Hoeveel onafhanklike afhanklikhede het jou privaatheidketting?

Tel die blokkies in die meeste privaatheidsdiagramme en jy kry drie of vyf hope, elk met 'n ander maatskappy se logo. Tel die organisasies wat werklik op daardie blokkies kan reageer en die getal val dikwels na twee. 'n Ketting skei vertroue slegs in die mate waarin sy afhanklikhede onafhanklik is, en 'n hop-telling meet niks daarvan nie. Daardie gaping is die hele vraag wat werd is om te vra.

Twee kaarte help. Een volg waar pakkette heen gaan; die ander teken op wie elke element bedryf, betaal vir, administreer en tot handeling gedwing kan word. Die tweede kaart is onglamoureus, gewoonlik onvolledig, en baie meer geneig om 'n besluit te verander.

Teken die verkeerspad, dan die beheerpad

Agter 'n gehuurde proxy voor twee tonneldienste lyk dit na drie partye. Skryf gasheerder, beheerpaneelrekening, faktureringsidentiteit en die adres waarop 'n regsversoek bedien sou word neer, en die drie kan tot een wolketenant met een herstelposbus herlei. Niks aan die verkeerspad het verander nie; die beskrywing van onafhanklikheid het.

Merk elke ry as bekend, afgelei of onbekend, en noteer waarop die merkie berus. 'n Handelsnaam vestig wie die diens aan jou verkoop het. Dit vestig nie wie die masjien besit nie, en dit vestig beslis nie of kliëntrekords in dieselfde databasis as 'n ander diens se rekords sit nie.

Die dissipline is belangriker as die sigblad. Sodra «onbekend» 'n toegelate waarde is, hou die diagram op om homself te vlei en begin wys watter ontbrekende feit die gevolgtrekking sou omkeer.

Wat 'n hop-telling nie kan sien nie

Hoppe beskryf inkapseling en aanstuur. Hulle sê niks oor gedeelde administrasie, gedeelde opstroom-transito, gedeelde betaalinstrumente of gedeelde herstelkanale nie, en dit is juis daardie vier plekke waar twee nominaal verskillende dienste stilweg een word.

Neem 'n ontwerp waarvan die eerste en laaste hop aan verskillende maatskappye behoort, maar albei agter dieselfde transito-verskaffer sit. Vanuit daardie verskaffer se posisie reis 'n groot deel van die metadata oor albei kante deur dieselfde infrastruktuur. Dit is nie bewys van identifisering nie; dit is 'n afhanklikheid wat 'n hop-tellingopsomming heeltemal weglaat.

Die omgekeerde fout is net so algemeen. Om te aanvaar dat aparte eienaarskap skeiding waarborg, ignoreer dat operateurs op dieselfde maniere gekraak, gedwing of bloot onverskillig kan wees. Onafhanklikheid word item vir item vasgestel, nie deur 'n logo verleen nie.

'n Outonome stelsel is 'n roeteringsgrens

'n AS-nommer identifiseer 'n domein wat 'n samehangende roeteringsbeeld aan sy eweknieë bied. Daardie stelling gaan oor roeteringsbeleid, nie oor korporatiewe eienaarskap, personeel, jurisdiksie of skeiding van toegangsgegewens nie. Twee dienste agter verskillende AS-nommers kan 'n eienaar deel, en een diens wat oor verskeie AS-nommers versprei is, is steeds een operateur.

Om AS-nommers van 'n looking glass af te lees is 'n redelike eerste ronde vir die transito-ry van jou kaart. Dit is nie 'n meting van die pad wat jou verkeer op 'n bepaalde aand geneem het nie, en dit moet nie as sodanig opgeskryf word nie. Waar die pad onbekend is, skryf onbekend.

Vier rye om vir elke hop in te vul

Werk elke eindpunt deur met dieselfde vier vrae in dieselfde volgorde, sodat gapings sigbaar bly in plaas daarvan om deur 'n selfversekerde opsommingsin weggemiddel te word.

• Wie kan die inhoud lees? Noem die party wat die beskermingslaag termineer en watter gewone teks of sleutels dit hou.
• Wie kan die boks bedryf? Onderskei die infrastruktuureienaar van wie ook al konsoltoegang het, en kyk of daardie toegang met 'n ander diens in die ketting gedeel word.
• Wie se rekords kan dit aan iets anders koppel? Faktureringsidentiteit, hersteladres, ondersteuningsrekening en betaalinstrument is die gewone brue.
• Wie antwoord 'n versoek om data? Identifiseer die regsentiteit en die jurisdiksie waarin dit sit, en vra dan watter data daardie entiteit hoegenaamd behou.

Teken dan aan waar elke antwoord vandaan kom: verskafferdokumentasie, gepubliseerde beleid, direkte waarneming, of 'n afleiding wat jy gemaak het omdat die alternatief ongerieflik was. 'n Ry wat deur 'n spesifieke bewaringsverklaring gesteun word, is sterker bewyse as 'n ry wat gesteun word deur die feit dat die webwerf professioneel gelyk het.

Wanneer 'n gedeelde afhanklikheid werklik saak maak

Die privaatheidsvraag is nooit of 'n gedeelde afhanklikheid bestaan nie, maar wat daardie afhanklikheid kan koppel. Gedeelde bestuustoegang is 'n ander blootstelling as passiewe sigbaarheid van versleutelde verkeer, en rekeningkoppeling verskil van albei. Noem die waarneming, die voorreg en die bewaarde rekord voordat jy enigiets aflei.

Die bespreking van waarnemers en korrelasie in RFC 6973 gee 'n werkbare struktuur: lys wat elke entiteit leer, en vra dan wat die kombinasie van daardie leerstellings sou oplewer. Twee partye wat soortgelyke metadata waarneem, is 'n rede om korrelasie te ondersoek. Dit is nie 'n gemete waarskynlikheid van identifisering nie, en dit moet nie as sodanig aangebied word nie.

Deurgewerk, val die drieparty-voorbeeld in afsonderlike bevindings uiteen. Gedeelde gasheerskap sonder gedeelde konsoltoegang is 'n konsentrasie in die voorsieningsketting. 'n Gedeelde herstelposbus is 'n administratiewe brug. Albei is werklik; net die tweede laat een kompromie twee grense oorsteek.

Waarmee jy eindig is nie 'n sertifikaat van anonimiteit nie. Dit is 'n verdedigbare stelling van waar onafhanklikheid geverifieer is, waar dit aangeneem is, en watter enkele feit jou van mening sou laat verander. Dit is beter as nog 'n pyl op die diagram.