Delad VPN-utgång, olika människor: att läsa bevisen
En adressöverensstämmelse, en kontolänk och en tidsmässig likhet är tre olika påståenden. Fråga vilken observatör som har vilken registrering innan du drar någon slutsats.
Öppna rapporten, och den första raden namnger vanligtvis en adress och ett konto, som om de två vore samma faktum. Det är de inte. En delad utgång berättar att någon enhet använde den adressen vid en registrerad tidpunkt, och en kontolänk berättar att en tjänst kände igen en identifierare. Att gå från det ena till det andra kräver en sammankopplingsgrund som rapporten måste ange.
Börja med den observation du faktiskt har
Skriv ned vad som registrerades i stället för vad det tycks innebära. En adress, en tidsstämpel och en begäransökväg är observationer, medan meningen som säger vem som gjorde det är en slutsats. Att hålla de två kolumnerna åtskilda är hela disciplinen, och det är lättare att upprätthålla på papper än i ett samtal.
Klassificera sedan observationen, eftersom de vanliga typerna har olika vikt. En delad utgångsadress, en varaktig konto- eller kakidentifierare och en likhet i tid eller volym är inte tre versioner av ett faktum. Två anställda bakom en företagsutgång delar en adress enligt design, medan en anställd som byter utgång men förblir inloggad behåller en kontolänk. Att behandla dem som ett faktum är där de flesta självsäkra rapporter gör fel.
Namnge sammankopplingsgrunden före slutsatsen
Ett korrelationspåstående måste namnge det fält som kopplar samman två registreringar. Presenterades samma kaka, autentiserades samma konto, rapporterades samma enhetsidentifierare, eller bara samma adress? Om svaret bara är adressen handlar påståendet om en nätverkskälla och stannar där.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Sekretessmodellen RFC 6973 behandlar korrelation som kombination av information och noterar att varaktiga identifierare kopplar samman interaktioner över tid. Dess diskussion om anonymitetsmängden lägger till den andra halvan: döljande beror på vem annars som ser likadan ut för just den observatören. Ingen av de två idéerna gör en delad adress till en identifiering.
Så den ärliga meningen förblir smal. Dessa två händelser delade en utgång vid dessa tidpunkter, och allt därutöver kräver en annan registrering.
Gå igenom observatörens position
En webbplats ser sina egna begäranden, sina egna inloggningar och sina egna sessionsidentifierare, och den ärver inte en annan webbplats registreringar bara för att båda råkade använda samma utgång. En observatör i accessnätet ser flöden i stället för innehåll. En VPN-operatör ser mappningen mellan konton och utgångar. Varje position stöder en annan slutsats, och en rapport namnger vanligtvis bara en av dem.
Fråga vilken observatör som skapade registreringen och fråga sedan vad den observatören faktiskt kunde se. En leverantörs egna villkor är inte samma sak som dess faktiska loggning, och ingen av dem är samma sak som en registrering framför dig. När svaret är oklart, be om källan i stället för att fylla luckan med ett antagande. En registrering utan källa är en hypotes i uniform. Frågan kostar ett meddelande och sparar en rättelse.
Håll tidsmönster på plats
Jämförelser av tid och volym kräver inte läsning av något sidinnehåll, och därför förekommer de i diskussioner om krypterad trafik. En likhet är också förenlig med delad infrastruktur, flera samtidiga användare och beteende som helt enkelt ser likadant ut. Det är alternativa förklaringar som en ärlig bedömning måste överväga.
En procentsats citerad från ett orelaterat experiment överför ingenting. Vad den betyder beror på kandidatmängden, data, metod och den uppmätta felfrekvensen. Utan de fyra tillför en siffra tillit utan att tillföra bevis. Behandla varje enskild likhet som en hypotes och skriv ned vad som skulle falsifiera den innan du går för att leta efter bekräftelse.
Kontrollera vad registreringarna stöder
Innan någon slutsats lämnar dina händer, bevara artefakterna och tidpunkterna. En fil med en hash och en tidsstämpel är bevis, medan en skärmbild i ett chattmeddelande är ett rykte med goda avsikter. Spara också klockslagets källa, eftersom en tidsstämpel du inte kan återskapa bara är ett påstående om en tidsstämpel.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Ange sedan slutsatsen med den styrka registreringarna tillåter, och inte starkare. En mening med förbehåll är billigare än en rättelse.
En delad utgång försvagar tillskrivning enbart baserad på adress, och den är varken ett identitetscertifikat eller ett löfte om anonymitet. På sekretesssidan börjar du med allt som består mellan sessioner, eftersom igenkänning sällan behöver trafikanalys alls. För en operativ utredning håller du observationen och slutsatsen i åtskilda kolumner. Låt den svagaste ounderstödda länken vara det du rapporterar, och säg det i själva rapporten.