Μπορεί ένα αρχείο καταγραφής VPN να δείξει ιστορικό περιήγησης; Τι αποδεικνύουν τα στοιχεία
Ένα αρχείο συνεδρίας, ένα ερώτημα διανομέα και μια εγγραφή ροής αποδεικνύουν διαφορετικά πράγματα. Διαλέξτε την ερώτηση, συνδέστε ταυτότητα και χρόνο και πείτε μόνο ό,τι αποδείχθηκε.
Δύο ερωτήματα ελέγχου ακούγονται παρόμοια και απαιτούν διαφορετικά είδη στοιχείων. Το ποια συνεδρία επικοινώνησε με αυτή τη διεύθυνση απαντιέται από εγγραφές σύνδεσης και ροής. Το ποιο πρόσωπο άνοιξε αυτή τη σελίδα συνήθως όχι, τουλάχιστον όχι από αυτές τις εγγραφές. Η επιλογή συλλέκτη πριν από την επιλογή της ερώτησης είναι ο τρόπος με τον οποίο μια ομάδα δικτύου καταλήγει να παρουσιάζει ένα όνομα κεντρικού υπολογιστή ως ιστορικό περιήγησης.
Ξεκινήστε από το γεγονός που πρέπει να στοιχειοθετήσει ο έλεγχος
Γράψτε την ερώτηση ως πρόταση με υποκείμενο, ρήμα και χρόνο. Μόνη αυτή η πειθαρχία αποκαλύπτει το χάσμα ανάμεσα σε μια εγγραφή συνεδρίας και σε μια προβολή σελίδας. Ένα αρχείο συνεδρίας στοιχειοθετεί ότι μια ταυτότητα έγινε αποδεκτή για ένα διάστημα, με διεύθυνση που της ανατέθηκε βάσει καταγεγραμμένης πολιτικής, και δεν μπορεί να στοιχειοθετήσει ποια σελίδα διάβασε κανείς, διότι δεν είδε ποτέ το αίτημα.
Ονομάστε την παρατήρηση πριν σχεδιάσετε τη συλλογή. Ένα πεδίο που ονομάστηκε από έναν ιστότοπο που επισκέφθηκε κάποιος αλλά στην πραγματικότητα αποθηκεύει ένα όνομα που επιλύθηκε είναι μελλοντικό λάθος και όχι διευκόλυνση. Τα ονόματα πεδίων ζουν περισσότερο από τους ανθρώπους που τα διάλεξαν, γι' αυτό διαλέξτε εκείνα που περιγράφουν την απόδειξη και όχι το συμπέρασμα.
Τι μπορεί και τι δεν μπορεί να στηρίξει κάθε εγγραφή
Τέσσερις τύποι εγγραφών εμφανίζονται σχεδόν σε κάθε σχέδιο ελέγχου και ο καθένας απαντά σε διαφορετική ερώτηση. Κρατήστε τους χωριστούς και στην αναφορά και στη ροή επεξεργασίας, διότι η ανάμειξή τους μετατρέπει ένα υπερασπίσιμο εύρημα σε ντροπιαστικό.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Διαβάστε την τελευταία στήλη όσο προσεκτικά όσο τη μεσαία. Μια εγγραφή ροής περιγράφει διευθύνσεις και θύρες, και μια αντίστροφη αναζήτηση διεύθυνσης δεν ανασυνθέτει το όνομα που χρησιμοποίησε ένας περιηγητής, διότι μία διεύθυνση μπορεί να φιλοξενεί πολλούς άσχετους ιστότοπους. Ένα ερώτημα διανομέα αποδεικνύει ότι τέθηκε μια ερώτηση, όχι ότι εμφανίστηκε μια σελίδα. Ούτε ένα όνομα κεντρικού υπολογιστή ορατό κατά τη διαπραγμάτευση TLS είναι η κρυπτογραφημένη διαδρομή του αιτήματος.
Καθεμία από αυτές είναι πραγματική παρατήρηση και καμία δεν είναι η παρατήρηση που υποθέτει ο κόσμος. Ένας περιηγητής που επιμένει στον δικό του κρυπτογραφημένο διανομέα βρίσκεται έξω από το ελεγχόμενο πεδίο, και η ανάλυση δεν μπορεί να ανακτήσει ό,τι δεν είδε ποτέ η καταγραφή. Αυτό το κενό ανήκει στην αναφορά ως δηλωμένος περιορισμός και όχι ως υποσημείωση.
Προληπτικές αναζητήσεις και απαντήσεις από την προσωρινή μνήμη
Οι περιηγητές επιλύουν ονόματα εκ των προτέρων, μερικές φορές χωρίς να φορτώσουν τίποτε απολύτως. Απαντούν επίσης από την προσωρινή μνήμη χωρίς να στείλουν νέο ερώτημα στον διανομέα που παρακολουθείτε, πράγμα που σημαίνει ότι η απουσία ερωτήματος δεν είναι απουσία επίσκεψης. Και οι δύο συμπεριφορές σπάζουν την αφελή εξίσωση ανάμεσα σε ένα αρχείο DNS και σε ένα ιστορικό περιήγησης.
