Ibinahaging labasan ng VPN, magkaibang tao: pagbasa ng ebidensya
Ang pagtutugma ng address, pagkakaugnay ng account at pagkakahawig ng oras ay tatlong magkaibang pahayag. Itanong kung aling tagamasid ang may hawak ng aling rekord bago magbigay ng anumang konklusyon.
Buksan ang ulat at ang unang linya ay karaniwang nagbabanggit ng isang address at isang account, na parang ang dalawa ay isang katotohanan. Hindi. Ang ibinahaging labasan ay nagsasabi na may device na gumamit ng address na iyon sa naitalang oras, at ang pagkakaugnay ng account ay nagsasabi na may serbisyong nakakilala ng identifier. Ang paglipat mula sa isa patungo sa isa ay nangangailangan ng batayan ng pagkakaugnay na dapat banggitin ng ulat.
Magsimula sa obserbasyon na talagang mayroon ka
Isulat ang naitala, hindi ang tila ipinahihiwatig. Ang address, timbre ng oras at landas ng kahilingan ay mga obserbasyon, samantalang ang pangungusap na nagsasabi kung sino ang gumawa ay isang hinuha. Ang paghihiwalay ng dalawang hanay na iyon ang buong disiplina, at mas madaling panatilihin ito sa papel kaysa sa usapan.
Pagkatapos ay uriin ang obserbasyon, dahil magkaiba ang bigat ng karaniwang uri. Ang ibinahaging address ng labasan, matatag na identifier ng account o cookie at pagkakahawig sa oras o dami ay hindi tatlong bersyon ng isang katotohanan. Dalawang empleyado sa likod ng isang corporate na labasan ay nagbabahagi ng address ayon sa disenyo, samantalang isang empleyadong nagpapalit ng labasan ngunit nananatiling naka-sign in ay nagpapanatili ng pagkakaugnay ng account. Ang ituring ang mga ito na isang katotohanan ay doon nagkakamali ang karamihan ng tiwala-sa-sarili na ulat.
Banggitin ang batayan ng pagkakaugnay bago ang konklusyon
Ang pahayag ng ugnayan ay dapat magbanggit ng field na nag-uugnay sa dalawang rekord. Iniharap ba ang parehong cookie, na-authenticate ba ang parehong account, iniulat ba ang parehong identifier ng device, o ang parehong address lamang? Kung ang sagot ay address lamang, ang pahayag ay tungkol sa pinagmulan sa network at doon nagtatapos.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Itinuturing ng modelo ng privacy na RFC 6973 ang ugnayan bilang pagsasama ng impormasyon at binabanggit na ang matatag na identifier ay nag-uugnay ng mga interaksyon sa paglipas ng panahon. Ang talakayan nito sa hanay ng anonymity ay nagdaragdag ng kabilang kalahati: ang pagtatago ay nakadepende sa kung sino pa ang mukhang pareho sa partikular na tagamasid na iyon. Wala sa dalawang ideya ang gumagawa ng ibinahaging address na isang pagkakakilanlan.
Kaya nananatiling makitid ang tapat na pangungusap. Ang dalawang pangyayaring ito ay nagbahagi ng labasan sa mga oras na ito, at anumang higit pa doon ay nangangailangan ng ibang rekord.
Lakbayin ang posisyon ng tagamasid
Nakikita ng isang website ang sarili nitong mga kahilingan, sarili nitong pag-login at sarili nitong identifier ng sesyon, at hindi nito namamana ang mga rekord ng ibang website dahil lang pareho silang gumamit ng parehong labasan. Nakikita ng tagamasid sa access network ang mga daloy at hindi nilalaman. Nakikita ng operator ng VPN ang pagmamapa sa pagitan ng mga account at labasan. Bawat posisyon ay sumusuporta sa ibang konklusyon, at ang ulat ay karaniwang nagbabanggit lamang ng isa sa kanila.
Itanong kung aling tagamasid ang gumawa ng rekord, pagkatapos ay itanong kung ano talaga ang nakita ng tagamasid na iyon. Ang sariling mga tuntunin ng isang provider ay hindi kapareho ng aktwal na pag-log nito, at wala sa dalawa ang kapareho ng rekord sa harap mo. Kapag hindi malinaw ang sagot, humingi ng pinagmulan sa halip na punan ang puwang ng palagay. Ang rekord na walang pinagmulan ay hinuha na may uniporme. Ang tanong ay isang mensahe ang halaga at nakakatipid ng isang pagwawasto.
Panatilihin ang mga pattern ng oras sa lugar nito
Ang paghahambing ng oras at dami ay hindi nangangailangan ng pagbasa ng anumang nilalaman ng pahina, kaya lumilitaw ang mga ito sa talakayan tungkol sa naka-encrypt na trapiko. Ang pagkakahawig ay tugma rin sa ibinahaging imprastruktura, maraming sabay na gumagamit at pag-uugaling mukhang pareho lamang. Ito ay mga alternatibong paliwanag na dapat isaalang-alang ng tapat na pagtatasa.
Ang porsyentong sinipi mula sa walang kaugnayang eksperimento ay walang naipapasa. Ang ibig sabihin nito ay nakadepende sa hanay ng mga kandidato, data, pamamaraan at nasukat na rate ng error. Kung wala ang apat na iyon, ang isang numero ay nagdaragdag ng tiwala nang walang idinagdag na ebidensya. Ituring ang anumang iisang pagkakahawig na isang hinuha, at isulat kung ano ang magpapabulaan dito bago ka pumunta upang maghanap ng kumpirmasyon.
Suriin kung ano ang sinusuportahan ng mga rekord
Bago umalis ang anumang konklusyon sa iyong mga kamay, pangalagaan ang mga artifact at ang mga oras. Ang file na may hash at timbre ng oras ay ebidensya, samantalang ang screenshot sa isang chat message ay tsismis na may mabubuting intensyon. I-save din ang pinagmulan ng orasan, dahil ang timbre ng oras na hindi mo maaaring muling gawin ay pahayag lamang tungkol sa timbre ng oras.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Pagkatapos ay sabihin ang konklusyon sa lakas na pinapayagan ng mga rekord, at hindi hihigit pa. Ang isang pangungusap ng pag-aalinlangan ay mas mura kaysa sa isang pagwawasto.
Pinapahina ng ibinahaging labasan ang pag-uukol na nakabatay sa address lamang, at hindi ito sertipiko ng pagkakakilanlan ni pangako ng anonymity. Sa panig ng privacy, magsimula sa anumang nananatili sa mga sesyon, dahil bihirang kailanganin ng pagkilala ang pagsusuri ng trapiko. Para sa isang operasyonal na imbestigasyon, panatilihin ang obserbasyon at hinuha sa magkahiwalay na hanay. Hayaang ang pinakamahinang hindi suportadong kawing ang iyong iniuulat, at sabihin ito sa ulat mismo.