Hvor mange uafhængige afhængigheder har din privatlivskæde?

Tæl kasserne på de fleste privatlivsdiagrammer, og du får tre eller fem hop, hver med et andet firmalogo. Tæl de organisationer, der reelt kunne handle på de kasser og tallet falder ofte til to. En kæde adskiller tillid kun så langt, som dens afhængigheder er uafhængige, og et hop-antal måler intet af det. Netop dette gab er hele det spørgsmål, der er værd at stille.

To kort hjælper. Det ene sporer, hvor pakkerne går hen; det andet registrerer, hvem der driver, betaler for, administrerer og kan tvinges til at handle på hvert element. Det andet kort er uglamourøst, ofte ufuldstændigt og langt mere tilbøjeligt til at ændre en beslutning.

Tegn trafikvejen, tegn derefter kontrolvejen

En lejet proxy foran to tunneltjenester ser ud som tre parter. Skriv hostingudbyder, kontrolpanelkonto, faktureringsidentitet og den adresse, en juridisk anmodning ville blive forkyndt på, og de tre kan reducere til én cloud-lejer med én gendannelsespostkasse. Intet ved trafikvejen ændrede sig; beskrivelsen af uafhængighed gjorde.

Mærk hver række som kendt, udledt eller ukendt, og noter, hvad mærket hviler på. Et brandnavn fastslår, hvem der solgte dig tjenesten. Det fastslår ikke, hvem der ejer maskinen, og slet ikke om kunderegistreringer ligger i samme database som en anden tjenestes registreringer.

Disciplinen betyder mere end regnearket. Når «ukendt» er en tilladt værdi, holder diagrammet op med at smigre sig selv og begynder at vise, hvilket manglende faktum der ville vende konklusionen.

Hvad et hop-antal ikke kan se

Hop beskriver indkapsling og videresendelse. De siger intet om delt administration, delt upstream-transit, delte betalingsinstrumenter eller delte gendannelseskanaler, og netop de fire steder er der, hvor to nominelt forskellige tjenester stille bliver én.

Tag et design, hvis første og sidste hop tilhører forskellige virksomheder, men begge står bag samme transitudbyder. Fra den udbyders position rejser en god del metadata om begge ender gennem samme infrastruktur. Det er ikke bevis for identificering; det er en afhængighed, som et hop-antal-resumé helt udelader.

Den omvendte fejl er lige så almindelig. At antage, at separat ejerskab garanterer adskillelse, ignorerer, at operatører bliver kompromitteret, tvunget eller blot uagtsomme på de samme måder. Uafhængighed fastslås punkt for punkt, ikke tildelt af et logo.

Et autonomt system er en routinggrænse

Et AS-nummer identificerer et domæne, der præsenterer en sammenhængende routingvisning for sine peers. Den udtalelse handler om routingpolitik, ikke om virksomhedsejerskab, bemanding, jurisdiktion eller adskillelse af legitimationsoplysninger. To tjenester bag forskellige AS-numre kan dele én ejer, og én tjeneste spredt over flere AS-numre er stadig én operatør.

At læse AS-numre fra et looking glass er en rimelig første gennemgang for transitrækken på dit kort. Det er ikke en måling af den vej, din trafik tog en bestemt aften, og bør ikke beskrives som sådan. Hvor vejen er ukendt, skriv ukendt.

Fire rækker at udfylde for hvert hop

Gå hvert endepunkt igennem med de samme fire spørgsmål i samme rækkefølge, så huller forbliver synlige i stedet for at blive udlignet af en selvsikker opsummerende sætning.

• Hvem kan læse indholdet? Navngiv den part, der afslutter beskyttelseslaget, og hvilken klartekst eller nøgler den holder.
• Hvem kan betjene kassen? Skeln mellem infrastrukturejeren og den, der har konsoladgang, og undersøg, om den adgang deles med en anden tjeneste i kæden.
• Hvis registreringer kan forbinde det med noget andet? Faktureringsidentitet, gendannelsesadresse, supportkonto og betalingsinstrument er de sædvanlige broer.
• Hvem besvarer en anmodning om data? Identificer den juridiske enhed og den jurisdiktion, den ligger i, og spørg derefter, hvilke data den enhed overhovedet opbevarer.

Noter derefter, hvor hvert svar kom fra: leverandørdokumentation, offentliggjort politik, direkte observation eller en slutning, du drog, fordi alternativet var ubelejligt. En række understøttet af en konkret opbevaringserklæring er stærkere bevis end en række understøttet af, at webstedet så professionelt ud.

Hvornår en delt afhængighed faktisk betyder noget

Privatlivsspørgsmålet er aldrig, om der findes en delt afhængighed, men hvad den afhængighed kunne forbinde. Delt administrativ adgang er en anden eksponering end passiv synlighed af krypteret trafik, og kontobinding adskiller sig fra begge. Navngiv observationen, privilegiet og den opbevarede registrering, før du konkluderer noget.

Diskussionen om observatører og korrelation i RFC 6973 giver en brugbar struktur: opregn, hvad hver enhed lærer, og spørg derefter, hvad kombinationen af denne viden ville give. To parter, der observerer lignende metadata, er en grund til at undersøge korrelation. Det er ikke en målt sandsynlighed for identificering og bør ikke fremstilles som en.

Når eksemplet med tre parter arbejdes igennem, deler det sig i separate fund. Delt hosting uden delt konsoladgang er en koncentration i forsyningskæden. En delt gendannelsespostkasse er en administrativ bro. Begge er reelle; kun den anden lader én kompromittering krydse to grænser.

Det, du ender med, er ikke et anonymitetscertifikat. Det er en forsvarlig erklæring om, hvor uafhængigheden blev verificeret, hvor den blev antaget, og hvilket enkelt faktum der ville ændre din opfattelse. Det er bedre end endnu en pil på diagrammet.