Keluar VPN dikongsi, orang berbeza: membaca bukti
Padanan alamat, pautan akaun dan persamaan masa ialah tiga dakwaan berbeza. Tanya pemerhati mana memegang rekod mana sebelum membuat sebarang kesimpulan.
Buka laporan itu dan baris pertama biasanya menamakan satu alamat dan satu akaun, seolah-olah kedua-duanya fakta yang sama. Bukan. Keluar dikongsi memberitahu anda bahawa sesuatu peranti menggunakan alamat itu pada masa yang direkodkan, dan pautan akaun memberitahu bahawa sesuatu perkhidmatan mengenali pengecam. Berpindah dari satu ke yang lain memerlukan asas sambungan yang laporan mesti nyatakan.
Mulakan dengan pemerhatian yang benar-benar anda ada
Tulis apa yang direkodkan dan bukan apa yang kelihatan tersirat. Alamat, cap masa dan laluan permintaan ialah pemerhatian, manakala ayat yang menyatakan siapa pelakunya ialah inferens. Memisahkan kedua-dua lajur itu ialah seluruh disiplin, dan lebih mudah dikekalkan di atas kertas daripada dalam perbualan.
Kemudian kelaskan pemerhatian itu, kerana jenis biasa membawa berat berbeza. Alamat keluar dikongsi, pengecam akaun atau kuki yang berkekalan, dan persamaan masa atau isi padu bukan tiga versi satu fakta. Dua pekerja di belakang satu keluar korporat berkongsi alamat secara reka bentuk, manakala seorang pekerja yang bertukar keluar tetapi kekal log masuk mengekalkan pautan akaun. Menganggap semuanya sebagai satu fakta ialah tempat kebanyakan laporan yang yakin tersilap.
Namakan asas sambungan sebelum kesimpulan
Dakwaan korelasi mesti menamakan medan yang menyambungkan dua rekod. Adakah kuki yang sama dikemukakan, akaun yang sama disahkan, pengecam peranti yang sama dilaporkan, atau hanya alamat yang sama? Jika jawapannya hanya alamat, dakwaan itu tentang sumber rangkaian dan berhenti di situ.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Model privasi RFC 6973 menganggap korelasi sebagai penggabungan maklumat dan menyatakan bahawa pengecam berkekalan menghubungkan interaksi merentas masa. Perbincangan set tanpa nama itu menambah separuh lagi: penyembunyian bergantung pada siapa lagi yang kelihatan sama kepada pemerhati tertentu itu. Kedua-dua idea itu tidak menjadikan alamat dikongsi sebagai pengenalan.
Jadi ayat jujur itu kekal sempit. Kedua-dua peristiwa ini berkongsi satu keluar pada masa ini, dan apa-apa di luar itu memerlukan rekod lain.
Jelajahi kedudukan pemerhati
Sebuah laman web melihat permintaannya sendiri, log masuknya sendiri dan pengecam sesinya sendiri, dan ia tidak mewarisi rekod laman web lain semata-mata kerana kedua-duanya menggunakan keluar yang sama. Pemerhati rangkaian akses melihat aliran dan bukan kandungan. Operator VPN melihat pemetaan antara akaun dan keluar. Setiap kedudukan menyokong kesimpulan berbeza, dan laporan biasanya menamakan hanya satu daripadanya.
Tanya pemerhati mana yang menghasilkan rekod itu, kemudian tanya apa yang benar-benar dapat dilihat oleh pemerhati itu. Terma penyedia sendiri bukan perkara yang sama dengan log sebenar penyedia itu, dan kedua-duanya bukan perkara yang sama dengan rekod di hadapan anda. Apabila jawapannya tidak jelas, minta sumbernya dan bukannya mengisi jurang dengan andaian. Rekod tanpa sumber ialah hipotesis berpakaian seragam. Soalan itu berharga satu mesej dan menjimatkan satu pembetulan.
Letakkan pola masa di tempatnya
Perbandingan masa dan isi padu tidak memerlukan pembacaan sebarang kandungan halaman, sebab itulah ia muncul dalam perbincangan tentang trafik tersulit. Persamaan juga serasi dengan infrastruktur dikongsi, beberapa pengguna serentak dan tingkah laku yang sekadar kelihatan serupa. Itu ialah penjelasan alternatif yang mesti dipertimbangkan oleh penilaian jujur.
Peratusan yang dipetik daripada eksperimen tidak berkaitan tidak memindahkan apa-apa. Maknanya bergantung pada set calon, data, kaedah dan kadar ralat yang diukur. Tanpa keempat-empatnya, angka menambah keyakinan tanpa menambah bukti. Anggap setiap persamaan tunggal sebagai hipotesis, dan tuliskan apa yang akan memalsukannya sebelum anda pergi mencari pengesahan.
Periksa apa yang disokong oleh rekod
Sebelum sebarang kesimpulan meninggalkan tangan anda, simpan artifak dan masanya. Fail dengan hash dan cap masa ialah bukti, manakala tangkapan skrin dalam mesej sembang ialah khabar angin dengan niat baik. Simpan juga sumber jam, kerana cap masa yang tidak dapat anda hasilkan semula hanyalah dakwaan tentang cap masa.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Kemudian nyatakan kesimpulan dengan kekuatan yang dibenarkan oleh rekod, dan tidak lebih kuat. Satu ayat kelayakan lebih murah daripada satu pembetulan.
Keluar dikongsi melemahkan atribusi yang hanya berdasarkan alamat, dan ia bukan sijil identiti mahupun janji tanpa nama. Di sisi privasi, mulakan dengan apa-apa yang kekal antara sesi, kerana pengenalan jarang memerlukan analisis trafik sama sekali. Untuk penyiasatan operasi, kekalkan pemerhatian dan inferens dalam lajur berasingan. Biarkan pautan terlemah yang tidak disokong menjadi perkara yang anda laporkan, dan nyatakan itu dalam laporan itu sendiri.