당신의 프라이버시 체인에는 독립적인 의존성이 몇 개인가?

대부분의 프라이버시 도표에서 상자를 세면 세 개나 다섯 개의 홉이 나오고, 각각 다른 회사의 로고가 붙어 있다. 그 상자들에 실제로 작용할 수 있는 조직을 세어 보라 그러면 그 수는 흔히 둘로 줄어든다. 체인은 의존성이 독립적인 만큼만 신뢰를 분리하며, 홉 수는 그중 어느 것도 측정하지 않는다. 바로 그 간극이 물어볼 가치가 있는 질문의 전부다.

두 장의 지도가 도움이 된다. 하나는 패킷이 어디로 가는지 추적하고, 다른 하나는 각 요소를 누가 운영하고 비용을 대고 관리하며 누가 행동하도록 강제될 수 있는지 기록한다. 두 번째 지도는 화려하지 않고 대개 불완전하며, 결정을 바꿀 가능성이 훨씬 크다.

트래픽 경로를 그리고, 그다음 통제 경로를 그려라

두 터널 서비스 앞의 임대 프록시는 세 당사자처럼 보인다. 호스팅 제공자, 제어판 계정, 청구 신원, 그리고 법적 요청이 송달될 주소를 적어 보면, 그 셋은 하나의 클라우드 테넌트와 하나의 복구용 사서함으로 줄어들 수 있다. 트래픽 경로에서는 아무것도 바뀌지 않았다. 바뀐 것은 독립성에 대한 설명이다.

각 행을 알려진 것, 추론된 것, 알 수 없는 것으로 표시하고 그 표시가 무엇에 근거하는지 적어라. 브랜드 이름은 누가 서비스를 팔았는지 확립한다. 기계의 소유자가 누구인지는 확립하지 않으며, 고객 기록이 다른 서비스의 기록과 같은 데이터베이스에 있는지는 더더욱 확립하지 않는다.

스프레드시트보다 규율이 중요하다. «알 수 없음»이 허용되는 값이 되는 순간, 도표는 자기 찬양을 멈추고 어떤 빠진 사실이 결론을 뒤집을지 보여 주기 시작한다.

홉 수가 볼 수 없는 것

홉은 캡슐화와 전달을 설명한다. 공유된 관리, 공유된 상위 트랜짓, 공유된 결제 수단, 공유된 복구 채널에 관해서는 아무것도 말하지 않으며, 이름만 다를 뿐인 두 서비스가 조용히 하나가 되는 곳이 바로 그 네 지점이다.

첫 홉과 마지막 홉이 서로 다른 회사에 속하지만 둘 다 같은 트랜짓 제공자 뒤에 있는 설계를 보라. 그 제공자의 위치에서 보면 양 끝에 관한 메타데이터의 상당 부분이 같은 기반 시설을 지난다. 그것은 식별의 증거가 아니라, 홉 수 요약이 완전히 빠뜨리는 의존성이다.

반대의 오류도 그만큼 흔하다. 별도 소유가 분리를 보장한다고 가정하는 것은 운영자가 같은 방식으로 침해당하고, 강제되고, 혹은 단지 부주의해진다는 사실을 무시한다. 독립성은 항목별로 확립되는 것이지 로고가 부여하는 것이 아니다.

자율 시스템은 라우팅 경계다

AS 번호는 피어에게 일관된 라우팅 관점을 제시하는 도메인을 식별한다. 그 진술은 라우팅 정책에 관한 것이지 기업 소유, 인력, 관할, 자격 증명의 분리에 관한 것이 아니다. 서로 다른 AS 번호 뒤의 두 서비스가 한 소유자를 공유할 수 있고, 여러 AS 번호에 걸친 한 서비스도 여전히 한 운영자다.

룩킹 글래스에서 AS 번호를 읽는 것은 지도의 트랜짓 행에 대한 합리적인 첫 단계다. 특정 저녁에 트래픽이 지난 경로의 측정이 아니며, 그렇게 적어서도 안 된다. 경로를 모르는 곳에서는 알 수 없음이라고 쓰라.

각 홉마다 채워야 할 네 개의 행

각 끝점을 같은 네 가지 질문으로 같은 순서로 훑어라. 그래야 빈틈이 드러나 보이고, 자신감 있는 요약 문장에 의해 평균으로 뭉개지지 않는다.

• 누가 내용을 읽을 수 있는가? 보호 계층을 끝내는 당사자와 그것이 가진 평문이나 키를 밝혀라.
• 누가 상자를 운영할 수 있는가? 기반 시설 소유자와 콘솔 접근 권한을 가진 사람을 구분하고, 그 접근이 체인 내 다른 서비스와 공유되는지 확인하라.
• 누구의 기록이 그것을 다른 무엇과 연결할 수 있는가? 청구 신원, 복구 주소, 지원 계정, 결제 수단이 흔한 다리다.
• 누가 데이터 요청에 응답하는가? 법인과 그 법인이 속한 관할을 확인하고, 그 법인이 애초에 어떤 데이터를 보유하는지 물어라.

그다음 각 답이 어디서 왔는지 기록하라: 공급자 문서, 공개된 정책, 직접 관찰, 또는 대안이 불편해서 내린 추론. 구체적인 보존 진술에 뒷받침된 행은 웹사이트가 전문적으로 보였다는 사실에 뒷받침된 행보다 강한 증거다.

공유된 의존성이 실제로 중요할 때

프라이버시 질문은 공유된 의존성이 존재하는지가 아니라, 그 의존성이 무엇을 연결할 수 있는지다. 공유된 관리 접근은 암호화된 트래픽의 수동적 가시성과 다른 노출이며, 계정 연결은 둘 모두와 다르다. 무엇이든 결론짓기 전에 관찰, 권한, 보유 기록을 지목하라.

관찰자와 상관관계에 관한 논의는 RFC 6973 에서 실행 가능한 구조를 준다. 각 주체가 무엇을 배우는지 열거하고, 그 배움을 결합하면 무엇이 나올지 물어라. 두 당사자가 비슷한 메타데이터를 관찰한다는 것은 상관관계를 조사할 이유다. 그것은 측정된 식별 확률이 아니며 그렇게 제시해서도 안 된다.

실제로 해 보면 세 당사자 예시는 별개의 발견으로 갈라진다. 콘솔 접근을 공유하지 않는 공동 호스팅은 공급망의 집중이다. 공유된 복구 사서함은 관리적 다리다. 둘 다 실제다. 두 경계를 넘게 하는 것은 두 번째뿐이다.

끝에 남는 것은 익명성 증명서가 아니다. 독립성이 어디서 검증되었고 어디서 가정되었으며 어떤 단 하나의 사실이 당신의 판단을 바꿀지를 밝힌, 방어 가능한 진술이다. 그것은 도표에 화살표를 하나 더 그리는 것보다 낫다.