三つのホップ、一つのホスト：本当のプライバシー依存関係を数える
ホップ数は共有ホスティング、一つの管理者アカウント、同じレジストラを隠します。依存関係台帳を作り、各行を評価し、共有値が何をつなぐのかを見てください。
二番目のホップは予定どおりに立ち上がり、図にはまだ三つの別々のプロバイダーが描かれています。その後、請求書が届き、そのうち二社が同じホスティング会社を名指しし、同じレジストラが三つのドメインすべてを保持し、どのアカウントもあなたが所有する一つのメールボックスに復旧します。トンネルの設定には何も壊れていません。設計がホップの下にある依存関係を一度も数えなかっただけで、ホップ数はトラフィックが通る経路を表すのであって、それに対して行動できる当事者の数ではありません。
症状はログではなく請求に現れる
トンネルは設定したとおりに動いているので、トンネルのログにはこれを見つけられません。証拠は公開記録とアカウント設定にあります：エンドポイント間で一致する whois の組織名、同一のネームサーバー、共有された登録者住所、一つの支払い方法、一つの管理パネルです。どれも、独立して失敗するはずの二つの層が一緒に失敗しうるという手がかりです。
こうした手がかりは、どれも単独の当事者があなたのトラフィックを読めることを証明しません。減らすのは、二つの保護層が同じ出来事で損なわれるまでに誤るべき独立した判断の数です。
実際に見られる記録を比較し、何を比べたかを書き留めます。各エンドポイントの住所で組織を調べ、各ドメインのネームサーバーを列挙し、連鎖内の全アカウントの復旧設定を開きます。二つの値が一致したら、その一致が所有権についてか、運用についてか、それともリセラーのフロントだけについてかを記します。これらは別の所見であり、一つとして扱うことが依存関係レビューを推測に変える道です。
論理経路を描き、次に依存関係マップを描く
必要な図は二つですが、ほとんどの人は一つ目だけを描きます。論理経路は各保護層がどこで終わり、そのエンドポイントが何を観察できるかを示します。依存関係マップは、それら各エンドポイントを誰が運営し管理しているかを示し、これはまったく別の名前の集合です。
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
各行を埋めるのではなく評価します。既知とはそれを述べる記録を見たという意味、推定とは一つの観察がそれを支えるが決着はしていないという意味、不明とは何も見つからなかったという意味です。共有ホスティングのブランドは共有インフラについての推定であり、共有顧客データベースについての言明ではありません。期待した結論に都合がよいというだけで、推定を黙って既知の事実に昇格させないでください。
空の行はそれ自体が所見です。どの事実を学べば判断が変わるかを教えてくれ、それは洗練された敵が何をしうるかについてのもう一段落より役に立ちます。
AS 番号はルーティングの問いにしか答えない
自律システムはルーティング管理の概念であり、他のネットワークに一つの整合したルーティング像として提示される住所の集合です。したがって異なる AS 番号は、企業の所有権、別個のスタッフ、独立した法的支配について決定的なことを何も言いません。逆の誤りも同じくらい一般的です：一つの AS にある二つのエンドポイントは、自動的に一方の当事者が特定の利用者を識別する事例ではありません。
数値が欲しいなら、仮定せずに解決してください。下の住所はプレースホルダーで、このフラグは各ホップを告知する AS でラベル付けするようツールに求めます。
mtr --aslookup --report --report-cycles 5 203.0.113.9その出力はルーティングの測定として扱い、所有権や完全なトラフィック経路の測定としては扱いません。出発点となるアクセスネットワークと、エンドポイント間のトランジット依存関係は別の問いであり、エンドポイントの住所では答えられません。経路やリレーの選択が自分の場所から観察できないときは、特定のネットワークが今日どう経路を選ぶかという一般的主張を持ち込まず、不明と記してください。観察されていないことは観察不能と同じではありませんが、証拠でもありません。
リスクに名前を付ける前に観察に名前を付ける
ほとんどの依存関係レビューでは三つの所見が混ざり、それらを分けることが仕事の大半です。暗号化トラフィックの受動的な可視性は一つの所見です。共有された管理アクセスはもう一つで、見ることではなく行為を意味します。アカウントの紐付けは三つ目で、技術的なアクセスを一切与えずに身元をつなぎます。
実用的な形を与えるのはRFC 6973のプライバシー指針です：各主体が何を学ぶかを列挙し、次にそれが他所に保持された情報とどう組み合わされうるかを問います。経路上の二点が類似したトラフィックパターンを観察することは相関の懸念を促せますが、誰かが識別されたという測定された確率を与えるものではありません。懸念を書き、次にそれを確かめる観察を書いてください。
二つのトンネルサービスと一つのレンタルプロキシの連鎖に戻ります。プロキシの管理資格情報が一つのトンネルサーバーと復旧アカウントを共有していれば、単一の管理上の侵害が両方の境界を越えられます。唯一の重なりが、あるホスティング会社が両方の機械を運営していることなら、レビューはその会社が持つ権限と保護されたままの情報を述べなければなりません。同じ三つのホップ、異なる所見です。
台帳は匿名性の証明書ではなく、今後もそうなることはありません。その価値はもっと狭く実用的です：独立性がどこで確立され、どこで前提にされ、どの一つの不明な行が判断を動かすのかを示します。次はその行を選び、答えが出るまで図の残りはそのままにしてください。