Общий выход VPN, разные люди: как читать доказательства
Совпадение адреса, привязка учётной записи и сходство по времени — это три разных утверждения. Спросите, у какого наблюдателя какая запись, прежде чем делать любой вывод.
Откройте отчёт, и первая строка обычно называет один адрес и одну учётную запись, будто это один и тот же факт. Это не так. Общий выход говорит, что какое-то устройство использовало этот адрес в зафиксированное время, а привязка учётной записи говорит, что какая-то служба распознала идентификатор. Чтобы перейти от одного к другому, нужна основа связи, которую отчёт обязан назвать.
Начните с наблюдения, которое у вас действительно есть
Запишите то, что было зафиксировано, а не то, что оно как будто подразумевает. Адрес, отметка времени и путь запроса — это наблюдения, а предложение о том, кто это сделал, — вывод. Держать эти две колонки порознь и есть вся дисциплина, и на бумаге её держать проще, чем в разговоре.
Затем классифицируйте наблюдение, потому что у обычных видов разный вес. Общий адрес выхода, постоянный идентификатор учётной записи или cookie и сходство по времени или объёму не являются тремя версиями одного факта. Два сотрудника за одним корпоративным выходом делят адрес по замыслу, а сотрудник, который меняет выходы, но остаётся в системе, сохраняет привязку учётной записи. Считать это одним фактом — именно там ошибается большинство уверенных отчётов.
Назовите основу связи до вывода
Утверждение о корреляции должно назвать поле, которое связывает две записи. Был ли предъявлен тот же cookie, аутентифицирована та же учётная запись, сообщён тот же идентификатор устройства — или только тот же адрес? Если ответ — только адрес, утверждение касается сетевого источника и на этом заканчивается.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Модель приватности RFC 6973 рассматривает корреляцию как объединение информации и отмечает, что постоянные идентификаторы связывают взаимодействия во времени. Её обсуждение множества анонимности добавляет вторую половину: сокрытие зависит от того, кто ещё выглядит так же для этого конкретного наблюдателя. Ни одна из идей не превращает общий адрес в идентификацию.
Поэтому честная фраза остаётся узкой. Эти два события делили выход в это время, и всё, что дальше, требует другой записи.
Пройдите позицию наблюдателя
Сайт видит свои собственные запросы, свои входы и свои идентификаторы сеанса и не наследует записи другого сайта только потому, что оба случайно использовали один выход. Наблюдатель сети доступа видит потоки, а не содержимое. Оператор VPN видит соответствие между учётными записями и выходами. Каждая позиция поддерживает свой вывод, и отчёт обычно называет только одну из них.
Спросите, какой наблюдатель создал запись, а затем — что этот наблюдатель действительно мог видеть. Собственные условия провайдера — не то же самое, что его фактическое журналирование, и ни то, ни другое не то же самое, что запись перед вами. Если ответ неясен, запросите источник, а не заполняйте пробел предположением. Запись без источника — это гипотеза в форме. Вопрос стоит одного сообщения и экономит одну поправку.
Держите временные закономерности на их месте
Сравнения по времени и объёму не требуют чтения содержимого страницы, поэтому они и появляются в обсуждениях зашифрованного трафика. Сходство совместимо также с общей инфраструктурой, несколькими одновременными пользователями и поведением, которое просто выглядит похоже. Это альтернативные объяснения, которые честная оценка обязана рассмотреть.
Процент, взятый из несвязанного эксперимента, ничего не передаёт. Его значение зависит от набора кандидатов, данных, метода и измеренной доли ошибок. Без этих четырёх число добавляет уверенности, не добавляя доказательств. Относитесь к любому отдельному сходству как к гипотезе и запишите, что её опровергнет, прежде чем идти искать подтверждение.
Проверьте, что поддерживают записи
Прежде чем какой-либо вывод покинет ваши руки, сохраните артефакты и времена. Файл с хешем и отметкой времени — это доказательство, тогда как снимок экрана в сообщении чата — слух с добрыми намерениями. Сохраните и источник часов, потому что отметка времени, которую вы не можете воспроизвести, — это лишь утверждение об отметке времени.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Затем изложите вывод с той силой, какую позволяют записи, и не сильнее. Одна фраза оговорки дешевле одной поправки.
Общий выход ослабляет привязку только по адресу, и он не является ни удостоверением личности, ни обещанием анонимности. Со стороны приватности начинайте с того, что сохраняется между сеансами, потому что распознавание редко вообще нуждается в анализе трафика. Для оперативного расследования держите наблюдение и вывод в отдельных колонках. Пусть самое слабое неподкреплённое звено будет тем, о чём вы сообщаете, и скажите это в самом отчёте.