Zdieľaný výstup VPN, rôzni ľudia: ako čítať dôkazy
Zhoda adresy, prepojenie účtu a časová podobnosť sú tri rôzne tvrdenia. Skôr než vyvodíte akýkoľvek záver, spýtajte sa, ktorý pozorovateľ drží ktorý záznam.
Otvorte správu a prvý riadok zvyčajne pomenúva jednu adresu a jeden účet, akoby obe boli ten istý fakt. Nie sú. Zdieľaný výstup vám hovorí, že nejaké zariadenie použilo tú adresu v zaznamenanom čase, a prepojenie účtu hovorí, že nejaká služba rozpoznala identifikátor. Prejsť z jedného na druhé vyžaduje základ spojenia, ktorý správa musí uviesť.
Začnite pozorovaním, ktoré skutočne máte
Zapíšte, čo bolo zaznamenané, nie čo to zdanlivo naznačuje. Adresa, časová pečiatka a cesta požiadavky sú pozorovania, zatiaľ čo veta, ktorá hovorí, kto to urobil, je odvodenie. Držať tieto dva stĺpce oddelene je celá disciplína a na papieri sa udržiava ľahšie než v rozhovore.
Potom pozorovanie klasifikujte, pretože obvyklé druhy nesú rôznu váhu. Zdieľaná výstupná adresa, trvalý identifikátor účtu alebo cookie a podobnosť v čase či objeme nie sú tri verzie jedného faktu. Dvaja zamestnanci za jedným firemným výstupom zdieľajú adresu zámerne, zatiaľ čo jeden zamestnanec, ktorý strieda výstupy, ale zostáva prihlásený, si drží prepojenie účtu. Práve tu sa mýli väčšina sebavedomých správ.
Pomenujte základ spojenia pred záverom
Tvrdenie o korelácii musí pomenovať pole, ktoré spája dva záznamy. Bola predložená rovnaká cookie, bol overený rovnaký účet, bol hlásený rovnaký identifikátor zariadenia, alebo len rovnaká adresa? Ak je odpoveďou len adresa, tvrdenie sa týka sieťového zdroja a tam sa končí.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Model súkromia RFC 6973 chápe koreláciu ako kombinovanie informácií a poznamenáva, že trvalé identifikátory spájajú interakcie v čase. Jeho diskusia o množine anonymity pridáva druhú polovicu: skrytie závisí od toho, kto ďalší vyzerá pre toho konkrétneho pozorovateľa rovnako. Ani jedna z tých myšlienok nemení zdieľanú adresu na identifikáciu.
Preto poctivá veta zostáva úzka. Tieto dve udalosti zdieľali výstup v týchto časoch a čokoľvek ďalej potrebuje iný záznam.
Prejdite pozíciou pozorovateľa
Web vníma svoje vlastné požiadavky, svoje vlastné prihlásenia a svoje vlastné identifikátory relácie a nededia záznamy iného webu len preto, že oba náhodou použili rovnaký výstup. Pozorovateľ v prístupovej sieti vidí toky, nie obsah. Prevádzkovateľ VPN vidí mapovanie medzi účtami a výstupmi. Každá pozícia podporuje iný záver a správa zvyčajne pomenúva iba jeden z nich.
Spýtajte sa, ktorý pozorovateľ záznam vytvoril, a potom sa spýtajte, čo ten pozorovateľ skutočne mohol vidieť. Vlastné podmienky poskytovateľa nie sú to isté ako jeho skutočné logovanie a ani jedno z toho nie je to isté ako záznam pred vami. Keď odpoveď nie je jasná, žiadajte zdroj, namiesto toho, aby ste medzeru vyplnili predpokladom. Záznam bez zdroja je hypotéza v uniforme. Otázka stojí jednu správu a ušetrí jedno odvolanie.
Držte časové vzorce na ich mieste
Porovnania času a objemu nevyžadujú čítanie obsahu stránky, preto sa objavujú v diskusiách o šifrovanej prevádzke. Podobnosť je tiež zlučiteľná so zdieľanou infraštruktúrou, viacerými súbežnými používateľmi a správaním, ktoré jednoducho vyzerá rovnako. To sú alternatívne vysvetlenia, ktoré musí poctivé hodnotenie zvážiť.
Percento citované z nesúvisiaceho experimentu nič neprenáša. Jeho význam závisí od množiny kandidátov, údajov, metódy a meranej miery chybovosti. Bez tých štyroch číslo pridáva istotu bez pridania dôkazu. Berte každú jednotlivú podobnosť ako hypotézu a zapíšte, čo by ju vyvrátilo, skôr než sa vydáte hľadať potvrdenie.
Overte, čo záznamy podporujú
Skôr než akýkoľvek záver opustí vaše ruky, uchovajte artefakty a časy. Súbor s hashom a časovou pečiatkou je dôkaz, zatiaľ čo snímka obrazovky v chatovej správe je fáma s dobrými úmyslami. Uložte aj zdroj hodín, pretože časová pečiatka, ktorú nedokážete reprodukovať, je len tvrdením o časovej pečiatke.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Potom vyslovte záver s takou silou, akú záznamy dovoľujú, a nie silnejšie. Jedna veta s výhradou je lacnejšia než odvolanie.
Zdieľaný výstup oslabuje priradenie založené len na adrese a nie je ani certifikátom identity, ani sľubom anonymity. Na strane súkromia začnite všetkým, čo pretrváva medzi reláciami, pretože rozpoznanie zriedka vôbec potrebuje analýzu prevádzky. Pri operatívnom vyšetrovaní držte pozorovanie a odvodenie v oddelených stĺpcoch. Nech je najslabší nepodložený článok to, čo hlásite, a povedzte to v samotnej správe.