Quantes dependències independents té la teva cadena de privadesa?

Compta les caixes de la majoria de diagrames de privadesa i obtindràs tres o cinc salts, cadascun amb el logotip d'una empresa diferent. Compta les organitzacions que podrien actuar realment sobre aquestes caixes i el nombre sovint es redueix a dues. Una cadena separa la confiança només fins on les seves dependències són independents, i el nombre de salts no mesura res d'això. Aquest buit és tota la pregunta que val la pena fer.

Dos mapes ajuden. Un ressegueix on van els paquets; l'altre registra qui opera, paga, administra i pot ser obligat a actuar sobre cada element. El segon mapa no és glamurós, sol estar incomplet i és molt més probable que canviï una decisió.

Dibuixa el camí del trànsit i després el camí del control

Un proxy llogat davant de dos serveis de túnel sembla tres parts. Anota el proveïdor d'allotjament, el compte del panell de control, la identitat de facturació i l'adreça on es lliuraria una sol·licitud legal, i les tres poden resoldre's en un sol inquilí de núvol amb una sola bústia de recuperació. Res del camí del trànsit no ha canviat; la descripció de la independència sí.

Etiqueta cada fila com a coneguda, inferida o desconeguda, i anota en què es basa l'etiqueta. Un nom de marca estableix qui et va vendre el servei. No estableix qui posseeix la màquina, i molt menys si els registres dels clients són a la mateixa base de dades que els registres d'un altre servei.

La disciplina importa més que el full de càlcul. Quan «desconegut» és un valor permès, el diagrama deixa d'afalagar-se i comença a mostrar quina dada que falta capgiraria la conclusió.

Què no pot veure el nombre de salts

Els salts descriuen encapsulament i reenviament. No diuen res sobre administració compartida, trànsit superior compartit, instruments de pagament compartits o canals de recuperació compartits, i aquests quatre llocs són on dos serveis nominalment diferents esdevenen un en silenci.

Pren un disseny el primer i l'últim salt del qual pertanyen a empreses diferents però tots dos estan darrere del mateix proveïdor de trànsit. Des de la posició d'aquest proveïdor, bona part de les metadades sobre tots dos extrems viatja per la mateixa infraestructura. No és una prova d'identificació; és una dependència que un resum de nombre de salts omet del tot.

L'error invers és igual de freqüent. Suposar que la propietat separada garanteix la separació ignora que els operadors són compromesos, obligats o simplement negligents de les mateixes maneres. La independència s'estableix element per element, no l'atorga un logotip.

Un sistema autònom és una frontera d'encaminament

Un número d'AS identifica un domini que presenta una visió coherent d'encaminament als seus parells. Aquesta afirmació tracta de política d'encaminament, no de propietat corporativa, personal, jurisdicció o separació de credencials. Dos serveis darrere de números d'AS diferents poden compartir un propietari, i un servei repartit per diversos números d'AS segueix sent un sol operador.

Llegir números d'AS d'un looking glass és una primera passa raonable per a la fila de trànsit del teu mapa. No és una mesura del camí que el teu trànsit va prendre un vespre determinat, i no s'ha d'escriure com si ho fos. On el camí és desconegut, escriu desconegut.

Quatre files per omplir per a cada salt

Recorre cada extrem amb les mateixes quatre preguntes en el mateix ordre, perquè els buits segueixin visibles en lloc de quedar diluïts per una frase resum confident.

• Qui pot llegir el contingut? Anomena la part que acaba la capa de protecció i quin text pla o claus té.
• Qui pot operar la caixa? Distingeix el propietari de la infraestructura de qui té accés a la consola, i comprova si aquest accés es comparteix amb un altre servei de la cadena.
• Quins registres el podrien unir a una altra cosa? La identitat de facturació, l'adreça de recuperació, el compte de suport i l'instrument de pagament són els ponts habituals.
• Qui respon una petició de dades? Identifica l'entitat legal i la jurisdicció on té seu, i després pregunta quines dades reté aquesta entitat.

Després anota d'on ve cada resposta: documentació del proveïdor, política publicada, observació directa o una inferència que vas fer perquè l'alternativa era incòmoda. Una fila recolzada per una declaració de retenció concreta és una evidència més forta que una fila recolzada pel fet que el lloc web semblava professional.

Quan una dependència compartida realment importa

La pregunta de privadesa no és mai si existeix una dependència compartida, sinó què podria unir aquesta dependència. L'accés de gestió compartit és una exposició diferent de la visibilitat passiva del trànsit xifrat, i el vincle entre comptes difereix de tots dos. Anomena l'observació, el privilegi i el registre retingut abans de concloure res.

La discussió sobre observadors i correlació a RFC 6973 ofereix una estructura practicable: enumera què aprèn cada entitat i després pregunta què donaria combinar aquests aprenentatges. Dues parts que observen metadades similars són un motiu per examinar la correlació. No és una probabilitat mesurada d'identificació, i no s'ha de presentar com a tal.

Un cop treballat, l'exemple de tres parts es descompon en troballes separades. Allotjament compartit sense accés de consola compartit és una concentració de la cadena de subministrament. Una bústia de recuperació compartida és un pont administratiu. Tots dos són reals; només el segon permet que un compromís creui dues fronteres.

Amb què acabes no és un certificat d'anonimat. És una declaració defensable de on es va verificar la independència, on es va suposar i quin sol fet et faria canviar de parer. Això és millor que una altra fletxa al diagrama.