Спільний вихід VPN, різні люди: як читати докази
Збіг адреси, прив'язка облікового запису й схожість у часі — це три різні твердження. Запитайте, у якого спостерігача який запис, перш ніж робити будь-який висновок.
Відкрийте звіт, і перший рядок зазвичай називає одну адресу й один обліковий запис, ніби це один і той самий факт. Це не так. Спільний вихід говорить, що якийсь пристрій використав цю адресу в зафіксований час, а прив'язка облікового запису говорить, що якась служба розпізнала ідентифікатор. Щоб перейти від одного до іншого, потрібна основа зв'язку, яку звіт має назвати.
Почніть зі спостереження, яке у вас справді є
Запишіть те, що було зафіксовано, а не те, що воно нібито означає. Адреса, позначка часу й шлях запиту — це спостереження, а речення про те, хто це зробив, — висновок. Тримати ці дві колонки окремо і є вся дисципліна, і на папері її тримати легше, ніж у розмові.
Далі класифікуйте спостереження, бо звичайні види мають різну вагу. Спільна адреса виходу, постійний ідентифікатор облікового запису або cookie і схожість у часі чи обсязі не є трьома версіями одного факту. Двоє працівників за одним корпоративним виходом ділять адресу за задумом, а працівник, який змінює виходи, але залишається в системі, зберігає прив'язку облікового запису. Вважати це одним фактом — саме там помиляється більшість упевнених звітів.
Назвіть основу зв'язку до висновку
Твердження про кореляцію має назвати поле, яке пов'язує два записи. Чи було пред'явлено той самий cookie, чи автентифіковано той самий обліковий запис, чи повідомлено той самий ідентифікатор пристрою — чи лише ту саму адресу? Якщо відповідь — лише адреса, твердження стосується мережевого джерела й на цьому закінчується.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Модель приватності RFC 6973 розглядає кореляцію як об'єднання інформації й зауважує, що постійні ідентифікатори пов'язують взаємодії в часі. Її обговорення множини анонімності додає другу половину: приховування залежить від того, хто ще виглядає так само для цього конкретного спостерігача. Жодна з двох ідей не перетворює спільну адресу на ідентифікацію.
Тож чесне речення залишається вузьким. Ці дві події ділили вихід у цей час, і все, що далі, потребує іншого запису.
Пройдіть позицію спостерігача
Сайт бачить власні запити, власні входи й власні ідентифікатори сеансу і не успадковує записи іншого сайту лише тому, що обидва випадково використали один вихід. Спостерігач мережі доступу бачить потоки, а не вміст. Оператор VPN бачить відповідність між обліковими записами й виходами. Кожна позиція підтримує інший висновок, і звіт зазвичай називає лише один із них.
Запитайте, який спостерігач створив запис, а потім — що цей спостерігач справді міг бачити. Власні умови постачальника — не те саме, що його фактичне журналювання, і ні те, ні інше не те саме, що запис перед вами. Якщо відповідь неясна, попросіть джерело, а не заповнюйте прогалину припущенням. Запис без джерела — це гіпотеза у формі. Питання коштує одного повідомлення й економить одне виправлення.
Тримайте часові закономірності на їхньому місці
Порівняння часу й обсягу не потребують читання вмісту сторінки, тому вони й з'являються в обговореннях зашифрованого трафіку. Схожість сумісна також зі спільною інфраструктурою, кількома одночасними користувачами й поведінкою, яка просто виглядає подібно. Це альтернативні пояснення, які чесна оцінка має розглянути.
Відсоток, узятий із не пов'язаного експерименту, нічого не передає. Його значення залежить від набору кандидатів, даних, методу й виміряної частки помилок. Без цих чотирьох число додає впевненості, не додаючи доказів. Ставтеся до будь-якої окремої схожості як до гіпотези й запишіть, що її спростує, перш ніж шукати підтвердження.
Перевірте, що підтверджують записи
Перш ніж якийсь висновок залишить ваші руки, збережіть артефакти й часи. Файл із хешем і позначкою часу — це доказ, тоді як знімок екрана в повідомленні чату — це чутка з добрими намірами. Збережіть і джерело годинника, бо позначка часу, яку ви не можете відтворити, — лише твердження про позначку часу.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Потім викладіть висновок із тією силою, яку дозволяють записи, і не сильніше. Одне речення застереження дешевше за одне виправлення.
Спільний вихід послаблює прив'язку лише за адресою, і він не є ні посвідченням особи, ні обіцянкою анонімності. З боку приватності починайте з усього, що зберігається між сеансами, бо розпізнавання рідко взагалі потребує аналізу трафіку. Для оперативного розслідування тримайте спостереження й висновок в окремих колонках. Нехай найслабша непідкріплена ланка буде тим, про що ви повідомляєте, і скажіть це в самому звіті.