Jagatud VPN-väljund, erinevad inimesed: tõendite lugemine
Aadressi kokkulangevus, kontoseos ja ajaline sarnasus on kolm erinevat väidet. Enne ükskõik millise järelduse tegemist küsige, milline vaatleja millist kirjet hoiab.
Avage aruanne ja esimene rida nimetab tavaliselt üht aadressi ja üht kontot, nagu oleksid need kaks sama fakt. Ei ole. Jagatud väljund ütleb teile, et mõni seade kasutas seda aadressi kirja pandud ajal, ja kontoseos ütleb, et mõni teenus tundis ära identifikaatori. Ühelt teisele liikumiseks on vaja ühendamise alust, mille aruanne peab ära märkima.
Alustage vaatlusest, mis teil tegelikult on
Kirjutage üles, mida kirja pandi, mitte mida see näib vihjavat. Aadress, ajatempel ja päringu tee on vaatlused, samas kui lause, mis ütleb, kes seda tegi, on järeldus. Nende kahe veeru lahus hoidmine on kogu distsipliin, ja paberil on seda lihtsam hoida kui vestluses.
Seejärel liigitage vaatlus, sest tavalised liigid kannavad erinevat kaalu. Jagatud väljundaadress, püsiv konto- või küpsiseidentifikaator ja sarnasus ajas või mahus ei ole ühe fakti kolm versiooni. Kaks töötajat ühe ettevõtte väljundi taga jagavad aadressi projekteeritult, samas kui üks töötaja, kes vahetab väljundeid, kuid jääb sisse logituks, hoiab kontoseost. Nende käsitlemine ühe faktina on koht, kus enamik enesekindlaid aruandeid eksib.
Nimetage ühendamise alus enne järeldust
Korrelatsiooniväide peab nimetama välja, mis ühendab kahte kirjet. Kas esitati sama küpsis, autenditi sama konto, teatati sama seadme identifikaator või ainult sama aadress? Kui vastus on ainult aadress, käib väide võrguallika kohta ja peatub seal.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Privaatsusmudel RFC 6973 käsitleb korrelatsiooni teabe ühendamisena ja märgib, et püsivad identifikaatorid seovad interaktsioone ajas. Selle anonüümsushulga käsitlus lisab teise poole: varjatus sõltub sellest, kes veel selle konkreetse vaatleja jaoks samamoodi paistab. Kumbki idee ei muuda jagatud aadressi identifitseerimiseks.
Nii et aus lause jääb kitsaks. Need kaks sündmust jagasid väljundit neil aegadel, ja kõik kaugem vajab teist kirjet.
Käige läbi vaatleja positsioon
Veebileht näeb oma päringuid, oma sisselogimisi ja oma sessiooniidentifikaatoreid ega päri teise veebilehe kirjeid ainult sellepärast, et mõlemad juhtusid kasutama sama väljundit. Juurdepääsuvõrgu vaatleja näeb vooge, mitte sisu. VPN-operaator näeb vastavust kontode ja väljundite vahel. Iga positsioon toetab erinevat järeldust ja aruanne nimetab tavaliselt ainult üht neist.
Küsige, milline vaatleja kirje lõi, ja seejärel küsige, mida see vaatleja tegelikult näha sai. Teenusepakkuja enda tingimused ei ole sama asi kui tema tegelik logimine, ja kumbki neist ei ole sama asi kui teie ees olev kirje. Kui vastus on ebaselge, küsige allikat, selle asemel et lünka oletusega täita. Allikata kirje on vormiriietuses hüpotees. Küsimus maksab ühe sõnumi ja säästab ühe paranduse.
Hoidke ajamustrid oma kohal
Aja ja mahu võrdlused ei nõua lehe sisu lugemist, mistõttu need esinevad krüpteeritud liikluse aruteludes. Sarnasus sobib kokku ka jagatud taristu, mitme samaaegse kasutaja ja lihtsalt sarnaselt näiva käitumisega. Need on alternatiivsed seletused, mida aus hinnang peab kaaluma.
Mitte seotud katsest tsiteeritud protsent ei edasta midagi. Selle tähendus sõltub kandidaatide hulgast, andmetest, meetodist ja mõõdetud veamäärast. Ilma nende neljata lisab number kindlustunnet, lisamata tõendit. Käsitlege iga üksikut sarnasust hüpoteesina ja kirjutage üles, mis selle ümber lükkaks, enne kui asute kinnitust otsima.
Kontrollige, mida kirjed toetavad
Enne kui ükski järeldus teie kätest lahkub, säilitage artefaktid ja ajad. Fail koos räsiga ja ajatempliga on tõend, samas kui vestlussõnumis olev ekraanipilt on heade kavatsustega kuulujutt. Salvestage ka kella allikas, sest ajatempel, mida te ei suuda taasesitada, on vaid väide ajatempli kohta.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Seejärel esitage järeldus sellise tugevusega, mida kirjed lubavad, ja mitte tugevamalt. Üks möönduslause on odavam kui parandus.
Jagatud väljund nõrgendab ainult aadressil põhinevat omistamist ja ei ole ei identiteedisertifikaat ega anonüümsuse lubadus. Privaatsuse poolel alustage kõigest, mis püsib sessioonide vahel, sest äratundmine vajab liiklusanalüüsi harva üldse. Operatiivse uurimise jaoks hoidke vaatlus ja järeldus eraldi veergudes. Laske nõrgim toetamata lüli olla see, millest teavitate, ja öelge seda aruandes endas.