Drei Hops, ein Host: echte Privatsphäre-Abhängigkeiten zählen

Der zweite Hop kam planmäßig hoch, und dein Diagramm zeigt noch immer drei getrennte Anbieter. Dann kommen die Rechnungen, und zwei davon nennen dasselbe Hosting-Unternehmen, derselbe Registrar hält alle drei Domains, und jedes Konto wird auf ein Postfach wiederhergestellt, das dir gehört. An der Tunnelkonfiguration ist nichts kaputt. Das Design hat einfach nie die Abhängigkeiten gezählt, die unter den Hops liegen, und eine Hop-Zahl beschreibt den Weg, den der Verkehr nimmt, nicht die Zahl der Parteien, die darauf einwirken könnten.

Das Symptom zeigt sich in der Abrechnung, nicht in den Logs

In einem Tunnel-Log findest du das nicht, denn der Tunnel tut genau das, was du konfiguriert hast. Die Belege liegen in öffentlichen Registern und Kontoeinstellungen: whois-Organisationsnamen, die über Endpunkte hinweg übereinstimmen, identische Nameserver, eine geteilte Registrantenadresse, eine Zahlungsmethode, ein Control Panel. Jeder dieser Hinweise deutet darauf hin, dass zwei Schichten, die unabhängig ausfallen sollten, gemeinsam ausfallen können.

Keiner dieser Hinweise beweist, dass irgendeine einzelne Partei deinen Verkehr lesen kann. Sie verringern die Zahl unabhängiger Entscheidungen, die falsch laufen müssen, bevor zwei Schutzschichten durch dasselbe Ereignis kompromittiert werden.

Vergleiche die Einträge, die du tatsächlich sehen kannst, und schreibe auf, was du verglichen hast. Suche die Organisation an jeder Endpunktadresse, liste die Nameserver jeder Domain und öffne die Wiederherstellungseinstellungen für jedes Konto in der Kette. Wo zwei Werte übereinstimmen, notiere, ob die Übereinstimmung Eigentum, Betrieb oder nur ein Reseller-Frontend betrifft. Das sind unterschiedliche Befunde, und sie als einen zu behandeln, macht aus einer Abhängigkeitsprüfung ein Ratespiel.

Zeichne den logischen Pfad, dann die Abhängigkeitskarte

Zwei Diagramme sind nötig, und die meisten zeichnen nur das erste. Der logische Pfad zeigt, wo jede Schutzschicht endet und was dieser Endpunkt beobachten kann. Die Abhängigkeitskarte zeigt, wer jeden dieser Endpunkte betreibt und administriert, eine völlig eigene Menge von Namen.

Bewerte jede Zeile, statt sie auszufüllen. Bekannt heißt, du hast einen Eintrag gesehen, der es aussagt; abgeleitet heißt, eine Beobachtung stützt es, ohne es zu entscheiden; unbekannt heißt, es wurde nichts gefunden. Eine geteilte Hosting-Marke ist eine Ableitung über geteilte Infrastruktur, keine Aussage über eine geteilte Kundendatenbank. Befördere eine Ableitung nicht stillschweigend zu einer bekannten Tatsache, nur weil sie zum erwarteten Schluss passt.

Eine leere Zeile ist selbst ein Befund. Sie sagt dir, welche Tatsache die Entscheidung ändern würde, wenn du sie erführest, und das ist nützlicher als ein weiterer Absatz darüber, was ein raffinierter Gegner tun könnte.

Eine AS-Nummer beantwortet nur eine Routing-Frage

Ein autonomes System ist ein routingadministratives Konzept, eine Menge von Adressen, die anderen Netzen als eine zusammenhängende Routing-Sicht präsentiert wird. Unterschiedliche AS-Nummern sagen daher nichts Endgültiges über Unternehmenseigentum, getrenntes Personal oder unabhängige rechtliche Kontrolle. Der umgekehrte Fehler ist ebenso verbreitet: zwei Endpunkte in einem AS sind nicht automatisch ein Fall, in dem eine Partei einen bestimmten Nutzer identifiziert.

Wenn du die Zahlen willst, ermittle sie, statt sie anzunehmen. Die Adresse unten ist ein Platzhalter, und das Flag bittet das Werkzeug, jeden Hop mit dem AS zu beschriften, das ihn ankündigt.

mtr --aslookup --report --report-cycles 5 203.0.113.9

Behandle diese Ausgabe als Messung des Routings, nicht des Eigentums oder des vollständigen Verkehrswegs. Das Zugangsnetz, von dem du startest, und die Transitabhängigkeiten zwischen Endpunkten sind getrennte Fragen, die die Endpunktadressen nicht beantworten können. Wenn eine Route oder eine Relay-Wahl von deinem Standort aus nicht beobachtbar ist, bezeichne sie als unbekannt, statt eine allgemeine Behauptung darüber zu importieren, wie ein bestimmtes Netz heute Pfade wählt. Unbeobachtet ist nicht dasselbe wie unbeobachtbar, aber es ist auch kein Beweis.

Benenne die Beobachtung, bevor du das Risiko benennst

Drei Befunde werden in den meisten Abhängigkeitsprüfungen vermischt, und sie zu trennen ist der größte Teil der Arbeit. Passive Sichtbarkeit verschlüsselten Verkehrs ist ein Befund. Geteilter Verwaltungszugang ist ein anderer, denn er bedeutet eine Handlung statt einer Sicht. Kontoverknüpfung ist ein dritter, denn sie verbindet Identitäten, ohne irgendeinen technischen Zugang zu gewähren.

Die Privatsphäre-Leitlinien in RFC 6973 geben dafür eine brauchbare Form: liste auf, was jede Entität lernt, und frage dann, wie das mit Informationen kombiniert werden könnte, die anderswo liegen. Zwei Punkte auf einem Pfad, die ähnliche Verkehrsmuster beobachten, können eine Korrelationssorge begründen, aber sie liefern dir keine gemessene Wahrscheinlichkeit, dass jemand identifiziert wurde. Schreib die Sorge auf und dann die Beobachtung, die sie bestätigen würde.

Kehre zu einer Kette aus zwei Tunneldiensten und einem gemieteten Proxy zurück. Wenn die Verwaltungszugangsdaten des Proxys ein Wiederherstellungskonto mit einem Tunnelserver teilen, kann eine einzige administrative Kompromittierung beide Grenzen überschreiten. Wenn die einzige Überschneidung darin besteht, dass ein Hosting-Unternehmen beide Maschinen betreibt, muss die Prüfung angeben, welche Befugnisse dieses Unternehmen hat und welche Informationen geschützt bleiben. Dieselben drei Hops, ein anderer Befund.

Das Register ist kein Anonymitätszertifikat und wird es nie sein. Sein Wert ist enger und praktischer: Es zeigt, wo Unabhängigkeit belegt, wo sie angenommen wird und welche einzelne unbekannte Zeile die Entscheidung verschieben würde. Wähle diese Zeile als nächste und lass den Rest des Diagramms in Ruhe, bis du eine Antwort darauf hast.