共有されたVPN出口、異なる人々：証拠をどう読むか
アドレスの一致、アカウントの紐付け、時刻の類似は三つの異なる主張である。結論を出す前に、どの観測者がどの記録を持つのかを問うべきだ。
報告書を開くと、たいてい最初の行に一つのアドレスと一つのアカウントが並び、まるで同じ事実であるかのように書かれている。しかし同じではない。共有された出口は、ある端末が記録された時刻にそのアドレスを使ったことを示し、アカウントの紐付けは、あるサービスが識別子を認識したことを示す。一方から他方へ渡るには、報告書が明示すべき結合の根拠が要る。
実際に手元にある観測から始める
含意に見えることではなく、記録されたことを書き出す。アドレス、タイムスタンプ、リクエストの経路は観測であり、誰がやったかを述べる文は推論である。この二つの列を分けておくことが規律のすべてであり、会話よりも紙の上のほうが維持しやすい。
次に観測を分類するのは、よくある種類の重みが違うからだ。共有された出口アドレス、持続的なアカウントやCookieの識別子、時刻や量の類似は、一つの事実の三つの版ではない。一つの企業出口の背後にいる二人の従業員は設計上アドレスを共有し、出口を変えてもサインインしたままの一人の従業員はアカウントの紐付けを保つ。これらを一つの事実として扱うことこそ、自信ありげな報告書が誤る場所である。
結論の前に結合の根拠を名指しする
相関の主張は、二つの記録を結びつける項目を名指ししなければならない。同じCookieが提示されたのか、同じアカウントが認証されたのか、同じ端末識別子が報告されたのか、それとも同じアドレスだけなのか。答えがアドレスだけなら、その主張はネットワーク上の出所についてのものであり、そこで止まる。
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
RFC 6973のプライバシーモデルは相関を情報の結合として扱い、持続的な識別子が時間を越えて相互作用を結びつけると指摘する。その匿名性集合の議論は、隠れるかどうかがその特定の観測者に誰が同じに見えるかにかかっている、というもう半分を加える。どちらの考えも、共有アドレスを識別には変えない。
だから正直な文は狭いままでいる。この二つの出来事はこの時刻に出口を共有した、それ以上は別の記録を要する。
観測者の位置をたどる
ウェブサイトは自身のリクエスト、自身のログイン、自身のセッション識別子を見ており、同じ出口を使ったというだけで別サイトの記録を引き継ぎはしない。アクセス網の観測者は内容ではなくフローを見る。VPN事業者はアカウントと出口の対応を見る。どの位置も異なる結論を支え、報告書はふつうそのうちの一つしか名指ししない。
どの観測者がその記録を作ったのかを問い、次にその観測者が実際に何を見られたのかを問う。事業者自身の規約はその実際の記録とは同じものではないし、どちらも目の前の記録と同じではない。答えが不明なら、仮定で隙間を埋めるのではなく出所を求める。出所のない記録は制服を着た仮説である。問いはメッセージ一つ分で、訂正一回分を節約する。
時刻のパターンは然るべき場所に置く
時刻と量の比較はページ内容の読解を要さないため、暗号化トラフィックの議論に現れる。類似はまた、共有インフラ、同時に複数の利用者、単に似て見える振る舞いとも両立する。これらは正直な評価が考慮すべき別の説明である。
無関係な実験から引用した割合は何も運ばない。その意味は候補集合、データ、手法、測定された誤り率にかかっている。その四つがなければ、数字は証拠を足さずに自信を足す。単独の類似は仮説として扱い、確認を探しに行く前に何がそれを反証するかを書き留める。
記録が何を支えるかを確かめる
結論が手を離れる前に、成果物と時刻を保存する。ハッシュとタイムスタンプのあるファイルは証拠であり、チャットのスクリーンショットは善意のうわさである。時計の出所も保存するのは、再現できないタイムスタンプがタイムスタンプについての主張にすぎないからだ。
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'そして記録が許す強さで結論を述べ、それ以上は述べない。留保の一文は訂正より安い。
共有された出口はアドレスだけに基づく帰属を弱め、身元の証明書でも匿名性の約束でもない。プライバシーの側では、認識にトラフィック分析が要ることはほとんどないため、セッションを越えて残るものから始める。運用上の調査では、観測と推論を別の列に保つ。最も弱い裏付けのない環を報告し、それを報告書自体に書く。