Tri saltoj, unu gastiganto: kalkuli verajn privatecajn dependecojn
Salta nombro kaŝas komunan gastigadon, unu administran konton kaj la saman registriston. Konstruu dependec-kontaron, pritaksu ĉiun vicon kaj vidu, kion komuna valoro ligas.
La dua salto venis laŭ horaro, kaj via diagramo ankoraŭ montras tri apartajn provizantojn. Poste alvenas la fakturoj, kaj du el ili nomas la saman gastigan kompanion, la sama registristo tenas la tri domajnojn, kaj ĉiu konto restarigatas al unu poŝtkesto, kiun vi posedas. Nenio en la tunela agordo estas difektita. La dezajno simple neniam kalkulis la dependecojn, kiuj kuŝas sub la saltoj, kaj salta nombro priskribas la vojon, kiun la trafiko prenas, ne la nombron de partioj, kiuj povus agi pri ĝi.
La simptomo aperas en fakturado, ne en protokoloj
Vi ne trovos tion en tunela protokolo, ĉar la tunelo faras ĝuste tion, kion vi agordis. La pruvoj vivas en publikaj registroj kaj kontaj agordoj: whois-organizaj nomoj, kiuj kongruas inter finpunktoj, identaj nomserviloj, komuna registranta adreso, unu paga metodo, unu kontrolpanelo. Ĉiu el tiuj estas signo, ke du tavoloj, kiuj devus malsukcesi sendepende, povas malsukcesi kune.
Neniu el tiuj signoj pruvas, ke iu unuopa partio povas legi vian trafikon. Kion ili malgrandigas, estas la nombro de sendependaj decidoj, kiuj devas erari antaŭ ol du protektaj tavoloj estas kompromititaj per la sama evento.
Komparu la registrojn, kiujn vi efektive povas vidi, kaj skribu, kion vi komparis. Serĉu la organizaĵon ĉe ĉiu finpunkta adreso, listigu la nomservilojn por ĉiu domajno, kaj malfermu la restarigajn agordojn por ĉiu konto en la ĉeno. Kie du valoroj kongruas, notu, ĉu la kongruo temas pri posedo, pri operacioj aŭ nur pri fronto de revendisto. Tiuj estas malsamaj konkludoj, kaj trakti ilin kiel unu estas kiel dependeca revizio fariĝas konjektado.
Desegnu la logikan vojon, poste la dependeccan mapon
Du diagramoj necesas, kaj plej multaj homoj desegnas nur la unuan. La logika vojo montras, kie ĉiu protekta tavolo finiĝas kaj kion tiu finpunkto povas observi. La dependeca mapo montras, kiu funkciigas kaj administras ĉiun el tiuj finpunktoj, kio estas tute aparta aro da nomoj.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Pritaksu ĉiun vicon anstataŭ plenigi ĝin. Konata signifas, ke vi vidis registron, kiu tion asertas, deduktita signifas, ke unu observo subtenas ĝin sen decidi ĝin, kaj nekonata signifas, ke nenio troviĝis. Komuna gastiga marko estas dedukto pri komuna infrastrukturo, ne aserto pri komuna klienta datumbazo. Ne promociu kviete dedukton al konata fakto nur ĉar ĝi oportunas por la konkludo, kiun vi atendis.
Malplena vico estas mem konkludo. Ĝi diras al vi, kiu fakto ŝanĝus la decidon, se vi lernus ĝin, kaj tio estas pli utila ol plia paragrafo pri tio, kion sofistika kontraŭulo povus fari.
AS-numero respondas nur al enkursiga demando
Aŭtonoma sistemo estas enkursiga administra koncepto, aro da adresoj prezentataj al aliaj retoj kiel unu kohera enkursiga vido. Malsamaj AS-numeroj do diras nenion definitivan pri entreprena posedo, aparta dungitaro aŭ sendependa jura kontrolo. La inversa eraro estas same ofta: du finpunktoj en unu AS ne aŭtomate estas kazo de unu partio identiganta specifan uzanton.
Se vi volas la numerojn, solvu ilin anstataŭ supozi ilin. La adreso sube estas anstataŭilo, kaj la flago petas de la ilo etikedi ĉiun salton per la AS, kiu anoncas ĝin.
mtr --aslookup --report --report-cycles 5 203.0.113.9Traktu tiun eligon kiel mezuron de enkursigado, ne de posedo aŭ de la plena trafika vojo. La alirreto, de kiu vi komencas, kaj la transiraj dependecoj inter finpunktoj estas apartaj demandoj, kiujn la finpunktaj adresoj ne povas respondi. Kiam itinero aŭ relaja elekto ne observeblas de tie, kie vi sidas, etikedu ĝin nekonata anstataŭ enporti ĝeneralan aserton pri tio, kiel difinita reto elektas vojojn hodiaŭ. Neobservita ne samas al neobservebla, sed ĝi ankaŭ ne estas pruvo.
Nomu la observon antaŭ ol nomi la riskon
Tri konkludoj miksiĝas en plej multaj dependecaj revizioj, kaj ilia apartigo estas la plej granda parto de la laboro. Pasiva videbleco de ĉifrita trafiko estas unu konkludo. Komuna administra aliro estas alia, ĉar ĝi implicas agon, ne vidon. Konta ligo estas tria, ĉar ĝi ligas identecojn sen doni ajnan teknikan aliron.
La privatecaj gvidlinioj en RFC 6973 donas por tio uzeblan formon: listigu, kion ĉiu ento lernas, poste demandu, kiel tio povus esti kombinita kun informoj tenataj aliloke. Du punktoj sur vojo, kiuj observas similajn trafikajn ŝablonojn, povas pravigi zorgon pri korelacio, sed ili ne donas al vi mezuritan probablecon, ke iu estis identigita. Skribu la zorgon, poste skribu la observon, kiu konfirmus ĝin.
Revenu al ĉeno de du tunelaj servoj kaj luata proksia servilo. Se la administraj akreditaĵoj de la proksio dividas restarigan konton kun unu tunela servilo, unu administra kompromito povas transiri ambaŭ limojn. Se la sola interkovro estas, ke gastiga kompanio funkciigas ambaŭ maŝinojn, la revizio devas deklari, kiujn potencojn tiu kompanio havas kaj kiuj informoj restas protektitaj. Samaj tri saltoj, malsama konkludo.
La kontaro ne estas atestilo pri anonimeco kaj neniam estos. Ĝia valoro estas pli mallarĝa kaj pli praktika: ĝi montras, kie sendependeco estas establita, kie ĝi estas supozata, kaj kiu sola nekonata vico movus la decidon. Elektu tiun vicon sekve, kaj lasu la reston de la diagramo trankvila, ĝis vi havos respondon por ĝi.