Tres salts, un sol amfitrió: comptar les dependències reals de privacitat

El segon salt va arrencar puntual i el teu diagrama encara mostra tres proveïdors separats. Després arriben les factures i dues esmenten la mateixa empresa d’allotjament, el mateix registrador té els tres dominis i cada compte es recupera en una sola bústia que tu posseeixes. No hi ha res trencat a la configuració del túnel. El disseny simplement no va comptar mai les dependències que hi ha sota els salts, i un recompte de salts descriu el camí que pren el trànsit, no el nombre de parts que hi podrien actuar.

El símptoma apareix a la facturació, no als registres

No ho trobaràs en un registre del túnel, perquè el túnel fa exactament el que has configurat. Les proves viuen en registres públics i paràmetres del compte: noms d’organització a whois que coincideixen entre extrems, servidors de noms idèntics, una adreça de registrant compartida, un mètode de pagament, un panell de control. Cadascuna d’aquestes pistes indica que dues capes que haurien de fallar de manera independent poden fallar juntes.

Cap d’aquestes pistes no demostra que cap part per si sola pugui llegir el teu trànsit. El que redueixen és el nombre de decisions independents que han d’anar malament abans que dues capes de protecció quedin compromeses pel mateix esdeveniment.

Compara els registres que realment pots veure i anota què has comparat. Busca l’organització a cada adreça d’extrem, llista els servidors de noms de cada domini i obre la configuració de recuperació de cada compte de la cadena. On dos valors coincideixin, fixa’t si la coincidència és sobre propietat, sobre operacions o només sobre la interfície d’un distribuïdor. Són troballes diferents, i tractar-les com una sola és com una revisió de dependències es converteix en conjectures.

Dibuixa el camí lògic i després el mapa de dependències

Calen dos diagrames, i la majoria de la gent només dibuixa el primer. El camí lògic mostra on acaba cada capa de protecció i què pot observar aquell extrem. El mapa de dependències mostra qui opera i administra cada un d’aquests extrems, que és un conjunt de noms completament diferent.

Puntua cada fila en lloc d’omplir-la. Conegut vol dir que has vist un registre que ho afirma; inferit vol dir que una observació ho sosté sense resoldre-ho; desconegut vol dir que no s’ha trobat res. Una marca d’allotjament compartida és una inferència sobre infraestructura compartida, no una afirmació sobre una base de dades de clients compartida. No promocionis en silenci una inferència a fet conegut només perquè convé a la conclusió que esperaves.

Una fila buida és una troballa per si mateixa. Et diu quin fet canviaria la decisió si l’aprenguessis, i això és més útil que un altre paràgraf sobre què podria fer un adversari sofisticat.

Un número d’AS només respon una pregunta d’encaminament

Un sistema autònom és un concepte d’administració d’encaminament, un conjunt d’adreces presentades a altres xarxes com una visió d’encaminament coherent. Per tant, números d’AS diferents no diuen res definitiu sobre propietat corporativa, personal separat o control legal independent. L’error invers és igual de comú: dos extrems en un mateix AS no són automàticament un cas d’una part que identifica un usuari concret.

Si vols els números, resol-los en lloc de suposar-los. L’adreça de sota és un marcador de posició, i el paràmetre demana a l’eina que etiqueti cada salt amb l’AS que l’anuncia.

mtr --aslookup --report --report-cycles 5 203.0.113.9

Tracta aquesta sortida com una mesura d’encaminament, no de propietat ni del camí complet del trànsit. La xarxa d’accés des de la qual comences i les dependències de trànsit entre extrems són preguntes separades que les adreces dels extrems no poden respondre. Quan una ruta o una tria de relé no es pot observar des d’on ets, etiqueta-ho com a desconegut en lloc d’importar una afirmació general sobre com una xarxa concreta selecciona camins avui. No observat no és el mateix que inobservable, però tampoc no és una prova.

Anomena l’observació abans d’anomenar el risc

Tres troballes es barregen en la majoria de revisions de dependències, i separar-les és la major part de la feina. La visibilitat passiva del trànsit xifrat és una troballa. L’accés de gestió compartit és una altra, perquè implica una acció i no una vista. La vinculació de comptes és una tercera, perquè connecta identitats sense concedir cap accés tècnic.

La guia de privacitat de RFC 6973 dóna una forma practicable per a això: llista què aprèn cada entitat i després pregunta com es podria combinar amb informació que es té en un altre lloc. Dos punts d’un camí que observen patrons de trànsit similars poden motivar una preocupació de correlació, però no et donen una probabilitat mesurada que algú hagi estat identificat. Escriu la preocupació i després escriu l’observació que la confirmaria.

Torna a una cadena de dos serveis de túnel i un proxy llogat. Si les credencials de gestió del proxy comparteixen un compte de recuperació amb un servidor de túnel, un sol compromís administratiu pot creuar les dues fronteres. Si l’única superposició és que una empresa d’allotjament executa les dues màquines, la revisió ha de dir quins poders té aquesta empresa i quina informació queda protegida. Els mateixos tres salts, una troballa diferent.

El registre no és un certificat d’anonimat i mai no ho serà. El seu valor és més estret i més pràctic: mostra on la independència està establerta, on se suposa i quina única fila desconeguda mouria la decisió. Tria aquesta fila a continuació i deixa la resta del diagrama tranquil·la fins que tinguis una resposta.