Ieșire VPN partajată, oameni diferiți: cum citim dovezile
O potrivire de adresă, o legătură de cont și o asemănare temporală sunt trei afirmații diferite. Întrebați care observator deține care înregistrare înainte de a trage vreo concluzie.
Deschideți raportul, iar prima linie numește de obicei o adresă și un cont, de parcă cele două ar fi același fapt. Nu sunt. O ieșire partajată vă spune că un dispozitiv a folosit acea adresă la un moment înregistrat, iar o legătură de cont spune că un serviciu a recunoscut un identificator. Trecerea de la una la cealaltă cere o bază de legătură pe care raportul trebuie să o enunțe.
Începeți cu observația pe care o aveți cu adevărat
Notați ce a fost înregistrat, nu ce pare să implice. O adresă, o marcă de timp și o cale de cerere sunt observații, în timp ce propoziția care spune cine a făcut-o este o inferență. Păstrarea acestor două coloane separate este toată disciplina, și e mai ușor de menținut pe hârtie decât într-o conversație.
Apoi clasificați observația, pentru că tipurile obișnuite au greutăți diferite. O adresă de ieșire partajată, un identificator persistent de cont sau de cookie și o asemănare de timp sau volum nu sunt trei versiuni ale unui singur fapt. Doi angajați în spatele unei ieșiri corporative partajează o adresă prin proiectare, în timp ce un angajat care schimbă ieșirile dar rămâne conectat păstrează o legătură de cont. Tratarea lor ca un singur fapt este locul unde greșesc majoritatea rapoartelor încrezătoare.
Numiți baza de legătură înaintea concluziei
O afirmație de corelație trebuie să numească câmpul care leagă două înregistrări. A fost prezentat același cookie, a fost autentificat același cont, a fost raportat același identificator de dispozitiv sau doar aceeași adresă? Dacă răspunsul este doar adresa, afirmația privește o sursă de rețea și se oprește acolo.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Modelul de confidențialitate RFC 6973 tratează corelația ca o combinare de informații și notează că identificatorii persistenți leagă interacțiunile în timp. Discuția sa despre mulțimea de anonimat adaugă cealaltă jumătate: ascunderea depinde de cine altcineva arată la fel pentru acel observator anume. Niciuna dintre cele două idei nu transformă o adresă partajată într-o identificare.
Așa că propoziția onestă rămâne îngustă. Aceste două evenimente au partajat o ieșire la aceste momente, iar orice dincolo de asta cere o altă înregistrare.
Parcurgeți poziția observatorului
Un site web vede propriile cereri, propriile conectări și propriii identificatori de sesiune și nu moștenește înregistrările altui site doar pentru că ambele au folosit aceeași ieșire. Un observator al rețelei de acces vede fluxuri, nu conținut. Un operator VPN vede corespondența dintre conturi și ieșiri. Fiecare poziție susține o concluzie diferită, iar un raport numește de obicei doar una dintre ele.
Întrebați care observator a produs înregistrarea, apoi întrebați ce putea acel observator să vadă cu adevărat. Termenii proprii ai unui furnizor nu sunt același lucru cu înregistrarea lui efectivă, și niciuna dintre cele două nu este același lucru cu o înregistrare în fața dumneavoastră. Când răspunsul nu este clar, cereți sursa în loc să umpleți golul cu o presupunere. O înregistrare fără sursă este o ipoteză în uniformă. Întrebarea costă un mesaj și economisește o rectificare.
Țineți tiparele temporale la locul lor
Comparațiile de timp și volum nu necesită citirea vreunui conținut de pagină, de aceea apar în discuții despre trafic criptat. O asemănare este compatibilă și cu infrastructură partajată, mai mulți utilizatori simultani și un comportament care pur și simplu arată la fel. Acestea sunt explicații alternative pe care o evaluare onestă trebuie să le ia în considerare.
Un procent citat dintr-un experiment fără legătură nu transmite nimic. Ce înseamnă depinde de mulțimea candidaților, de date, de metodă și de rata de eroare măsurată. Fără aceste patru, un număr adaugă încredere fără a adăuga dovezi. Tratați orice asemănare singulară ca pe o ipoteză și notați ce ar falsifica-o înainte de a merge să căutați confirmare.
Verificați ce susțin înregistrările
Înainte ca orice concluzie să vă părăsească mâinile, păstrați artefactele și momentele. Un fișier cu un hash și o marcă de timp este o dovadă, în timp ce o captură de ecran într-un mesaj de chat este un zvon cu intenții bune. Păstrați și sursa ceasului, pentru că o marcă de timp pe care nu o puteți reproduce este doar o afirmație despre o marcă de timp.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Apoi enunțați concluzia cu forța pe care o permit înregistrările, și nu mai mult. O propoziție de nuanțare e mai ieftină decât o rectificare.
O ieșire partajată slăbește atribuirea bazată doar pe adresă și nu este nici certificat de identitate, nici promisiune de anonimat. Pe partea de confidențialitate, începeți cu tot ce persistă între sesiuni, pentru că recunoașterea are rareori nevoie de analiză de trafic. Pentru o anchetă operațională, țineți observația și inferența în coloane separate. Lăsați cea mai slabă verigă nesprijinită să fie ceea ce raportați, și spuneți asta în raportul însuși.