Tre hopp, éin vert: å telje reelle personvernavhengnader
Eit hopp-tal skjuler delt hosting, éin admin-konto og same registrator. Bygg eit avhengnadsregister, vurder kvar rad og sjå kva ein delt verdi knyter saman.
Det andre hoppet kom opp etter planen, og diagrammet ditt viser framleis tre separate leverandørar. Så kjem fakturaene, og to av dei nemner det same hostingselskapet, den same registraren har alle tre domena, og kvar konto blir gjenoppretta til éi postkasse som du eig. Ingenting i tunnelkonfigurasjonen er øydelagt. Designet har berre aldri talt avhengnadene som ligg under hoppa, og eit hopp-tal skildrar vegen trafikken tek, ikkje talet på partar som kan handle på han.
Symptomet viser seg i faktureringa, ikkje i loggane
Du finn ikkje dette i ein tunnellogg, fordi tunnelen gjer nøyaktig det du konfigurerte. Bevisa bur i offentlege register og kontoinnstillingar: whois-organisasjonsnamn som samsvarer på tvers av endepunkt, identiske namneservarar, ei delt registrantadresse, éin betalingsmåte, eitt kontrollpanel. Kvar av desse er eit hint om at to lag som skal feile uavhengig kan feile saman.
Ingen av desse hinta bevisar at nokon einskild part kan lese trafikken din. Det dei reduserer, er talet på uavhengige avgjerder som må gå gale før to vernelag blir kompromitterte av same hending.
Samanlikn registra du faktisk kan sjå, og skriv ned kva du samanlikna. Slå opp organisasjonen på kvar endepunktadresse, list namneservarane for kvart domene, og opne gjenopprettingsinnstillingane for kvar konto i kjeda. Der to verdiar samsvarer, noter om samsvaret gjeld eigarskap, drift eller berre fronten til ein forhandlar. Dette er ulike funn, og å handsame dei som eitt er korleis ein avhengnadsgjennomgang blir gjetting.
Teikn den logiske vegen, deretter avhengnadskartet
Det trengst to diagram, og dei fleste teiknar berre det første. Den logiske vegen viser kvar kvart vernelag endar og kva det endepunktet kan observere. Avhengnadskartet viser kven som driv og administrerer kvart av desse endepunkta, som er eit heilt separat sett med namn.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Vurder kvar rad i staden for å fylle henne ut. Kjend tyder at du har sett ei registrering som seier det, utleidd tyder at éin observasjon støttar det utan å avgjere det, og ukjend tyder at ingenting vart funne. Eit delt hostingmerke er ei utleiing om delt infrastruktur, ikkje ein påstand om ein delt kundedatabase. Ikkje fremje ei utleiing stille til kjend faktum berre fordi det passar konklusjonen du venta.
Ei tom rad er eit funn i seg sjølv. Ho fortel deg kva faktum som ville endre avgjerda om du lærte det, og det er nyttigare enn nok eit avsnitt om kva ein sofistikert motstandar kan gjere.
Eit AS-nummer svarar berre på eit rutingspørsmål
Eit autonomt system er eit rutingadministrasjonsomgrep, eit sett med adresser presentert for andre nettverk som éin samanhengande rutingsvisning. Ulike AS-nummer seier derfor ingenting definitivt om selskapets eigarskap, eige personale eller uavhengig juridisk kontroll. Den motsette feilen er like vanleg: to endepunkt i eitt AS er ikkje automatisk eit tilfelle av at éin part identifiserer ein bestemd brukar.
Vil du ha tala, løys dei opp i staden for å anta dei. Adressa nedanfor er ein plasshaldar, og flagget ber verktøyet merke kvart hopp med AS-et som annonserer det.
mtr --aslookup --report --report-cycles 5 203.0.113.9Handsam den utdataen som ei måling av ruting, ikkje av eigarskap eller av heile trafikkvegen. Aksessnettverket du startar frå, og transittavhengnadene mellom endepunkt, er separate spørsmål som endepunktadressene ikkje kan svare på. Når ein rute eller eit reléval ikkje kan observerast der du sit, merk det ukjend i staden for å importere ein generell påstand om korleis eit bestemt nettverk vel vegar i dag. Uobservert er ikkje det same som uobserverbart, men det er heller ikkje bevis.
Namngi observasjonen før du namngir risikoen
Tre funn blandar seg saman i dei fleste avhengnadsgjennomgangar, og å skilje dei er det meste av arbeidet. Passiv synlegheit av kryptert trafikk er eitt funn. Delt administrativ tilgang er eit anna, fordi det inneber ei handling snarare enn ei vising. Kontokopling er eit tredje, fordi det knyter identitetar utan å gi nokon teknisk tilgang.
Personvernrettleiinga i RFC 6973 gir ei brukbar form for dette: list kva kvar eining lærer, og spør deretter korleis det kan kombinerast med informasjon som blir oppbevart andre stader. To punkt på ein veg som observerer liknande trafikkmønster kan motivere ei korrelasjonsuro, men dei gir deg ikkje ein målt sannsyn for at nokon er identifisert. Skriv uroa, og skriv deretter observasjonen som ville stadfeste henne.
Gå tilbake til ei kjede av to tunneltenester og ein leigd proxy. Viss proxyens administrasjonspåloggingsinformasjon deler ein gjenopprettingskonto med éin tunnelserver, kan éin administrativ kompromittering krysse båe grensene. Viss den einaste overlappinga er at eit hostingselskap driv båe maskinene, må gjennomgangen seie kva fullmakter selskapet har og kva informasjon som blir verande verna. Dei same tre hoppa, eit anna funn.
Registeret er ikkje eit sertifikat for anonymitet og blir det aldri. Verdien er trongare og meir praktisk: det viser kvar uavhengigheit er etablert, kvar ho blir anteken, og kva einskild ukjend rad som ville flytte avgjerda. Vel den rada neste gong, og lat resten av diagrammet vere i fred til du har eit svar på henne.