Drie hops, één host: echte privacysafhankelijkheden tellen

De tweede hop kwam op tijd omhoog en je diagram toont nog steeds drie afzonderlijke providers. Dan komen de facturen en twee ervan noemen hetzelfde hostingbedrijf, dezelfde registrar houdt alle drie domeinen, en elk account herstelt naar één mailbox die jij bezit. Niets in de tunnelconfiguratie is kapot. Het ontwerp heeft simpelweg nooit de afhankelijkheden geteld die onder de hops liggen, en een hop-aantal beschrijft het pad dat verkeer neemt, niet het aantal partijen dat erop kan handelen.

Het symptoom verschijnt in de facturering, niet in de logs

Je zult dit niet in een tunnellog vinden, omdat de tunnel precies doet wat je hebt geconfigureerd. Het bewijs leeft in openbare registers en accountinstellingen: whois-organisatienamen die over eindpunten heen overeenkomen, identieke nameservers, een gedeeld registrantadres, één betaalmethode, één controlepaneel. Elk daarvan is een hint dat twee lagen die onafhankelijk zouden moeten falen samen kunnen falen.

Geen van deze hints bewijst dat één enkele partij je verkeer kan lezen. Wat ze verminderen is het aantal onafhankelijke beslissingen dat fout moet gaan voordat twee beschermingslagen door dezelfde gebeurtenis worden gecompromitteerd.

Vergelijk de registers die je echt kunt zien en schrijf op wat je hebt vergeleken. Zoek de organisatie op elk eindpuntadres op, lijst de nameservers per domein en open de herstelinstellingen van elk account in de keten. Waar twee waarden overeenkomen, noteer of de overeenkomst over eigendom, over beheer of alleen over een reseller-front gaat. Dat zijn verschillende bevindingen, en ze als één behandelen is hoe een afhankelijkheidsreview giswerk wordt.

Teken het logische pad, dan de afhankelijkheidskaart

Er zijn twee diagrammen nodig, en de meeste mensen tekenen alleen de eerste. Het logische pad toont waar elke beschermingslaag eindigt en wat dat eindpunt kan waarnemen. De afhankelijkheidskaart toont wie elk van die eindpunten beheert en administreert, wat een volledig aparte set namen is.

Beoordeel elke rij in plaats van hem in te vullen. Bekend betekent dat je een registratie hebt gezien die het zegt, afgeleid betekent dat één observatie het ondersteunt zonder het te beslechten, en onbekend betekent dat er niets is gevonden. Een gedeeld hostingmerk is een afleiding over gedeelde infrastructuur, geen uitspraak over een gedeelde klantendatabase. Promoveer een afleiding niet stilzwijgend tot bekend feit alleen omdat het uitkomt voor de conclusie die je verwachtte.

Een lege rij is zelf een bevinding. Ze vertelt je welk feit de beslissing zou veranderen als je het leerde, en dat is nuttiger dan nog een alinea over wat een geraffineerde tegenstander zou kunnen doen.

Een AS-nummer beantwoordt alleen een routingvraag

Een autonoom systeem is een routingbeheerconcept, een set adressen die aan andere netwerken wordt gepresenteerd als één samenhangend routingbeeld. Verschillende AS-nummers zeggen daarom niets definitiefs over bedrijfseigendom, apart personeel of onafhankelijke juridische controle. De omgekeerde fout is even gewoon: twee eindpunten in één AS zijn niet automatisch een geval van één partij die een specifieke gebruiker identificeert.

Als je de nummers wilt, los ze dan op in plaats van ze aan te nemen. Het adres hieronder is een plaatshouder, en de flag vraagt het gereedschap elke hop te labelen met de AS die hem aankondigt.

mtr --aslookup --report --report-cycles 5 203.0.113.9

Behandel die uitvoer als een meting van routing, niet van eigendom of van het volledige verkeerspad. Het toegangsnetwerk waar je begint en de transitafhankelijkheden tussen eindpunten zijn aparte vragen die de eindpuntadressen niet kunnen beantwoorden. Wanneer een route of een relaykeuze niet waarneembaar is vanaf waar je zit, label die dan onbekend in plaats van een algemene bewering te importeren over hoe een bepaald netwerk vandaag paden kiest. Onwaargenomen is niet hetzelfde als onwaarneembaar, maar het is ook geen bewijs.

Benoem de observatie voordat je het risico benoemt

Drie bevindingen raken in de meeste afhankelijkheidsreviews door elkaar, en ze scheiden is het grootste deel van het werk. Passieve zichtbaarheid van versleuteld verkeer is één bevinding. Gedeelde beheerstoegang is er nog een, omdat het een actie impliceert en geen zicht. Accountkoppeling is een derde, omdat het identiteiten verbindt zonder enige technische toegang te geven.

De privacyrichtlijnen in RFC 6973 geven hiervoor een werkbare vorm: lijst op wat elke entiteit leert, en vraag dan hoe dat gecombineerd kan worden met informatie die elders wordt bewaard. Twee punten op een pad die vergelijkbare verkeerspatronen observeren kunnen een correlatiezorg motiveren, maar ze geven je geen gemeten kans dat iemand is geïdentificeerd. Schrijf de zorg op en schrijf dan de observatie op die haar zou bevestigen.

Keer terug naar een keten van twee tunneldiensten en een gehuurde proxy. Als de beheersreferenties van de proxy een herstelaccount delen met één tunnelserver, kan één administratieve compromis beide grenzen overschrijden. Als de enige overlap is dat een hostingbedrijf beide machines draait, moet de review vermelden welke bevoegdheden dat bedrijf heeft en welke informatie beschermd blijft. Dezelfde drie hops, een andere bevinding.

Het register is geen certificaat van anonimiteit en zal dat nooit zijn. De waarde is smaller en praktischer: het laat zien waar onafhankelijkheid is vastgesteld, waar ze wordt aangenomen, en welke enkele onbekende rij de beslissing zou verschuiven. Kies die rij hierna, en laat de rest van het diagram met rust tot je er een antwoord op hebt.