บันทึก VPN แสดงประวัติการเรียกดูได้หรือไม่? หลักฐานพิสูจน์อะไร
บันทึกเซสชัน คำถามของตัวแปลงชื่อ และบันทึกโฟลว์พิสูจน์คนละเรื่อง เลือกคำถาม เชื่อมตัวตนกับเวลา แล้วกล่าวถึงเฉพาะสิ่งที่แสดงให้เห็น
คำถามการตรวจสอบสองข้อฟังดูคล้ายกันแต่ต้องใช้หลักฐานต่างชนิดกัน คำถามที่ว่าเซสชันใดติดต่อที่อยู่นี้ตอบได้จากบันทึกการเชื่อมต่อและโฟลว์ คำถามที่ว่าบุคคลใดเปิดหน้านี้มักตอบไม่ได้ อย่างน้อยก็ไม่ใช่จากบันทึกเหล่านั้น การเลือกตัวเก็บข้อมูลก่อนเลือกคำถามคือวิธีที่ทีมเครือข่ายลงเอยด้วยการนำชื่อโฮสต์มาเสนอเป็นประวัติการเรียกดู
เริ่มจากเหตุการณ์ที่การตรวจสอบต้องพิสูจน์
เขียนคำถามเป็นประโยคที่มีประธาน กริยา และเวลา วินัยข้อนี้เพียงอย่างเดียวก็เผยให้เห็น ช่องว่างระหว่างบันทึกเซสชันกับการดูหน้าเว็บ บันทึกเซสชันยืนยันว่าตัวตนหนึ่งได้รับการยอมรับ ในช่วงเวลาหนึ่ง พร้อมที่อยู่ที่จัดสรรภายใต้นโยบายที่บันทึกไว้ และไม่สามารถยืนยันว่าใครอ่านหน้าใด เพราะมันไม่เคยเห็นคำขอ
ติดป้ายสิ่งที่สังเกตก่อนออกแบบการเก็บข้อมูล ฟิลด์ที่ตั้งชื่อตามเว็บไซต์ที่เยี่ยมชมแต่จริง ๆ เก็บชื่อที่แปลงแล้วคือข้อผิดพลาดในอนาคต ไม่ใช่ความสะดวก ชื่อฟิลด์มีอายุยืนกว่าคนที่เลือกมัน ดังนั้นเลือกชื่อที่บรรยายหลักฐานไม่ใช่ข้อสรุป
แต่ละบันทึกสนับสนุนอะไรได้และไม่ได้
บันทึกสี่ประเภทปรากฏในเกือบทุกการออกแบบการตรวจสอบ และแต่ละประเภทตอบคำถามต่างกัน แยกมันออกจากกันทั้งในรายงานและในไปป์ไลน์ เพราะการผสมปนเปคือวิธีที่ข้อค้นพบซึ่งป้องกันได้กลายเป็นเรื่องน่าอับอาย
| The question being asked | Record that can answer it | What that record proves | What still needs a join |
|---|---|---|---|
| Was this address contacted? | Flow record | The connection five-tuple and when it was seen | Which session held the address at that moment |
| Which account held that address? | Session log | Which identity authenticated and the tunnel address it received | Which device or person used that account |
| Was this name looked up? | Resolver query | That this resolver was asked for this name | Whether a page was fetched, and by whom |
| Was this page viewed? | Proxy or application transaction | The request and identity recorded inside that application's scope | Traffic outside that application's visibility |
| Who was the person? | None of the four on its own | An account in use, at best | A named human, whenever accounts are shared |
อ่านคอลัมน์สุดท้ายอย่างระมัดระวังเท่ากับคอลัมน์กลาง บันทึกโฟลว์บรรยายที่อยู่และพอร์ต และการค้นหาย้อนกลับของที่อยู่ไม่ได้สร้างชื่อที่เบราว์เซอร์ใช้ขึ้นใหม่ เพราะที่อยู่หนึ่งแห่งสามารถเป็นที่อยู่ของเว็บไซต์ที่ไม่เกี่ยวข้องกันหลายแห่ง คำถามของตัวแปลงชื่อพิสูจน์ว่ามีการถาม ไม่ได้พิสูจน์ว่ามีการแสดงหน้า ชื่อโฮสต์ที่มองเห็นระหว่างการเจรจา TLS ก็ไม่ใช่เส้นทางคำขอที่เข้ารหัส
