Tres saltos, un só provedor: contar as dependencias reais de privacidade
Un reconto de saltos oculta aloxamento compartido, unha soa conta de administración e o mesmo rexistrador. Constrúe un rexistro de dependencias, puntúa cada fila e mira que une un valor compartido.
O segundo salto subiu á hora prevista e o teu diagrama segue amosando tres provedores separados. Logo chegan as facturas e dúas delas nomean a mesma empresa de aloxamento, o mesmo rexistrador ten os tres dominios e cada conta recupérase nun só buzón que ti posúes. Nada na configuración do túnel está roto. O deseño simplemente nunca contou as dependencias que están debaixo dos saltos, e un reconto de saltos describe o camiño que toma o tráfico, non o número de partes que poderían actuar sobre el.
O síntoma aparece na facturación, non nos rexistros
Non o atoparás nun rexistro do túnel, porque o túnel fai exactamente o que configurastes. As probas viven en rexistros públicos e axustes de conta: nomes de organización en whois que coinciden entre extremos, servidores de nomes idénticos, un enderezo de rexistrante compartido, un método de pagamento, un panel de control. Cada unha desas pistas indica que dúas capas que deberían fallar de forma independente poden fallar xuntas.
Ningunha destas pistas demostra que unha soa parte poida ler o teu tráfico. O que reducen é o número de decisións independentes que deben saír mal antes de que dúas capas de protección queden comprometidas polo mesmo suceso.
Compara os rexistros que realmente podes ver e anota que comparaches. Busca a organización en cada enderezo de extremo, enumera os servidores de nomes de cada dominio e abre os axustes de recuperación de cada conta da cadea. Onde dous valores coincidan, fíxate se a coincidencia é de propiedade, de operación ou só da fachada dun revendedor. Son achados distintos, e tratalos como un só é como unha revisión de dependencias se converte en conxecturas.
Debuxa o camiño lóxico e despois o mapa de dependencias
Fan falta dous diagramas, e a maioría da xente só debuxa o primeiro. O camiño lóxico mostra onde remata cada capa de protección e que pode observar ese extremo. O mapa de dependencias mostra quen opera e administra cada un deses extremos, que é un conxunto de nomes completamente distinto.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Puntúa cada fila en lugar de enchedala. Coñecido significa que viches un rexistro que o afirma; inferido significa que unha observación o sostén sen resolvelo; descoñecido significa que non se atopou nada. Unha marca de aloxamento compartida é unha inferencia sobre infraestrutura compartida, non unha afirmación sobre unha base de datos de clientes compartida. Non ascendan en silencio unha inferencia a feito coñecido só porque conveña á conclusión que esperabas.
Unha fila baleira é un achado en si mesmo. Diche que feito cambiaría a decisión se o aprendeses, e iso é máis útil que outro parágrafo sobre o que podería facer un adversario sofisticado.
Un número de AS só responde a unha pregunta de encamiñamento
Un sistema autónomo é un concepto de administración de encamiñamento, un conxunto de enderezos presentados a outras redes como unha visión de encamiñamento coherente. Por iso, números de AS distintos non din nada definitivo sobre propiedade corporativa, persoal separado ou control legal independente. O erro inverso é igual de común: dous extremos nun mesmo AS non son automaticamente un caso dunha parte identificando un usuario concreto.
Se queres os números, resólveos en lugar de supoñelos. O enderezo de abaixo é un marcador de posición, e o parámetro pide á ferramenta que etiquete cada salto co AS que o anuncia.
mtr --aslookup --report --report-cycles 5 203.0.113.9Trata esa saída como unha medición do encamiñamento, non da propiedade nin do camiño completo do tráfico. A rede de acceso desde a que comezas e as dependencias de tránsito entre extremos son preguntas separadas que os enderezos dos extremos non poden responder. Cando unha ruta ou unha escolla de relé non se pode observar desde onde estás, etiquétaa como descoñecida en lugar de importar unha afirmación xeral sobre como unha rede concreta selecciona camiños hoxe. Non observado non é o mesmo que inobservable, pero tampouco é unha proba.
Nomea a observación antes de nomear o risco
Tres achados mestúranse na maioría das revisións de dependencias, e separalos é a maior parte do traballo. A visibilidade pasiva do tráfico cifrado é un achado. O acceso de xestión compartido é outro, porque implica unha acción e non unha vista. A vinculación de contas é un terceiro, porque conecta identidades sen conceder ningún acceso técnico.
A guía de privacidade de RFC 6973 dá unha forma practicable para isto: enumera que aprende cada entidade e despois pregunta como se podería combinar con información que se garda noutro lugar. Dous puntos dun camiño que observan patróns de tráfico similares poden motivar unha preocupación de correlación, pero non che dan unha probabilidade medida de que alguén fose identificado. Escribe a preocupación e despois escribe a observación que a confirmaría.
Volve a unha cadea de dous servizos de túnel e un proxy alugado. Se as credenciais de xestión do proxy comparten unha conta de recuperación cun servidor de túnel, un só compromiso administrativo pode cruzar ambas as dúas fronteiras. Se a única superposición é que unha empresa de aloxamento executa ambas as dúas máquinas, a revisión debe indicar que poderes ten esa empresa e que información queda protexida. Os mesmos tres saltos, un achado distinto.
O rexistro non é un certificado de anonimato e nunca o será. O seu valor é máis estreito e máis práctico: mostra onde está establecida a independencia, onde se supón e que única fila descoñecida movería a decisión. Escolle esa fila a continuación e deixa o resto do diagrama en paz ata que teñas unha resposta.