האם יומן VPN יכול להראות היסטוריית גלישה? מה ההוכחות מוכיחות
יומן הפעלה, שאילתת פותר ורישום זרימה מוכיחים דברים שונים. בחרו את השאלה, חברו זהות וזמן, ואמרו רק את מה שהוצג.
שתי שאלות ביקורת נשמעות דומות ודורשות הוכחות מסוגים שונים. על השאלה איזו הפעלה יצרה קשר עם הכתובת הזו אפשר לענות מרישומי חיבור וזרימה. על השאלה איזה אדם פתח את הדף הזה בדרך כלל לא, לפחות לא מרישומים אלה. בחירת אוסף לפני בחירת השאלה היא הדרך שבה צוות רשת מגיש שם מארח כהיסטוריית גלישה.
התחילו באירוע שהביקורת חייבת לבסס
כתבו את השאלה כמשפט עם נושא, פועל וזמן. המשמעת הזו לבדה חושפת את הפער בין רישום הפעלה לצפייה בדף. יומן הפעלה מבסס שזהות התקבלה לפרק זמן, עם כתובת שהוקצתה לפי מדיניות מתועדת, והוא אינו יכול לבסס איזה דף מישהו קרא משום שמעולם לא ראה את הבקשה.
תנו שם לתצפית לפני שתכננו את האיסוף. שדה שנקרא על שם אתר שבוקר אך למעשה שומר שם שנפתר הוא שגיאה עתידית ולא נוחות. שמות שדות מאריכים ימים יותר מהאנשים שבחרו אותם, לכן בחרו כאלה שמתארים את ההוכחה ולא את המסקנה.
מה כל רישום יכול לתמוך בו ומה לא
ארבעה סוגי רישומים מופיעים כמעט בכל תכנון ביקורת, וכל אחד עונה על שאלה אחרת. החזיקו אותם בנפרד בדוח וגם בצינור, כי ערבובם הוא הדרך שבה ממצא שניתן להגנה הופך למביך.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
קראו את העמודה האחרונה בתשומת לב כמו האמצעית. רישום זרימה מתאר כתובות ופורטים, וחיפוש הפוך של כתובת אינו משחזר את השם שהדפדפן השתמש בו, משום שכתובת אחת יכולה לארח אתרים רבים שאינם קשורים. שאילתת פותר מוכיחה שנשאלה שאלה, לא שהוצג דף. גם שם מארח הנראה במהלך משא ומתן TLS אינו נתיב הבקשה המוצפן.
כל אחד מאלה הוא תצפית אמיתית, ואף אחד מהם אינו התצפית שאנשים מניחים. דפדפן שמתעקש על הפותר המוצפן שלו עומד מחוץ לתחום המנוטר, וניתוח אינו יכול לשחזר את מה שהתיעוד מעולם לא ראה. הפער הזה שייך לדוח כגבול מוצהר ולא כהערת שוליים.
שאילתות מוקדמות ותשובות מהמטמון
דפדפנים פותרים שמות מראש, לעתים בלי לטעון דבר. הם גם עונים מהמטמון בלי לשלוח שאילתה חדשה לפותר שאתם מנטרים, כלומר היעדר שאילתה אינו היעדר ביקור. שתי ההתנהגויות שוברות את המשוואה הנאיבית בין יומן DNS להיסטוריית גלישה.
DNS על HTTPS מוסיף גבול שני: דפדפן או יישומון אורח עם פותר משלו אינו שואל דבר את המתעד של הארגון. עסקאות מדויקות מגיעות רק מאירועי היישום עצמו או מפרוקסי שתיעודו נתמך במפורש. מנהרת HTTPS CONNECT רגילה משאירה לפרוקסי שום ראייה של נתיבי הדפים שבתוכה. הבעלות על הרשת אינה רשות להחליף בשקט את מודל האמון של היישום.
הכתובת שייכת להפעלה, לא לאדם
רישום זרימה הנושא כתובת מטווח המנהרה הוא נקודת מוצא ולא תשובה. חברו את הכתובת וחתימת הזמן להקצאת ההפעלה שהייתה פעילה באותו רגע, משום שהכתובת הזו עשויה להיות מוקצית להפעלה אחרת כעבור שעה. מיעון סטטי הוא דרך אחת לשמור על הקשר הזה ולא היחידה.
כאשר שלב תרגום מקבץ כמה התקנים לכתובת מקור אחת במעלה הזרם מהחיישן, החיבור יכול לנקוב רק בהפעלת השער המשותפת. חשבון משותף או תעודה שמשתמשים בהם כמה אנשים מגבילים ייחוס, עד כמה שנתוני הרשת ייראו מלאים. שניהם שייכים לדוח כגבולות ולא כהסתייגויות להמשך.
תעדו את אזור הזמן, מקור השעון, נקודת התצפית וכל גבול תרגום ביניהם. היעדר ראוי לאותה הקפדה כמו נוכחות, משום שרישום חסר יכול לומר שרשומת זרימה פגה, שחיישן מעולם לא ראה את החבילה או שיומן יישום היה כבוי.
תכננו למטרה המוצהרת, ואז הוכיחו את הצינור
לאחר קביעת השאלה, הגדירו אילו שדות נדרשים, מי רשאי לקרוא אותם וכמה זמן הם נשמרים. איסוף יתר משום שהאחסון זול יוצר אחריות שמאריכה ימים יותר מהחקירה. מודל הפרטיות ב-RFC 6973 ממסגר מתאם, ייחוס שגוי ואיסוף מיותר כבעיות תכנון ולא כמחשבות בדיעבד.
הגנו על המיפוי ועל הרישומים כעצם אחד, משום שכל אחד לבדו רגיש הרבה פחות מהזוג. לאחר מכן אמתו את התכנון מול פעילות שמותר לכם ליצור ואתם כבר מבינים, באמצעות השאילתה הקטנה ביותר שהדוח יישען עליה. צינור שאינו יכול לשחזר אירוע ידוע לא ישחזר גם אירוע לא ידוע. דווחו על האירוע שההוכחות תומכות בו, במילים שההוכחות מתירות, והניחו לקורא להגיע למסקנה הגדולה בעצמו.
כתבו את הגבולות לצד הממצא: מה חובר, מה תורגם ואיזה יומן שתק. ממצא שמצהיר על גבולותיו שלו שורד ביקורת שתקציר בטוח אינו שורד. זה ההבדל בין הוכחה לבין סיפור על הוכחה.