Wspólne wyjście VPN, różni ludzie: jak czytać dowody
Zgodność adresu, powiązanie konta i podobieństwo czasowe to trzy różne twierdzenia. Zanim wyciągniesz jakikolwiek wniosek, zapytaj, który obserwator ma który zapis.
Otwórz raport, a pierwszy wiersz zwykle wymienia jeden adres i jedno konto, jakby oba były tym samym faktem. Nie są. Wspólne wyjście mówi, że jakieś urządzenie użyło tego adresu w zarejestrowanym czasie, a powiązanie konta mówi, że jakaś usługa rozpoznała identyfikator. Przejście od jednego do drugiego wymaga podstawy łączenia, którą raport musi wskazać.
Zacznij od obserwacji, którą naprawdę masz
Zapisz, co zarejestrowano, a nie to, co zdaje się z tego wynikać. Adres, znacznik czasu i ścieżka żądania to obserwacje, natomiast zdanie mówiące, kto to zrobił, jest wnioskiem. Trzymanie tych dwóch kolumn osobno to cała dyscyplina, a na papierze łatwiej ją utrzymać niż w rozmowie.
Następnie sklasyfikuj obserwację, bo zwykłe rodzaje mają różną wagę. Wspólny adres wyjściowy, trwały identyfikator konta lub pliku cookie oraz podobieństwo czasu albo objętości nie są trzema wersjami jednego faktu. Dwaj pracownicy za jednym wyjściem firmowym dzielą adres z założenia, a pracownik, który zmienia wyjścia, ale pozostaje zalogowany, zachowuje powiązanie konta. Traktowanie tego jako jednego faktu to miejsce, w którym myli się większość pewnych siebie raportów.
Nazwij podstawę łączenia przed wnioskiem
Twierdzenie o korelacji musi nazwać pole, które łączy dwa zapisy. Czy przedstawiono ten sam plik cookie, uwierzytelniono to samo konto, zgłoszono ten sam identyfikator urządzenia, czy tylko ten sam adres? Jeśli odpowiedzią jest tylko adres, twierdzenie dotyczy źródła sieciowego i na tym się kończy.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Model prywatności RFC 6973 traktuje korelację jako łączenie informacji i zauważa, że trwałe identyfikatory wiążą interakcje w czasie. Omówienie zbioru anonimowości dodaje drugą połowę: ukrycie zależy od tego, kto jeszcze wygląda tak samo dla tego konkretnego obserwatora. Żadna z tych idei nie czyni wspólnego adresu identyfikacją.
Uczciwe zdanie pozostaje więc wąskie. Te dwa zdarzenia dzieliły wyjście w tych czasach, a cokolwiek ponad to wymaga innego zapisu.
Przejdź przez pozycję obserwatora
Witryna widzi własne żądania, własne logowania i własne identyfikatory sesji i nie dziedziczy zapisów innej witryny tylko dlatego, że obie przypadkiem użyły tego samego wyjścia. Obserwator sieci dostępowej widzi przepływy, a nie treść. Operator VPN widzi odwzorowanie między kontami a wyjściami. Każda pozycja wspiera inny wniosek, a raport zwykle wymienia tylko jeden z nich.
Zapytaj, który obserwator wytworzył zapis, a potem zapytaj, co ten obserwator mógł naprawdę zobaczyć. Warunki samego dostawcy to nie to samo co jego faktyczne logowanie, a żadne z nich nie jest tym samym co zapis przed tobą. Gdy odpowiedź jest niejasna, poproś o źródło, zamiast wypełniać lukę założeniem. Zapis bez źródła to hipoteza w mundurze. Pytanie kosztuje jedną wiadomość i oszczędza jedną korektę.
Trzymaj wzorce czasowe na swoim miejscu
Porównania czasu i objętości nie wymagają czytania treści strony, dlatego pojawiają się w dyskusjach o ruchu szyfrowanym. Podobieństwo jest też zgodne ze współdzieloną infrastrukturą, kilkoma równoczesnymi użytkownikami i zachowaniem, które po prostu wygląda podobnie. To alternatywne wyjaśnienia, które uczciwa ocena musi rozważyć.
Procent cytowany z niepowiązanego eksperymentu niczego nie przenosi. Jego znaczenie zależy od zbioru kandydatów, danych, metody i zmierzonego odsetka błędów. Bez tych czterech liczba dodaje pewności, nie dodając dowodu. Traktuj każde pojedyncze podobieństwo jako hipotezę i zapisz, co by ją obaliło, zanim zaczniesz szukać potwierdzenia.
Sprawdź, co potwierdzają zapisy
Zanim jakikolwiek wniosek opuści twoje ręce, zachowaj artefakty i czasy. Plik z hashem i znacznikiem czasu jest dowodem, a zrzut ekranu w wiadomości czatu to plotka w dobrych intencjach. Zapisz też źródło zegara, bo znacznik czasu, którego nie możesz odtworzyć, jest tylko twierdzeniem o znaczniku czasu.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Potem wyraź wniosek z siłą, na jaką pozwalają zapisy, i nie mocniej. Jedno zdanie zastrzeżenia jest tańsze niż sprostowanie.
Wspólne wyjście osłabia przypisanie oparte tylko na adresie i nie jest ani certyfikatem tożsamości, ani obietnicą anonimowości. Po stronie prywatności zacznij od wszystkiego, co trwa między sesjami, bo rozpoznanie rzadko w ogóle wymaga analizy ruchu. W śledztwie operacyjnym trzymaj obserwację i wniosek w osobnych kolumnach. Niech najsłabsze niepoparte ogniwo będzie tym, o czym donosisz, i powiedz to w samym raporcie.