Тры хопы, адзін хост: як лічыць сапраўдныя залежнасці прыватнасці

Другі хоп падняўся па раскладзе, а ваша дыяграма ўсё яшчэ паказвае тры асобныя правайдары. Потым прыходзяць рахункі, і два з іх называюць адну і тую ж хост-кампанію, адзін і той жа рэгістратар трымае ўсе тры дамены, а кожны акаўнт аднаўляецца на адну скрыню, якой вы валодаеце. У наладах тунеля нічога не зламана. Проста дызайн ніколі не лічыў залежнасці, якія ляжаць пад хопамі, а колькасць хопаў апісвае шлях трафіку, а не колькасць бакоў, якія могуць на яго паўплываць.

Сімптом бачны ў рахунках, а не ў логах

Вы не знойдзеце гэтага ў логу тунеля, бо тунель робіць менавіта тое, што вы наладзілі. Доказы жывуць у публічных запісах і наладах акаўнтаў: назвы арганізацый у whois, якія супадаюць паміж канцавымі кропкамі, аднолькавыя серверы імёнаў, агульны адрас рэгістранта, адзін спосаб аплаты, адна панэль кіравання. Кожная з гэтых падсказак гаворыць пра тое, што два ўзроўні, якія павінны адмаўляць незалежна, могуць адмовіць разам.

Ні адна з гэтых падсказак не даказвае, што які-небудзь адзін бок можа чытаць ваш трафік. Яны памяншаюць колькасць незалежных рашэнняў, якія павінны быць памылковымі, перш чым два ўзроўні абароны будуць скампраметаваны адной падзеяй.

Параўнайце запісы, якія вы сапраўды бачыце, і запішыце, што вы параўноўвалі. Знайдзіце арганізацыю па кожным адрасе канцавой кропкі, пералічыце серверы імёнаў для кожнага дамена і адкрыйце налады аднаўлення для кожнага акаўнта ў ланцугу. Там, дзе два значэнні супадаюць, адзначце, ці датычыцца супадзенне ўласнасці, аперацый або толькі франтальнай часткі рэсэлера. Гэта розныя высновы, і калі ставіцца да іх як да адной, агляд залежнасцей ператвараецца ў здагадкі.

Намалюйце лагічны шлях, а затым карту залежнасцей

Патрэбны дзве дыяграмы, і большасць людзей малюе толькі першую. Лагічны шлях паказвае, дзе заканчваецца кожны ўзровень абароны і што гэтая канцавая кропка можа назіраць. Карта залежнасцей паказвае, хто эксплуатуе і адмініструе кожную з гэтых канцавых кропак, а гэта цалкам асобны набор імёнаў.

Ацэньвайце кожны радок замест таго, каб проста запоўніць яго. «Вядома» азначае, што вы бачылі запіс, які гэта сцвярджае; «выведзена» — што адно назіранне падтрымлівае гэта, не вырашаючы; «невядома» — што нічога не знойдзена. Агульны брэнд хост-правайдара — гэта вывад пра агульную інфраструктуру, а не сцвярджэнне пра агульную базу кліентаў. Не ператварайце моўчкі вывад у вядомы факт толькі таму, што гэта зручна для чаканай высновы.

Пусты радок — гэта сама па сабе выснова. Ён кажа, які факт змяніў бы рашэнне, калі б вы яго даведаліся, і гэта карысней за яшчэ адзін абзац пра тое, што можа зрабіць вытанчаны супернік.

Нумар AS адказвае толькі на пытанне маршрутызацыі

Аўтаномная сістэма — гэта паняцце адміністравання маршрутызацыі, набор адрасоў, які прадстаўляецца іншым сеткам як адзіны ўзгоднены выгляд маршрутызацыі. Таму розныя нумары AS нічога пэўнага не кажуць пра карпаратыўную ўласнасць, асобны персанал або незалежны юрыдычны кантроль. Зваротная памылка гэтак жа распаўсюджаная: дзве канцавыя кропкі ў адной AS не аўтаматычна азначаюць выпадак, калі адзін бок ідэнтыфікуе пэўнага карыстальніка.

Калі вам патрэбныя лічбы, вызначце іх, а не здагадвайцеся. Адрас ніжэй — гэта запаўняльнік, а сцяг просіць інструмент пазначыць кожны хоп той AS, якая яго аб’яўляе.

mtr --aslookup --report --report-cycles 5 203.0.113.9

Разглядайце гэты вывад як вымярэнне маршрутызацыі, а не ўласнасці ці поўнага шляху трафіку. Сетка доступу, з якой вы стартуеце, і транзітныя залежнасці паміж канцавымі кропкамі — гэта асобныя пытанні, на якія адрасы канцавых кропак адказаць не могуць. Калі маршрут або выбар рэлея немагчыма назіраць з вашага месца, пазначце яго як невядомы, а не ўводзьце агульнае сцвярджэнне пра тое, як пэўная сетка выбірае шляхі сёння. Неназіранае не тое ж самае, што неназіральнае, але гэта таксама не доказ.

Назвайце назіранне, перш чым назваць рызыку

Тры высновы змешваюцца ў большасці аглядаў залежнасцей, і раздзяленне іх — гэта большая частка працы. Пасіўная бачнасць зашыфраванага трафіку — адна выснова. Агульны доступ да кіравання — другая, бо яна мае на ўвазе дзеянне, а не погляд. Сувязь акаўнтаў — трэцяя, бо яна злучае асобы, не даючы ніякага тэхнічнага доступу.

Рэкамендацыі па прыватнасці ў RFC 6973 даюць для гэтага працоўную форму: пералічыце, што даведваецца кожны суб’ект, а затым спытайце, як гэта можна спалучыць з інфармацыяй, якая захоўваецца ў іншым месцы. Дзве кропкі на шляху, якія назіраюць падобныя ўзоры трафіку, могуць абгрунтаваць турботу пра карэляцыю, але яны не даюць вам вымеранай імавернасці таго, што кагосьці ідэнтыфікавалі. Запішыце турботу, а затым запішыце назіранне, якое б яе пацвердзіла.

Вярніцеся да ланцуга з дзвюх тунельных службаў і арандаванага проксі. Калі ўліковыя даныя кіравання проксі дзеляць акаўнт аднаўлення з адным тунельным серверам, адзіная адміністрацыйная кампраметацыя можа перасекчы абодва межы. Калі адзінае перакрыццё — гэта тое, што хост-кампанія запускае абедзве машыны, агляд павінен указаць, якімі паўнамоцтвамі валодае гэтая кампанія і якая інфармацыя застаецца абароненай. Тыя ж тры хопы, іншая выснова.

Рэестр не з’яўляецца сертыфікатам ананімнасці і ніколі ім не будзе. Яго каштоўнасць вузейшая і практычнейшая: ён паказвае, дзе незалежнасць усталявана, дзе яна мяркуецца і які адзіны невядомы радок зрушыў бы рашэнне. Выберыце гэты радок наступным і пакіньце астатнюю частку дыяграмы ў спакоі, пакуль не атрымаеце адказ.