แต่ละอย่างเป็นการสังเกตจริง และไม่มีอย่างใดเป็นการสังเกตที่ผู้คนสันนิษฐาน เบราว์เซอร์ที่ยืนกรานใช้ตัวแปลงชื่อแบบเข้ารหัสของตนเองอยู่นอกขอบเขตที่ตรวจสอบ และการวิเคราะห์ไม่สามารถกู้คืนสิ่งที่การบันทึกไม่เคยเห็น ช่องว่างนั้นควรอยู่ในรายงานในฐานะข้อจำกัดที่ระบุไว้ ไม่ใช่เชิงอรรถ
การค้นหาล่วงหน้าและคำตอบจากแคช
เบราว์เซอร์แปลงชื่อล่วงหน้า บางครั้งโดยไม่โหลดอะไรเลย พวกมันยังตอบจากแคชโดยไม่ส่งคำถามใหม่ไปยังตัวแปลงชื่อที่คุณเฝ้าดู ซึ่งหมายความว่าการไม่มีคำถามไม่ใช่การไม่มีการเยี่ยมชม พฤติกรรมทั้งสองทำลายสมการง่าย ๆ ระหว่างบันทึก DNS กับประวัติการเรียกดู
DNS over HTTPS เพิ่มพรมแดนที่สอง เบราว์เซอร์หรือแอปพลิเคชันแขกที่มีตัวแปลงชื่อของตัวเองไม่เคยถามตัวบันทึกขององค์กรเลย ธุรกรรมที่แน่นอนมาจากเหตุการณ์ของแอปพลิเคชันเองหรือจากพร็อกซีที่คุณสนับสนุนการบันทึกอย่างชัดแจ้ง อุโมงค์ HTTPS CONNECT ธรรมดาไม่ให้พร็อกซีเห็นเส้นทางหน้าเว็บข้างใน การเป็นเจ้าของเครือข่ายไม่ใช่สิทธิ์ในการเปลี่ยนโมเดลความเชื่อถือของแอปพลิเคชันอย่างเงียบ ๆ
ที่อยู่เป็นของเซสชัน ไม่ใช่ของบุคคล
บันทึกโฟลว์ที่พกที่อยู่ในช่วงอุโมงค์เป็นจุดเริ่มต้น ไม่ใช่คำตอบ เชื่อมที่อยู่และตราเวลานั้นกับการจัดสรรเซสชันที่ใช้งานอยู่ในขณะนั้น เพราะที่อยู่นั้นอาจถูกจัดสรรให้เซสชันอื่นในอีกหนึ่งชั่วโมงต่อมา การกำหนดที่อยู่แบบคงที่เป็นวิธีหนึ่งในการรักษาความเชื่อมโยงนั้น ไม่ใช่วิธีเดียว
เมื่อขั้นตอนการแปลงรวมอุปกรณ์หลายเครื่องเป็นที่อยู่ต้นทางเดียวเหนือเซนเซอร์ การเชื่อมโยงทำได้เพียงระบุเซสชันเกตเวย์ที่ใช้ร่วมกัน บัญชีที่ใช้ร่วมกันหรือใบรับรองที่หลายคนใช้จำกัดการระบุตัวตนไม่ว่าข้อมูลเครือข่ายจะดูสมบูรณ์เพียงใด ทั้งสองอย่างควรอยู่ในรายงานในฐานะข้อจำกัด ไม่ใช่ข้อกังวลภายหลัง
บันทึกเขตเวลา แหล่งนาฬิกา จุดสังเกต และทุกพรมแดนการแปลงในระหว่าง การไม่มีข้อมูลสมควรได้รับความใส่ใจเท่ากับการมีอยู่ เพราะบันทึกที่หายไปอาจหมายถึงรายการโฟลว์หมดอายุ เซนเซอร์ไม่เคยเห็นแพ็กเก็ต หรือบันทึกแอปพลิเคชันถูกปิด
ออกแบบตามวัตถุประสงค์ที่ระบุ แล้วพิสูจน์ไปป์ไลน์
เมื่อคำถามถูกกำหนดแล้ว จงกำหนดว่าต้องใช้ฟิลด์ใด ใครอ่านได้ และเก็บไว้นานเท่าใด การเก็บมากขึ้นเพราะที่เก็บข้อมูลราคาถูกสร้างภาระที่อยู่ยืนกว่าการสอบสวน โมเดลความเป็นส่วนตัวใน RFC 6973 มองความสัมพันธ์ การระบุผิด และการเก็บที่ไม่จำเป็นเป็นปัญหาการออกแบบ ไม่ใช่ความคิดภายหลัง
ปกป้องการจับคู่และบันทึกเป็นวัตถุเดียวกัน เพราะแต่ละอย่างเดี่ยว ๆ มีความอ่อนไหวน้อยกว่าคู่มาก จากนั้นตรวจสอบการออกแบบกับกิจกรรมที่คุณได้รับอนุญาตให้สร้างและเข้าใจอยู่แล้ว โดยใช้คำถามที่เล็กที่สุดซึ่งรายงานจะพึ่งพา ไปป์ไลน์ที่ไม่สามารถสร้างเหตุการณ์ที่รู้จักขึ้นใหม่ได้ก็จะไม่สร้างเหตุการณ์ที่ไม่รู้จักขึ้นใหม่เช่นกัน รายงานเหตุการณ์ที่หลักฐานสนับสนุน ด้วยถ้อยคำที่หลักฐานอนุญาต และปล่อยให้ผู้อ่านไปถึงข้อสรุปที่ใหญ่กว่าได้เอง
เขียนข้อจำกัดไว้ข้างข้อค้นพบ สิ่งใดถูกเชื่อม สิ่งใดถูกแปลง และบันทึกใดเงียบอยู่ ข้อค้นพบที่ระบุพรมแดนของตนเองทนต่อการทบทวนที่บทสรุปอันมั่นใจไม่ทน นั่นคือความต่างระหว่างหลักฐานกับเรื่องเล่าเกี่ยวกับหลักฐาน