Komunigita VPN-eliro, malsamaj homoj: legi la pruvojn
Adresa kongruo, konta ligo kaj tempa simileco estas tri malsamaj asertoj. Demandu, kiu observanto tenas kiun registron, antaŭ ol fari ajnan konkludon.
Malfermu la raporton, kaj la unua linio kutime nomas unu adreson kaj unu konton, kvazaŭ la du estus la sama fakto. Ili ne estas. Komuna eliro diras al vi, ke iu aparato uzis tiun adreson en registrita tempo, kaj konta ligo diras al vi, ke iu servo rekonis identigilon. Iri de unu al la alia bezonas kunligan bazon, kiun la raporto devas deklari.
Komencu per la observo, kiun vi efektive havas
Skribu, kio estis registrita, anstataŭ kio ŝajne impliciĝas. Adreso, tempstampo kaj petvojo estas observoj, dum la frazo, kiu diras, kiu faris tion, estas konkludo. Teni tiujn du kolumnojn apartaj estas la tuta disciplino, kaj pli facile estas konservi ĝin sur papero ol en konversacio.
Poste klasifiku la observon, ĉar la kutimaj specoj havas malsamajn pezojn. Komuna elira adreso, daŭra konto- aŭ kuket-identigilo kaj simileco en tempo aŭ volumeno ne estas tri versioj de unu fakto. Du dungitoj malantaŭ unu kompania eliro kunhavas adreson laŭdezajne, dum unu dungito, kiu ŝanĝas elirojn sed restas ensalutinta, konservas kontan ligon. Trakti ilin kiel unu fakton estas kie la plej multaj memfidaj raportoj eraras.
Nomu la kunligan bazon antaŭ la konkludo
Aserto pri korelacio devas nomi la kampon, kiu kunligas du registraĵojn. Ĉu la sama kuketo estis prezentita, ĉu la sama konto estis aŭtentigita, ĉu la sama aparat-identigilo estis raportita, aŭ nur la sama adreso? Se la respondo estas nur la adreso, la aserto temas pri reta fonto kaj haltas tie.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
La privateca modelo RFC 6973 traktas korelacion kiel kombinadon de informoj kaj rimarkigas, ke daŭraj identigiloj kunligas interagojn tra la tempo. Ĝia diskuto pri la anonimeca aro aldonas la alian duonon: kaŝado dependas de tio, kiu alia aspektas same al tiu aparta observanto. Neniu el la du ideoj igas komunan adreson identigo.
Sekve la honesta frazo restas mallarĝa. Tiuj du eventoj kunhavis eliron en tiuj tempoj, kaj io ajn preter tio bezonas alian registron.
Trairu la pozicion de la observanto
Retejo vidas siajn proprajn petojn, siajn proprajn ensalutojn kaj siajn proprajn sesio-identigilojn, kaj ĝi ne heredas la registraĵojn de alia retejo nur ĉar ambaŭ hazarde uzis la saman eliron. Observanto de la alira reto vidas fluojn, ne enhavon. VPN-funkciiganto vidas la mapadon inter kontoj kaj eliroj. Ĉiu pozicio subtenas malsaman konkludon, kaj raporto kutime nomas nur unu el ili.
Demandu, kiu observanto produktis la registron, poste demandu, kion tiu observanto fakte povis vidi. La propraj kondiĉoj de provizanto ne estas la sama afero kiel ĝia efektiva protokolado, kaj neniu el la du estas la sama kiel registro antaŭ vi. Kiam la respondo neklaras, petu la fonton anstataŭ plenigi la mankon per supozo. Registro sen fonto estas hipotezo en uniformo. La demando kostas unu mesaĝon kaj ŝparas unu korektadon.
Tenu tempajn ŝablonojn en ilia loko
Komparioj de tempo kaj volumeno ne postulas legadon de iu paĝa enhavo, tial ili aperas en diskutoj pri ĉifrita trafiko. Simileco ankaŭ kongruas kun komuna infrastrukturo, pluraj samtempaj uzantoj kaj konduto, kiu simple aspektas egale. Tiuj estas alternativaj klarigoj, kiujn honesta takso devas konsideri.
Procento citita el nerilata eksperimento transdonas nenion. Kion ĝi signifas dependas de la kandidata aro, la datumoj, la metodo kaj la mezurita erarprocento. Sen tiuj kvar, nombro aldonas certecon sen aldoni pruvon. Traktu ajnan unuopan similecon kiel hipotezon, kaj skribu, kio ĝin malpruvus, antaŭ ol vi serĉos konfirmon.
Kontrolu, kion la registraĵoj subtenas
Antaŭ ol iu konkludo forlasos viajn manojn, konservu la artefaktojn kaj la tempojn. Dosiero kun haŝo kaj tempstampo estas pruvo, dum ekrankopio en babila mesaĝo estas famo kun bonaj intencoj. Konservu ankaŭ la horloĝan fonton, ĉar tempstampo, kiun vi ne povas reprodukti, estas nur aserto pri tempstampo.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Poste esprimu la konkludon per la forto, kiun la registraĵoj permesas, kaj ne pli forte. Unu frazo da rezervo malpli kostas ol korektado.
Komuna eliro malfortigas atribuon nur per adreso, kaj ĝi estas nek identeca atestilo nek promeso de anonimeco. Sur la privateca flanko, komencu per io ajn, kio daŭras tra sesioj, ĉar rekono malofte entute bezonas trafikan analizon. Por operacia esploro, tenu la observon kaj la konkludon en apartaj kolumnoj. Lasu la plej malfortan nesubtenitan ligon esti tio, kion vi raportas, kaj diru tion en la raporto mem.