Delt VPN-utgang, ulike menneske: å lese prova
Eit adressesamsvar, ei kontolinking og ein likskap i tid er tre ulike påstandar. Spør kva observatør som har kva registrering, før du dreg nokon konklusjon.
Opne rapporten, og den første linja nemner vanlegvis éin adresse og éin konto, som om dei to var den same fakta. Det er dei ikkje. Ein delt utgang fortel deg at ein eller annan eining brukte den adressa på eit registrert tidspunkt, og ei kontolinking fortel at ein teneste kjende att ein identifikator. Å gå frå det eine til det andre krev eit samankoplingsgrunnlag som rapporten må oppgje.
Byrj med observasjonen du faktisk har
Skriv ned det som vart registrert, i staden for det det ser ut til å antyde. Ei adresse, eit tidsstempel og ein førespurnadssti er observasjonar, medan setninga som seier kven som gjorde det, er ein slutning. Å halde dei to kolonnane frå kvarandre er heile disiplinen, og det er lettare å halde på papir enn i ein samtale.
Klassifiser så observasjonen, fordi dei vanlege typane har ulik vekt. Ei delt utgangsadresse, ein varig konto- eller informasjonskapselidentifikator og ein likskap i tid eller volum er ikkje tre versjonar av éi fakta. To tilsette bak éin bedriftsutgang deler ei adresse ved design, medan éin tilsett som byter utgang men blir verande pålogga, held på ei kontolinking. Å handsame dei som éi fakta er der dei fleste sjølvsikre rapportane tek feil.
Namngje samankoplingsgrunnlaget før konklusjonen
Ein korrelasjonspåstand må namngje feltet som knyter saman to registreringar. Vart den same informasjonskapselen presentert, vart den same kontoen autentisert, vart den same einingidentifikatoren rapportert, eller berre den same adressa? Viss svaret berre er adressa, handlar påstanden om ei nettverkskjelde og stoppar der.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Personvernmodellen RFC 6973 handsamar korrelasjon som kombinasjon av informasjon og merkjer seg at varige identifikatorar knyter saman interaksjonar over tid. Drøftinga av anonymitetssettet legg til den andre halvdelen: skjul er avhengig av kven andre som ser like ut for nettopp den observatøren. Ingen av dei to ideane gjer ei delt adresse til ein identifikasjon.
Så den ærlege setninga blir verande smal. Desse to hendingane delte ein utgang på desse tidspunkta, og alt utover det treng ei anna registrering.
Gå gjennom posisjonen til observatøren
Eit nettstad ser sine eigne førespurnader, sine eigne påloggingar og sine eigne sesjonsidentifikatorar, og arvar ikkje registreringane til ein annan nettstad berre fordi begge tilfeldigvis brukte same utgang. Ein observatør i tilgangsnettet ser straumar i staden for innhald. Ein VPN-operatør ser koplinga mellom kontoar og utgongar. Kvar posisjon støttar ein annan konklusjon, og ein rapport nemner vanlegvis berre éin av dei.
Spør kven observatør som laga registreringa, og spør så kva den observatøren faktisk kunne sjå. Dei eigne vilkåra til ein leverandør er ikkje det same som den faktiske logginga hans, og ingen av delane er det same som ei registrering framfor deg. Når svaret er uklart, be om kjelda i staden for å fylle holet med ei antaking. Ei registrering utan kjelde er ein hypotese i uniform. Spørsmålet kostar éi melding og sparer éi retting.
Hald tidsmønster på plass
Samanlikningar av tid og volum krev ikkje lesing av noko sideinnhald, og difor dukkar dei opp i drøftingar om kryptert trafikk. Ein likskap er også foreinleg med delt infrastruktur, fleire samtidige brukarar og åtferd som berre ser lik ut. Det er alternative forklaringar som ei ærleg vurdering må vurdere.
Ein prosentdel sitert frå eit urelatert eksperiment overfører ingenting. Kva han betyr er avhengig av kandidatsettet, dataa, metoden og den målte feilraten. Utan dei fire tilfører eit tal tillit utan å tilføre prov. Handsame kvar einskild likskap som ein hypotese, og skriv ned kva som ville falsifisere han før du går for å leite etter stadfesting.
Sjekk kva registreringane støttar
Før nokon konklusjon forlèt hendene dine, ta vare på artefaktane og tidspunkta. Ei fil med hash og tidsstempel er prov, medan eit skjermbilete i ei chatmelding er eit rykte med gode intensjonar. Lagre også kjelda til klokka, fordi eit tidsstempel du ikkje kan reprodusere berre er ein påstand om eit tidsstempel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Oppgje så konklusjonen med den styrken registreringane tillèt, og ikkje sterkare. Éi setning med atterhald er billegare enn ei retting.
Ein delt utgang svekkjer tilskriving berre basert på adresse, og han er korkje eit identitetssertifikat eller eit løfte om anonymitet. På personvernsida byrjar du med alt som varer på tvers av sesjonar, fordi attkjenning sjeldan treng trafikkanalyse i det heile. For ei operativ etterforsking held du observasjonen og slutninga i skilde kolonnar. La den svakaste uunderstøtta lenkja vere det du rapporterer, og seie det i sjølve rapporten.