Jaettu VPN-uloskäynti, eri ihmiset: todisteiden lukeminen
Osoitteen täsmääminen, tilin yhteys ja ajallinen samankaltaisuus ovat kolme eri väitettä. Kysy, millä havainnoijalla on mikä kirjaus, ennen kuin teet mitään johtopäätöstä.
Avaa raportti, ja ensimmäinen rivi nimeää yleensä yhden osoitteen ja yhden tilin ikään kuin ne olisivat sama tosiasia. Eivät ole. Jaettu uloskäynti kertoo, että jokin laite käytti tuota osoitetta kirjattuna ajankohtana, ja tilin yhteys kertoo, että jokin palvelu tunnisti tunnisteen. Siirtyminen toisesta toiseen vaatii yhdistämisen perustan, joka raportin on mainittava.
Aloita havainnosta, joka sinulla todella on
Kirjoita ylös, mitä kirjattiin, älä sitä, mitä se näyttää vihjaavan. Osoite, aikaleima ja pyynnön polku ovat havaintoja, kun taas lause, joka kertoo kuka sen teki, on päättely. Näiden kahden sarakkeen erillään pitäminen on koko kurinalaisuus, ja paperilla sitä on helpompi ylläpitää kuin keskustelussa.
Luokittele sitten havainto, sillä tavalliset lajit kantavat eri painoa. Jaettu uloskäyntiosoite, pysyvä tili- tai evästetunniste ja samankaltaisuus ajassa tai volyymissa eivät ole yhden tosiasian kolme versiota. Kaksi työntekijää yhden yrityksen uloskäynnin takana jakavat osoitteen suunnittelun mukaan, kun taas työntekijä, joka vaihtaa uloskäyntejä mutta pysyy kirjautuneena, säilyttää tiliyhteyden. Niiden kohteleminen yhtenä tosiasiana on kohta, jossa useimmat itsevarmat raportit menevät pieleen.
Nimeä yhdistämisen perusta ennen johtopäätöstä
Korrelaatioväitteen on nimettävä kenttä, joka yhdistää kaksi kirjausta. Esitettiinkö sama eväste, todennettiin sama tili, raportoitiinko sama laitetunniste vai vain sama osoite? Jos vastaus on vain osoite, väite koskee verkkolähdettä ja pysähtyy siihen.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Yksityisyysmalli RFC 6973 pitää korrelaatiota tiedon yhdistämisenä ja huomauttaa, että pysyvät tunnisteet yhdistävät vuorovaikutuksia ajassa. Sen anonymiteettijoukon käsittely lisää toisen puolen: kätkeytyminen riippuu siitä, ketkä muut näyttävät samalta juuri sille havainnoijalle. Kumpikaan ajatus ei muuta jaettua osoitetta tunnistamiseksi.
Niinpä rehellinen lause pysyy kapeana. Nämä kaksi tapahtumaa jakoivat uloskäynnin näinä aikoina, ja kaikki sitä enemmän tarvitsee toisen kirjauksen.
Käy havainnoijan asema läpi
Verkkosivusto näkee omat pyyntönsä, omat kirjautumisensa ja omat istuntotunnisteensa, eikä se peri toisen verkkosivuston kirjauksia vain siksi, että molemmat sattuivat käyttämään samaa uloskäyntiä. Liityntäverkon havainnoija näkee virrat, ei sisältöä. VPN-operaattori näkee tilien ja uloskäyntien välisen vastaavuuden. Jokainen asema tukee eri johtopäätöstä, ja raportti nimeää yleensä vain yhden niistä.
Kysy, mikä havainnoija tuotti kirjauksen, ja kysy sitten, mitä tuo havainnoija saattoi todella nähdä. Palveluntarjoajan omat ehdot eivät ole sama asia kuin sen tosiasiallinen lokitus, eikä kumpikaan ole sama asia kuin edessäsi oleva kirjaus. Kun vastaus on epäselvä, pyydä lähde sen sijaan että täyttäisit aukon oletuksella. Lähdettä vailla oleva kirjaus on univormuun pukeutunut hypoteesi. Kysymys maksaa yhden viestin ja säästää yhden oikaisun.
Pidä aikakuviot paikoillaan
Ajan ja volyymin vertailut eivät vaadi minkään sivun sisällön lukemista, siksi ne esiintyvät salatun liikenteen keskusteluissa. Samankaltaisuus sopii yhteen myös jaetun infrastruktuurin, useiden samanaikaisten käyttäjien ja yksinkertaisesti samalta näyttävän käyttäytymisen kanssa. Ne ovat vaihtoehtoisia selityksiä, jotka rehellisen arvion on otettava huomioon.
Asiankuulumattomasta kokeesta lainattu prosentti ei välitä mitään. Sen merkitys riippuu ehdokasjoukosta, datasta, menetelmästä ja mitatusta virheprosentista. Ilman näitä neljää luku lisää varmuutta lisäämättä todistetta. Kohtele mitä tahansa yksittäistä samankaltaisuutta hypoteesina ja kirjoita ylös, mikä sen kumoaisi, ennen kuin lähdet etsimään vahvistusta.
Tarkista, mitä kirjaukset tukevat
Ennen kuin mikään johtopäätös lähtee käsistäsi, säilytä artefaktit ja ajat. Tiedosto, jossa on hash ja aikaleima, on todiste, kun taas chatviestin kuvakaappaus on hyväaikeinen huhu. Tallenna myös kellon lähde, sillä aikaleima, jota et voi toistaa, on vain väite aikaleimasta.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Esitä sitten johtopäätös sillä voimakkuudella, jonka kirjaukset sallivat, eikä voimakkaammin. Yksi varauslause on halvempi kuin oikaisu.
Jaettu uloskäynti heikentää pelkkään osoitteeseen perustuvaa kohdistamista, eikä se ole henkilöllisyystodistus eikä lupaus anonymiteetista. Yksityisyyden puolella aloita kaikesta, mikä säilyy istuntojen yli, sillä tunnistaminen tarvitsee harvoin liikenneanalyysia lainkaan. Operatiivista tutkintaa varten pidä havainto ja päättely eri sarakkeissa. Anna heikoimman tukemattoman lenkin olla se, josta raportoit, ja sano se itse raportissa.