Жалпы VPN чыгуучу жери, башка адамдар: далилдерди кантип окуу керек
Дарек дал келиши, эсептин байланышы жана убакыт окшоштугу — бул үч башка бектик. Кандайдыр бир тыянак чыгарардан мурун кайсы байкоочу кайсы жазууну кармай турганын сураңыз.
Отчётту ачыңыз, биринчи сап адатта бир даректи жана бир эсепти атайт, экөө бир фактыдай. Андай эмес. Жалпы чыгуучу жер сизге кандайдыр бир түзмөктүн ошол даректи жазылган убакта колдонулганын айтат, ал эми эсептин байланышы кандайдыр бир кызматтын идентификаторду тааныганын билдирет. Бирөөнөн экинчисине өтүү үчүн отчёт көрсөтүшү керек болгон байланыш негизи керек.
Чындыгында бар байкоодон баштаңыз
Көрүнгөн нерсени эмес, жазылганды жаз. Дарек, убакыт белгиси жана сурам жолу — байкоолор, ал эми ким жасаганын айткан сүйлөм — тыянак. Бул эки мамычаны бөлүк кармоо — бүт тартип, жана аны кагазда кармоо сүйлөшүүгө караганда жеңил.
Андан кийин байкоону классификацияла, анткени кадимки түрлөрдүн салмагы ар башка. Жалпы чыгуучу жердин дареги, туруктуу эсеп же cookie идентификатору жана убакыт же көлөм окшоштугу — бир фактынын үч варианты эмес. Бир корпоративдик чыгуучу жердин артындагы эки кызматкер даректи долбоор боюнча бөлүшөт, ал эми чыгуучу жерлерди алмаштырып, бирок кирген бойдон калган бир кызматкер эсептин байланышын сактайт. Аларды бир факт катары кароо — ишенимдүү отчёттордун көбү жаңылышкан жер.
Тыянактан мурун байланыш негизин атаңыз
Корреляция тууралуу бектик эки жазууну байланыштырган талааны аташы керек. Ошол эле cookie берилдиби, ошол эле эсеп аутентификацияландыбы, ошол эле түзмөктүн идентификатору билдирилдиби, же болбосо тек гана ошол эле дарекпи? Жообу тек гана дарек болсо, бектик тармактык булак жөнүндө жана ошол жерде токтойт.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
RFC 6973 купуялуулук модели корреляцияны маалыматты бириктирүү катары карайт жана туруктуу идентификаторлор өз ара аракеттерди убакыт бою байланыштырарын белгилейт. Анын анонимдүүлүк топтому тууралуу талкуусу экинчи жарымын кошот: жашыруу ошол белгилүү байкоочуга дагы ким окшош көрүнөрүнө көз каранды. Эки идеянын бири да жалпы даректи идентификацияга айландырбайт.
Ошондуктан чынчыл сүйлөм кууш бойдон калат. Бул эки окуя бул убакыттарда бир чыгуучу жерди бөлүштү, ал эми андан ары кандайдыр бир нерсе башка жазууну талап кылат.
Байкоочунун орду менен жүрүңүз
Веб-сайт өзүнүн сурамдарын, өзүнүн кирүүлөрүн жана өзүнүн сессия идентификаторлорун көрөт, жана экөө тең бир чыгуучу жерди колдонгону үчүн гана башка сайттын жазууларын мураска албайт. Кирүү тармагынын байкоочусу мазмунду эмес, агымдарды көрөт. VPN оператору эсептер менен чыгуучу жерлердин ортосундагы шайкештикти көрөт. Ар бир орун башка тыянакты колдойт, жана отчёт адатта алардын бирөөнү гана атайт.
Жазууну кайсы байкоочу түзгөнүн сураңыз, андан кийин ошол байкоочу чындыгында эмнени көрө алганын сураңыз. Провайдердин өз шарттары анын иш жүзүндөгү журналдашы менен бирдей эмес, жана экөөнүн бири да сиздин алдыңыздагы жазуу менен бирдей эмес. Жооп так эмес болсо, боштукту божомол менен толтуруунун ордуна булакты сураңыз. Булагы жок жазуу — форма кийген гипотеза. Суроо бир билдирүүгө турат жана бир оңдоону үнөмдөйт.
Убакыт үлгүлөрүн өз ордунда кармаңыз
Убакыт жана көлөм салыштыруулары барактын мазмунун окууну талап кылбайт, ошондуктан алар шифрленген трафик тууралуу талкууларда кездешет. Окшоштук ошондой эле жалпы инфраструктурага, бир убактагы бир нече колдонуучуга жана жөн гана окшош көрүнгөн жүрүм-турумга шайкеш келет. Булар чынчыл баалоо эске алышы керек болгон альтернативалуу түшүндүрмөлөр.
Байланышы жок эксперименттен келтирилген пайыз эч нерсе жеткирбейт. Анын мааниси талапкерлер топтомуна, берилиштерге, ыкмага жана өлчөнгөн ката деңгээлине көз каранды. Ушул төртөө жок болсо, сан далил кошпой ишеним кошот. Ар кандай жалгыз окшоштукту гипотеза катары караңыз жана ырастоону издегенге чейин аны эмне жокко чыгарарын жазыңыз.
Жазуулар эмнени колдой турганын текшериңиз
Кандайдыр бир тыянак колуңуздан чыкпастан мурун артефакттарды жана убакыттарды сактаңыз. Хэш жана убакыт белгиси бар файл — далил, ал эми чат билдирүүсүндөгү скриншот — жакшы ниеттүү ушак. Саат булагын да сактаңыз, анткени кайра өндүрө албаган убакыт белгиси убакыт белгиси жөнүндө гана бектик.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Андан кийин тыянакты жазуулар уруксат берген күч менен айтыңыз, андан күчтүү эмес. Бир эскертүү сүйлөмү бир оңдоодон арзан.
Жалпы чыгуучу жер тек гана дарекке негизделген таанууну алсыратат, жана ал идентификациялык күбөлүк да, анонимдүүлүк убадасы да эмес. Купуялуулук жагында сессиялардын ортосунда сакталган нерселердин баарынан баштаңыз, анткени таануу трафик анализин сейрек талап кылат. Операциялык иликтөө үчүн байкоону жана тыянакты өзүнчө мамычаларда кармаңыз. Эң алсыз колдоосуз звенону сиз билдирген нерсе кылсын, жана муну отчёттун өзүндө айтыңыз.