Колькі незалежных залежнасцей у вашага ланцуга прыватнасці?

Палічыце блокі на большасці схемаў прыватнасці — атрымаеце тры ці пяць пераходаў, кожны з лагатыпам іншай кампаніі. Палічыце арганізацыі, якія сапраўды могуць дзейнічаць адносна гэтых блокаў — і лік часта сыходзіць да двух. Ланцуг падзяляе давер толькі ў той ступені, у якой яго залежнасці незалежныя, а колькасць пераходаў не вымярае нічога з гэтага. Гэтая розніца і ёсць усё пытанне, якое варта ставіць.

Дапамагаюць дзве карты. Адна прасочвае, куды ідуць пакеты; другая фіксуе, хто кожны элемент эксплуатуе, аплачвае, адмініструе і каго можна прымусіць дзейнічаць. Другая карта неэфектная, звычайна няпоўная і значна часцей здольная змяніць рашэнне.

Намалюйце шлях трафіку, потым шлях кантролю

Арандаваны проксі перад двума тунельнымі сэрвісамі выглядае як тры бакі. Запішыце хостынг-правайдэра, уліковы запіс панэлі кіравання, ідэнтычнасць для білінгу і адрас, на які будзе накіраваны юрыдычны запыт, — і гэтыя тры могуць звесціся да аднаго воблачнага тэнанта з адной скрыняй для аднаўлення. У шляху трафіку нічога не змянілася; змянілася апісанне незалежнасці.

Пазначце кожны радок як вядомы, выведзены або невядомы і адзначце, на чым трымаецца пазнака. Назва брэнда ўстанаўлівае, хто прадаў вам паслугу. Яна не ўстанаўлівае, каму належыць машына, і тым больш не ўстанаўлівае, ці знаходзяцца запісы кліентаў у той жа базе даных, што і запісы іншай паслугі.

Дысцыпліна важнейшая за табліцу. Калі «невядома» робіцца дапушчальным значэннем, схема перастае сябе хваліць і пачынае паказваць, які менавіта адсутны факт перавярнуў бы выснову.

Што не можа ўбачыць колькасць пераходаў

Пераходы апісваюць інкапсуляцыю і перасылку. Яны нічога не кажуць пра агульнае адміністраванне, агульны вышэйшы транзіт, агульныя плацежныя інструменты або агульныя каналы аднаўлення, і менавіта гэтыя чатыры месцы — там, дзе дзве намінальна розныя паслугі ціха робяцца адной.

Вазьміце схему, у якой першы і апошні пераход належаць розным кампаніям, але абодва стаяць за адным транзітным правайдэрам. З пазіцыі гэтага правайдэра значная частка метаданых пра абодва канцы ідзе праз адну інфраструктуру. Гэта не доказ ідэнтыфікацыі; гэта залежнасць, якую зводка колькасці пераходаў цалкам апускае.

Адваротная памылка такая ж распаўсюджаная. Здагадка, што асобная ўласнасць гарантуе адасобленасць, ігнаруе тое, што аператары падвяргаюцца ўзлому, прымусу або проста нядбайнасці аднолькавымі спосабамі. Незалежнасць устанаўліваецца пункт за пунктам, а не выдаецца лагатыпам.

Аўтаномная сістэма — гэта мяжа маршрутызацыі

Нумар AS вызначае дамен, які прапануе сваім суседзям узгоджаны погляд на маршрутызацыю. Гэта сцверджанне пра палітыку маршрутызацыі, а не пра карпаратыўную ўласнасць, штат, юрысдыкцыю або падзел уліковых даных. Дзве паслугі за рознымі нумарамі AS могуць мець аднаго ўладальніка, а адна паслуга, размеркаваная па некалькіх нумарах AS, застаецца адным аператарам.

Чытаць нумары AS з looking glass — разумны першы крок для радка транзіту вашай карты. Гэта не вымярэнне шляху, які ваш трафік прайшоў у пэўны вечар, і не павінна так апісвацца. Дзе шлях невядомы, пішыце «невядома».

Чатыры радкі, якія трэба запоўніць для кожнага пераходу

Прайдзіце кожны канец з аднолькавымі чатырма пытаннямі ў аднолькавым парадку, каб прабелы заставаліся бачнымі, а не ўсерадняліся ўпэўненым падсумоўчым сказам.

• Хто можа чытаць змест? Назавіце бок, які завяршае ахоўны слой, і які адкрыты тэкст або ключы ён трымае.
• Хто можа кіраваць блокам? Адрознівайце ўладальніка інфраструктуры ад таго, хто мае доступ да кансолі, і праверце, ці гэты доступ агульны з іншай паслугай у ланцугу.
• Чые запісы могуць звязаць яго з чымсьці іншым? Ідэнтычнасць для білінгу, адрас для аднаўлення, уліковы запіс падтрымкі і плацежны інструмент — звычайныя масты.
• Хто адказвае на запыт пра даныя? Вызначце юрыдычную асобу і юрысдыкцыю, у якой яна знаходзіцца, затым спытайце, якія даныя гэтая асоба наогул захоўвае.

Затым запішыце, адкуль узяўся кожны адказ: дакументацыя пастаўшчыка, апублікаваная палітыка, непасрэднае назіранне або вывад, зроблены вамі таму, што альтэрнатыва была нязручнай. Радок, падмацаваны канкрэтнай заявай пра захаванне, — мацнейшы доказ, чым радок, падмацаваны тым, што сайт выглядаў прафесійна.

Калі агульная залежнасць сапраўды мае значэнне

Пытанне прыватнасці ніколі не ў тым, ці існуе агульная залежнасць, а ў тым, што гэтая залежнасць можа злучыць. Агульны адміністрацыйны доступ — гэта іншая экспазіцыя, чым пасіўная бачнасць шыфраванага трафіку, а сувязь уліковых запісаў адрозніваецца ад абодвух. Назавіце назіранне, прывілей і захаваны запіс, перш чым рабіць выснову.

Абмеркаванне назіральніка і карэляцыі ў RFC 6973 дае працоўную структуру: пералічыце, што даведаецца кожны суб'ект, затым спытайце, што дало б спалучэнне гэтых ведаў. Два бакі, якія назіраюць падобныя метаданыя, — гэта нагода даследаваць карэляцыю. Гэта не вымераная імавернасць ідэнтыфікацыі, і не павінна так падавацца.

Калі прапрацаваць, прыклад з трыма бакамі распадаецца на асобныя высновы. Агульны хостынг без агульнага доступу да кансолі — гэта канцэнтрацыя ў ланцугу паставак. Агульная скрыня для аднаўлення — адміністрацыйны мост. Абодва рэальныя; толькі другі дазваляе аднаму ўзлому перасекчы дзве мяжы.

Тое, з чым вы заканчваеце, — не сертыфікат ананімнасці. Гэта абараняльнае сцверджанне пра тое, дзе незалежнасць была праверана, дзе была дапушчана і які адзіны факт змяніў бы вашае меркаванне. Гэта лепш за яшчэ адну стрэлку на схеме.