Delt VPN-utgang, forskjellige mennesker: å lese bevisene
Et adressesamsvar, en kontolink og en tidsmessig likhet er tre forskjellige påstander. Spør hvilken observatør som har hvilken registrering, før du trekker noen konklusjon.
Åpne rapporten, og den første linjen nevner vanligvis én adresse og én konto, som om de to var det samme faktum. Det er de ikke. En delt utgang forteller deg at en eller annen enhet brukte den adressen på et registrert tidspunkt, og en kontolink forteller at en tjeneste kjente igjen en identifikator. Å gå fra det ene til det andre krever et sammenkoblingsgrunnlag som rapporten må oppgi.
Begynn med observasjonen du faktisk har
Skriv ned det som ble registrert, i stedet for det det ser ut til å antyde. En adresse, et tidsstempel og en forespørselssti er observasjoner, mens setningen som sier hvem som gjorde det, er en slutning. Å holde de to kolonnene fra hverandre er hele disiplinen, og det er lettere å opprettholde på papir enn i en samtale.
Klassifiser deretter observasjonen, fordi de vanlige typene har ulik vekt. En delt utgangsadresse, en varig konto- eller informasjonskapselidentifikator og en likhet i tid eller volum er ikke tre versjoner av ett faktum. To ansatte bak én bedriftsutgang deler en adresse ved design, mens én ansatt som bytter utgang men forblir pålogget, beholder en kontolink. Å behandle dem som ett faktum er der de fleste selvsikre rapporter tar feil.
Navngi sammenkoblingsgrunnlaget før konklusjonen
En korrelasjonspåstand må navngi feltet som kobler to registreringer. Ble den samme informasjonskapselen presentert, ble den samme kontoen autentisert, ble den samme enhetsidentifikatoren rapportert, eller bare den samme adressen? Hvis svaret bare er adressen, handler påstanden om en nettverkskilde og stopper der.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Personvernmodellen RFC 6973 behandler korrelasjon som kombinasjon av informasjon og bemerker at varige identifikatorer kobler interaksjoner over tid. Diskusjonen om anonymitetssettet legger til den andre halvdelen: skjul avhenger av hvem andre som ser like ut for akkurat den observatøren. Ingen av de to ideene gjør en delt adresse til en identifikasjon.
Så den ærlige setningen forblir smal. Disse to hendelsene delte en utgang på disse tidspunktene, og alt utover det trenger en annen registrering.
Gå gjennom observatørens posisjon
Et nettsted ser sine egne forespørsler, sine egne pålogginger og sine egne sesjonsidentifikatorer, og det arver ikke et annet nettsteds registreringer bare fordi begge tilfeldigvis brukte samme utgang. En observatør i aksessnettet ser strømmer i stedet for innhold. En VPN-operatør ser koblingen mellom kontoer og utganger. Hver posisjon støtter en annen konklusjon, og en rapport nevner vanligvis bare én av dem.
Spør hvilken observatør som laget registreringen, og spør deretter hva den observatøren faktisk kunne se. En leverandørs egne vilkår er ikke det samme som dens faktiske logging, og ingen av delene er det samme som en registrering foran deg. Når svaret er uklart, be om kilden i stedet for å fylle hullet med en antakelse. En registrering uten kilde er en hypotese i uniform. Spørsmålet koster én melding og sparer én rettelse.
Hold tidsmønstre på plass
Sammenligninger av tid og volum krever ikke lesing av noe sideinnhold, og derfor dukker de opp i diskusjoner om kryptert trafikk. En likhet er også forenlig med delt infrastruktur, flere samtidige brukere og atferd som bare ser lik ut. Det er alternative forklaringer som en ærlig vurdering må vurdere.
En prosentandel sitert fra et urelatert eksperiment overfører ingenting. Hva den betyr avhenger av kandidatsettet, dataene, metoden og den målte feilraten. Uten de fire tilfører et tall tillit uten å tilføre bevis. Behandle enhver enkelt likhet som en hypotese, og skriv ned hva som ville falsifisere den før du går for å lete etter bekreftelse.
Sjekk hva registreringene støtter
Før noen konklusjon forlater hendene dine, bevar artefaktene og tidspunktene. En fil med hash og tidsstempel er bevis, mens et skjermbilde i en chatmelding er et rykte med gode intensjoner. Lagre også kilde klokken, fordi et tidsstempel du ikke kan reprodusere bare er en påstand om et tidsstempel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Angi deretter konklusjonen med den styrken registreringene tillater, og ikke sterkere. Én setning med forbehold er billigere enn en rettelse.
En delt utgang svekker tilskrivning kun basert på adresse, og den er verken et identitetssertifikat eller et løfte om anonymitet. På personvernsiden begynner du med alt som varer på tvers av sesjoner, fordi gjenkjenning sjelden trenger trafikkanalyse i det hele tatt. For en operativ etterforskning holder du observasjonen og slutningen i atskilte kolonner. La den svakeste uunderstøttede lenken være det du rapporterer, og si det i selve rapporten.