Skupni izhod VPN, različni ljudje: kako brati dokaze
Ujemanje naslova, povezava računa in časovna podobnost so tri različne trditve. Preden naredite kakršen koli sklep, vprašajte, kateri opazovalec ima kateri zapis.
Odprite poročilo in prva vrstica običajno navede en naslov in en račun, kot da bi bila oba ista dejstva. Nista. Skupni izhod vam pove, da je neka naprava uporabila ta naslov ob zabeleženem času, povezava računa pa pove, da je neka storitev prepoznala identifikator. Za prehod z enega na drugo je potrebna podlaga povezave, ki jo mora poročilo navesti.
Začnite z opazovanjem, ki ga res imate
Zapišite, kaj je bilo zabeleženo, ne pa, kaj se zdi, da implicira. Naslov, časovni žig in pot zahteve so opazovanja, medtem ko je stavek, ki pove, kdo je to storil, sklep. Ločevanje teh dveh stolpcev je vsa disciplina in na papirju jo je lažje ohranjati kot v pogovoru.
Nato opazovanje razvrstite, ker običajne vrste nosijo različno težo. Skupni izhodni naslov, trajni identifikator računa ali piškotka in podobnost v času ali obsegu niso tri različice enega dejstva. Dva zaposlena za enim poslovnim izhodom si naslov delita po zasnovi, medtem ko zaposleni, ki menja izhode, a ostane prijavljen, ohrani povezavo računa. Prav tu se zmoti večina samozavestnih poročil.
Poimenujte podlago povezave pred sklepom
Trditev o korelaciji mora poimenovati polje, ki poveže dva zapisa. Je bil predložen isti piškotek, avtentificiran isti račun, sporočen isti identifikator naprave ali le isti naslov? Če je odgovor le naslov, trditev zadeva omrežni vir in se tam ustavi.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Model zasebnosti RFC 6973 obravnava korelacijo kot kombiniranje informacij in ugotavlja, da trajni identifikatorji povezujejo interakcije skozi čas. Njegova razprava o množici anonimnosti doda drugo polovico: skrivanje je odvisno od tega, kdo še izgleda enako temu opazovalcu. Nobena od obeh idej skupnega naslova ne spremeni v identifikacijo.
Zato pošten stavek ostane ozek. Ta dva dogodka sta si delila izhod ob teh časih, vse dlje pa zahteva drug zapis.
Pojdite skozi položaj opazovalca
Spletno mesto vidi svoje zahteve, svoje prijave in svoje identifikatorje seje in ne podeduje zapisov drugega spletnega mesta le zato, ker sta oba slučajno uporabila isti izhod. Opazovalec v dostopovnem omrežju vidi tokove, ne vsebine. Operater VPN vidi preslikavo med računi in izhodi. Vsak položaj podpira drugačen sklep in poročilo običajno navede le enega od njih.
Vprašajte, kateri opazovalec je ustvaril zapis, nato vprašajte, kaj je ta opazovalec v resnici lahko videl. Lastni pogoji ponudnika niso isto kot njegovo dejansko beleženje, in nič od tega ni isto kot zapis pred vami. Ko odgovor ni jasen, zahtevajte vir, namesto da bi vrzel zapolnili s predpostavko. Zapis brez vira je hipoteza v uniformi. Vprašanje stane eno sporočilo in prihrani en popravek.
Časovne vzorce držite na njihovem mestu
Primerjave časa in obsega ne zahtevajo branja vsebine strani, zato se pojavljajo v razpravah o šifriranem prometu. Podobnost je združljiva tudi s skupno infrastrukturo, več hkratnimi uporabniki in vedenjem, ki preprosto izgleda enako. To so alternativne razlage, ki jih mora poštena ocena upoštevati.
Odstotek, citiran iz nepovezanega poskusa, ne prenese ničesar. Njegov pomen je odvisen od nabora kandidatov, podatkov, metode in izmerjene stopnje napak. Brez teh štirih število doda zaupanje, ne da bi dodalo dokaz. Vsako posamezno podobnost obravnavajte kot hipotezo in zapišite, kaj bi jo ovrglo, preden se odpravite iskati potrditev.
Preverite, kaj zapisi podpirajo
Preden kateri koli sklep zapusti vaše roke, ohranite artefakte in čase. Datoteka s hashom in časovnim žigom je dokaz, medtem ko je posnetek zaslona v klepetalnem sporočilu govorica z dobrimi nameni. Shranite tudi vir ure, ker je časovni žig, ki ga ne morete ponoviti, le trditev o časovnem žigu.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Nato izrazite sklep s tolikšno močjo, kolikor jo zapisi dopuščajo, in ne močneje. En stavek pridržka je cenejši od popravka.
Skupni izhod oslabi dodeljevanje samo po naslovu in ni niti potrdilo o identiteti niti obljuba anonimnosti. Na strani zasebnosti začnite z vsem, kar vztraja med sejami, ker prepoznavanje le redko sploh potrebuje analizo prometa. Za operativno preiskavo imejte opazovanje in sklep v ločenih stolpcih. Naj bo najšibkejši nepodprti člen tisto, o čemer poročate, in to povejte v samem poročilu.