Колко независими зависимости има вашата верига за поверителност?

Пребройте квадратчетата в повечето схеми за поверителност и ще получите три или пет прескока, всеки с логото на различна компания. Пребройте организациите, които наистина биха могли да действат по тези квадратчета и числото често се свива до две. Веригата разделя доверието само доколкото зависимостите ѝ са независими, а броят на прескоците не измерва нищо от това. Точно тази разлика е целият въпрос, който си струва да зададете.

Помагат две карти. Едната проследява къде отиват пакетите; другата записва кой управлява всеки елемент, плаща за него, администрира го и може да бъде принуден да действа. Втората карта е непретенциозна, обикновено непълна и много по-вероятно да промени решение.

Начертайте пътя на трафика, после пътя на контрола

Нает прокси пред две тунелни услуги изглежда като три страни. Запишете доставчика на хостинг, акаунта в контролния панел, идентичността за фактуриране и адреса, на който би бил връчен правен иск, и трите може да се сведат до един облачен наемател с една пощенска кутия за възстановяване. В пътя на трафика нищо не се промени; описанието на независимостта се промени.

Отбележете всеки ред като известен, изведен или неизвестен и запишете на какво почива отбелязването. Името на марката установява кой ви е продал услугата. То не установява кой притежава машината и със сигурност не установява дали клиентските записи се намират в същата база данни като записите на друга услуга.

Дисциплината е по-важна от таблицата. Щом «неизвестно» стане допустима стойност, схемата престава да се ласкае и започва да показва кой липсващ факт би обърнал извода.

Какво не може да види броят на прескоците

Прескоците описват капсулиране и препращане. Те не казват нищо за споделена администрация, споделен upstream транзит, споделени платежни инструменти или споделени канали за възстановяване, а точно тези четири места са там, където две номинално различни услуги тихо стават една.

Вземете архитектура, чийто първи и последен прескок принадлежат на различни компании, но и двата стоят зад един и същ транзитен доставчик. От позицията на този доставчик значителна част от метаданните за двата края пътува по една и съща инфраструктура. Това не е доказателство за идентификация; това е зависимост, която обобщението на броя прескоци напълно пропуска.

Обратната грешка е също толкова честа. Допускането, че отделната собственост гарантира разделение, пренебрегва факта, че операторите биват пробивани, принуждавани или просто небрежни по същите начини. Независимостта се установява точка по точка, а не се дава от лого.

Автономната система е граница на маршрутизация

Номерът AS идентифицира домейн, който представя последователен изглед за маршрутизация пред своите партньори. Това твърдение е за политиката на маршрутизация, не за корпоративната собственост, персонала, юрисдикцията или разделянето на идентификационни данни. Две услуги зад различни AS номера могат да споделят един собственик, а една услуга, разпределена върху няколко AS номера, все още е един оператор.

Четенето на AS номера от looking glass е разумна първа стъпка за реда за транзит в картата ви. То не е измерване на пътя, който трафикът ви е поел в дадена вечер, и не бива да се описва като такова. Където пътят е неизвестен, пишете неизвестен.

Четири реда за попълване при всеки прескок

Минете през всяка крайна точка със същите четири въпроса в същия ред, за да останат празнините видими, вместо да бъдат изгладени от уверено обобщаващо изречение.

• Кой може да чете съдържанието? Назовете страната, която прекратява защитния слой, и какъв открит текст или ключове държи.
• Кой може да управлява машината? Разграничете собственика на инфраструктурата от този, който има достъп до конзолата, и проверете дали този достъп се споделя с друга услуга във веригата.
• Чии записи биха могли да я свържат с нещо друго? Идентичността за фактуриране, адресът за възстановяване, акаунтът за поддръжка и платежният инструмент са обичайните мостове.
• Кой отговаря на искане за данни? Определете правния субект и юрисдикцията, в която се намира, после попитайте какви данни изобщо задържа този субект.

След това запишете откъде идва всеки отговор: документация на доставчика, публикувана политика, пряко наблюдение или извод, който сте направили, защото алтернативата беше неудобна. Ред, подкрепен от конкретно изявление за съхранение, е по-силно доказателство от ред, подкрепен от факта, че сайтът е изглеждал професионално.

Кога споделената зависимост наистина има значение

Въпросът за поверителността никога не е дали съществува споделена зависимост, а какво би могла да свърже тя. Споделеният административен достъп е различно излагане от пасивната видимост на шифрован трафик, а свързването на акаунти се различава от двете. Назовете наблюдението, привилегията и задържания запис, преди да заключите нещо.

Обсъждането на наблюдателя и корелацията в RFC 6973 дава работеща структура: изброете какво научава всеки субект, после попитайте какво би дало съчетаването на тези знания. Две страни, наблюдаващи сходни метаданни, са причина да се изследва корелация. Това не е измерена вероятност за идентификация и не бива да се представя като такава.

Разработен, примерът с три страни се разпада на отделни находки. Споделен хостинг без споделен достъп до конзолата е концентрация във веригата за доставки. Споделена пощенска кутия за възстановяване е административен мост. И двете са реални; само второто позволява на една компрометация да премине две граници.

Онова, с което завършвате, не е сертификат за анонимност. Това е защитимо твърдение за това къде независимостта е проверена, къде е предположена и кой единствен факт би променил мнението ви. Това е по-добре от още една стрелка на схемата.