Wat een FTP-server kan loggen over een client via SOCKS
Leg een volledige verbindingstupel en tijd vast wanneer een FTP-server een proxy-uitgang ziet in plaats van de oorspronkelijke client.
Een FTP-server die een TCP-verbinding via een SOCKS-proxy ontvangt, ziet de peer die de uitgaande verbinding van de proxy heeft geopend. De SOCKS-onderhandeling vond plaats tussen de client en de proxy; het is geen extra identificatieheader die aan FTP wordt afgeleverd.
Leg het peer-IP en de bronpoort, het bestemmingsadres en de poort, het transportprotocol en een nauwkeurige tijdstempel met een duidelijke tijdbasis vast. Een gedeeld uitgangsadres kan veel gelijktijdige clients vertegenwoordigen, dus het IP alleen is een zwakke correlatiesleutel.
Het koppelen van de uitgaande verbinding aan een eerdere clientverbinding vereist registraties van de tussenpartij en van elke relevante adresvertaling. Die registraties bestaan mogelijk niet of zijn niet meer beschikbaar. Een packetcapture aan de bestemmingszijde kan een ontbrekende koppeling niet reconstrueren.
HTTP-doorstuurheaders zijn een ander mechanisme en gaan niet mee met gewone FTP. Zelfs bij HTTP heeft een beweerd oorspronkelijk-clientveld een betrouwbare herkomst nodig; willekeurige tekst die de client aanlevert, bewijst niet wie een verbinding heeft beheerd.