Cantas dependencias independentes ten a túa cadea de privacidade?

Conta as caixas da maioría dos diagramas de privacidade e obterás tres ou cinco saltos, cada un co logotipo dunha empresa distinta. Conta as organizacións que poderían actuar realmente sobre esas caixas e o número adoita reducirse a dúas. Unha cadea separa a confianza só ata onde as súas dependencias son independentes, e o número de saltos non mide nada diso. Esa fenda é toda a pregunta que paga a pena formular.

Dous mapas axudan. Un rastrexa cara a onde van os paquetes; o outro rexistra quen opera, paga, administra e pode ser obrigado a actuar sobre cada elemento. O segundo mapa non é vistoso, adoita estar incompleto e é moito máis probable que cambie unha decisión.

Debuxa a ruta do tráfico e despois a ruta do control

Un proxy alugado diante de dous servizos de túnel parece tres partes. Anota o provedor de aloxamento, a conta do panel de control, a identidade de facturación e o enderezo no que se notificaría unha solicitude legal, e as tres poden reducirse a un único inquilino de nube cun único buzón de recuperación. Nada da ruta do tráfico cambiou; a descrición da independencia si.

Etiqueta cada fila como coñecida, inferida ou descoñecida, e anota en que se apoia a etiqueta. Un nome de marca establece quen che vendeu o servizo. Non establece quen posúe a máquina, e moito menos se os rexistros dos clientes están na mesma base de datos que os doutro servizo.

A disciplina importa máis que a folla de cálculo. Cando «descoñecido» é un valor permitido, o diagrama deixa de se lisonjear e comeza a mostrar que dato faltante daría a volta á conclusión.

O que o número de saltos non pode ver

Os saltos describen encapsulación e reenvío. Non din nada sobre administración compartida, tránsito superior compartido, instrumentos de pagamento compartidos nin canles de recuperación compartidas, e eses catro lugares son onde dous servizos nominalmente distintos se volven un en silencio.

Toma un deseño cuxo primeiro e último salto pertencen a empresas distintas pero ambos están detrás do mesmo provedor de tránsito. Desde a posición dese provedor, boa parte dos metadatos de ambos os extremos viaxa pola mesma infraestrutura. Non é unha proba de identificación; é unha dependencia que un resumo de número de saltos omite por completo.

O erro inverso é igual de común. Supoñer que a propiedade separada garante a separación ignora que os operadores son comprometidos, obrigados ou simplemente neglixentes das mesmas maneiras. A independencia establécese elemento por elemento, non a concede un logotipo.

Un sistema autónomo é unha fronteira de encamiñamento

Un número de AS identifica un dominio que presenta unha visión coherente de encamiñamento aos seus pares. Esa afirmación trata de política de encamiñamento, non de propiedade corporativa, persoal, xurisdición ou separación de credenciais. Dous servizos detrás de números de AS distintos poden compartir un dono, e un servizo repartido por varios números de AS segue sendo un só operador.

Ler números de AS dun looking glass é unha primeira pasada razoable para a fila de tránsito do teu mapa. Non é unha medición do camiño que tomou o teu tráfico unha noite concreta, e non debe presentarse como tal. Onde o camiño é descoñecido, escribe descoñecido.

Catro filas que encher para cada salto

Percorre cada extremo coas mesmas catro preguntas na mesma orde, para que os ocos sigan visibles en lugar de quedar diluídos por unha frase de resumo confiada.

• Quen pode ler o contido? Nomea a parte que remata a capa de protección e que texto plano ou claves garda.
• Quen pode operar a caixa? Distingue o propietario da infraestrutura de quen ten acceso á consola, e comproba se ese acceso se comparte con outro servizo da cadea.
• Que rexistros poderían unilo a outra cousa? A identidade de facturación, o enderezo de recuperación, a conta de asistencia e o instrumento de pagamento son as pontes habituais.
• Quen responde a unha solicitude de datos? Identifica a entidade legal e a xurisdición na que ten sede, e despois pregunta que datos conserva esa entidade.

Despois anota de onde veu cada resposta: documentación do provedor, política publicada, observación directa ou unha inferencia que fixeches porque a alternativa era incómoda. Unha fila apoiada por unha declaración de retención concreta é unha evidencia máis forte ca unha fila apoiada polo feito de que o sitio web parecía profesional.

Cando importa de verdade unha dependencia compartida

A pregunta de privacidade nunca é se existe unha dependencia compartida, senón que podería unir esa dependencia. O acceso de xestión compartido é unha exposición distinta da visibilidade pasiva do tráfico cifrado, e o vínculo entre contas difire de ambos. Nomea a observación, o privilexio e o rexistro retido antes de concluír nada.

A análise de observadores e correlación de RFC 6973 ofrece unha estrutura practicable: enumera que aprende cada entidade e despois pregunta que daría combinar esas aprendizaxes. Que dúas partes observen metadatos similares é un motivo para examinar a correlación. Non é unha probabilidade medida de identificación e non debe presentarse como tal.

Unha vez traballado, o exemplo de tres partes divídese en achados separados. O aloxamento compartido sen acceso de consola compartido é unha concentración na cadea de subministración. Un buzón de recuperación compartido é unha ponte administrativa. Ambos son reais; só o segundo permite que un compromiso cruce dúas fronteiras.

Aquilo co que rematas non é un certificado de anonimato. É unha declaración defendible de onde se verificou a independencia, onde se supuxo e que único feito che faría cambiar de opinión. Iso é mellor ca outra frecha no diagrama.