Dijeljeni VPN izlaz, različiti ljudi: čitanje dokaza
Podudarnost adrese, veza računa i sličnost u vremenu tri su različite tvrdnje. Pitajte koji promatrač drži koji zapis prije nego što donesete bilo kakav zaključak.
Otvorite izvješće i prvi red obično imenuje jednu adresu i jedan račun, kao da je riječ o istoj činjenici. Nije. Dijeljeni izlaz govori vam da je neki uređaj rabio tu adresu u zabilježeno vrijeme, a veza računa govori da je neka usluga prepoznala identifikator. Prijelaz s jednoga na drugo zahtijeva osnovu povezivanja koju izvješće mora navesti.
Pođite od opažanja koje doista imate
Zapišite što je zabilježeno, a ne što se čini da implicira. Adresa, vremenska oznaka i putanja zahtjeva opažanja su, dok je rečenica koja kaže tko je to učinio zaključak. Držati ta dva stupca odvojenima jest cijela disciplina, i lakše ju je održati na papiru nego u razgovoru.
Zatim klasificirajte opažanje, jer uobičajene vrste nose različitu težinu. Dijeljena izlazna adresa, trajni identifikator računa ili kolačića i sličnost u vremenu ili obujmu nisu tri inačice jedne činjenice. Dva zaposlenika iza jednog korporativnog izlaza dijele adresu po dizajnu, dok jedan zaposlenik koji mijenja izlaze ali ostaje prijavljen zadržava vezu računa. Tretirati to kao jednu činjenicu mjesto je na kojem većina samouvjerenih izvješća griješi.
Navedite osnovu povezivanja prije zaključka
Tvrdnja o korelaciji mora navesti polje koje povezuje dva zapisa. Je li predstavljen isti kolačić, je li autentificiran isti račun, je li prijavljen isti identifikator uređaja ili samo ista adresa? Ako je odgovor samo adresa, tvrdnja se odnosi na mrežni izvor i tu se zaustavlja.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Model privatnosti RFC 6973 promatra korelaciju kao kombiniranje informacija i napominje da trajni identifikatori povezuju interakcije kroz vrijeme. Njegova rasprava o skupu anonimnosti dodaje drugu polovicu: prikrivanje ovisi o tome koga još taj konkretni promatrač vidi jednakim. Nijedna od dviju ideja ne pretvara dijeljenu adresu u identifikaciju.
Zato iskrena rečenica ostaje uska. Ova dva događaja dijelila su izlaz u ovo vrijeme, a sve dalje od toga traži drugi zapis.
Prođite kroz položaj promatrača
Web-mjesto vidi svoje zahtjeve, svoje prijave i svoje identifikatore sesije i ne nasljeđuje zapise drugog web-mjesta samo zato što su oba slučajno rabila isti izlaz. Promatrač pristupne mreže vidi tokove, a ne sadržaj. VPN operater vidi preslikavanje između računa i izlaza. Svaki položaj podupire drukčiji zaključak, a izvješće obično imenuje samo jedan od njih.
Pitajte koji je promatrač proizveo zapis, pa pitajte što je taj promatrač doista mogao vidjeti. Vlastiti uvjeti pružatelja nisu ista stvar kao njegovo stvarno bilježenje, a ni jedno od toga nije isto što i zapis pred vama. Kada odgovor nije jasan, tražite izvor umjesto da prazninu popunite pretpostavkom. Zapis bez izvora je hipoteza u uniformi. Pitanje stoji jednu poruku i štedi jedno ispravljanje.
Držite vremenske obrasce na njihovu mjestu
Usporedbe vremena i obujma ne zahtijevaju čitanje sadržaja stranice, zato se pojavljuju u raspravama o šifriranom prometu. Sličnost je također spojiva s dijeljenom infrastrukturom, više istodobnih korisnika i ponašanjem koje jednostavno izgleda jednako. To su alternativna objašnjenja koja iskrena procjena mora uzeti u obzir.
Postotak citiran iz nepovezanog pokusa ne prenosi ništa. Njegovo značenje ovisi o skupu kandidata, podacima, metodi i izmjerenoj stopi pogreške. Bez tih četiriju, broj dodaje pouzdanje bez dodavanja dokaza. Tretirajte svaku pojedinačnu sličnost kao hipotezu i zapišite što bi je opovrglo prije nego što krenete tražiti potvrdu.
Provjerite što zapisi podupiru
Prije nego bilo koji zaključak napusti vaše ruke, sačuvajte artefakte i vremena. Datoteka s hashom i vremenskom oznakom dokaz je, dok je snimka zaslona u chat poruci glasina s dobrim namjerama. Sačuvajte i izvor sata, jer vremenska oznaka koju ne možete reproducirati samo je tvrdnja o vremenskoj oznaci.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Zatim iznesite zaključak snagom koju zapisi dopuštaju, i ne jače. Jedna rečenica ograde jeftinija je od ispravka.
Dijeljeni izlaz slabi atribuciju samo po adresi, i nije ni potvrda identiteta ni obećanje anonimnosti. Na strani privatnosti počnite od svega što traje kroz sesije, jer prepoznavanje rijetko uopće treba analizu prometa. Za operativnu istragu držite opažanje i zaključak u odvojenim stupcima. Neka najslabija nepodržana veza bude ono o čemu izvješćujete, i recite to u samom izvješću.