Ортақ VPN шығуы, әртүрлі адамдар: дәлелдерді қалай оқу керек
Мекенжайдың сәйкестігі, тіркелгінің байланысы және уақыт ұқсастығы — бұл үш түрлі тұжырым. Қандай да бір қорытынды жасамас бұрын қай бақылаушы қай жазбаны ұстайтынын сұраңыз.
Есепті ашыңыз, және бірінші жол әдетте бір мекенжай мен бір тіркелгіні атайды, сияқты екеуі бір факт. Олай емес. Ортақ шығу сізге қандай да бір құрылғының сол мекенжайды тіркелген уақытта пайдаланғанын айтады, ал тіркелгі байланысы қандай да бір қызметтің идентификаторды танығанын білдіреді. Бірінен екіншісіне өту үшін есеп көрсетуі тиіс байланыс негізі қажет.
Шынында бар бақылаудан бастаңыз
Болып көрінгенін емес, тіркелгенін жазыңыз. Мекенжай, уақыт белгісі және сұраныс жолы — бақылаулар, ал кім жасағанын айтатын сөйлем — қорытынды. Осы екі бағанды бөлек ұстау — бүкіл тәртіп, және оны қағазда ұстау әңгімедегіден оңай.
Содан кейін бақылауды жіктеңіз, өйткені кәдімгі түрлердің салмағы әртүрлі. Ортақ шығу мекенжайы, тұрақты тіркелгі немесе cookie идентификаторы және уақыт немесе көлем ұқсастығы — бір фактінің үш нұсқасы емес. Бір корпоративтік шығудың артындағы екі қызметкер мекенжайды дизайн бойынша бөліседі, ал шығуларды ауыстырып, бірақ жүйеге кірген күйде қалатын бір қызметкер тіркелгі байланысын сақтайды. Оларды бір факт ретінде қарау — сенімді есептердің көбісі қателесетін жер.
Қорытындыдан бұрын байланыс негізін атаңыз
Корреляция туралы тұжырым екі жазбаны байланыстыратын өрісті атауы керек. Сол cookie ұсынылды ма, сол тіркелгі аутентификацияланды ма, сол құрылғы идентификаторы хабарланды ма, әлде тек сол мекенжай ма? Жауап тек мекенжай болса, тұжырым желілік дереккөз туралы және сонда тоқтайды.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
RFC 6973 құпиялылық моделі корреляцияны ақпаратты біріктіру деп қарайды және тұрақты идентификаторлардың өзара әрекеттесулерді уақыт бойынша байланыстыратынын атап өтеді. Оның анонимдік жиынтығы туралы талқылауы екінші жартысын қосады: жасырыну сол нақты бақылаушыға тағы кім бірдей көрінетініне байланысты. Екі идеяның ешқайсысы ортақ мекенжайды сәйкестендіруге айналдырмайды.
Сондықтан адал сөйлем тар күйінде қалады. Бұл екі оқиға осы уақыттарда бір шығуды бөлісті, ал одан әрі кез келген нәрсе басқа жазбаны қажет етеді.
Бақылаушының ұстанымымен жүріп өтіңіз
Веб-сайт өз сұраныстарын, өз кірулерін және өз сессия идентификаторларын көреді, және екеуі де бір шығуды пайдаланғаны үшін ғана басқа сайттың жазбаларын мұраға алмайды. Кіру желісінің бақылаушысы мазмұнды емес, ағындарды көреді. VPN операторы тіркелгілер мен шығулар арасындағы сәйкестікті көреді. Әр ұстаным басқа қорытындыны қолдайды, және есеп әдетте солардың тек біреуін атайды.
Жазбаны қай бақылаушы жасағанын сұраңыз, содан кейін сол бақылаушы шынында нені көре алғанын сұраңыз. Провайдердің өз шарттары оның нақты журналдауымен бірдей емес, және екеуінің ешқайсысы алдыңыздағы жазбамен бірдей емес. Жауап анық болмаса, олқылықты болжаммен толтырудың орнына дереккөзді сұраңыз. Дереккөзсіз жазба — форма киген гипотеза. Сұрақ бір хабарламаға тұрады және бір түзетуді үнемдейді.
Уақыт үлгілерін өз орнында ұстаңыз
Уақыт пен көлемді салыстыру бет мазмұнын оқуды қажет етпейді, сондықтан олар шифрланған трафик туралы талқылауларда кездеседі. Ұқсастық сонымен қатар ортақ инфрақұрылыммен, бірнеше бір мезгілдегі пайдаланушымен және жай ғана ұқсас көрінетін мінез-құлықпен үйлеседі. Бұл адал бағалау ескеруі тиіс балама түсіндірмелер.
Байланысы жоқ эксперименттен келтірілген пайыз ештеңе жеткізбейді. Оның мағынасы үміткерлер жиынтығына, деректерге, әдіске және өлшенген қателік деңгейіне байланысты. Осы төртеусіз сан дәлел қоспай сенім қосады. Кез келген жалғыз ұқсастықты гипотеза деп қараңыз және растауды іздеуге шықпас бұрын оны не жоққа шығаратынын жазыңыз.
Жазбалар нені қолдайтынын тексеріңіз
Кез келген қорытынды қолыңыздан шықпас бұрын артефактілер мен уақыттарды сақтаңыз. Хэш пен уақыт белгісі бар файл — дәлел, ал чат хабарламасындағы скриншот — жақсы ниетті өсек. Сағат көзін де сақтаңыз, өйткені қайта шығара алмайтын уақыт белгісі тек уақыт белгісі туралы тұжырым.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Содан кейін қорытындыны жазбалар рұқсат ететін күшпен айтыңыз, одан күштірек емес. Бір ескерту сөйлемі бір түзетуден арзан.
Ортақ шығу тек мекенжайға негізделген телімдеуді әлсіретеді, және ол не сәйкестік сертификаты, не анонимдік уәдесі емес. Құпиялылық жағында сессиялар арасында сақталатын нәрсенің бәрінен бастаңыз, өйткені тану трафик талдауын сирек қажет етеді. Операциялық тергеу үшін бақылау мен қорытындыны бөлек бағандарда ұстаңыз. Ең әлсіз қолдаусыз буын сіз хабарлайтын нәрсе болсын, және мұны есептің өзінде айтыңыз.