A mundet një regjistër VPN të tregojë historikun e shfletimit? Çfarë provon dëshmia
Një regjistër sesioni, një kërkesë resolveri dhe një regjistër rrjedhe provojnë gjëra të ndryshme. Zgjidhni pyetjen, lidhni identitetin dhe kohën, më pas thoni vetëm atë që u tregua.
Dy pyetje auditimi tingëllojnë njësoj dhe kërkojnë dëshmi të llojeve të ndryshme. Cili sesion kontaktoi këtë adresë mund të përgjigjet nga regjistrat e lidhjes dhe të rrjedhës. Cili person e hapi këtë faqe zakonisht jo, të paktën jo nga ata regjistra. Zgjedhja e një mbledhësi para zgjedhjes së pyetjes është mënyra se si një ekip rrjeti përfundon duke paraqitur një emër hosti si historik shfletimi.
Filloni me ngjarjen që duhet të vërtetojë auditimi
Shkruajeni pyetjen si fjali me kryefjalë, folje dhe kohë. Vetëm ajo disiplinë zbulon hendekun midis një regjistri sesioni dhe një shikimi faqeje. Një regjistër sesioni vërteton që një identitet u pranua, për një interval, me një adresë të caktuar sipas një politike të regjistruar, dhe nuk mund të vërtetojë se cilën faqe lexoi dikush, sepse nuk e pa kurrë kërkesën.
Etiketoni vëzhgimin përpara se të projektoni mbledhjen. Një fushë e emërtuar sipas një faqeje të vizituar që në fakt ruan një emër të zgjidhur është një gabim i ardhshëm, jo një lehtësi. Emrat e fushave jetojnë më gjatë se njerëzit që i zgjodhën, prandaj zgjidhni ata që përshkruajnë provën dhe jo përfundimin.
Çfarë mund dhe çfarë nuk mund të mbështesë çdo regjistër
Katër lloje regjistrash shfaqen pothuajse në çdo projekt auditimi, dhe secili përgjigjet një pyetjeje të ndryshme. Mbani të ndarë në raport dhe në tubacion, sepse përzierja e tyre është mënyra se si një gjetje e mbrojtshme bëhet e turpshme.
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
Lexoni kolonën e fundit po aq me kujdes sa atë të mesme. Një regjistër rrjedhe përshkruan adresa dhe porta, dhe një kërkim i kundërt i një adrese nuk rindërton emrin që përdori një shfletues, sepse një adresë mund të strehojë shumë faqe të palidhura. Një kërkesë resolveri provon që u bë një pyetje, jo që u shfaq një faqe. Një emër hosti i dukshëm gjatë një negociimi TLS nuk është as rruga e kërkesës së kriptuar.
Secila prej tyre është një vëzhgim i vërtetë, dhe asnjë nuk është vëzhgimi që njerëzit supozojnë. Një shfletues që këmbëngul në resolverin e vet të kriptuar qëndron jashtë fushës së monitoruar, dhe analiza nuk mund të rikuperojë atë që regjistrimi nuk e pa kurrë. Ai hendek i takon raportit si një kufizim i deklaruar, jo si fusnotë.
Kërkime spekulative dhe përgjigje nga cache
Shfletuesit i zgjidhin emrat para kohe, ndonjëherë pa ngarkuar asgjë. Ata gjithashtu përgjigjen nga cache pa dërguar një kërkesë të re te resolveri që po monitoroni, që do të thotë se mungesa e një kërkese nuk është mungesë e një vizite. Të dyja sjelljet thyejnë ekuacionin naiv midis një regjistri DNS dhe historikut të shfletimit.
DNS over HTTPS shton një kufi të dytë: një shfletues ose aplikacion mysafir me resolver të vet nuk pyet kurrë asgjë regjistruesin e organizatës. Transaksionet e sakta vijnë vetëm nga ngjarjet e vetë aplikacionit ose nga një proxy, regjistrimin e të cilit e mbështesni shprehimisht. Një tunel i zakonshëm HTTPS CONNECT nuk i jep proxy-t asnjë pamje të rrugëve të faqeve brenda. Zotërimi i rrjetit nuk është leje për të zëvendësuar në heshtje modelin e besimit të aplikacionit.
Adresa i takon një sesioni, jo një personi
Një regjistër rrjedhe që mban një adresë të diapazonit të tunelit është pikënisje, jo përgjigje. Lidhni atë adresë dhe vulën kohore me caktimin e sesionit aktiv në atë moment, sepse adresa mund t'i caktohet një sesioni tjetër një orë më vonë. Adresimi statik është një mënyrë për ta mbajtur atë shoqërim, jo e vetmja.
Kur një hap përkthimi bashkon disa pajisje në një adresë të vetme burimi në rrjedhën e sipërme të sensorit, bashkimi mund të emërojë vetëm sesionin e portës së përbashkët. Një llogari e përbashkët ose një certifikatë e përdorur nga disa njerëz kufizon atribuimin, sado i plotë të duket të dhënat e rrjetit. Të dyja i takojnë raportit si kufizime, jo si rezerva për më vonë.
Regjistroni zonën kohore, burimin e orës, pikën e vëzhgimit dhe çdo kufi përkthimi midis tyre. Mungesa meriton të njëjtin kujdes si prania, sepse një regjistër që mungon mund të nënkuptojë që një zë rrjedhe skadoi, që sensori nuk e pa kurrë paketën ose që një regjistër aplikacioni ishte i fikur.
Projektoni për qëllimin e deklaruar, më pas provoni tubacionin
Pasi pyetja është fiksuar, përcaktoni cilat fusha nevojiten, kush mund t'i lexojë dhe sa kohë ruhen. Mbledhja e më shumë sepse ruajtja është e lirë krijon një detyrim që mbijeton hetimin. Modeli i privatësisë në RFC 6973 i kornizon korrelacionin, atribuimin e gabuar dhe mbledhjen e panevojshme si probleme projektimi, jo si mendim të mëvonshëm.
Mbrojeni hartëzimin dhe regjistrat si një objekt të vetëm, sepse secili vetëm është shumë më pak i ndjeshëm sesa çifti. Më pas vërtetoni projektin kundrejt aktivitetit që ju lejohet të gjeneroni dhe që tashmë e kuptoni, duke përdorur kërkesën më të vogël nga e cila do të varet raporti. Një tubacion që nuk mund të riprodhojë një ngjarje të njohur nuk do të riprodhojë as një të panjohur. Raportoni ngjarjen që mbështet dëshmia, me fjalët që dëshmia lejon, dhe lëreni lexuesin të arrijë vetë përfundimin më të madh.
Shkruani kufizimet pranë gjetjes: çfarë u lidh, çfarë u përkthye dhe cili regjistër mbeti i heshtur. Një gjetje që deklaron kufijtë e vet i reziston një rishikimi të cilit një përmbledhje me besim nuk i reziston. Ky është ndryshimi midis dëshmisë dhe një tregimi për dëshminë.