Közös VPN-kijárat, különböző emberek: a bizonyítékok olvasása
Egy címegyezés, egy fiókhozzáférés és egy időbeli hasonlóság három különböző állítás. Kérdezze meg, melyik megfigyelő melyik rekordot tartja, mielőtt bármilyen következtetést levon.
Nyissa ki a jelentést, és az első sor általában egy címet és egy fiókot nevez meg, mintha a kettő ugyanaz a tény lenne. Nem az. A közös kijárat azt mondja, hogy valamelyik eszköz használta azt a címet egy rögzített időpontban, a fiókhozzáférés pedig azt, hogy valamelyik szolgáltatás felismert egy azonosítót. Az egyikről a másikra lépni csak olyan összekapcsolási alapon lehet, amelyet a jelentésnek meg kell neveznie.
Kezdje azzal a megfigyeléssel, amely valóban a birtokában van
Azt írja le, amit rögzítettek, ne azt, amit látszólag jelent. A cím, az időbélyeg és a kérés útvonala megfigyelés, míg a mondat, amely megmondja, ki tette, következtetés. E két oszlop szétválasztása az egész fegyelem, és papíron könnyebb tartani, mint egy beszélgetésben.
Ezután osztályozza a megfigyelést, mert a szokásos fajták eltérő súlyt hordoznak. A közös kijárati cím, a tartós fiók- vagy süti-azonosító és az időbeli vagy volumenbeli hasonlóság nem egy tény három változata. Két alkalmazott egy vállalati kijárat mögött tervezés szerint osztozik a címen, míg egy alkalmazott, aki kijáratot vált, de bejelentkezve marad, megtartja a fiókhozzáférést. Ezeket egyetlen tényként kezelni az a pont, ahol a legtöbb magabiztos jelentés téved.
Nevezze meg az összekapcsolási alapot a következtetés előtt
A korrelációs állításnak meg kell neveznie azt a mezőt, amely két rekordot összekapcsol. Ugyanazt a sütit mutatták be, ugyanazt a fiókot hitelesítették, ugyanazt az eszközazonosítót jelentették, vagy csak ugyanazt a címet? Ha a válasz csak a cím, az állítás hálózati forrásról szól, és ott véget ér.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Az RFC 6973 adatvédelmi modell a korrelációt információk egyesítéseként kezeli, és megjegyzi, hogy a tartós azonosítók időben összekapcsolják az interakciókat. Az anonimitáshalmazról szóló vitája hozzáteszi a másik felét: a rejtettség attól függ, ki más látszik ugyanolyannak az adott megfigyelő számára. Egyik gondolat sem tesz egy közös címet azonosítássá.
Így az őszinte mondat szűk marad. Ez a két esemény ezekben az időkben közös kijáratot használt, és ezen túl bármi másik rekordot igényel.
Járja végig a megfigyelő helyzetét
Egy webhely a saját kéréseit, a saját bejelentkezéseit és a saját munkamenet-azonosítóit látja, és nem örökli egy másik webhely rekordjait csak azért, mert mindkettő ugyanazt a kijáratot használta. A hozzáférési hálózat megfigyelője folyamokat lát, nem tartalmat. Egy VPN-üzemeltető a fiókok és kijáratok közötti leképezést látja. Minden helyzet más következtetést támaszt alá, és egy jelentés általában csak egyet nevez meg közülük.
Kérdezze meg, melyik megfigyelő állította elő a rekordot, majd azt, hogy mit láthatott valójában az a megfigyelő. Egy szolgáltató saját feltételei nem ugyanaz, mint a tényleges naplózása, és egyik sem ugyanaz, mint az Ön előtt fekvő rekord. Ha a válasz nem világos, kérje a forrást, ahelyett hogy feltevéssel töltené ki a hiányt. A forrás nélküli rekord egyenruhás hipotézis. A kérdés egy üzenetbe kerül, és megspórol egy helyesbítést.
Tartsa helyén az időmintákat
Az idő és a volumen összehasonlítása nem igényli oldaltartalom olvasását, ezért jelennek meg a titkosított forgalomról szóló vitákban. A hasonlóság összeegyeztethető megosztott infrastruktúrával, több egyidejű felhasználóval és egyszerűen hasonlónak tűnő viselkedéssel. Ezek alternatív magyarázatok, amelyeket egy őszinte értékelésnek mérlegelnie kell.
Egy független kísérletből idézett százalék semmit nem ad át. Jelentése a jelöltkészlettől, az adatoktól, a módszertől és a mért hibaaránytól függ. E négy nélkül egy szám bizalmat ad hozzá bizonyíték nélkül. Kezeljen minden egyes hasonlóságot hipotézisként, és írja le, mi cáfolná meg, mielőtt megerősítést keresne.
Ellenőrizze, mit támasztanak alá a rekordok
Mielőtt bármilyen következtetés elhagyná a kezét, őrizze meg az artefaktumokat és az időket. A hash-sel és időbélyeggel ellátott fájl bizonyíték, míg egy csevegőüzenetben lévő képernyőkép jó szándékú pletyka. Tárolja a óraforrást is, mert az az időbélyeg, amelyet nem tud reprodukálni, csak állítás egy időbélyegről.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Ezután a rekordok által megengedett erősséggel mondja ki a következtetést, és nem erősebben. Egy fenntartó mondat olcsóbb egy helyesbítésnél.
A közös kijárat gyengíti a csak címre épülő hozzárendelést, és nem személyazonossági tanúsítvány, sem az anonimitás ígérete. Az adatvédelem oldalán kezdje mindazzal, ami munkameneteken át megmarad, mert a felismeréshez ritkán kell egyáltalán forgalomelemzés. Operatív vizsgálathoz tartsa a megfigyelést és a következtetést külön oszlopokban. A leggyengébb nem támogatott láncszem legyen az, amiről jelent, és mondja ezt magában a jelentésben.