Kor mange uavhengige avhengnader har personvernkjeda di?

Tel boksane i dei fleste personverndiagramma og du får tre eller fem hopp, kvart med logoen til eit anna føretak. Tel organisasjonane som faktisk kunne handle på desse boksane og talet fell ofte til to. Ei kjede skil tillit berre så langt som avhengnadene er uavhengige, og eit hopptal måler ingenting av dette. Nettopp dette gapet er heile spørsmålet som er verdt å stille.

To kart hjelper. Eitt sporar kvar pakkane går; det andre registrerer kven som driv, betaler for, administrerer og kan tvingast til å handle på kvart element. Det andre kartet er lite glamorøst, ofte ufullstendig og langt meir sannsynleg at det endrar ei avgjerd.

Teikn trafikkvegen, deretter kontrollvegen

Ein leigd proxy framfor to tunneltenester ser ut som tre partar. Skriv ned vertsleverandør, konto i kontrollpanelet, faktureringsidentitet og adressa ei juridisk førespurnad ville bli forkynt på, og dei tre kan reduserast til éin skyleigar med éin gjenopprettingspostkasse. Ingenting ved trafikkvegen endra seg; skildringa av uavhengigheit gjorde det.

Merk kvar rad som kjend, utleidd eller ukjend, og noter kva merket kviler på. Eit merkenamn fastslår kven som selde deg tenesta. Det fastslår ikkje kven som eig maskina, og slett ikkje om kunderegistre ligg i same database som registra til ei anna teneste.

Disiplinen tyder meir enn reknearket. Når «ukjend» er ein tillaten verdi, sluttar diagrammet å smiske for seg sjølv og byrjar å vise kva manglande faktum som ville snu konklusjonen.

Kva eit hopptal ikkje kan sjå

Hopp skildrar innkapsling og videresending. Dei seier ingenting om delt administrasjon, delt oppstraums transitt, delte betalingsinstrument eller delte gjenopprettingskanalar, og nettopp desse fire stadene er der to nominelt ulike tenester stille blir éin.

Ta eit design der første og siste hopp høyrer til ulike føretak, men begge står bak same transittleverandør. Frå posisjonen til den leverandøren reiser ein god del metadata om begge endar gjennom same infrastruktur. Det er ikkje prov for identifisering; det er ein avhengnad eit hopptal-samandrag heilt utelèt.

Den motsette feilen er like vanleg. Å tru at separat eigarskap garanterer åtskiljing ignorerer at operatørar blir kompromitterte, tvinga eller rett og slett uaktsame på dei same måtane. Uavhengigheit blir fastslått punkt for punkt, ikkje tildelt av ein logo.

Eit autonomt system er ei rutegrense

Eit AS-nummer identifiserer eit domene som presenterer eit samanhengande rutingbilete for peera sine. Den utsegna handlar om rutingpolitikk, ikkje om selskapseigarskap, bemanning, jurisdiksjon eller åtskiljing av påloggingsdata. To tenester bak ulike AS-nummer kan dele éin eigar, og éi teneste spreidd over fleire AS-nummer er framleis éin operatør.

Å lese AS-nummer frå eit looking glass er ein rimeleg første gjennomgang for transittrada på kartet ditt. Det er ikkje ei måling av vegen trafikken din tok ein bestemt kveld, og bør ikkje skildrast som det. Der vegen er ukjend, skriv ukjend.

Fire rader å fylle ut for kvart hopp

Gå gjennom kvart endepunkt med dei same fire spørsmåla i same rekkjefølgje, slik at hol blir verande synlege i staden for å bli jamna ut av ei sjølvsikker samanfattande setning.

• Kven kan lese innhaldet? Namngi parten som avsluttar vernelaget, og kva klartekst eller nøklar den held.
• Kven kan drive boksen? Skil infrastruktureigaren frå den som har konsolltilgang, og sjekk om den tilgangen blir delt med ei anna teneste i kjeda.
• Kven sine register kan knyte henne til noko anna? Faktureringsidentitet, gjenopprettingsadresse, støttekonto og betalingsinstrument er dei vanlege bruene.
• Kven svarar på ei førespurnad om data? Identifiser den juridiske eininga og jurisdiksjonen ho sit i, og spør deretter kva data den eininga i det heile tek vare på.

Noter så kvar kvart svar kom frå: leverandørdokumentasjon, publisert policy, direkte observasjon eller ei slutning du drog fordi alternativet var ubekvemt. Ei rad som blir støtta av ei konkret oppbevaringsfråsegn, er sterkare prov enn ei rad som blir støtta av at nettstaden såg profesjonell ut.

Når ein delt avhengnad faktisk tyder noko

Personvernspørsmålet er aldri om det finst ein delt avhengnad, men kva den avhengnaden kunne knyte saman. Delt administrasjonstilgang er ei anna eksponering enn passiv synlegheit av kryptert trafikk, og kontokopling skil seg frå båe. Namngi observasjonen, privilegiet og den oppbevarte registreringa før du konkluderer noko.

Diskusjonen om observatørar og korrelasjon i RFC 6973 gir ein brukande struktur: list opp kva kvar eining lærer, og spør deretter kva kombinasjonen av denne kunnskapen ville gi. At to partar observerer liknande metadata er ein grunn til å undersøkje korrelasjon. Det er ikkje ein målt sannsyn for identifisering, og bør ikkje presenterast som det.

Når dømet med tre partar blir arbeidd gjennom, blir det delt i separate funn. Delt hosting utan delt konsolltilgang er ein konsentrasjon i forsyningskjeda. Ei delt gjenopprettingspostkasse er ei administrativ bru. Båe er reelle; berre den andre lèt éin kompromittering krysse to grenser.

Det du endar med, er ikkje eit anonymitetssertifikat. Det er ei forsvarleg fråsegn om kvar uavhengigheita vart verifisert, kvar ho vart antatt, og kva eitt faktum som ville endre meininga di. Det er betre enn nok ei pil på diagrammet.