Cổng ra VPN dùng chung, những người khác nhau: cách đọc bằng chứng
Sự trùng khớp địa chỉ, một liên kết tài khoản và sự giống nhau về thời gian là ba khẳng định khác nhau. Hãy hỏi nhà quan sát nào giữ bản ghi nào trước khi đi đến bất kỳ kết luận nào.
Mở báo cáo và dòng đầu tiên thường nêu một địa chỉ và một tài khoản, như thể hai thứ đó là cùng một sự thật. Không phải vậy. Một cổng ra dùng chung cho bạn biết rằng một thiết bị nào đó đã dùng địa chỉ ấy vào thời điểm được ghi lại, và một liên kết tài khoản cho biết rằng một dịch vụ nào đó đã nhận ra một mã định danh. Đi từ cái này sang cái kia cần một cơ sở nối kết mà báo cáo phải nêu rõ.
Hãy bắt đầu từ quan sát mà bạn thực sự có
Ghi lại điều đã được ghi nhận, chứ không phải điều dường như được hàm ý. Địa chỉ, dấu thời gian và đường dẫn yêu cầu là quan sát, còn câu nói ai đã làm là một suy luận. Giữ hai cột đó tách rời chính là toàn bộ kỷ luật, và giữ nó trên giấy dễ hơn trong một cuộc trò chuyện.
Sau đó phân loại quan sát, bởi vì các loại thông thường có trọng lượng khác nhau. Địa chỉ cổng ra dùng chung, mã định danh tài khoản hoặc cookie bền vững và sự giống nhau về thời gian hay khối lượng không phải là ba phiên bản của một sự thật. Hai nhân viên sau một cổng ra doanh nghiệp chia sẻ địa chỉ theo thiết kế, trong khi một nhân viên đổi cổng ra nhưng vẫn đăng nhập thì giữ liên kết tài khoản. Coi chúng là một sự thật là chỗ mà phần lớn báo cáo tự tin mắc sai.
Nêu cơ sở nối kết trước kết luận
Một khẳng định tương quan phải nêu trường nối hai bản ghi. Cùng một cookie có được trình ra không, cùng một tài khoản có được xác thực không, cùng một mã định danh thiết bị có được báo cáo không, hay chỉ là cùng một địa chỉ? Nếu câu trả lời chỉ là địa chỉ, khẳng định nói về một nguồn mạng và dừng ở đó.
| Observer | What it records | What it can join on | What it cannot join |
|---|---|---|---|
| Website or service | Its own requests, logins and cookies | Its own account and session identifiers | Requests to other sites, or the person behind the account |
| Access network | Flow five-tuples between addresses and ports | Address and time | Which account, which page, which person |
| VPN operator | Tunnel session, account and assigned address | Account to tunnel address and interval | Anything after the tunnel exits |
| Account provider | Sign-in events and device identifiers | Sign-in to device across its own services | Traffic that never touched its sign-in |
Mô hình riêng tư RFC 6973 coi tương quan là việc kết hợp thông tin và lưu ý rằng các mã định danh bền vững nối các tương tác theo thời gian. Phần thảo luận về tập ẩn danh của nó thêm nửa còn lại: việc che giấu phụ thuộc vào việc ai khác trông giống như vậy đối với đúng nhà quan sát đó. Không ý tưởng nào biến một địa chỉ dùng chung thành sự nhận dạng.
Vì thế câu trung thực vẫn hẹp. Hai sự kiện này đã chia sẻ một cổng ra vào những thời điểm này, và bất cứ điều gì xa hơn đều cần một bản ghi khác.
Đi qua vị trí của nhà quan sát
Một trang web thấy các yêu cầu của chính nó, các lần đăng nhập của chính nó và các mã định danh phiên của chính nó, và nó không thừa hưởng bản ghi của trang khác chỉ vì cả hai tình cờ dùng cùng một cổng ra. Một nhà quan sát mạng truy cập thấy luồng chứ không thấy nội dung. Một nhà vận hành VPN thấy ánh xạ giữa tài khoản và cổng ra. Mỗi vị trí chống đỡ một kết luận khác nhau, và một báo cáo thường chỉ nêu một trong số đó.
Hỏi nhà quan sát nào đã tạo ra bản ghi, rồi hỏi nhà quan sát đó thực sự có thể thấy gì. Điều khoản của chính nhà cung cấp không phải là cùng một thứ với việc ghi nhật ký thực tế của họ, và không thứ nào trong hai thứ đó giống với bản ghi trước mắt bạn. Khi câu trả lời không rõ, hãy yêu cầu nguồn thay vì lấp chỗ trống bằng một giả định. Một bản ghi không nguồn là một giả thuyết mặc đồng phục. Câu hỏi tốn một tin nhắn và tiết kiệm một lần đính chính.
Giữ các mẫu thời gian đúng chỗ
So sánh thời gian và khối lượng không đòi hỏi đọc bất kỳ nội dung trang nào, đó là lý do chúng xuất hiện trong các cuộc thảo luận về lưu lượng được mã hóa. Sự giống nhau cũng tương thích với hạ tầng dùng chung, nhiều người dùng đồng thời và hành vi chỉ đơn giản là trông giống. Đó là những lời giải thích thay thế mà một đánh giá trung thực phải cân nhắc.
Một tỷ lệ phần trăm trích từ một thí nghiệm không liên quan không truyền đạt gì. Ý nghĩa của nó phụ thuộc vào tập ứng viên, dữ liệu, phương pháp và tỷ lệ lỗi được đo. Không có bốn thứ đó, một con số thêm tự tin mà không thêm bằng chứng. Hãy coi bất kỳ sự giống nhau đơn lẻ nào là một giả thuyết, và ghi lại điều gì sẽ phủ định nó trước khi bạn đi tìm xác nhận.
Kiểm tra xem các bản ghi ủng hộ điều gì
Trước khi bất kỳ kết luận nào rời khỏi tay bạn, hãy bảo toàn các hiện vật và thời điểm. Một tệp có hàm băm và dấu thời gian là bằng chứng, còn ảnh chụp màn hình trong tin nhắn trò chuyện là tin đồn với ý tốt. Cũng hãy lưu nguồn của đồng hồ, bởi vì một dấu thời gian bạn không thể tái tạo chỉ là một khẳng định về dấu thời gian.
date -u +%FT%TZ
sha256sum abuse-report.eml
whois 198.51.100.44 | grep -iE 'netname|org|country'Sau đó phát biểu kết luận với sức mạnh mà các bản ghi cho phép, và không mạnh hơn. Một câu lượng định rẻ hơn một lần đính chính.
Một cổng ra dùng chung làm yếu việc quy gán chỉ dựa trên địa chỉ, và nó không phải chứng chỉ danh tính cũng không phải lời hứa ẩn danh. Về phía riêng tư, hãy bắt đầu từ bất cứ thứ gì tồn tại qua các phiên, bởi vì việc nhận ra hiếm khi cần phân tích lưu lượng. Đối với một cuộc điều tra vận hành, hãy giữ quan sát và suy luận trong các cột riêng. Hãy để mắt xích yếu nhất không được chống đỡ là điều bạn báo cáo, và nói điều đó ngay trong báo cáo.