Kopīga VPN izeja, dažādi cilvēki: kā lasīt pierādījumus
Adreses sakritība, konta saite un laika līdzība ir trīs dažādi apgalvojumi. Pirms jebkāda secinājuma pajautājiet, kuram novērotājam ir kurš ieraksts.
Atveriet ziņojumu, un pirmā rinda parasti nosauc vienu adresi un vienu kontu, it kā tie būtu viens un tas pats fakts. Tie nav. Kopīga izeja jums saka, ka kāda ierīce izmantoja šo adresi reģistrētā laikā, un konta saite saka, ka kāds pakalpojums atpazina identifikatoru. Lai pārietu no viena uz otru, vajadzīgs savienošanas pamats, kas ziņojumā jānorāda.
Sāciet ar novērojumu, kas jums patiešām ir
Pierakstiet to, kas tika reģistrēts, nevis to, ko tas it kā nozīmē. Adrese, laika zīmogs un pieprasījuma ceļš ir novērojumi, bet teikums, kas pasaka, kas to izdarīja, ir secinājums. Šo divu kolonnu atdalīšana ir visa disciplīna, un uz papīra to noturēt ir vieglāk nekā sarunā.
Pēc tam klasificējiet novērojumu, jo parastajiem veidiem ir atšķirīgs svars. Kopīga izejas adrese, pastāvīgs konta vai sīkfaila identifikators un līdzība laikā vai apjomā nav trīs viena fakta versijas. Divi darbinieki aiz vienas uzņēmuma izejas dala adresi pēc projekta, bet darbinieks, kurš maina izejas, taču paliek pieteicies, saglabā konta saiti. Uzskatīt to visu par vienu faktu ir vieta, kur kļūdās lielākā daļa pārliecināto ziņojumu.
Nosauciet savienošanas pamatu pirms secinājuma
Korelācijas apgalvojumam jānosauc lauks, kas savieno divus ierakstus. Vai tika uzrādīts tas pats sīkfails, vai tika autentificēts tas pats konts, vai tika ziņots tas pats ierīces identifikators, vai tikai tā pati adrese? Ja atbilde ir tikai adrese, apgalvojums attiecas uz tīkla avotu un tur arī beidzas.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Privātuma modelis RFC 6973 korelāciju uzskata par informācijas apvienošanu un norāda, ka pastāvīgi identifikatori laika gaitā saista mijiedarbības. Tā anonimitātes kopas apspriede pievieno otru pusi: slēpšanās ir atkarīga no tā, kas vēl izskatās vienādi tieši šim novērotājam. Neviena no abām idejām nepārvērš kopīgu adresi identifikācijā.
Tāpēc godīgais teikums paliek šaurs. Šie divi notikumi šajos laikos dalīja izeju, un viss, kas tālāk, prasa citu ierakstu.
Izejiet cauri novērotāja pozīcijai
Vietne redz savus pieprasījumus, savas pieteikšanās un savus sesijas identifikatorus, un tā nemanto citas vietnes ierakstus tikai tāpēc, ka abas nejauši izmantoja to pašu izeju. Piekļuves tīkla novērotājs redz plūsmas, nevis saturu. VPN operators redz kontu un izeju atbilstību. Katra pozīcija pamato citu secinājumu, un ziņojums parasti nosauc tikai vienu no tiem.
Pajautājiet, kurš novērotājs radīja ierakstu, un pēc tam pajautājiet, ko tas novērotājs patiešām varēja redzēt. Pakalpojuma sniedzēja paša noteikumi nav tas pats, kas tā faktiskā reģistrēšana, un neviens no tiem nav tas pats, kas ieraksts jūsu priekšā. Kad atbilde nav skaidra, pieprasiet avotu, nevis aizpildiet robu ar pieņēmumu. Ieraksts bez avota ir uniformā ģērbta hipotēze. Jautājums maksā vienu ziņu un ietaupa vienu labojumu.
Turiet laika modeļus savā vietā
Laika un apjoma salīdzinājumiem nav jālasa nekāds lapas saturs, tāpēc tie parādās diskusijās par šifrētu satiksmi. Līdzība ir savienojama arī ar kopīgu infrastruktūru, vairākiem vienlaicīgiem lietotājiem un uzvedību, kas vienkārši izskatās līdzīga. Tie ir alternatīvi skaidrojumi, kas godīgam vērtējumam jāņem vērā.
Procenti, kas citēti no nesaistīta eksperimenta, neko nenodod. To nozīme ir atkarīga no kandidātu kopas, datiem, metodes un izmērītās kļūdu likmes. Bez šiem četriem skaitlis pievieno pārliecību, nepievienojot pierādījumus. Uzskatiet jebkuru atsevišķu līdzību par hipotēzi un pierakstiet, kas to atspēkotu, pirms dodaties meklēt apstiprinājumu.
Pārbaudiet, ko ieraksti pamato
Pirms jebkurš secinājums atstāj jūsu rokas, saglabājiet artefaktus un laikus. Fails ar jaucējvērtību un laika zīmogu ir pierādījums, bet ekrānuzņēmums tērzēšanas ziņojumā ir labu nodomu bauma. Saglabājiet arī pulksteņa avotu, jo laika zīmogs, ko nevarat atkārtot, ir tikai apgalvojums par laika zīmogu.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Pēc tam izsakiet secinājumu ar tādu spēku, kādu pieļauj ieraksti, un ne stiprāku. Viens atruna teikums ir lētāks par labojumu.
Kopīga izeja vājina attiecināšanu tikai pēc adreses, un tā nav ne identitātes sertifikāts, ne anonimitātes solījums. Privātuma pusē sāciet ar visu, kas saglabājas starp sesijām, jo atpazīšanai reti kad vispār vajag satiksmes analīzi. Operatīvai izmeklēšanai turiet novērojumu un secinājumu atsevišķās kolonnās. Lai vājākais neatbalstītais posms ir tas, par ko jūs ziņojat, un sakiet to pašā ziņojumā.