Το DNS over HTTPS προσθέτει ένα δεύτερο όριο: ένας περιηγητής ή μια φιλοξενούμενη εφαρμογή με δικό της διανομέα δεν ρωτά ποτέ τίποτε τον καταγραφέα του οργανισμού. Ακριβείς συναλλαγές προέρχονται μόνο από τα γεγονότα της ίδιας της εφαρμογής ή από έναν διαμεσολαβητή του οποίου την καταγραφή υποστηρίζετε ρητά. Μια απλή σήραγγα HTTPS CONNECT αφήνει τον διαμεσολαβητή χωρίς καμία εικόνα των διαδρομών σελίδων μέσα της. Το να κατέχετε το δίκτυο δεν είναι άδεια να αντικαταστήσετε σιωπηλά το μοντέλο εμπιστοσύνης της εφαρμογής.
Η διεύθυνση ανήκει σε συνεδρία, όχι σε πρόσωπο
Μια εγγραφή ροής με διεύθυνση από το εύρος της σήραγγας είναι σημείο εκκίνησης και όχι απάντηση. Συνδέστε αυτή τη διεύθυνση και τη χρονική σήμανση με την ανάθεση συνεδρίας που ήταν ενεργή εκείνη τη στιγμή, διότι αυτή η διεύθυνση μπορεί μια ώρα αργότερα να ανατεθεί σε άλλη συνεδρία. Η στατική διευθυνσιοδότηση είναι ένας τρόπος να διατηρήσετε αυτή τη συσχέτιση και όχι ο μόνος.
Όπου ένα βήμα μετάφρασης συμπιέζει πολλές συσκευές σε μία διεύθυνση προέλευσης ανάντη του αισθητήρα, η σύνδεση μπορεί να ονομάσει μόνο τη συνεδρία της κοινής πύλης. Ένας κοινός λογαριασμός ή ένα πιστοποιητικό που χρησιμοποιούν πολλά άτομα περιορίζει την απόδοση, όσο πλήρη κι αν φαίνονται τα δεδομένα δικτύου. Και τα δύο ανήκουν στην αναφορά ως όρια και όχι ως επιφυλάξεις για αργότερα.
Καταγράψτε τη ζώνη ώρας, την πηγή ρολογιού, το σημείο παρατήρησης και κάθε όριο μετάφρασης ενδιάμεσα. Η απουσία αξίζει την ίδια φροντίδα με την παρουσία, διότι μια εγγραφή που λείπει μπορεί να σημαίνει ότι μια καταχώριση ροής έληξε, ότι ένας αισθητήρας δεν είδε ποτέ το πακέτο ή ότι ένα αρχείο εφαρμογής ήταν απενεργοποιημένο.
Σχεδιάστε για τον δηλωμένο σκοπό και μετά αποδείξτε τη ροή επεξεργασίας
Μόλις καθοριστεί η ερώτηση, ορίστε ποια πεδία χρειάζονται, ποιος επιτρέπεται να τα διαβάζει και πόσο καιρό διατηρούνται. Η συλλογή περισσότερων επειδή η αποθήκευση είναι φθηνή δημιουργεί μια ευθύνη που επιβιώνει της έρευνας. Το μοντέλο ιδιωτικότητας στο RFC 6973 αντιμετωπίζει τη συσχέτιση, την εσφαλμένη απόδοση και την περιττή συλλογή ως προβλήματα σχεδιασμού και όχι ως υστερόσκέψεις.
Προστατέψτε την αντιστοίχιση και τις εγγραφές ως ένα αντικείμενο, διότι το καθένα μόνο του είναι πολύ λιγότερο ευαίσθητο από το ζεύγος. Έπειτα επικυρώστε το σχέδιο απέναντι σε δραστηριότητα που επιτρέπεται να παράγετε και ήδη κατανοείτε, με το μικρότερο ερώτημα στο οποίο θα στηριχθεί η αναφορά. Μια ροή επεξεργασίας που δεν μπορεί να αναπαράγει ένα γνωστό γεγονός δεν θα αναπαράγει ούτε ένα άγνωστο. Αναφέρετε το γεγονός που στηρίζουν τα στοιχεία, με τις λέξεις που επιτρέπουν τα στοιχεία, και αφήστε τον αναγνώστη να φτάσει μόνος στο μεγαλύτερο συμπέρασμα.
Γράψτε τα όρια δίπλα στο εύρημα: τι συνδέθηκε, τι μεταφράστηκε και ποιο αρχείο έμεινε σιωπηλό. Ένα εύρημα που δηλώνει τα δικά του όρια αντέχει σε μια αναθεώρηση που μια σίγουρη σύνοψη δεν αντέχει. Αυτή είναι η διαφορά ανάμεσα σε απόδειξη και σε μια ιστορία για απόδειξη.