あなたのプライバシーチェーンには独立した依存がいくつあるか

多くのプライバシー図の箱を数えると、三つか五つのホップがあり、それぞれに別の会社のロゴが付いている。 その箱に対して実際に行動できる組織を数えてみる と、数はたいてい二つに縮む。チェーンが信頼を分離できるのは、その依存が独立している範囲だけであり、ホップ数はそのどれも測っていない。その隙間こそが、問う価値のある問いのすべてだ。

二つの地図が役に立つ。一つはパケットがどこへ行くかを追い、もう一つは各要素を誰が運用し、支払い、管理し、行動を強制され得るかを記録する。二つ目の地図は地味で、たいてい不完全で、意思決定を変える可能性がはるかに高い。

通信経路を描き、次に制御経路を描く

二つのトンネルサービスの手前に借りたプロキシを置くと、三者に見える。ホスティング事業者、コントロールパネルのアカウント、請求上の身元、法的要請が送られる住所を書き出してみると、その三つは一つのクラウドテナントと一つの回復用メールボックスに集約され得る。通信経路は何も変わっていない。変わったのは独立性の説明だ。

各行を既知・推定・不明のいずれかに分類し、その分類が何に依拠しているかを記す。ブランド名は誰がサービスを売ったかを示す。マシンの所有者を示すものではなく、顧客記録が別サービスの記録と同じデータベースにあるかどうかはなおさら示さない。

表計算より規律のほうが大事だ。「不明」が許される値になったとたん、図は自己満足をやめ、どの欠けた事実が結論を覆すのかを示し始める。

ホップ数が見えないもの

ホップが表すのはカプセル化と転送だ。共有された管理、共有された上流トランジット、共有された支払い手段、共有された回復経路については何も語らない。名目上別の二つのサービスが静かに一つになるのは、まさにこの四つの場所である。

最初と最後のホップが別会社に属しながら、どちらも同じトランジット事業者の背後にある設計を考えてみる。その事業者の立場からすれば、両端に関するメタデータの多くが同じ基盤を通る。これは識別の証明ではなく、ホップ数の要約が完全に落としてしまう依存である。

逆の誤りも同じくらい一般的だ。別々の所有が分離を保証すると仮定すると、事業者が同じように侵害され、強制され、あるいは単に不注意になり得ることを無視してしまう。独立性は項目ごとに確かめるもので、ロゴが与えるものではない。

自律システムはルーティングの境界である

AS番号は、ピアに対して一貫したルーティングの見え方を提示するドメインを識別する。この記述はルーティングポリシーについてであり、企業の所有、人員、管轄、資格情報の分離についてではない。異なるAS番号の背後の二つのサービスが同一の所有者を共有することはあり、複数のAS番号にまたがる一つのサービスも依然として一人の事業者である。

ルッキンググラスからAS番号を読むのは、地図のトランジット行にとって妥当な最初の一歩だ。ある夜に自分の通信がたどった経路の測定ではなく、そう書くべきでもない。経路が不明なところでは、不明と書く。

各ホップについて埋める四つの行

各端点を同じ四つの問いで同じ順にたどり、隙間を見えるままにしておく。自信ありげな要約文で平均化してはいけない。

• 誰が内容を読めるのか 保護層を終端する当事者と、それが保持する平文や鍵を挙げる。
• 誰が箱を操作できるのか 基盤の所有者とコンソールアクセスを持つ者を区別し、そのアクセスがチェーン内の別サービスと共有されているかを確認する。
• 誰の記録がそれを別の何かと結びつけ得るか 請求上の身元、回復用アドレス、サポートアカウント、支払い手段が通常の橋である。
• 誰がデータ要請に答えるのか 法人とその所在する管轄を特定し、その法人がそもそもどのデータを保持しているかを問う。

次に、各答えがどこから来たかを記録する。ベンダーの文書、公開されたポリシー、直接の観察、あるいは代替が不便だったために下した推論である。具体的な保持の声明に支えられた行は、ウェブサイトが専門的に見えたという事実に支えられた行より強い証拠になる。

共有された依存が実際に意味を持つとき

プライバシーの問いは、共有された依存が存在するかどうかではなく、その依存が何を結びつけ得るかである。共有された管理アクセスは、暗号化された通信の受動的な可視性とは別の露出であり、アカウントの結びつきはそのどちらとも異なる。結論を出す前に、観察・権限・保持される記録を名指しせよ。

観察者と相関についての議論は RFC 6973 に実行可能な構造を与える。各主体が何を学ぶかを列挙し、それらの学びを組み合わせたら何が得られるかを問う。二つの当事者が似たメタデータを観察していることは、相関を調べる理由になる。それは測定された識別確率ではなく、そう提示してはならない。

実際に進めると、三者の例は別々の所見に分かれる。コンソールアクセスを共有しない共同ホスティングは、サプライチェーン上の集中である。共有された回復用メールボックスは管理上の橋である。どちらも現実だ。二つの境界を越えさせるのは二つ目だけである。

最後に手元に残るのは匿名性の証明書ではない。独立性がどこで検証され、どこで仮定され、どの一つの事実があなたの判断を変えるのかを述べた、弁護可能な記述である。それは図にもう一本矢印を足すより良い。