Trois sauts, un seul hébergeur : compter les vraies dépendances de confidentialité
Un nombre de sauts cache un hébergement partagé, un seul compte d’administration et le même registraire. Construisez un registre des dépendances, notez chaque ligne et voyez ce qu’une valeur partagée relie.
Le deuxième saut est monté à l’heure et votre schéma montre toujours trois fournisseurs distincts. Puis les factures arrivent, deux d’entre elles nomment la même société d’hébergement, le même registraire détient les trois domaines, et chaque compte se récupère sur une seule boîte aux lettres que vous possédez. Rien dans la configuration du tunnel n’est cassé. La conception n’a simplement jamais compté les dépendances qui se trouvent sous les sauts, et un nombre de sauts décrit le chemin emprunté par le trafic, non le nombre de parties qui pourraient agir dessus.
Le symptôme apparaît dans la facturation, pas dans les journaux
Vous ne trouverez pas cela dans un journal de tunnel, car le tunnel fait exactement ce que vous avez configuré. Les preuves vivent dans les registres publics et les paramètres de compte : des noms d’organisation whois identiques d’un point de terminaison à l’autre, des serveurs de noms identiques, une adresse de titulaire partagée, un moyen de paiement, un panneau de contrôle. Chacun de ces indices suggère que deux couches censées échouer indépendamment peuvent échouer ensemble.
Aucun de ces indices ne prouve qu’une partie quelconque puisse lire votre trafic. Ce qu’ils réduisent, c’est le nombre de décisions indépendantes qui doivent mal tourner avant que deux couches de protection soient compromises par le même événement.
Comparez les registres que vous pouvez réellement voir et notez ce que vous avez comparé. Recherchez l’organisation sur chaque adresse de point de terminaison, listez les serveurs de noms de chaque domaine et ouvrez les paramètres de récupération de chaque compte de la chaîne. Là où deux valeurs correspondent, notez si la correspondance porte sur la propriété, sur l’exploitation ou seulement sur une façade de revendeur. Ce sont des constats différents, et les traiter comme un seul est la façon dont une revue de dépendances devient de la conjecture.
Dessinez le chemin logique, puis la carte des dépendances
Deux schémas sont nécessaires, et la plupart des gens ne dessinent que le premier. Le chemin logique montre où chaque couche de protection se termine et ce que ce point de terminaison peut observer. La carte des dépendances montre qui exploite et administre chacun de ces points de terminaison, un ensemble de noms entièrement distinct.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Notez chaque ligne au lieu de la remplir. Connu signifie que vous avez vu un enregistrement qui l’affirme, déduit signifie qu’une observation l’étaye sans le trancher, et inconnu signifie que rien n’a été trouvé. Une marque d’hébergement partagée est une déduction sur une infrastructure partagée, pas une affirmation sur une base de clients partagée. Ne promeus pas discrètement une déduction en fait connu simplement parce qu’elle arrange la conclusion attendue.
Une ligne vide est un constat en soi. Elle vous dit quel fait changerait la décision si vous l’appreniez, et c’est plus utile qu’un paragraphe de plus sur ce qu’un adversaire sophistiqué pourrait faire.
Un numéro d’AS ne répond qu’à une question de routage
Un système autonome est un concept d’administration de routage, un ensemble d’adresses présenté aux autres réseaux comme une vue de routage cohérente. Des numéros d’AS différents ne disent donc rien de définitif sur la propriété de l’entreprise, un personnel distinct ou un contrôle juridique indépendant. L’erreur inverse est tout aussi courante : deux points de terminaison dans un même AS ne sont pas automatiquement le cas d’une partie identifiant un utilisateur précis.
Si vous voulez les chiffres, résolvez-les au lieu de les supposer. L’adresse ci-dessous est un espace réservé, et l’option demande à l’outil d’étiqueter chaque saut avec l’AS qui l’annonce.
mtr --aslookup --report --report-cycles 5 203.0.113.9Traitez cette sortie comme une mesure du routage, non de la propriété ou du chemin complet du trafic. Le réseau d’accès d’où vous partez et les dépendances de transit entre points de terminaison sont des questions distinctes auxquelles les adresses des points de terminaison ne peuvent pas répondre. Lorsqu’une route ou un choix de relais ne peut pas être observé depuis votre position, étiquetez-le comme inconnu au lieu d’importer une affirmation générale sur la façon dont un réseau donné sélectionne ses chemins aujourd’hui. Non observé n’est pas la même chose qu’inobservable, mais ce n’est pas non plus une preuve.
Nommez l’observation avant de nommer le risque
Trois constats se mélangent dans la plupart des revues de dépendances, et les séparer représente l’essentiel du travail. La visibilité passive du trafic chiffré est un constat. L’accès de gestion partagé en est un autre, car il implique une action plutôt qu’une vue. La liaison de comptes est un troisième, car elle relie des identités sans accorder le moindre accès technique.
Les recommandations de confidentialité du RFC 6973 donnent une forme exploitable : listez ce que chaque entité apprend, puis demandez comment cela pourrait être combiné à des informations détenues ailleurs. Deux points d’un chemin qui observent des schémas de trafic similaires peuvent motiver une inquiétude de corrélation, mais ils ne vous donnent pas une probabilité mesurée que quelqu’un ait été identifié. Écrivez l’inquiétude, puis écrivez l’observation qui la confirmerait.
Revenez à une chaîne de deux services de tunnel et d’un proxy loué. Si les identifiants de gestion du proxy partagent un compte de récupération avec un serveur de tunnel, une seule compromission administrative peut franchir les deux frontières. Si le seul recouvrement est qu’une société d’hébergement exploite les deux machines, la revue doit indiquer quels pouvoirs cette société détient et quelles informations restent protégées. Mêmes trois sauts, constat différent.
Le registre n’est pas un certificat d’anonymat et ne le sera jamais. Sa valeur est plus étroite et plus pratique : il montre où l’indépendance est établie, où elle est supposée et quelle unique ligne inconnue ferait bouger la décision. Choisissez cette ligne ensuite, et laissez le reste du schéma tranquille jusqu’à ce que vous ayez une réponse.