Geteilter VPN-Ausgang, verschiedene Menschen: die Beweise lesen
Eine Adressübereinstimmung, eine Kontoverknüpfung und eine zeitliche Ähnlichkeit sind drei verschiedene Behauptungen. Fragen Sie, welcher Beobachter welchen Datensatz hat, bevor Sie irgendeinen Schluss ziehen.
Öffnen Sie den Bericht, und die erste Zeile nennt normalerweise eine Adresse und ein Konto, als wären beide derselbe Fakt. Sind sie nicht. Ein geteilter Ausgang sagt Ihnen, dass irgendein Gerät diese Adresse zu einer aufgezeichneten Zeit genutzt hat, und eine Kontoverknüpfung sagt Ihnen, dass ein Dienst eine Kennung erkannt hat. Der Weg von einem zum anderen braucht eine Verknüpfungsgrundlage, die der Bericht nennen muss.
Beginnen Sie mit der Beobachtung, die Sie tatsächlich haben
Schreiben Sie auf, was aufgezeichnet wurde, statt was es zu implizieren scheint. Eine Adresse, ein Zeitstempel und ein Anforderungspfad sind Beobachtungen, während der Satz, der sagt, wer es getan hat, eine Schlussfolgerung ist. Diese beiden Spalten getrennt zu halten ist die ganze Disziplin, und auf Papier ist sie leichter durchzuhalten als im Gespräch.
Dann klassifizieren Sie die Beobachtung, denn die üblichen Arten tragen unterschiedliches Gewicht. Eine geteilte Ausgangsadresse, eine dauerhafte Konto- oder Cookie-Kennung und eine Ähnlichkeit bei Zeit oder Volumen sind nicht drei Versionen eines Fakts. Zwei Mitarbeiter hinter einem Firmenausgang teilen eine Adresse konstruktionsbedingt, während ein Mitarbeiter, der Ausgänge wechselt, aber angemeldet bleibt, eine Kontoverknüpfung behält. Sie als einen Fakt zu behandeln ist der Punkt, an dem die meisten selbstsicheren Berichte danebenliegen.
Nennen Sie die Verknüpfungsgrundlage vor dem Schluss
Eine Korrelationsbehauptung muss das Feld nennen, das zwei Datensätze verbindet. Wurde derselbe Cookie vorgelegt, dasselbe Konto authentifiziert, dieselbe Gerätekennung gemeldet oder nur dieselbe Adresse? Wenn die Antwort nur die Adresse ist, betrifft die Behauptung eine Netzwerkquelle und endet dort.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Das Datenschutzmodell RFC 6973 behandelt Korrelation als Kombination von Informationen und merkt an, dass dauerhafte Kennungen Interaktionen über die Zeit verbinden. Seine Erörterung der Anonymitätsmenge ergänzt die andere Hälfte: Verbergen hängt davon ab, wer sonst für genau diesen Beobachter gleich aussieht. Keine der beiden Ideen macht aus einer geteilten Adresse eine Identifikation.
Der ehrliche Satz bleibt also eng. Diese beiden Ereignisse teilten zu diesen Zeiten einen Ausgang, und alles darüber hinaus braucht einen weiteren Datensatz.
Gehen Sie die Position des Beobachters durch
Eine Website sieht ihre eigenen Anforderungen, ihre eigenen Anmeldungen und ihre eigenen Sitzungskennungen, und sie erbt nicht die Datensätze einer anderen Website, nur weil beide zufällig denselben Ausgang nutzten. Ein Beobachter im Zugangsnetz sieht Flüsse statt Inhalte. Ein VPN-Betreiber sieht die Zuordnung zwischen Konten und Ausgängen. Jede Position stützt einen anderen Schluss, und ein Bericht nennt meist nur eine davon.
Fragen Sie, welcher Beobachter den Datensatz erzeugt hat, und dann, was dieser Beobachter tatsächlich sehen konnte. Die eigenen Bedingungen eines Anbieters sind nicht dasselbe wie seine tatsächliche Protokollierung, und nichts davon ist dasselbe wie ein Datensatz vor Ihnen. Wenn die Antwort unklar ist, fragen Sie nach der Quelle, statt die Lücke mit einer Annahme zu füllen. Ein Datensatz ohne Quelle ist eine Hypothese in Uniform. Die Frage kostet eine Nachricht und spart einen Widerruf.
Halten Sie Zeitmuster an ihrem Platz
Vergleiche von Zeit und Volumen erfordern kein Lesen von Seiteninhalten, weshalb sie in Diskussionen über verschlüsselten Verkehr auftauchen. Eine Ähnlichkeit ist auch mit geteilter Infrastruktur, mehreren gleichzeitigen Nutzern und Verhalten vereinbar, das einfach gleich aussieht. Das sind alternative Erklärungen, die eine ehrliche Einschätzung berücksichtigen muss.
Ein Prozentsatz aus einem unabhängigen Experiment überträgt nichts. Was er bedeutet, hängt von der Kandidatenmenge, den Daten, der Methode und der gemessenen Fehlerrate ab. Ohne diese vier fügt eine Zahl Vertrauen hinzu, ohne Beweise hinzuzufügen. Behandeln Sie jede einzelne Ähnlichkeit als Hypothese und schreiben Sie auf, was sie widerlegen würde, bevor Sie nach Bestätigung suchen.
Prüfen Sie, was die Datensätze stützen
Bevor irgendein Schluss Ihre Hände verlässt, bewahren Sie die Artefakte und die Zeiten. Eine Datei mit einem Hash und einem Zeitstempel ist ein Beweis, während ein Screenshot in einer Chatnachricht ein Gerücht mit guten Absichten ist. Speichern Sie auch die Uhrquelle, denn ein Zeitstempel, den Sie nicht reproduzieren können, ist nur eine Behauptung über einen Zeitstempel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Formulieren Sie den Schluss dann mit der Stärke, die die Datensätze zulassen, und nicht stärker. Ein Satz Einschränkung ist billiger als ein Widerruf.
Ein geteilter Ausgang schwächt die rein adressbasierte Zuordnung, und er ist weder ein Identitätszertifikat noch ein Versprechen von Anonymität. Auf der Datenschutzseite beginnen Sie mit allem, was über Sitzungen hinweg bleibt, denn Wiedererkennung braucht selten überhaupt eine Verkehrsanalyse. Für eine operative Untersuchung halten Sie Beobachtung und Schluss in getrennten Spalten. Lassen Sie das schwächste ungestützte Glied das sein, was Sie berichten, und sagen Sie es im Bericht selbst.