Dielde VPN-útgong, ferskate minsken: de bewiisstikken lêze
In adres-oerienkomst, in akkoartkeppeling en in tiidlike oerienkomst binne trije ferskate bewearings. Freegje hokker waarnimmer hokker record hat foardat jo in konklúzje lûke.
Iepenje it rapport en de earste rigel neamt ornaris ien adres en ien akkoart, as wie dat itselde feit. Dat is net sa. In dielde útgong fertelt jo dat in apparaat dat adres brûkt hat op in registrearre tiid, en in akkoartkeppeling fertelt dat in tsjinst in identifier werkenne hat. Fan it iene nei it oare gean freget in ferbiningsgrûn dy't it rapport neame moat.
Begjin mei de waarnimming dy't jo echt hawwe
Skriuw op wat registrearre is, net wat it liket te ymplisearjen. In adres, in tiidstimpel en in oanfraachpaad binne waarnimmingen, wylst de sin dy't seit wa't it dien hat in konklúzje is. Dy twa kollommen apart hâlde is de hiele dissipline, en it is makliker op papier fol te hâlden as yn in petear.
Klassifisearje dan de waarnimming, want de gewoane soarten drage ferskillend gewicht. In dield útgongadres, in bliuwende akkoart- as cookie-identifier en in oerienkomst yn tiid of folume binne net trije ferzjes fan ien feit. Twa meiwurkers efter ien bedriuwsútgong diele in adres fan ûntwerp, wylst ien meiwurker dy't útgongen wikselet mar oanmeld bliuwt in akkoartkeppeling hâldt. It as ien feit behanneljen is wêr't de measte selsbetrouwen rapporten misse.
Neam de ferbiningsgrûn foar de konklúzje
In korrelaasjebewearing moat it fjild neame dat twa records ferbynt. Waard deselde cookie oanbean, deselde akkoart autentisearre, deselde apparaatidentifier rapportearre, of allinnich itselde adres? As it antwurd allinnich it adres is, giet de bewearing oer in netwurkboarne en stopet dêr.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
It privacy-model RFC 6973 behannelet korrelaasje as it kombinearjen fan ynformaasje en merkt op dat bliuwende identifiers ynteraksjes oer de tiid ferbine. De diskusje oer de anonymiteitset foeget de oare helte ta: ferbergjen hinget ôf fan wa't der oars itselde útsjocht foar dy spesifike waarnimmer. Gjin fan beide ideeën makket in dield adres ta in identifikaasje.
Dat de earlike sin bliuwt smel. Dizze twa barrens dielden in útgong op dizze tiden, en alles dêrnei freget in oar record.
Rin de posysje fan de waarnimmer troch
In webside sjocht syn eigen oanfragen, syn eigen oanmeldingen en syn eigen sesje-identifiers, en erft net de records fan in oare webside allinnich om't beide tafallich deselde útgong brûkten. In waarnimmer fan it tagongsnetwurk sjocht streams ynstee fan ynhâld. In VPN-operator sjocht de keppeling tusken akkoarten en útgongen. Eltse posysje stipet in oare konklúzje, en in rapport neamt meast mar ien dêrfan.
Freegje hokker waarnimmer it record makke hat, freegje dan wat dy waarnimmer echt sjen koe. De eigen betingsten fan in oanbieder binne net itselde as syn werklike loggen, en gjin fan beide is itselde as in record foar jo. As it antwurd ûndúdlik is, freegje om de boarne ynstee fan it gat mei in oanname te foljen. In record sûnder boarne is in hypoteze yn unifoarm. De fraach kostet ien berjocht en sparret in korreksje.
Hâld tiidpatroanen op har plak
Ferlikingen fan tiid en folume freget gjin lêzen fan side-ynhâld, dêrom komme se foar yn diskusjes oer fersifere ferkear. In oerienkomst is ek ferienichber mei dielde ynfrastruktuer, ferskate tagelyk brûkers en gedrach dat gewoan itselde liket. Dat binne alternative ferklearringen dy't in earlike beoardieling oerbliuwe moat.
In persintaazje sitearre út in net-relatearre eksperimint draacht neat oer. Wat it betsjut hinget ôf fan de kandidatenset, de gegevens, de metoade en de mjitten flatertaryf. Sûnder dy fjouwer foeget in getal fertrouwen ta sûnder bewiis ta te foegjen. Behannelje elke inkele oerienkomst as in hypoteze, en skriuw op wat it falsifisearje soe foardat jo befestiging sykje.
Kontrolearje wat de records stypje
Foardat in konklúzje jo hannen ferlit, bewarje de artefakten en de tiden. In triem mei in hash en in tiidstimpel is bewiis, wylst in skermôfdruk yn in petearberjocht in geroft mei goede bedoelingen is. Bewarje ek de klokboarne, want in tiidstimpel dy't jo net reprodusearje kinne is allinnich in bewearing oer in tiidstimpel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Utlis dan de konklúzje mei de krêft dy't de records tastean, en net sterker. Ien sin fan foarbehâld is goedkeaper as in korreksje.
In dielde útgong ferswakket attribúsje allinnich op adres, en it is noch in identiteitsbewiis noch in belofte fan anonymiteit. Oan de privacykant, begjin mei alles wat oer sesjes hinne bliuwt, want werkenning freget selden hielendal ferkearsanalyze. Foar in operatyf ûndersyk, hâld de waarnimming en de konklúzje yn aparte kollommen. Lit de swakste net-stipe keppeling it ding wêze dat jo rapportearje, en sis dat yn it rapport sels.