Ce qu'un serveur FTP peut journaliser au sujet d'un client via SOCKS
Enregistrez le tuple de connexion complet et l'heure lorsqu'un serveur FTP voit une sortie de proxy plutôt que le client d'origine.
Un serveur FTP qui reçoit une connexion TCP passée par un proxy SOCKS voit le pair qui a ouvert la connexion sortante du proxy. La négociation SOCKS a eu lieu entre le client et le proxy ; ce n'est pas un en-tête d'identification supplémentaire remis à FTP.
Enregistrez l'IP et le port source du pair, l'adresse et le port de destination, le protocole de transport et un horodatage précis avec une base temporelle claire. Une adresse de sortie partagée peut représenter de nombreux clients simultanés, donc l'IP seule est une faible clé de corrélation.
Associer la connexion sortante à une connexion client antérieure exige des enregistrements de l'intermédiaire et de toute traduction d'adresses pertinente. Ces enregistrements peuvent ne pas exister ou ne plus être disponibles. Une capture de paquets côté destination ne peut pas reconstruire une correspondance manquante.
Les en-têtes de transfert HTTP sont un autre mécanisme et n'accompagnent pas le FTP ordinaire. Même en HTTP, un champ revendiqué de client d'origine exige une provenance fiable ; un texte arbitraire fourni par le client n'établit pas qui a exploité une connexion.