Keluaran VPN bersama, orang berbeda: membaca bukti
Kecocokan alamat, tautan akun, dan kemiripan waktu adalah tiga klaim berbeda. Tanyakan pengamat mana yang memegang catatan mana sebelum menarik kesimpulan apa pun.
Buka laporan itu dan baris pertama biasanya menyebut satu alamat dan satu akun, seolah keduanya fakta yang sama. Bukan. Keluaran bersama memberi tahu Anda bahwa suatu perangkat memakai alamat itu pada waktu yang tercatat, sedangkan tautan akun memberi tahu bahwa suatu layanan mengenali sebuah pengenal. Berpindah dari yang satu ke yang lain memerlukan dasar penghubung yang harus disebutkan laporan.
Mulailah dari pengamatan yang benar-benar Anda miliki
Tuliskan apa yang dicatat, bukan apa yang tampaknya tersirat. Alamat, stempel waktu, dan jalur permintaan adalah pengamatan, sedangkan kalimat yang menyebut siapa pelakunya adalah inferensi. Menjaga dua kolom itu tetap terpisah adalah seluruh disiplinnya, dan lebih mudah dipertahankan di atas kertas daripada dalam percakapan.
Lalu klasifikasikan pengamatan itu, karena jenis yang umum membawa bobot berbeda. Alamat keluar bersama, pengenal akun atau kuki yang menetap, dan kemiripan waktu atau volume bukan tiga versi dari satu fakta. Dua karyawan di balik satu keluaran korporat berbagi alamat secara desain, sedangkan satu karyawan yang berganti keluaran tetapi tetap masuk mempertahankan tautan akun. Memperlakukan semua itu sebagai satu fakta adalah titik kesalahan sebagian besar laporan yang percaya diri.
Sebutkan dasar penghubung sebelum kesimpulan
Klaim korelasi harus menyebutkan bidang yang menghubungkan dua catatan. Apakah kuki yang sama disajikan, akun yang sama diautentikasi, pengenal perangkat yang sama dilaporkan, atau hanya alamat yang sama? Jika jawabannya hanya alamat, klaim itu tentang sumber jaringan dan berhenti di situ.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Model privasi RFC 6973 memperlakukan korelasi sebagai penggabungan informasi dan mencatat bahwa pengenal menetap menghubungkan interaksi sepanjang waktu. Pembahasan himpunan anonimitasnya menambahkan separuh lainnya: penyembunyian bergantung pada siapa lagi yang tampak sama bagi pengamat tertentu itu. Tidak satu pun dari kedua gagasan itu mengubah alamat bersama menjadi identifikasi.
Jadi kalimat jujurnya tetap sempit. Kedua peristiwa ini berbagi satu keluaran pada waktu-waktu ini, dan apa pun di luar itu memerlukan catatan lain.
Telusuri posisi pengamat
Sebuah situs web melihat permintaannya sendiri, proses masuknya sendiri, dan pengenal sesinya sendiri, dan ia tidak mewarisi catatan situs web lain hanya karena keduanya kebetulan memakai keluaran yang sama. Pengamat jaringan akses melihat aliran, bukan isi. Operator VPN melihat pemetaan antara akun dan keluaran. Setiap posisi mendukung kesimpulan berbeda, dan laporan biasanya hanya menyebut salah satunya.
Tanyakan pengamat mana yang menghasilkan catatan itu, lalu tanyakan apa yang benar-benar bisa dilihat pengamat tersebut. Ketentuan penyedia sendiri bukan hal yang sama dengan pencatatannya yang sebenarnya, dan tidak satu pun dari keduanya sama dengan catatan di depan Anda. Ketika jawabannya tidak jelas, mintalah sumbernya alih-alih mengisi celah dengan asumsi. Catatan tanpa sumber adalah hipotesis berseragam. Pertanyaannya memakan satu pesan dan menghemat satu koreksi.
Letakkan pola waktu pada tempatnya
Perbandingan waktu dan volume tidak memerlukan pembacaan isi halaman apa pun, karena itulah ia muncul dalam diskusi tentang lalu lintas terenkripsi. Kemiripan juga cocok dengan infrastruktur bersama, beberapa pengguna bersamaan, dan perilaku yang sekadar tampak serupa. Itu adalah penjelasan alternatif yang harus dipertimbangkan penilaian jujur.
Persentase yang dikutip dari eksperimen tak terkait tidak memindahkan apa pun. Maknanya bergantung pada himpunan kandidat, data, metode, dan laju galat yang diukur. Tanpa keempatnya, sebuah angka menambah keyakinan tanpa menambah bukti. Perlakukan setiap kemiripan tunggal sebagai hipotesis, dan tuliskan apa yang akan memalsukannya sebelum Anda mencari konfirmasi.
Periksa apa yang didukung catatan
Sebelum kesimpulan apa pun meninggalkan tangan Anda, simpan artefak dan waktunya. Berkas dengan hash dan stempel waktu adalah bukti, sedangkan tangkapan layar dalam pesan obrolan adalah desas-desus dengan niat baik. Simpan juga sumber jam, karena stempel waktu yang tidak dapat Anda reproduksi hanyalah klaim tentang stempel waktu.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Lalu nyatakan kesimpulan sekuat yang diizinkan catatan, dan tidak lebih kuat. Satu kalimat kualifikasi lebih murah daripada satu koreksi.
Keluaran bersama melemahkan atribusi yang hanya berbasis alamat, dan itu bukan sertifikat identitas maupun janji anonimitas. Di sisi privasi, mulailah dari apa pun yang bertahan antar sesi, karena pengenalan jarang memerlukan analisis lalu lintas sama sekali. Untuk penyelidikan operasional, jaga pengamatan dan inferensi dalam kolom terpisah. Biarkan mata rantai terlemah yang tak didukung menjadi hal yang Anda laporkan, dan katakan itu di dalam laporan itu sendiri.