Zajednički VPN izlaz, različiti ljudi: čitanje dokaza
Podudarnost adrese, veza računa i sličnost u vremenu tri su različite tvrdnje. Pitajte koji posmatrač drži koji zapis prije nego što donesete bilo kakav zaključak.
Otvorite izvještaj i prvi red obično imenuje jednu adresu i jedan račun, kao da je riječ o istoj činjenici. Nije. Dijeljeni izlaz vam kaže da je neki uređaj koristio tu adresu u zabilježeno vrijeme, a veza računa kaže da je neka usluga prepoznala identifikator. Prelazak s jednog na drugo zahtijeva osnovu povezivanja koju izvještaj mora navesti.
Pođite od opažanja koje zaista imate
Zapišite šta je zabilježeno, a ne šta se čini da implicira. Adresa, vremenska oznaka i putanja zahtjeva su opažanja, dok je rečenica koja kaže ko je to uradio zaključak. Držati te dvije kolone odvojeno jeste cijela disciplina, i lakše je održati na papiru nego u razgovoru.
Zatim klasifikujte opažanje, jer uobičajene vrste nose različitu težinu. Dijeljena izlazna adresa, trajni identifikator računa ili kolačića i sličnost u vremenu ili obimu nisu tri verzije jedne činjenice. Dva zaposlenika iza jednog korporativnog izlaza dijele adresu po dizajnu, dok jedan zaposlenik koji mijenja izlaze ali ostaje prijavljen zadržava vezu računa. Tretirati to kao jednu činjenicu je mjesto gdje većina samouvjerenih izvještaja griješi.
Navedite osnovu povezivanja prije zaključka
Tvrdnja o korelaciji mora navesti polje koje povezuje dva zapisa. Je li predstavljen isti kolačić, je li autentifikovan isti račun, je li prijavljen isti identifikator uređaja ili samo ista adresa? Ako je odgovor samo adresa, tvrdnja se odnosi na mrežni izvor i tu se zaustavlja.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
RFC 6973 model privatnosti tretira korelaciju kao kombinovanje informacija i napominje da trajni identifikatori povezuju interakcije kroz vrijeme. Njegova rasprava o skupu anonimnosti dodaje drugu polovinu: prikrivanje zavisi od toga ko još izgleda isto tom konkretnom posmatraču. Nijedna od dvije ideje ne pretvara dijeljenu adresu u identifikaciju.
Zato iskrena rečenica ostaje uska. Ova dva događaja dijelila su izlaz u ovo vrijeme, a sve dalje od toga traži drugi zapis.
Prođite kroz poziciju posmatrača
Web lokacija vidi svoje zahtjeve, svoje prijave i svoje identifikatore sesije i ne nasljeđuje zapise druge lokacije samo zato što su obje slučajno koristile isti izlaz. Posmatrač pristupne mreže vidi tokove, a ne sadržaj. VPN operater vidi mapiranje između računa i izlaza. Svaka pozicija podržava drugačiji zaključak, a izvještaj obično imenuje samo jednu od njih.
Pitajte koji je posmatrač proizveo zapis, pa pitajte šta je taj posmatrač zapravo mogao vidjeti. Vlastiti uslovi pružaoca nisu ista stvar kao njegovo stvarno evidentiranje, a ni jedno od toga nije isto što i zapis pred vama. Kada odgovor nije jasan, tražite izvor umjesto da prazninu popunite pretpostavkom. Zapis bez izvora je hipoteza u uniformi. Pitanje košta jednu poruku i štedi jedno ispravljanje.
Držite vremenske obrasce na svom mjestu
Poređenja vremena i obima ne zahtijevaju čitanje sadržaja stranice, zato se pojavljuju u raspravama o šifrovanom saobraćaju. Sličnost je takođe spojiva s dijeljenom infrastrukturom, više istovremenih korisnika i ponašanjem koje jednostavno izgleda slično. To su alternativna objašnjenja koja iskrena procjena mora uzeti u obzir.
Procenat citiran iz nepovezanog eksperimenta ne prenosi ništa. Njegovo značenje zavisi od skupa kandidata, podataka, metode i izmjerene stope greške. Bez ta četiri, broj dodaje povjerenje bez dodavanja dokaza. Tretirajte svaku pojedinačnu sličnost kao hipotezu i zapišite šta bi je opovrglo prije nego što krenete tražiti potvrdu.
Provjerite šta zapisi podržavaju
Prije nego bilo koji zaključak napusti vaše ruke, sačuvajte artefakte i vremena. Datoteka s hešom i vremenskom oznakom je dokaz, dok je snimak ekrana u chat poruci glasina s dobrim namjerama. Sačuvajte i izvor sata, jer vremenska oznaka koju ne možete reproducirati samo je tvrdnja o vremenskoj oznaci.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Zatim iznesite zaključak onom snagom koju zapisi dopuštaju, i ne jače. Jedna rečenica ograde jeftinija je od ispravke.
Dijeljeni izlaz slabi atribuciju samo po adresi, i nije ni certifikat identiteta ni obećanje anonimnosti. Na strani privatnosti, počnite od svega što traje kroz sesije, jer prepoznavanje rijetko uopšte treba analizu saobraćaja. Za operativnu istragu držite opažanje i zaključak u odvojenim kolonama. Neka najslabija nepodržana veza bude ono što prijavljujete, i recite to u samom izvještaju.