Заеднички VPN излез, различни луѓе: како да се читаат доказите
Совпаѓањето на адреса, поврзувањето на сметка и временската сличност се три различни тврдења. Прашајте кој набљудувач држи кој запис пред да донесете каков било заклучок.
Отворете го извештајот и првиот ред обично именува една адреса и една сметка, како двете да се истиот факт. Не се. Заедничкиот излез ви кажува дека некој уред ја користел таа адреса во запишано време, а поврзувањето на сметката кажува дека некоја услуга препознала идентификатор. За да се премине од едното на другото потребна е основа за поврзување што извештајот мора да ја наведе.
Започнете со набљудувањето што навистина го имате
Запишете што е запишано, а не што се чини дека подразбира. Адресата, временската ознака и патеката на барањето се набљудувања, додека реченицата што кажува кој го направил тоа е заклучок. Да се држат тие две колони одвоени е целата дисциплина, и полесно е да се одржи на хартија отколку во разговор.
Потоа класифицирајте го набљудувањето, бидејќи вообичаените видови носат различно тежиште. Заедничка излезна адреса, постојан идентификатор на сметка или колаче и сличност во време или обем не се три верзии на еден факт. Двајца вработени зад еден корпоративен излез делат адреса по проект, додека вработен што менува излези но останува најавен ја задржува врската со сметката. Да се третираат како еден факт е местото каде повеќето самоуверени извештаи грешат.
Наведете ја основата за поврзување пред заклучокот
Тврдењето за корелација мора да го наведе полето што поврзува два записи. Дали беше претставено истото колаче, дали беше автентификувана истата сметка, дали беше пријавен истиот идентификатор на уред, или само истата адреса? Ако одговорот е само адресата, тврдењето е за мрежен извор и застанува таму.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Моделот за приватност RFC 6973 ја третира корелацијата како комбинирање информации и забележува дека постојаните идентификатори ги поврзуваат интеракциите низ времето. Неговата расправа за множеството анонимност ја додава другата половина: сокривањето зависи од тоа кој друг изгледа исто за тој конкретен набљудувач. Ниту една од двете идеи не претвора заедничка адреса во идентификација.
Затоа чесната реченица останува тесна. Овие два настана делеа излез во овие времиња, и сето она што е подалеку од тоа бара друг запис.
Поминете ја позицијата на набљудувачот
Веб-страницата ги гледа своите барања, своите најави и своите идентификатори на сесија, и не ги наследува записите на друга страница само затоа што двете случајно користеле ист излез. Набљудувач во пристапната мрежа гледа текови, а не содржина. VPN операторот го гледа совпаѓањето помеѓу сметките и излезите. Секоја позиција поддржува различен заклучок, а извештајот обично именува само еден од нив.
Прашајте кој набљудувач го создал записот, потоа прашајте што тој набљудувач навистина можел да види. Сопствените услови на давателот не се истото како неговото фактичко евидентирање, и ниту едно од двете не е истото како запис пред вас. Кога одговорот не е јасен, побарајте го изворот наместо да ја пополните празнината со претпоставка. Запис без извор е хипотеза во униформа. Прашањето чини една порака и штеди една исправка.
Држете ги временските обрасци на нивното место
Споредбите на време и обем не бараат читање на никаква содржина на страница, затоа се појавуваат во расправи за шифриран сообраќај. Сличноста е исто така спојлива со заедничка инфраструктура, повеќе истовремени корисници и однесување што едноставно изгледа исто. Тоа се алтернативни објаснувања што чесната проценка мора да ги земе предвид.
Процент цитиран од неповрзан експеримент не пренесува ништо. Неговото значење зависи од множеството кандидати, податоците, методот и измерената стапка на грешки. Без тие четири, број додава доверба без да додаде доказ. Третирајте ја секоја поединечна сличност како хипотеза и запишете што би ја побило пред да тргнете во потрага по потврда.
Проверете што поддржуваат записите
Пред каков било заклучок да излезе од вашите раце, зачувајте ги артефактите и времињата. Датотека со хаш и временска ознака е доказ, додека слика од екран во порака од разговор е гласина со добри намери. Зачувајте го и изворот на часовникот, бидејќи временска ознака што не можете да ја репродуцирате е само тврдење за временска ознака.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Потоа изразете го заклучокот со силата што ја дозволуваат записите, и не појако. Една реченица на ограничување е поевтина од исправка.
Заедничкиот излез го ослабува доделувањето само по адреса, и не е ниту сертификат за идентитет ниту ветување за анонимност. На страната на приватноста, започнете со сето она што останува меѓу сесиите, бидејќи препознавањето ретко кога воопшто бара анализа на сообраќај. За оперативна истрага држете го набљудувањето и заклучокот во одделни колони. Нека најслабата неподдржана алка биде она за што известувате, и кажете го тоа во самиот извештај.