Combien de dépendances indépendantes votre chaîne de confidentialité compte-t-elle ?

Comptez les cases de la plupart des schémas de confidentialité et vous obtenez trois ou cinq sauts, chacun avec le logo d'une entreprise différente. Comptez les organisations qui pourraient réellement agir sur ces cases et le nombre retombe souvent à deux. Une chaîne ne sépare la confiance que dans la mesure où ses dépendances sont indépendantes, et un nombre de sauts n'en mesure rien. Cet écart est toute la question qui vaut la peine d'être posée.

Deux cartes aident. L'une suit le trajet des paquets ; l'autre note qui exploite, paie, administre et peut être contraint d'agir sur chaque élément. La seconde carte est sans éclat, souvent incomplète, et bien plus susceptible de changer une décision.

Tracez le chemin du trafic, puis le chemin du contrôle

Un proxy loué devant deux services tunnel ressemble à trois parties. Notez l'hébergeur, le compte du panneau de contrôle, l'identité de facturation et l'adresse à laquelle une demande légale serait signifiée, et les trois peuvent se réduire à un seul locataire cloud avec une seule boîte de récupération. Rien dans le chemin du trafic n'a changé ; la description de l'indépendance, si.

Étiquetez chaque ligne comme connue, déduite ou inconnue, et notez sur quoi repose l'étiquette. Un nom de marque établit qui vous a vendu le service. Il n'établit pas qui possède la machine, et certainement pas si les données clients se trouvent dans la même base que celles d'un autre service.

La discipline compte plus que le tableur. Une fois « inconnu » admis comme valeur, le schéma cesse de se flatter et commence à montrer quel fait manquant renverserait la conclusion.

Ce qu'un nombre de sauts ne peut pas voir

Les sauts décrivent l'encapsulation et le transfert. Ils ne disent rien de l'administration partagée, du transit amont partagé, des instruments de paiement partagés ni des canaux de récupération partagés, et ces quatre endroits sont précisément ceux où deux services nominalement différents deviennent discrètement un seul.

Prenez une conception dont le premier et le dernier saut appartiennent à des entreprises différentes mais se trouvent tous deux derrière le même fournisseur de transit. Du point de vue de ce fournisseur, une bonne part des métadonnées des deux extrémités passe par la même infrastructure. Ce n'est pas une preuve d'identification ; c'est une dépendance qu'un résumé du nombre de sauts omet entièrement.

L'erreur inverse est tout aussi fréquente. Supposer que la propriété séparée garantit la séparation ignore que les opérateurs sont compromis, contraints ou simplement négligents de la même manière. L'indépendance s'établit point par point, elle n'est pas conférée par un logo.

Un système autonome est une frontière de routage

Un numéro AS identifie un domaine qui présente une vue de routage cohérente à ses pairs. Cette affirmation porte sur la politique de routage, non sur la propriété d'entreprise, le personnel, la juridiction ou la séparation des identifiants. Deux services derrière des numéros AS différents peuvent partager un propriétaire, et un service réparti sur plusieurs numéros AS reste un seul opérateur.

Lire des numéros AS sur un looking glass est une première passe raisonnable pour la ligne transit de votre carte. Ce n'est pas une mesure du chemin qu'a pris votre trafic un soir donné, et cela ne doit pas être décrit comme tel. Là où le chemin est inconnu, écrivez inconnu.

Quatre lignes à remplir pour chaque saut

Passez chaque extrémité par les mêmes quatre questions dans le même ordre, afin que les lacunes restent visibles au lieu d'être moyennées par une phrase de synthèse assurée.

• Qui peut lire le contenu ? Nommez la partie qui termine la couche de protection et quel texte en clair ou quelles clés elle détient.
• Qui peut exploiter la machine ? Distinguez le propriétaire de l'infrastructure de celui qui détient l'accès à la console, et vérifiez si cet accès est partagé avec un autre service de la chaîne.
• Quels enregistrements pourraient le relier à autre chose ? L'identité de facturation, l'adresse de récupération, le compte d'assistance et l'instrument de paiement sont les ponts habituels.
• Qui répond à une demande de données ? Identifiez l'entité juridique et la juridiction où elle siège, puis demandez quelles données cette entité conserve réellement.

Notez ensuite d'où vient chaque réponse : documentation du fournisseur, politique publiée, observation directe, ou une déduction que vous avez faite parce que l'alternative était gênante. Une ligne étayée par une déclaration de conservation précise est une preuve plus solide qu'une ligne étayée par le fait que le site web paraissait professionnel.

Quand une dépendance partagée compte vraiment

La question de confidentialité n'est jamais de savoir s'il existe une dépendance partagée, mais ce que cette dépendance pourrait relier. L'accès de gestion partagé est une exposition différente de la visibilité passive d'un trafic chiffré, et le lien entre comptes diffère des deux. Nommez l'observation, le privilège et l'enregistrement conservé avant de conclure quoi que ce soit.

La discussion sur les observateurs et la corrélation dans RFC 6973 offre une structure exploitable : énumérez ce que chaque entité apprend, puis demandez ce que la combinaison de ces connaissances donnerait. Deux parties observant des métadonnées similaires sont une raison d'examiner la corrélation. Ce n'est pas une probabilité mesurée d'identification et cela ne doit pas être présenté comme telle.

Une fois travaillé, l'exemple à trois parties se scinde en constats distincts. L'hébergement partagé sans accès console partagé est une concentration de la chaîne d'approvisionnement. Une boîte de récupération partagée est un pont administratif. Les deux sont réels ; seul le second permet à une compromission de franchir deux frontières.

Ce avec quoi vous terminez n'est pas un certificat d'anonymat. C'est une affirmation défendable sur l'endroit où l'indépendance a été vérifiée, où elle a été supposée, et quel fait unique vous ferait changer d'avis. Cela vaut mieux qu'une flèche de plus sur le schéma.