Quante dipendenze indipendenti ha la tua catena di privacy?

Conta le caselle nella maggior parte dei diagrammi sulla privacy e ottieni tre o cinque salti, ciascuno con il logo di un'azienda diversa. Conta le organizzazioni che potrebbero davvero agire su quelle caselle e il numero spesso si riduce a due. Una catena separa la fiducia solo nella misura in cui le sue dipendenze sono indipendenti, e un conteggio dei salti non ne misura nulla. Quel divario è tutta la domanda che vale la pena porsi.

Due mappe aiutano. Una traccia dove vanno i pacchetti; l'altra registra chi gestisce, paga, amministra e può essere costretto ad agire su ogni elemento. La seconda mappa non è appariscente, di solito è incompleta ed è molto più probabile che cambi una decisione.

Disegna il percorso del traffico, poi il percorso del controllo

Un proxy affittato davanti a due servizi tunnel sembra tre parti. Annota il provider di hosting, l'account del pannello di controllo, l'identità di fatturazione e l'indirizzo a cui sarebbe notificata una richiesta legale, e le tre possono ridursi a un solo tenant cloud con una sola casella di recupero. Nulla del percorso del traffico è cambiato; la descrizione dell'indipendenza sì.

Etichetta ogni riga come nota, dedotta o sconosciuta, e annota su cosa si basa l'etichetta. Un nome di marca stabilisce chi ti ha venduto il servizio. Non stabilisce chi possiede la macchina, e tanto meno se i dati dei clienti stanno nello stesso database dei dati di un altro servizio.

La disciplina conta più del foglio di calcolo. Una volta che «sconosciuto» è un valore ammesso, il diagramma smette di lusingarsi e inizia a mostrare quale fatto mancante ribalterebbe la conclusione.

Ciò che un conteggio dei salti non può vedere

I salti descrivono incapsulamento e inoltro. Non dicono nulla sull'amministrazione condivisa, sul transito a monte condiviso, sugli strumenti di pagamento condivisi o sui canali di recupero condivisi, e proprio questi quattro luoghi sono quelli in cui due servizi nominalmente diversi diventano silenziosamente uno.

Prendi un progetto il cui primo e ultimo salto appartengono a società diverse ma entrambi stanno dietro lo stesso provider di transito. Dal punto di vista di quel provider, buona parte dei metadati su entrambe le estremità viaggia sulla stessa infrastruttura. Non è una prova di identificazione; è una dipendenza che un riepilogo del numero di salti omette del tutto.

L'errore opposto è altrettanto comune. Presumere che la proprietà separata garantisca la separazione ignora che gli operatori vengono violati, costretti o semplicemente negligenti negli stessi modi. L'indipendenza si stabilisce elemento per elemento, non è conferita da un logo.

Un sistema autonomo è un confine di routing

Un numero AS identifica un dominio che presenta ai suoi peer una visione di routing coerente. Questa affermazione riguarda la politica di routing, non la proprietà aziendale, il personale, la giurisdizione o la separazione delle credenziali. Due servizi dietro numeri AS diversi possono condividere un proprietario, e un servizio distribuito su più numeri AS resta un solo operatore.

Leggere i numeri AS da un looking glass è un primo passaggio ragionevole per la riga del transito sulla tua mappa. Non è una misurazione del percorso che il tuo traffico ha preso in una certa sera, e non va descritto come tale. Dove il percorso è sconosciuto, scrivi sconosciuto.

Quattro righe da compilare per ogni salto

Percorri ogni estremità con le stesse quattro domande nello stesso ordine, così che le lacune restino visibili invece di essere appianate da una frase di riepilogo sicura di sé.

• Chi può leggere i contenuti? Nomina la parte che termina il livello di protezione e quale testo in chiaro o chiavi detiene.
• Chi può gestire la macchina? Distingui il proprietario dell'infrastruttura da chi detiene l'accesso alla console, e verifica se quell'accesso è condiviso con un altro servizio della catena.
• I registri di chi potrebbero collegarla a qualcos'altro? Identità di fatturazione, indirizzo di recupero, account di supporto e strumento di pagamento sono i ponti abituali.
• Chi risponde a una richiesta di dati? Identifica l'entità legale e la giurisdizione in cui ha sede, poi chiedi quali dati quell'entità conserva davvero.

Poi annota da dove viene ogni risposta: documentazione del fornitore, politica pubblicata, osservazione diretta o un'inferenza che hai fatto perché l'alternativa era scomoda. Una riga sostenuta da una dichiarazione di conservazione specifica è una prova più forte di una riga sostenuta dal fatto che il sito web sembrava professionale.

Quando una dipendenza condivisa conta davvero

La domanda sulla privacy non è mai se esista una dipendenza condivisa, ma che cosa quella dipendenza potrebbe collegare. L'accesso di gestione condiviso è un'esposizione diversa dalla visibilità passiva del traffico cifrato, e il collegamento degli account differisce da entrambi. Nomina l'osservazione, il privilegio e il registro conservato prima di concludere qualsiasi cosa.

La discussione su osservatori e correlazione in RFC 6973 offre una struttura utilizzabile: elenca ciò che ogni entità apprende, poi chiedi che cosa darebbe combinare quegli apprendimenti. Due parti che osservano metadati simili sono un motivo per esaminare la correlazione. Non è una probabilità misurata di identificazione e non va presentata come tale.

Una volta sviluppato, l'esempio a tre parti si divide in constatazioni separate. L'hosting condiviso senza accesso console condiviso è una concentrazione nella catena di fornitura. Una casella di recupero condivisa è un ponte amministrativo. Entrambe sono reali; solo la seconda consente a una compromissione di attraversare due confini.

Ciò con cui si finisce non è un certificato di anonimato. È un'affermazione difendibile su dove l'indipendenza è stata verificata, dove è stata presunta e quale singolo fatto ti farebbe cambiare idea. È meglio di un'altra freccia sul diagramma.