Kolik nezávislých závislostí má váš řetězec soukromí?

Spočítejte rámečky na většině diagramů soukromí a dostanete tři nebo pět skoků, každý s logem jiné firmy. Spočítejte organizace, které by na tyto rámečky mohly skutečně působit a číslo se často smrskne na dvě. Řetězec odděluje důvěru jen potud, pokud jsou jeho závislosti nezávislé, a počet skoků z toho neměří nic. Právě tato mezera je celá otázka, kterou stojí za to položit.

Pomáhají dvě mapy. Jedna sleduje, kam jdou pakety; druhá zaznamenává, kdo každý prvek provozuje, platí, spravuje a koho lze přinutit jednat. Druhá mapa není efektní, bývá neúplná a mnohem pravděpodobněji změní rozhodnutí.

Nakreslete cestu provozu, pak cestu kontroly

Pronajatá proxy před dvěma tunelovými službami vypadá jako tři strany. Zapište poskytovatele hostingu, účet ovládacího panelu, fakturační identitu a adresu, na kterou by byl doručen právní požadavek, a ty tři se mohou scvrknout na jednoho cloudového nájemce s jednou poštovní schránkou pro obnovu. Na cestě provozu se nic nezměnilo; změnil se popis nezávislosti.

Označte každý řádek jako známý, odvozený nebo neznámý a poznamenejte, na čem označení stojí. Název značky určuje, kdo vám službu prodal. Neurčuje, kdo vlastní stroj, a už vůbec neurčuje, zda záznamy zákazníků leží ve stejné databázi jako záznamy jiné služby.

Disciplína je důležitější než tabulka. Jakmile se «neznámé» stane povolenou hodnotou, diagram přestane sobě lichotit a začne ukazovat, který chybějící fakt by závěr obrátil.

Co počet skoků nevidí

Skoky popisují zapouzdření a předávání. Neříkají nic o sdílené správě, sdíleném nadřazeném tranzitu, sdílených platebních nástrojích ani sdílených kanálech obnovy, a právě tato čtyři místa jsou tam, kde se dvě nominálně odlišné služby tiše stávají jednou.

Vezměte návrh, jehož první a poslední skok patří různým firmám, ale oba stojí za stejným tranzitním poskytovatelem. Z pozice tohoto poskytovatele putuje značná část metadat o obou koncích stejnou infrastrukturou. To není důkaz identifikace; je to závislost, kterou shrnutí počtu skoků zcela vynechává.

Opačná chyba je stejně častá. Předpoklad, že oddělené vlastnictví zaručuje oddělení, ignoruje, že provozovatelé bývají napadeni, donuceni nebo prostě nedbalí stejnými způsoby. Nezávislost se stanovuje položku po položce, nedává ji logo.

Autonomní systém je hranice směrování

Číslo AS označuje doménu, která svým peerům předkládá souvislý pohled na směrování. Toto tvrzení se týká směrovací politiky, ne firemního vlastnictví, personálu, jurisdikce ani oddělení přihlašovacích údajů. Dvě služby za různými čísly AS mohou sdílet jednoho vlastníka a jedna služba rozložená přes několik čísel AS je stále jeden provozovatel.

Čtení čísel AS z looking glass je rozumný první krok pro řádek tranzitu na vaší mapě. Není to měření cesty, kterou váš provoz šel určitý večer, a nemělo by se tak popisovat. Kde je cesta neznámá, pište neznámá.

Čtyři řádky k vyplnění pro každý skok

Projděte každý koncový bod stejnými čtyřmi otázkami ve stejném pořadí, aby mezery zůstaly viditelné, místo aby je vyhladila sebejistá shrnující věta.

• Kdo může číst obsah? Pojmenujte stranu, která ukončuje ochrannou vrstvu, a jaký otevřený text nebo klíče drží.
• Kdo může stroj provozovat? Rozlište vlastníka infrastruktury od toho, kdo má přístup ke konzoli, a ověřte, zda je tento přístup sdílen s jinou službou v řetězci.
• Čí záznamy jej mohou spojit s něčím jiným? Fakturační identita, adresa pro obnovu, účet podpory a platební nástroj jsou obvyklé mosty.
• Kdo odpovídá na žádost o data? Určete právnickou osobu a jurisdikci, v níž sídlí, a pak se zeptejte, jaká data tato osoba vůbec uchovává.

Poté zapište, odkud každá odpověď pochází: dokumentace dodavatele, zveřejněná politika, přímé pozorování nebo odvození, které jste udělali, protože alternativa byla nepohodlná. Řádek podložený konkrétním prohlášením o uchovávání je silnější důkaz než řádek podložený tím, že web vypadal profesionálně.

Kdy na sdílené závislosti skutečně záleží

Otázka soukromí nikdy není, zda sdílená závislost existuje, ale co by tato závislost mohla spojit. Sdílený správcovský přístup je jiná expozice než pasivní viditelnost šifrovaného provozu a propojení účtů se liší od obojího. Pojmenujte pozorování, oprávnění a uchovávaný záznam, než cokoli uzavřete.

Diskuse o pozorovateli a korelaci v RFC 6973 dává použitelnou strukturu: vypište, co se každý subjekt dozví, a pak se zeptejte, co by dalo spojení těchto poznatků. Dvě strany pozorující podobná metadata jsou důvodem ke zkoumání korelace. Není to změřená pravděpodobnost identifikace a nemělo by se tak prezentovat.

Po rozpracování se příklad se třemi stranami rozpadá na samostatná zjištění. Sdílený hosting bez sdíleného přístupu ke konzoli je koncentrace v dodavatelském řetězci. Sdílená poštovní schránka pro obnovu je administrativní most. Obě jsou skutečné; jen ta druhá umožňuje, aby jeden kompromis překročil dvě hranice.

To, s čím končíte, není certifikát anonymity. Je to obhajitelné tvrzení o tom, kde byla nezávislost ověřena, kde byla předpokládána a který jediný fakt by změnil váš názor. To je lepší než další šipka na diagramu.