Saída VPN compartida, persoas diferentes: ler as probas
Unha coincidencia de enderezo, un vínculo de conta e unha semellanza temporal son tres afirmacións distintas. Pregunte que observador ten que rexistro antes de sacar calquera conclusión.
Abra o informe e a primeira liña adoita nomear un enderezo e unha conta, coma se ambos fosen o mesmo feito. Non o son. Unha saída compartida dinos que algún dispositivo usou ese enderezo nun momento rexistrado, e un vínculo de conta dinos que un servizo recoñeceu un identificador. Pasar dun a outro esixe unha base de unión que o informe debe declarar.
Comece pola observación que realmente ten
Anote o que se rexistrou, non o que parece implicar. Un enderezo, unha marca de tempo e unha ruta de petición son observacións, mentres que a frase que di quen o fixo é unha inferencia. Manter esas dúas columnas separadas é toda a disciplina, e é máis doado sosterla en papel que nunha conversa.
Despois clasifique a observación, porque os tipos habituais teñen distinto peso. Un enderezo de saída compartido, un identificador persistente de conta ou de cookie e unha semellanza en tempo ou volume non son tres versións dun mesmo feito. Dous empregados detrás dunha mesma saída corporativa comparten enderezo por deseño, mentres que un empregado que cambia de saída pero segue coa sesión aberta conserva un vínculo de conta. Tratar todo iso como un só feito é onde fallan a maioría dos informes seguros de si mesmos.
Nomee a base de unión antes da conclusión
Unha afirmación de correlación ten que nomear o campo que une dous rexistros. Presentouse a mesma cookie, autenticouse a mesma conta, informouse do mesmo identificador de dispositivo ou só do mesmo enderezo? Se a resposta é só o enderezo, a afirmación trata dunha fonte de rede e detense aí.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
O modelo de privacidade RFC 6973 trata a correlación como combinación de información e sinala que os identificadores persistentes enlazan interaccións ao longo do tempo. A súa discusión do conxunto de anonimato engade a outra metade: a ocultación depende de quen máis parece igual ante ese observador concreto. Ningunha das dúas ideas converte un enderezo compartido nunha identificación.
Así que a frase honesta mantense estreita. Estes dous sucesos compartiron unha saída nestes momentos, e calquera cousa máis alá necesita outro rexistro.
Percorra a posición do observador
Un sitio web ve as súas propias peticións, os seus propios inicios de sesión e os seus propios identificadores de sesión, e non herda os rexistros doutro sitio web só porque ambos usasen a mesma saída. Un observador da rede de acceso ve fluxos e non contido. Un operador de VPN ve a correspondencia entre contas e saídas. Cada posición sostén unha conclusión distinta, e un informe adoita nomear só unha delas.
Pregunte que observador produciu o rexistro, e despois pregunte que podía ver realmente ese observador. Os termos propios dun provedor non son o mesmo que o seu rexistro real, e ningunha das dúas cousas é o mesmo que un rexistro diante de vostede. Cando a resposta non está clara, pida a fonte en lugar de encher o oco cunha suposición. Un rexistro sen fonte é unha hipótese con uniforme. A pregunta custa unha mensaxe e aforra unha rectificación.
Manteña os patróns temporais no seu sitio
As comparacións de tempo e volume non requiren ler ningún contido de páxina, por iso aparecen en debates sobre tráfico cifrado. Unha semellanza tamén é compatible con infraestrutura compartida, varios usuarios simultáneos e un comportamento que simplemente se parece. Son explicacións alternativas que unha avaliación honesta debe considerar.
Unha porcentaxe citada dun experimento non relacionado non transfire nada. O que significa depende do conxunto de candidatos, dos datos, do método e da taxa de erro medida. Sen eses catro, un número engade confianza sen engadir probas. Trate calquera semellanza única como unha hipótese, e anote que a falsaría antes de ir buscar confirmación.
Comprobe que sosteñen os rexistros
Antes de que ningunha conclusión saia das súas mans, conserve os artefactos e os momentos. Un ficheiro cun hash e unha marca de tempo é evidencia, mentres que unha captura de pantalla nunha mensaxe de chat é un rumor con boas intencións. Garde tamén a fonte do reloxo, porque unha marca de tempo que non pode reproducir só é unha afirmación sobre unha marca de tempo.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Logo expoña a conclusión coa forza que permiten os rexistros, e non máis. Unha frase de matiz é máis barata que unha rectificación.
Unha saída compartida debilita a atribución baseada só no enderezo, e non é nin un certificado de identidade nin unha promesa de anonimato. Do lado da privacidade, comece por todo o que persiste entre sesións, porque o recoñecemento raramente necesita análise de tráfico. Para unha investigación operativa, manteña a observación e a inferencia en columnas separadas. Deixe que o elo máis feble sen apoio sexa o que informe, e dígao no propio informe.