พอร์ตออก VPN ที่ใช้ร่วมกัน คนละคน: วิธีอ่านหลักฐาน
การตรงกันของที่อยู่ การเชื่อมโยงบัญชี และความคล้ายกันของเวลาเป็นข้อกล่าวอ้างที่แตกต่างกันสามข้อ ถามว่าผู้สังเกตคนใดถือบันทึกใดก่อนสรุปผลใด ๆ
เปิดรายงาน แล้วบรรทัดแรกมักระบุที่อยู่หนึ่งและบัญชีหนึ่ง ราวกับทั้งสองเป็นข้อเท็จจริงเดียวกัน ไม่ใช่เช่นนั้น พอร์ตออกที่ใช้ร่วมกันบอกคุณว่าอุปกรณ์บางอย่างใช้ที่อยู่นั้นในเวลาที่บันทึกไว้ และการเชื่อมโยงบัญชีบอกว่าบริการบางอย่างรู้จักตัวระบุหนึ่ง การก้าวจากสิ่งหนึ่งไปอีกสิ่งหนึ่งต้องมีพื้นฐานการเชื่อมที่รายงานต้องระบุ
เริ่มจากข้อสังเกตที่คุณมีจริง
เขียนสิ่งที่ถูกบันทึก ไม่ใช่สิ่งที่ดูเหมือนจะบอกเป็นนัย ที่อยู่ เวลาที่บันทึก และเส้นทางคำขอเป็นข้อสังเกต ส่วนประโยคที่บอกว่าใครทำเป็นการอนุมาน การแยกสองคอลัมน์นั้นออกจากกันคือวินัยทั้งหมด และง่ายกว่าที่จะรักษาไว้บนกระดาษมากกว่าในการสนทนา
จากนั้นจำแนกข้อสังเกต เพราะประเภททั่วไปมีน้ำหนักต่างกัน ที่อยู่พอร์ตออกที่ใช้ร่วมกัน ตัวระบุบัญชีหรือคุกกี้ที่คงอยู่ และความคล้ายกันของเวลาหรือปริมาณไม่ใช่สามเวอร์ชันของข้อเท็จจริงเดียว พนักงานสองคนหลังพอร์ตออกองค์กรหนึ่งใช้ที่อยู่ร่วมกันโดยการออกแบบ ขณะที่พนักงานคนหนึ่งซึ่งสลับพอร์ตออกแต่ยังลงชื่อค้างไว้ยังคงมีการเชื่อมโยงบัญชี การถือว่าสิ่งเหล่านี้เป็นข้อเท็จจริงเดียวคือจุดที่รายงานที่มั่นใจจำนวนมากผิดพลาด
ระบุพื้นฐานการเชื่อมก่อนข้อสรุป
ข้อกล่าวอ้างเรื่องสหสัมพันธ์ต้องระบุฟิลด์ที่เชื่อมบันทึกสองรายการ คุกกี้เดียวกันถูกนำเสนอหรือไม่ บัญชีเดียวกันได้รับการพิสูจน์ตัวตนหรือไม่ ตัวระบุอุปกรณ์เดียวกันถูกรายงานหรือไม่ หรือเพียงที่อยู่เดียวกัน หากคำตอบเป็นเพียงที่อยู่ ข้อกล่าวอ้างนั้นเกี่ยวกับแหล่งเครือข่ายและหยุดอยู่เพียงนั้น
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
แบบจำลองความเป็นส่วนตัว RFC 6973 ถือว่าสหสัมพันธ์คือการรวมข้อมูล และตั้งข้อสังเกตว่าตัวระบุที่คงอยู่เชื่อมปฏิสัมพันธ์ข้ามเวลา การอภิปรายเรื่องกลุ่มนิรนามของแบบจำลองเพิ่มอีกครึ่งหนึ่ง คือการซ่อนขึ้นอยู่กับว่าใครอื่นดูเหมือนกันสำหรับผู้สังเกตนั้นโดยเฉพาะ ความคิดทั้งสองไม่เปลี่ยนที่อยู่ร่วมกันให้เป็นการระบุตัวตน
ดังนั้นประโยคที่ซื่อตรงจึงยังแคบ เหตุการณ์ทั้งสองนี้ใช้พอร์ตออกร่วมกันในเวลาเหล่านี้ และสิ่งใดเกินกว่านั้นต้องใช้บันทึกอื่น
เดินผ่านตำแหน่งของผู้สังเกต
