خروجی مشترک VPN، افراد متفاوت: خواندن شواهد
تطابق یک نشانی، پیوند یک حساب و شباهت زمانی سه ادعای متفاوت‌اند. پیش از هر نتیجه‌گیری بپرسید کدام ناظر کدام سابقه را در اختیار دارد.
گزارش را باز کنید و معمولاً سطر اول یک نشانی و یک حساب را چنان نام می‌برد که گویی هر دو یک واقعیت‌اند. اما نیستند. خروجی مشترک به شما می‌گوید که دستگاهی از آن نشانی در زمانی ثبت‌شده استفاده کرده است، و پیوند حساب می‌گوید خدمتی یک شناسه را بازشناخته است. عبور از یکی به دیگری به مبنای پیوندی نیاز دارد که گزارش باید آن را ذکر کند.
با مشاهده‌ای شروع کنید که واقعاً در اختیار دارید
آنچه ثبت شده را بنویسید، نه آنچه به نظر می‌رسد بر آن دلالت دارد. نشانی، مُهر زمانی و مسیر درخواست مشاهده‌اند، در حالی که جمله‌ای که می‌گوید چه کسی این کار را کرده است یک استنباط است. جدا نگه داشتن این دو ستون تمام انضباط کار است، و حفظ آن روی کاغذ آسان‌تر از یک گفت‌وگوست.
سپس مشاهده را دسته‌بندی کنید، چون گونه‌های رایج وزن متفاوتی دارند. نشانی خروجی مشترک، شناسهٔ پایدار حساب یا کوکی، و شباهت در زمان یا حجم، سه نسخه از یک واقعیت نیستند. دو کارمند پشت یک خروجی سازمانی بنا بر طراحی نشانی مشترک دارند، در حالی که کارمندی که خروجی‌ها را عوض می‌کند اما واردشده می‌ماند پیوند حساب را حفظ می‌کند. برخورد با این‌ها به‌عنوان یک واقعیت همان جایی است که بیشتر گزارش‌های خودباور اشتباه می‌کنند.
مبنای پیوند را پیش از نتیجه نام ببرید
ادعای همبستگی باید فیلدی را نام ببرد که دو سابقه را به هم پیوند می‌دهد. آیا همان کوکی ارائه شد، همان حساب احراز هویت شد، همان شناسهٔ دستگاه گزارش شد، یا فقط همان نشانی؟ اگر پاسخ فقط نشانی باشد، ادعا دربارهٔ یک منبع شبکه‌ای است و همان‌جا متوقف می‌شود.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
مدل حریم خصوصی RFC 6973 همبستگی را ترکیب اطلاعات می‌داند و یادآور می‌شود که شناسه‌های پایدار تعامل‌ها را در طول زمان پیوند می‌دهند. بحث آن دربارهٔ مجموعهٔ ناشناسی نیمهٔ دیگر را می‌افزاید: پنهان‌ماندن به این بستگی دارد که چه کسان دیگری برای همان ناظر خاص یکسان به نظر می‌رسند. هیچ‌یک از این دو ایده نشانی مشترک را به شناسایی هویت تبدیل نمی‌کند.
پس جملهٔ صادقانه باریک می‌ماند. این دو رویداد در این زمان‌ها یک خروجی مشترک داشتند، و هر چیزی فراتر از آن به سابقهٔ دیگری نیاز دارد.
موقعیت ناظر را قدم بزنید
یک وب‌سایت درخواست‌های خودش، ورودهای خودش و شناسه‌های نشست خودش را می‌بیند، و سوابق وب‌سایت دیگر را فقط به این دلیل که هر دو تصادفاً از یک خروجی استفاده کرده‌اند به ارث نمی‌برد. ناظر شبکهٔ دسترسی جریان‌ها را می‌بیند نه محتوا. اپراتور VPN نگاشت میان حساب‌ها و خروجی‌ها را می‌بیند. هر موقعیت نتیجه‌ای متفاوت را پشتیبانی می‌کند، و گزارش معمولاً فقط یکی از آن‌ها را نام می‌برد.
بپرسید کدام ناظر سابقه را تولید کرده، سپس بپرسید آن ناظر واقعاً چه چیزی می‌توانست ببیند. شرایط خودِ یک ارائه‌دهنده با ثبت‌شدن واقعی آن یکی نیست، و هیچ‌کدام با سابقه‌ای که پیش روی شماست یکی نیست. وقتی پاسخ روشن نیست، منبع را بخواهید نه اینکه شکاف را با یک فرض پر کنید. سابقهٔ بی‌منبع فرضیه‌ای است که یونیفورم پوشیده است. پرسش یک پیام هزینه دارد و یک اصلاح را صرفه‌جویی می‌کند.
الگوهای زمانی را سر جای خودشان نگه دارید
مقایسه‌های زمان و حجم نیازی به خواندن هیچ محتوای صفحه ندارند، و به همین دلیل در بحث‌های ترافیک رمزگذاری‌شده ظاهر می‌شوند. شباهت با زیرساخت مشترک، چند کاربر هم‌زمان، و رفتاری که صرفاً شبیه به نظر می‌رسد نیز سازگار است. این‌ها توضیحات جایگزینی هستند که یک ارزیابی صادقانه باید در نظر بگیرد.
درصدی که از آزمایشی بی‌ربط نقل می‌شود چیزی منتقل نمی‌کند. معنای آن به مجموعهٔ نامزدها، داده‌ها، روش و نرخ خطای اندازه‌گیری‌شده بستگی دارد. بدون این چهار، یک عدد اطمینان می‌افزاید بی‌آنکه شاهد بیفزاید. هر شباهت واحدی را فرضیه بدانید، و پیش از رفتن به دنبال تأیید، بنویسید چه چیزی آن را رد می‌کند.
بررسی کنید که سوابق از چه چیزی پشتیبانی می‌کنند
پیش از آنکه هیچ نتیجه‌ای از دست شما خارج شود، سندها و زمان‌ها را حفظ کنید. فایلی با هش و مُهر زمانی شاهد است، در حالی که یک تصویر صفحه در پیام گفتگو شایعه‌ای با نیت خوب است. منبع ساعت را هم ذخیره کنید، چون مُهر زمانی‌ای که نمی‌توانید بازتولید کنید فقط ادعایی دربارهٔ مُهر زمانی است.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'سپس نتیجه را با قدرتی که سوابق اجازه می‌دهند بیان کنید، و نه قوی‌تر. یک جملهٔ احتیاط ارزان‌تر از یک اصلاح است.
خروجی مشترک انتساب مبتنی بر نشانی به‌تنهایی را تضعیف می‌کند، و نه گواهی هویت است نه وعدهٔ ناشناسی. از سوی حریم خصوصی، با هر چیزی شروع کنید که میان نشست‌ها باقی می‌ماند، چون بازشناسی به‌ندرت به تحلیل ترافیک نیاز دارد. برای یک بررسی عملیاتی، مشاهده و استنباط را در ستون‌های جداگانه نگه دارید. بگذارید ضعیف‌ترین حلقهٔ بی‌پشتوانه همان چیزی باشد که گزارش می‌کنید، و این را در خود گزارش بگویید.