Tři skoky, jeden hostitel: jak počítat skutečné závislosti soukromí
Počet skoků skrývá sdílený hosting, jeden admin účet a stejného registrátora. Sestavte registr závislostí, ohodnoťte každý řádek a podívejte se, co sdílená hodnota spojuje.
Druhý skok naskočil podle plánu a váš diagram stále ukazuje tři samostatné poskytovatele. Pak dorazí faktury a dvě z nich uvádějí stejnou hostingovou firmu, stejný registrátor drží všechny tři domény a každý účet se obnovuje do jedné schránky, kterou vlastníte. V konfiguraci tunelu není nic rozbité. Návrh prostě nikdy nezapočítal závislosti, které leží pod skoky, a počet skoků popisuje cestu, kterou provoz jde, nikoli počet stran, které na něm mohou jednat.
Příznak se objeví ve fakturaci, ne v logech
V logu tunelu to nenajdete, protože tunel dělá přesně to, co jste nakonfigurovali. Důkazy žijí ve veřejných záznamech a nastaveních účtů: názvy organizací ve whois, které se mezi koncovými body shodují, totožné jmenné servery, sdílená adresa registranta, jeden způsob platby, jeden ovládací panel. Každý z těchto náznaků říká, že dvě vrstvy, které mají selhat nezávisle, mohou selhat společně.
Žádný z těchto náznaků nedokazuje, že kterákoli jednotlivá strana může číst váš provoz. Snižují počet nezávislých rozhodnutí, která musí být špatná, než dvě ochranné vrstvy zkompromituje stejná událost.
Porovnejte záznamy, které skutečně vidíte, a zapište, co jste porovnali. Vyhledejte organizaci u každé adresy koncového bodu, vypište jmenné servery pro každou doménu a otevřete nastavení obnovy pro každý účet v řetězu. Kde se dvě hodnoty shodují, poznamenejte, zda se shoda týká vlastnictví, provozu, nebo jen front-endu prodejce. To jsou různá zjištění a jejich slévání v jedno je způsob, jak se z revize závislostí stane hádání.
Nakreslete logickou cestu, potom mapu závislostí
Jsou potřeba dva diagramy a většina lidí kreslí jen první. Logická cesta ukazuje, kde každá ochranná vrstva končí a co může tento koncový bod pozorovat. Mapa závislostí ukazuje, kdo každý z těchto koncových bodů provozuje a spravuje, což je zcela samostatná sada jmen.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Každý řádek ohodnoťte, místo abyste ho jen vyplnili. Známé znamená, že jste viděli záznam, který to uvádí; odvozené znamená, že to podporuje jedno pozorování, aniž by to vyřešilo; neznámé znamená, že nebylo nic nalezeno. Sdílená hostingová značka je odvození o sdílené infrastruktuře, nikoli tvrzení o sdílené zákaznické databázi. Nepovyšujte odvození tiše na známý fakt jen proto, že se hodí k závěru, který jste očekávali.
Prázdný řádek je sám o sobě zjištěním. Říká vám, která skutečnost by změnila rozhodnutí, kdybyste ji zjistili, a to je užitečnější než další odstavec o tom, co by mohl udělat sofistikovaný protivník.
Číslo AS odpovídá jen na otázku směrování
Autonomní systém je pojem správy směrování, sada adres předkládaná jiným sítím jako jeden souvislý pohled na směrování. Různá čísla AS proto neříkají nic definitivního o firemním vlastnictví, odděleném personálu ani nezávislé právní kontrole. Opačná chyba je stejně běžná: dva koncové body v jednom AS nejsou automaticky případ, kdy jedna strana identifikuje konkrétního uživatele.
Pokud ta čísla chcete, zjistěte je, místo abyste je předpokládali. Adresa níže je zástupný symbol a přepínač žádá nástroj, aby každý skok označil AS, která ho ohlašuje.
mtr --aslookup --report --report-cycles 5 203.0.113.9Berte ten výstup jako měření směrování, nikoli vlastnictví nebo celé cesty provozu. Přístupová síť, ze které začínáte, a tranzitní závislosti mezi koncovými body jsou oddělené otázky, na které adresy koncových bodů nedokážou odpovědět. Když trasu nebo volbu relaye nelze z vašeho místa pozorovat, označte ji jako neznámou, místo abyste importovali obecné tvrzení o tom, jak konkrétní síť dnes vybírá cesty. Nepozorované není totéž jako nepozorovatelné, ale také to není důkaz.
Pojmenujte pozorování dřív, než pojmenujete riziko
Většina revizí závislostí míchá tři zjištění dohromady a jejich oddělení je většina práce. Pasivní viditelnost šifrovaného provozu je jedno zjištění. Sdílený administrativní přístup je druhé, protože znamená akci, ne pohled. Propojení účtů je třetí, protože spojuje identity, aniž by udělovalo jakýkoli technický přístup.
Pravidla soukromí v RFC 6973 k tomu dávají použitelný tvar: vypište, co se každý subjekt dozví, a pak se ptejte, jak to lze zkombinovat s informacemi uloženými jinde. Dva body na cestě, které pozorují podobné vzorce provozu, mohou odůvodnit obavu z korelace, ale nedávají vám změřenou pravděpodobnost, že byl někdo identifikován. Napište obavu a pak napište pozorování, které by ji potvrdilo.
Vraťte se k řetězu dvou tunelových služeb a pronajatého proxy serveru. Pokud přihlašovací údaje pro správu proxy sdílejí účet pro obnovu s jedním tunelovým serverem, jediný administrativní kompromis může překročit obě hranice. Pokud je jediným překryvem to, že hostingová firma provozuje oba stroje, musí revize uvést, jaké pravomoci tato firma má a které informace zůstávají chráněné. Stejné tři skoky, jiné zjištění.
Registr není certifikát anonymity a nikdy jím nebude. Jeho hodnota je užší a praktičtější: ukazuje, kde je nezávislost prokázána, kde se předpokládá a který jediný neznámý řádek by pohnul rozhodnutím. Vyberte si ten řádek jako další a zbytek diagramu nechte být, dokud na něj nedostanete odpověď.