Bendras VPN išėjimas, skirtingi žmonės: kaip skaityti įrodymus
Adreso sutapimas, paskyros sąsaja ir laiko panašumas yra trys skirtingi teiginiai. Prieš darydami bet kokią išvadą paklauskite, kuris stebėtojas turi kurį įrašą.
Atidarykite ataskaitą, ir pirmoji eilutė paprastai įvardija vieną adresą ir vieną paskyrą, tarsi tai būtų tas pats faktas. Tai ne tas pats. Bendras išėjimas pasako, kad koks nors įrenginys naudojo tą adresą užfiksuotu laiku, o paskyros sąsaja pasako, kad kokia nors paslauga atpažino identifikatorių. Norint pereiti nuo vieno prie kito reikia sujungimo pagrindo, kurį ataskaita turi nurodyti.
Pradėkite nuo stebėjimo, kurį iš tikrųjų turite
Užrašykite, kas buvo užfiksuota, o ne tai, ką tai tarsi reiškia. Adresas, laiko žyma ir užklausos kelias yra stebėjimai, o sakinys, sakantis, kas tai padarė, yra išvada. Šių dviejų stulpelių atskyrimas yra visa drausmė, ir popieriuje ją išlaikyti lengviau nei pokalbyje.
Tada klasifikuokite stebėjimą, nes įprasti tipai turi skirtingą svorį. Bendras išėjimo adresas, nuolatinis paskyros ar slapuko identifikatorius ir laiko ar apimties panašumas nėra trys vieno fakto versijos. Du darbuotojai už vieno įmonės išėjimo dalijasi adresu pagal projektą, o darbuotojas, kuris keičia išėjimus, bet lieka prisijungęs, išlaiko paskyros sąsają. Traktuoti tai kaip vieną faktą yra vieta, kur dauguma pasitikinčių ataskaitų klysta.
Įvardykite sujungimo pagrindą prieš išvadą
Koreliacijos teiginys turi įvardyti lauką, kuris sujungia du įrašus. Ar buvo pateiktas tas pats slapukas, ar autentifikuota ta pati paskyra, ar praneštas tas pats įrenginio identifikatorius, ar tik tas pats adresas? Jei atsakymas yra tik adresas, teiginys yra apie tinklo šaltinį ir tuo baigiasi.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Privatumo modelis RFC 6973 koreliaciją traktuoja kaip informacijos sujungimą ir pažymi, kad nuolatiniai identifikatoriai susieja sąveikas laike. Jo anonimiškumo aibės aptarimas prideda antrąją pusę: paslėpimas priklauso nuo to, kas dar atrodo taip pat tam konkrečiam stebėtojui. Nė viena idėja nepaverčia bendro adreso identifikacija.
Taigi sąžiningas sakinys lieka siauras. Šie du įvykiai dalijosi išėjimu šiais laikais, o viskas, kas toliau, reikalauja kito įrašo.
Pereikite stebėtojo poziciją
Svetainė mato savo užklausas, savo prisijungimus ir savo sesijų identifikatorius, ir ji nepaveldi kitos svetainės įrašų vien todėl, kad abi naudojo tą patį išėjimą. Prieigos tinklo stebėtojas mato srautus, o ne turinį. VPN operatorius mato paskyrų ir išėjimų atitikimą. Kiekviena pozicija pagrindžia skirtingą išvadą, o ataskaita paprastai įvardija tik vieną iš jų.
Paklauskite, kuris stebėtojas sukūrė įrašą, tada paklauskite, ką tas stebėtojas iš tikrųjų galėjo matyti. Teikėjo pačios sąlygos nėra tas pats, kas jo faktinis registravimas, ir nė vienas iš jų nėra tas pats, kas įrašas prieš jus. Kai atsakymas neaiškus, prašykite šaltinio, o ne užpildykite spragą prielaida. Įrašas be šaltinio yra uniformuota hipotezė. Klausimas kainuoja vieną žinutę ir sutaupo vieną pataisymą.
Laikykite laiko modelius savo vietoje
Laiko ir apimties palyginimams nereikia skaityti jokio puslapio turinio, todėl jie pasirodo diskusijose apie šifruotą srautą. Panašumas taip pat suderinamas su bendra infrastruktūra, keliais vienalaikiais naudotojais ir elgesiu, kuris tiesiog atrodo panašiai. Tai alternatyvūs paaiškinimai, kuriuos sąžiningas vertinimas turi apsvarstyti.
Procentas, cituojamas iš nesusijusio eksperimento, nieko neperduoda. Jo reikšmė priklauso nuo kandidatų aibės, duomenų, metodo ir išmatuotos klaidų dalies. Be šių keturių skaičius prideda pasitikėjimo, nepridėdamas įrodymų. Bet kokį atskirą panašumą traktuokite kaip hipotezę ir užrašykite, kas ją paneigtų, prieš eidami ieškoti patvirtinimo.
Patikrinkite, ką pagrindžia įrašai
Prieš bet kuriai išvadai paliekant jūsų rankas, išsaugokite artefaktus ir laikus. Failas su maiša ir laiko žyma yra įrodymas, o ekrano kopija pokalbio žinutėje yra gera ketinimą turintis gandas. Išsaugokite ir laikrodžio šaltinį, nes laiko žyma, kurios negalite atkurti, tėra teiginys apie laiko žymą.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Tada išsakykite išvadą tokia jėga, kokią leidžia įrašai, ir ne stipriau. Vienas išlygos sakinys pigesnis už pataisymą.
Bendras išėjimas silpnina priskyrimą vien pagal adresą, ir tai nėra nei tapatybės sertifikatas, nei anonimiškumo pažadas. Privatumo pusėje pradėkite nuo visko, kas išlieka tarp sesijų, nes atpažinimui retai kada apskritai reikia srauto analizės. Operatyviniam tyrimui laikykite stebėjimą ir išvadą atskiruose stulpeliuose. Tegul silpniausia nepagrįsta grandis bus tai, apie ką pranešate, ir pasakykite tai pačioje ataskaitoje.