Gedeelde VPN-uitgang, verschillende mensen: het bewijs lezen
Een adresovereenkomst, een accountkoppeling en een tijdsgelijkenis zijn drie verschillende beweringen. Vraag welke waarnemer welk record heeft voordat u enige conclusie trekt.
Open het rapport en de eerste regel noemt meestal één adres en één account, alsof de twee hetzelfde feit zijn. Dat zijn ze niet. Een gedeelde uitgang vertelt u dat een apparaat dat adres op een vastgelegd tijdstip gebruikte, en een accountkoppeling vertelt dat een dienst een identificatie herkende. Van het een naar het ander gaan vereist een koppelingsgrond die het rapport moet vermelden.
Begin bij de waarneming die u werkelijk hebt
Schrijf op wat is vastgelegd in plaats van wat het lijkt te impliceren. Een adres, een tijdstempel en een verzoekpad zijn waarnemingen, terwijl de zin die zegt wie het deed een gevolgtrekking is. Die twee kolommen gescheiden houden is de hele discipline, en op papier is dat makkelijker vol te houden dan in een gesprek.
Classificeer vervolgens de waarneming, want de gebruikelijke soorten wegen verschillend. Een gedeeld uitgangsadres, een blijvende account- of cookie-identificatie en een gelijkenis in tijd of volume zijn niet drie versies van één feit. Twee medewerkers achter één bedrijfsuitgang delen een adres per ontwerp, terwijl één medewerker die van uitgang wisselt maar aangemeld blijft een accountkoppeling houdt. Ze als één feit behandelen is waar de meeste zelfverzekerde rapporten de fout in gaan.
Noem de koppelingsgrond vóór de conclusie
Een correlatiebewering moet het veld noemen dat twee records verbindt. Werd dezelfde cookie aangeboden, werd hetzelfde account geauthenticeerd, werd dezelfde apparaatidentificatie gerapporteerd, of alleen hetzelfde adres? Als het antwoord alleen het adres is, gaat de bewering over een netwerkbron en stopt daar.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Het privacy-model RFC 6973 behandelt correlatie als het combineren van informatie en merkt op dat blijvende identificaties interacties in de tijd verbinden. De bespreking van de anonimiteitsverzameling voegt de andere helft toe: verberging hangt af van wie er voor precies die waarnemer hetzelfde uitziet. Geen van beide ideeën maakt van een gedeeld adres een identificatie.
De eerlijke zin blijft dus smal. Deze twee gebeurtenissen deelden een uitgang op deze tijdstippen, en alles daarbuiten vereist een ander record.
Loop de positie van de waarnemer door
Een website ziet zijn eigen verzoeken, zijn eigen aanmeldingen en zijn eigen sessie-identificaties, en erft niet de records van een andere website alleen omdat beide toevallig dezelfde uitgang gebruikten. Een waarnemer in het toegangsnetwerk ziet stromen in plaats van inhoud. Een VPN-operator ziet de koppeling tussen accounts en uitgangen. Elke positie ondersteunt een andere conclusie, en een rapport noemt meestal slechts één ervan.
Vraag welke waarnemer het record heeft gemaakt, en vraag dan wat die waarnemer werkelijk kon zien. De eigen voorwaarden van een aanbieder zijn niet hetzelfde als zijn feitelijke logging, en geen van beide is hetzelfde als een record voor u. Als het antwoord onduidelijk is, vraag dan de bron in plaats van het gat met een aanname te vullen. Een record zonder bron is een hypothese in uniform. De vraag kost één bericht en bespaart een rectificatie.
Houd tijdpatronen op hun plaats
Vergelijkingen van tijd en volume vereisen geen lezing van enige pagina-inhoud, daarom komen ze voor in discussies over versleuteld verkeer. Een gelijkenis is ook verenigbaar met gedeelde infrastructuur, meerdere gelijktijdige gebruikers en gedrag dat er simpelweg hetzelfde uitziet. Dat zijn alternatieve verklaringen die een eerlijke beoordeling moet overwegen.
Een percentage uit een ongerelateerd experiment draagt niets over. Wat het betekent hangt af van de kandidatenverzameling, de gegevens, de methode en de gemeten foutmarge. Zonder die vier voegt een getal vertrouwen toe zonder bewijs toe te voegen. Behandel elke afzonderlijke gelijkenis als een hypothese, en schrijf op wat die zou weerleggen voordat u bevestiging gaat zoeken.
Controleer wat de records ondersteunen
Voordat enige conclusie uw handen verlaat, bewaar de artefacten en de tijden. Een bestand met een hash en een tijdstempel is bewijs, terwijl een schermafbeelding in een chatbericht een gerucht met goede bedoelingen is. Bewaar ook de bron van de klok, want een tijdstempel die u niet kunt reproduceren is slechts een bewering over een tijdstempel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Formuleer de conclusie dan met de kracht die de records toestaan, en niet sterker. Eén zin voorbehoud is goedkoper dan een rectificatie.
Een gedeelde uitgang verzwakt toeschrijving op alleen het adres, en het is geen identiteitscertificaat en geen belofte van anonimiteit. Aan de privacykant begint u met alles wat tussen sessies blijft, want herkenning heeft zelden verkeersanalyse nodig. Voor een operationeel onderzoek houdt u de waarneming en de gevolgtrekking in aparte kolommen. Laat de zwakste ongestaafde schakel zijn wat u rapporteert, en zeg dat in het rapport zelf.