เว็บไซต์เห็นคำขอของตนเอง การลงชื่อเข้าใช้ของตนเอง และตัวระบุเซสชันของตนเอง และไม่ได้สืบทอดบันทึกของเว็บไซต์อื่นเพียงเพราะทั้งสองบังเอิญใช้พอร์ตออกเดียวกัน ผู้สังเกตเครือข่ายการเข้าถึงเห็นการไหลมากกว่าเนื้อหา ผู้ให้บริการ VPN เห็นการแมประหว่างบัญชีและพอร์ตออก แต่ละตำแหน่งรองรับข้อสรุปที่ต่างกัน และรายงานมักระบุเพียงหนึ่งในนั้น
ถามว่าผู้สังเกตคนใดสร้างบันทึก แล้วถามว่าผู้สังเกตนั้นสามารถเห็นอะไรได้จริง เงื่อนไขของผู้ให้บริการเองไม่ใช่สิ่งเดียวกับการบันทึกจริงของเขา และทั้งสองอย่างก็ไม่ใช่สิ่งเดียวกับบันทึกที่อยู่ตรงหน้าคุณ เมื่อคำตอบไม่ชัด ให้ขอแหล่งที่มาแทนการเติมช่องว่างด้วยสมมติฐาน บันทึกที่ไม่มีแหล่งที่มาคือสมมติฐานที่สวมเครื่องแบบ คำถามมีต้นทุนหนึ่งข้อความและประหยัดการแก้ไขหนึ่งครั้ง
วางรูปแบบเวลาไว้ในที่ของมัน
การเปรียบเทียบเวลาและปริมาณไม่ต้องอ่านเนื้อหาหน้าใด ๆ จึงปรากฏในการอภิปรายเรื่องการจราจรที่เข้ารหัส ความคล้ายกันยังเข้ากันได้กับโครงสร้างพื้นฐานร่วม ผู้ใช้หลายคนพร้อมกัน และพฤติกรรมที่ดูคล้ายกันเฉย ๆ สิ่งเหล่านี้คือคำอธิบายทางเลือกที่การประเมินอย่างซื่อตรงต้องพิจารณา
เปอร์เซ็นต์ที่อ้างจากประสบการณ์ที่ไม่เกี่ยวข้องไม่ได้ถ่ายทอดสิ่งใด ความหมายขึ้นอยู่กับชุดผู้สมัคร ข้อมูล วิธีการ และอัตราความผิดพลาดที่วัดได้ หากไม่มีสี่อย่างนั้น ตัวเลขจะเพิ่มความมั่นใจโดยไม่เพิ่มหลักฐาน ให้ถือความคล้ายกันใด ๆ เป็นสมมติฐาน และเขียนว่าอะไรจะหักล้างมันก่อนจะออกไปหาการยืนยัน
ตรวจสอบว่าบันทึกสนับสนุนสิ่งใด
ก่อนข้อสรุปใดจะออกจากมือคุณ ให้เก็บรักษาสิ่งประดิษฐ์และเวลาไว้ ไฟล์ที่มีแฮชและเวลาที่บันทึกคือหลักฐาน ขณะที่ภาพหน้าจอในข้อความแชตคือข่าวลือที่มีเจตนาดี เก็บแหล่งที่มาของนาฬิกาไว้ด้วย เพราะเวลาที่คุณทำซ้ำไม่ได้เป็นเพียงข้อกล่าวอ้างเกี่ยวกับเวลา
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'จากนั้นระบุข้อสรุปด้วยความแรงที่บันทึกอนุญาต และไม่มากกว่านั้น หนึ่งประโยคของการกำกับมีราคาถูกกว่าการแก้ไขหนึ่งครั้ง
พอร์ตออกที่ใช้ร่วมกันทำให้การระบุตัวจากที่อยู่เพียงอย่างเดียวอ่อนลง และไม่ใช่ใบรับรองตัวตนและไม่ใช่คำสัญญาว่าจะนิรนาม ในด้านความเป็นส่วนตัว ให้เริ่มจากสิ่งใดก็ตามที่คงอยู่ข้ามเซสชัน เพราะการรู้จักแทบไม่ต้องวิเคราะห์การจราจรเลย สำหรับการสืบสวนเชิงปฏิบัติ ให้แยกข้อสังเกตและการอนุมานไว้ในคอลัมน์ต่างกัน ให้ข้อเชื่อมที่อ่อนที่สุดซึ่งไม่ได้รับการสนับสนุนเป็นสิ่งที่คุณรายงาน และบอกเช่นนั้นในรายงานเอง