Tre hop, én vært: at tælle reelle privatlivsafhængigheder
Et hop-tal skjuler delt hosting, én admin-konto og samme registrator. Byg et afhængighedsregister, bedøm hver række, og se hvad en delt værdi forbinder.
Det andet hop kom op som planlagt, og dit diagram viser stadig tre separate udbydere. Så kommer fakturaerne, og to af dem nævner det samme hostingfirma, den samme registrator har alle tre domæner, og hver konto gendannes til én postkasse, som du ejer. Intet i tunnelkonfigurationen er i stykker. Designet har bare aldrig talt de afhængigheder, der ligger under hopene, og et hop-tal beskriver den vej, trafikken tager, ikke antallet af parter, der kan handle på den.
Symptomet viser sig i faktureringen, ikke i logfilerne
Du finder det ikke i en tunnellog, fordi tunnelen gør præcis det, du har konfigureret. Beviset ligger i offentlige registre og kontoindstillinger: whois-organisationsnavne, der matcher på tværs af endepunkter, identiske navneservere, en delt registrantadresse, én betalingsmetode, ét kontrolpanel. Hvert af disse er et hint om, at to lag, der burde fejle uafhængigt, kan fejle sammen.
Ingen af disse hints beviser, at nogen enkelt part kan læse din trafik. Det, de reducerer, er antallet af uafhængige beslutninger, der skal gå galt, før to beskyttelseslag kompromitteres af den samme hændelse.
Sammenlign de registre, du faktisk kan se, og skriv ned, hvad du sammenlignede. Slå organisationen op på hver endepunktsadresse, list navneservere for hvert domæne, og åbn gendannelsesindstillingerne for hver konto i kæden. Hvor to værdier matcher, noter om matchet handler om ejerskab, om drift eller kun om en forhandlers front. Det er forskellige fund, og at behandle dem som ét er, hvordan en afhængighedsgennemgang bliver til gætværk.
Tegn den logiske vej, derefter afhængighedskortet
Der er brug for to diagrammer, og de fleste tegner kun det første. Den logiske vej viser, hvor hvert beskyttelseslag ender, og hvad det endepunkt kan observere. Afhængighedskortet viser, hvem der driver og administrerer hvert af disse endepunkter, hvilket er et helt separat sæt navne.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Bedøm hver række i stedet for at udfylde den. Kendt betyder, at du har set en registrering, der siger det, udledt betyder, at én observation støtter det uden at afgøre det, og ukendt betyder, at intet blev fundet. Et delt hostingbrand er en udledning om delt infrastruktur, ikke en udtalelse om en delt kundedatabase. Forfrem ikke stille en udledning til kendt faktum, bare fordi det passer til den konklusion, du forventede.
En tom række er et fund i sig selv. Den fortæller dig, hvilket faktum der ville ændre beslutningen, hvis du lærte det, og det er mere nyttigt end endnu et afsnit om, hvad en sofistikeret modstander kunne gøre.
Et AS-nummer besvarer kun et routingspørgsmål
Et autonomt system er et routingadministrationsbegreb, et sæt adresser, der præsenteres for andre netværk som ét sammenhængende routingbillede. Forskellige AS-numre siger derfor intet definitivt om virksomhedsejerskab, adskilt personale eller uafhængig juridisk kontrol. Den omvendte fejl er lige så almindelig: to endepunkter i ét AS er ikke automatisk et tilfælde af, at én part identificerer en bestemt bruger.
Hvis du vil have tallene, slå dem op i stedet for at antage dem. Adressen nedenfor er en pladsholder, og flaget beder værktøjet om at mærke hvert hop med det AS, der annoncerer det.
mtr --aslookup --report --report-cycles 5 203.0.113.9Behandl det output som en måling af routing, ikke af ejerskab eller af den fulde trafikvej. Det adgangsnetværk, du starter fra, og transitafhængighederne mellem endepunkter er separate spørgsmål, som endepunktsadresserne ikke kan besvare. Når en rute eller et relayvalg ikke kan observeres derfra, hvor du sidder, så mærk det ukendt i stedet for at importere en generel påstand om, hvordan et bestemt netværk vælger veje i dag. Uobserveret er ikke det samme som uobserverbart, men det er heller ikke bevis.
Navngiv observationen, før du navngiver risikoen
Tre fund blandes sammen i de fleste afhængighedsgennemgange, og at skille dem er det meste af arbejdet. Passiv synlighed af krypteret trafik er ét fund. Delt administrativ adgang er et andet, fordi det indebærer en handling snarere end et syn. Kontosammenkobling er et tredje, fordi det forbinder identiteter uden at give nogen teknisk adgang overhovedet.
Privatlivsvejledningen i RFC 6973 giver en brugbar form til dette: list, hvad hver enhed lærer, og spørg så, hvordan det kunne kombineres med information, der opbevares andre steder. To punkter på en vej, der observerer lignende trafikmønstre, kan motivere en korrelationsbekymring, men de giver dig ikke en målt sandsynlighed for, at nogen er blevet identificeret. Skriv bekymringen, og skriv derefter den observation, der ville bekræfte den.
Vend tilbage til en kæde af to tunneltjenester og en lejet proxy. Hvis proxyens administrationsoplysninger deler en gendannelseskonto med én tunnelserver, kan ét administrativt kompromis krydse begge grænser. Hvis det eneste overlap er, at et hostingfirma driver begge maskiner, skal gennemgangen angive, hvilke beføjelser firmaet har, og hvilke oplysninger der forbliver beskyttede. De samme tre hop, et andet fund.
Registeret er ikke et anonymitetscertifikat og bliver det aldrig. Dets værdi er snævrere og mere praktisk: det viser, hvor uafhængighed er etableret, hvor den antages, og hvilken enkelt ukendt række der ville flytte beslutningen. Vælg den række næste gang, og lad resten af diagrammet være, indtil du har et svar på den.