Hány független függősége van az adatvédelmi láncának?

Számolja meg a négyzeteket a legtöbb adatvédelmi diagramon, és három vagy öt ugrást kap, mindegyiket más cég logójával. Számolja meg azokat a szervezeteket, amelyek valóban cselekedhetnek azokon a négyzeteken és a szám gyakran kettőre esik vissza. Egy lánc csak annyira választja szét a bizalmat, amennyire a függőségei függetlenek, az ugrásszám pedig ebből semmit nem mér. Éppen ez a hézag az a kérdés, amelyet érdemes feltenni.

Két térkép segít. Az egyik nyomon követi, hová mennek a csomagok; a másik rögzíti, ki üzemelteti, fizeti, adminisztrálja az egyes elemeket, és kit lehet cselekvésre kényszeríteni. A második térkép nem látványos, általában hiányos, és sokkal valószínűbben változtat meg egy döntést.

Rajzolja meg a forgalmi útvonalat, majd az ellenőrzési útvonalat

Egy bérelt proxy két alagútszolgáltatás előtt három félnek látszik. Írja fel a tárhelyszolgáltatót, a vezérlőpult-fiókot, a számlázási identitást és azt a címet, amelyre egy jogi kérés kézbesíthető, és a három egyetlen felhőbérlővé válhat egyetlen helyreállítási postafiókkal. A forgalmi útvonalon semmi nem változott; a függetlenség leírása igen.

Jelölje meg minden sort ismertként, következtetettként vagy ismeretlenként, és jegyezze fel, min nyugszik a jelölés. Egy márkanév megállapítja, ki adta el a szolgáltatást. Nem állapítja meg, kié a gép, és biztosan nem állapítja meg, hogy az ügyfélnyilvántartások ugyanabban az adatbázisban vannak-e, mint egy másik szolgáltatás nyilvántartásai.

A fegyelem fontosabb a táblázatnál. Amint az «ismeretlen» megengedett értékké válik, a diagram felhagy az önmagát dicsérő ábrázolással, és kimutatja, mely hiányzó tény fordítaná meg a következtetést.

Amit az ugrásszám nem láthat

Az ugrások a beágyazást és a továbbítást írják le. Semmit nem mondanak a közös adminisztrációról, a közös felső szintű tranzitről, a közös fizetési eszközökről vagy a közös helyreállítási csatornákról, és éppen ez a négy hely az, ahol két névlegesen különböző szolgáltatás csendben eggyé válik.

Vegyünk egy olyan tervet, amelynek első és utolsó ugrása különböző cégekhez tartozik, de mindkettő ugyanazon tranzitszolgáltató mögött van. Annak a szolgáltatónak a helyzetéből a két végpontról szóló metaadatok jelentős része ugyanazon az infrastruktúrán halad át. Ez nem azonosítási bizonyíték; ez olyan függőség, amelyet az ugrásszám-összefoglaló teljesen kihagy.

A fordított hiba ugyanolyan gyakori. Annak feltételezése, hogy a külön tulajdon garantálja a szétválasztást, figyelmen kívül hagyja, hogy az üzemeltetőket ugyanazokon a módokon törik fel, kényszerítik vagy éppen hanyagok. A függetlenség tételenként állapítható meg, nem logó adományozza.

Az autonóm rendszer útválasztási határ

Az AS-szám olyan tartományt azonosít, amely koherens útválasztási képet mutat a partnereinek. Ez az állítás az útválasztási politikáról szól, nem a vállalati tulajdonról, a személyzetről, a joghatóságról vagy a hitelesítő adatok szétválasztásáról. Két különböző AS-szám mögötti szolgáltatás osztozhat egy tulajdonoson, és az több AS-számon elosztott szolgáltatás továbbra is egy üzemeltető.

Az AS-számok leolvasása egy looking glassból ésszerű első lépés a térkép tranzitsorához. Ez nem a forgalom egy adott esti útvonalának mérése, és nem is szabad annak leírni. Ahol az útvonal ismeretlen, írjon ismeretlent.

Négy sor, amelyet minden ugrásnál ki kell tölteni

Járja végig minden végpontot ugyanazzal a négy kérdéssel, ugyanabban a sorrendben, hogy a hézagok láthatók maradjanak, ne pedig egy magabiztos összegző mondat mossa el őket.

• Ki olvashatja a tartalmat? Nevezze meg a védelmi réteget lezáró felet, és hogy milyen nyílt szöveget vagy kulcsokat tart.
• Ki üzemeltetheti a gépet? Különböztesse meg az infrastruktúra tulajdonosát attól, akinél a konzolhozzáférés van, és ellenőrizze, hogy ez a hozzáférés megosztott-e a lánc egy másik szolgáltatásával.
• Kinek a nyilvántartásai kapcsolhatják valami máshoz? A számlázási identitás, a helyreállítási cím, a támogatási fiók és a fizetési eszköz a szokásos hidak.
• Ki válaszol egy adatkérésre? Azonosítsa a jogi személyt és a joghatóságot, ahol székel, majd kérdezze meg, milyen adatokat tart egyáltalán ez a személy.

Ezután jegyezze fel, honnan származik az egyes válaszok: szállítói dokumentáció, közzétett szabályzat, közvetlen megfigyelés, vagy olyan következtetés, amelyet azért vont le, mert az alternatíva kényelmetlen volt. Egy konkrét adatmegőrzési nyilatkozattal alátámasztott sor erősebb bizonyíték, mint egy olyan sor, amelyet az támaszt alá, hogy a webhely professzionálisnak tűnt.

Mikor számít igazán egy megosztott függőség

Az adatvédelmi kérdés soha nem az, hogy létezik-e megosztott függőség, hanem az, hogy mit kapcsolhat össze az a függőség. A megosztott rendszergazdai hozzáférés más kitettség, mint a titkosított forgalom passzív láthatósága, és a fiókösszekapcsolás mindkettőtől különbözik. Nevezze meg a megfigyelést, a jogosultságot és a megőrzött nyilvántartást, mielőtt bármit megállapít.

A megfigyelőkről és a korrelációról szóló vita a RFC 6973 használható szerkezetet ad: sorolja fel, mit tanul minden entitás, majd kérdezze meg, mit adna e tanulságok kombinálása. Az, hogy két fél hasonló metaadatokat figyel meg, ok a korreláció vizsgálatára. Ez nem az azonosítás mért valószínűsége, és nem is szabad annak bemutatni.

Végigondolva a háromfeles példa különálló megállapításokra bomlik. A megosztott konzolhozzáférés nélküli közös tárhely ellátási láncbeli koncentráció. Egy megosztott helyreállítási postafiók rendszergazdai híd. Mindkettő valós; csak a második engedi, hogy egy kompromittálódás két határt átlépjen.

Ami a végére marad, nem anonimitási tanúsítvány. Ez egy védhető állítás arról, hol igazolták a függetlenséget, hol feltételezték, és melyik egyetlen tény változtatná meg a véleményét. Ez jobb, mint még egy nyíl a diagramon.