. En lighed er også forenelig med delt infrastruktur, flere samtidige brugere og adfærd, der blot ligner hinanden. Det er alternative forklaringer, som en ærlig vurdering skal overveje.
En procentdel citeret fra et irrelevant eksperiment overfører intet. Hvad den betyder, afhænger af kandidatsættet, dataene, metoden og den målte fejlrate. Uden de fire tilføjer et tal tillid uden at tilføje bevis. Behandl enhver enkelt lighed som en hypotese, og skriv ned, hvad der ville falsificere den, før du leder efter bekræftelse.
Kontroller, hvad registreringerne understøtter
Før nogen konklusion forlader dine hænder, skal du bevare artefakterne og tidspunkterne. En fil med en hash og et tidsstempel er bevis, mens et skærmbillede i en chatbesked er et rygte med gode intentioner. Gem også urkilden, fordi et tidsstempel, du ikke kan genskabe, kun er en påstand om et tidsstempel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Angiv derefter konklusionen med den styrke, registreringerne tillader, og ikke stærkere. Én sætning med forbehold er billigere end en berigtigelse.
En delt udgang svækker tilskrivning alene baseret på adresse, og den er hverken et identitetscertifikat eller et løfte om anonymitet. På privatlivssiden skal du begynde med alt, hvad der varer på tværs af sessioner, fordi genkendelse sjældent overhovedet kræver trafikanalyse. Til en operationel undersøgelse skal du holde observationen og slutningen i adskilte kolonner. Lad det svageste uunderstøttede led være det, du rapporterer, og sig det i selve rapporten.