Заједнички VPN излаз, различити људи: како читати доказе
Подударање адресе, повезивање налога и временска сличност су три различите тврдње. Питајте који посматрач држи који запис пре него што донесете било какав закључак.
Отворите извештај и први ред обично именује једну адресу и један налог, као да је реч о истој чињеници. Није. Заједнички излаз вам каже да је неки уређај користио ту адресу у забележено време, а повезивање налога каже да је нека услуга препознала идентификатор. Прелазак са једног на друго захтева основу повезивања коју извештај мора да наведе.
Почните од запажања које заиста имате
Запишите шта је забележено, а не шта се чини да имплицира. Адреса, временска ознака и путања захтева су запажања, док је реченица која каже ко је то урадио закључак. Држати те две колоне одвојено јесте цела дисциплина, и лакше је одржати на папиру него у разговору.
Затим класификујте запажање, јер уобичајене врсте носе различиту тежину. Заједничка излазна адреса, трајни идентификатор налога или колачића и сличност у времену или обиму нису три верзије једне чињенице. Два запослена иза једног корпоративног излаза деле адресу по дизајну, док запослени који мења излазе али остаје пријављен задржава везу са налогом. Третирати то као једну чињеницу је место где већина самоуверених извештаја греши.
Наведите основу повезивања пре закључка
Тврдња о корелацији мора да наведе поље које повезује два записа. Да ли је представљен исти колачић, да ли је аутентификован исти налог, да ли је пријављен исти идентификатор уређаја или само иста адреса? Ако је одговор само адреса, тврдња се односи на мрежни извор и ту се зауставља.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Модел приватности RFC 6973 третира корелацију као комбиновање информација и напомиње да трајни идентификатори повезују интеракције кроз време. Његова расправа о скупу анонимности додаје другу половину: скривање зависи од тога ко још изгледа исто том конкретном посматрачу. Ниједна од две идеје не претвара заједничку адресу у идентификацију.
Зато искрена реченица остаје уска. Ова два догађаја делила су излаз у ово време, и све даље од тога тражи други запис.
Прођите кроз позицију посматрача
Веб-сајт види своје захтеве, своје пријаве и своје идентификаторе сесије и не наслеђује записе другог сајта само зато што су оба случајно користила исти излаз. Посматрач приступне мреже види токове, а не садржај. VPN оператер види пресликавање између налога и излаза. Свака позиција подржава други закључак, а извештај обично именује само један од њих.
Питајте који је посматрач произвео запис, а затим питајте шта је тај посматрач заиста могао да види. Сопствени услови пружаоца нису иста ствар као његово стварно евидентирање, а ни једно од тога није исто што и запис пред вама. Када одговор није јасан, тражите извор уместо да празнину попуните претпоставком. Запис без извора је хипотеза у униформи. Питање кошта једну поруку и штеди једну исправку.
Држите временске обрасце на њиховом месту
Поређења времена и обима не захтевају читање садржаја странице, зато се појављују у расправама о шифрованом саобраћају. Сличност је такође спојива са заједничком инфраструктуром, више истовремених корисника и понашањем које једноставно изгледа исто. То су алтернативна објашњења која искрена процена мора да узме у обзир.
Проценат цитиран из неповезаног експеримента не преноси ништа. Његово значење зависи од скупа кандидата, података, методе и измерене стопе грешака. Без тих четири, број додаје поверење без додавања доказа. Третирајте сваку појединачну сличност као хипотезу и запишите шта би је оповргло пре него што кренете у потрагу за потврдом.
Проверите шта записи подржавају
Пре него што било који закључак напусти ваше руке, сачувајте артефакте и времена. Датотека са хешем и временском ознаком је доказ, док је снимак екрана у поруци разговора гласина са добрим намерама. Сачувајте и извор сата, јер временска ознака коју не можете да репродукујете само је тврдња о временској ознаци.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Затим изнесите закључак снагом коју записи допуштају, и не јаче. Једна реченица ограде јефтинија је од исправке.
Заједнички излаз слаби приписивање само по адреси, и није ни потврда идентитета ни обећање анонимности. На страни приватности почните од свега што траје кроз сесије, јер препознавање ретко уопште треба анализу саобраћаја. За оперативну истрагу држите запажање и закључак у одвојеним колонама. Нека најслабија неподржана веза буде оно о чему извештавате, и реците то у самом извештају.