Paylaşılan VPN çıkışı, farklı insanlar: kanıtları okumak
Bir adres eşleşmesi, bir hesap bağlantısı ve bir zaman benzerliği üç farklı iddiadır. Herhangi bir sonuca varmadan önce hangi gözlemcinin hangi kaydı tuttuğunu sorun.
Raporu açın; ilk satır genellikle bir adres ve bir hesap adlandırır, sanki ikisi aynı olguymuş gibi. Değiller. Paylaşılan bir çıkış, bir cihazın o adresi kayıtlı bir zamanda kullandığını söyler; hesap bağlantısı ise bir hizmetin bir tanımlayıcıyı tanıdığını söyler. Birinden diğerine geçmek, raporun belirtmesi gereken bir bağlantı temeli gerektirir.
Gerçekten sahip olduğunuz gözlemle başlayın
Göründüğü gibi değil, kaydedileni yazın. Adres, zaman damgası ve istek yolu gözlemlerdir; kimin yaptığını söyleyen cümle ise bir çıkarımdır. Bu iki sütunu ayrı tutmak bütün disiplindir ve kâğıt üzerinde bir konuşmadan daha kolay sürdürülür.
Sonra gözlemi sınıflandırın, çünkü yaygın türler farklı ağırlık taşır. Paylaşılan çıkış adresi, kalıcı hesap veya çerez tanımlayıcısı ve zaman ya da hacimdeki bir benzerlik tek bir olgunun üç sürümü değildir. Tek bir kurumsal çıkışın arkasındaki iki çalışan adresi tasarım gereği paylaşır; çıkışları değiştirip oturumu açık tutan tek bir çalışan ise hesap bağlantısını korur. Bunları tek olgu saymak, kendinden emin raporların çoğunun yanıldığı yerdir.
Sonuçtan önce bağlantı temelini adlandırın
Bir korelasyon iddiası iki kaydı birleştiren alanı adlandırmak zorundadır. Aynı çerez mi sunuldu, aynı hesap mı doğrulandı, aynı cihaz tanımlayıcısı mı bildirildi, yoksa yalnızca aynı adres mi? Cevap yalnızca adresse, iddia bir ağ kaynağı hakkındadır ve orada durur.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Gizlilik modeli RFC 6973 korelasyonu bilgi birleştirme olarak ele alır ve kalıcı tanımlayıcıların etkileşimleri zaman içinde birleştirdiğini belirtir. Anonimlik kümesi tartışması diğer yarıyı ekler: gizlenme, o belirli gözlemciye başka kimin aynı göründüğüne bağlıdır. İki fikirden hiçbiri paylaşılan bir adresi kimliklendirmeye dönüştürmez.
Bu yüzden dürüst cümle dar kalır. Bu iki olay bu zamanlarda bir çıkışı paylaştı ve bunun ötesindeki her şey başka bir kayıt gerektirir.
Gözlemcinin konumundan geçin
Bir web sitesi kendi isteklerini, kendi oturum açmalarını ve kendi oturum tanımlayıcılarını görür ve yalnızca ikisi de aynı çıkışı kullandı diye başka bir sitenin kayıtlarını devralmaz. Erişim ağı gözlemcisi içeriği değil akışları görür. Bir VPN işletmecisi hesaplarla çıkışlar arasındaki eşlemeyi görür. Her konum farklı bir sonucu destekler ve bir rapor genellikle yalnızca birini adlandırır.
Kaydı hangi gözlemcinin ürettiğini sorun, sonra o gözlemcinin gerçekte neyi görebildiğini sorun. Bir sağlayıcının kendi koşulları, onun gerçek günlüklemesiyle aynı şey değildir ve ikisi de önünüzdeki bir kayıtla aynı şey değildir. Cevap açık değilse, boşluğu bir varsayımla doldurmak yerine kaynağı isteyin. Kaynağı olmayan bir kayıt, üniformalı bir hipotezdir. Soru bir mesaj maliyetindedir ve bir düzeltmeyi kurtarır.
Zaman kalıplarını yerlerinde tutun
Zaman ve hacim karşılaştırmaları herhangi bir sayfa içeriğini okumayı gerektirmez, bu yüzden şifreli trafik tartışmalarında görünürler. Bir benzerlik aynı zamanda paylaşılan altyapı, birden çok eşzamanlı kullanıcı ve sadece benzer görünen davranışla da uyumludur. Bunlar dürüst bir değerlendirmenin dikkate alması gereken alternatif açıklamalardır.
İlgisiz bir deneyden alıntılanan bir yüzde hiçbir şey aktarmaz. Ne anlama geldiği aday kümesine, verilere, yönteme ve ölçülen hata oranına bağlıdır. Bu dördü olmadan bir sayı kanıt eklemeden güven ekler. Herhangi bir tek benzerliği bir hipotez olarak ele alın ve doğrulama aramaya gitmeden önce onu neyin yanlışlayacağını yazın.
Kayıtların neyi desteklediğini kontrol edin
Herhangi bir sonuç elinizden çıkmadan önce artefaktları ve zamanları koruyun. Bir hash ve zaman damgası olan dosya kanıttır; sohbet mesajındaki bir ekran görüntüsü ise iyi niyetli bir dedikodudur. Saatin kaynağını da saklayın, çünkü yeniden üretemediğiniz bir zaman damgası yalnızca zaman damgası hakkında bir iddiadır.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Sonra sonucu kayıtların izin verdiği güçle ifade edin, daha güçlü değil. Bir çekince cümlesi bir düzeltmeden daha ucuzdur.
Paylaşılan bir çıkış, yalnızca adrese dayalı atfı zayıflatır ve ne kimlik belgesidir ne de anonimlik vaadidir. Gizlilik tarafında, oturumlar arasında kalan her şeyle başlayın, çünkü tanıma nadiren trafik analizine hiç ihtiyaç duymaz. Operasyonel bir soruşturma için gözlemi ve çıkarımı ayrı sütunlarda tutun. En zayıf desteksiz halkanın raporladığınız şey olmasına izin verin ve bunu raporun kendisinde söyleyin.