Hvor mange uavhengige avhengigheter har personvernkjeden din?

Tell boksene i de fleste personverndiagrammer, og du får tre eller fem hopp, hvert med en annen bedrifts logo. Tell organisasjonene som faktisk kunne handle på disse boksene og tallet faller ofte til to. En kjede skiller tillit bare så langt som avhengighetene er uavhengige, og et hoppantall måler ingenting av dette. Nettopp dette gapet er hele spørsmålet som er verdt å stille.

To kart hjelper. Ett sporer hvor pakkene går; det andre registrerer hvem som driver, betaler for, administrerer og kan tvinges til å handle på hvert element. Det andre kartet er lite glamorøst, ofte ufullstendig og langt mer sannsynlig at det endrer en beslutning.

Tegn trafikkveien, deretter kontrollveien

En leid proxy foran to tunneltjenester ser ut som tre parter. Skriv ned vertsleverandør, konto i kontrollpanelet, faktureringsidentitet og adressen en juridisk anmodning ville blitt forkynt på, og de tre kan reduseres til én skyleietaker med én gjenopprettingspostkasse. Ingenting ved trafikkveien endret seg; beskrivelsen av uavhengighet gjorde det.

Merk hver rad som kjent, utledet eller ukjent, og noter hva merket hviler på. Et merkenavn fastslår hvem som solgte deg tjenesten. Det fastslår ikke hvem som eier maskinen, og slett ikke om kunderegistre ligger i samme database som en annen tjenestes registre.

Disiplinen betyr mer enn regnearket. Når «ukjent» er en tillatt verdi, slutter diagrammet å smigre seg selv og begynner å vise hvilket manglende faktum som ville snu konklusjonen.

Hva et hoppantall ikke kan se

Hopp beskriver innkapsling og videresending. De sier ingenting om delt administrasjon, delt oppstrøms transit, delte betalingsinstrumenter eller delte gjenopprettingskanaler, og nettopp disse fire stedene er der to nominelt forskjellige tjenester stille blir én.

Ta et design der første og siste hopp tilhører forskjellige selskaper, men begge står bak samme transittleverandør. Fra den leverandørens posisjon reiser en god del metadata om begge ender gjennom samme infrastruktur. Det er ikke bevis for identifisering; det er en avhengighet et hoppantall-sammendrag helt utelater.

Den motsatte feilen er like vanlig. Å anta at separat eierskap garanterer adskillelse ignorerer at operatører blir kompromittert, tvunget eller rett og slett uaktsomme på de samme måtene. Uavhengighet fastslås punkt for punkt, ikke tildelt av en logo.

Et autonomt system er en rutingsgrense

Et AS-nummer identifiserer et domene som presenterer et sammenhengende rutingbilde for sine peers. Den uttalelsen handler om rutingpolitikk, ikke om selskapseierskap, bemanning, jurisdiksjon eller adskillelse av påloggingsdata. To tjenester bak forskjellige AS-numre kan dele én eier, og én tjeneste spredt over flere AS-numre er fortsatt én operatør.

Å lese AS-numre fra et looking glass er en rimelig første gjennomgang for transitraden på kartet ditt. Det er ikke en måling av veien trafikken din tok en bestemt kveld, og bør ikke beskrives som det. Der veien er ukjent, skriv ukjent.

Fire rader å fylle ut for hvert hopp

Gå gjennom hvert endepunkt med de samme fire spørsmålene i samme rekkefølge, slik at hull forblir synlige i stedet for å bli utjevnet av en selvsikker oppsummerende setning.

• Hvem kan lese innholdet? Navngi parten som avslutter beskyttelseslaget, og hvilken klartekst eller nøkler den holder.
• Hvem kan drifte boksen? Skille infrastruktureieren fra den som har konsoltilgang, og sjekk om den tilgangen deles med en annen tjeneste i kjeden.
• Hvem sine registre kan knytte den til noe annet? Faktureringsidentitet, gjenopprettingsadresse, støttekonto og betalingsinstrument er de vanlige broene.
• Hvem besvarer en forespørsel om data? Identifiser den juridiske enheten og jurisdiksjonen den sitter i, og spør deretter hvilke data den enheten i det hele tatt oppbevarer.

Noter så hvor hvert svar kom fra: leverandørdokumentasjon, publisert policy, direkte observasjon eller en slutning du trakk fordi alternativet var ubekvemt. En rad som støttes av en konkret oppbevaringserklæring, er sterkere bevis enn en rad som støttes av at nettstedet så profesjonelt ut.

Når en delt avhengighet faktisk betyr noe

Personvernspørsmålet er aldri om det finnes en delt avhengighet, men hva den avhengigheten kunne knytte sammen. Delt administrasjonstilgang er en annen eksponering enn passiv synlighet av kryptert trafikk, og kontokobling skiller seg fra begge. Navngi observasjonen, privilegiet og den oppbevarte registreringen før du konkluderer noe.

Diskusjonen om observatører og korrelasjon i RFC 6973 gir en brukbar struktur: list opp hva hver enhet lærer, og spør deretter hva kombinasjonen av denne kunnskapen ville gi. At to parter observerer lignende metadata er en grunn til å undersøke korrelasjon. Det er ikke en målt sannsynlighet for identifisering, og bør ikke presenteres som det.

Når eksempelet med tre parter arbeides gjennom, deles det i separate funn. Delt hosting uten delt konsoltilgang er en konsentrasjon i forsyningskjeden. En delt gjenopprettingspostkasse er en administrativ bro. Begge er reelle; bare den andre lar én kompromittering krysse to grenser.

Det du ender med, er ikke et anonymitetssertifikat. Det er en forsvarlig erklæring om hvor uavhengigheten ble verifisert, hvor den ble antatt, og hvilket enkelt faktum som ville endre meningene dine. Det er bedre enn nok en pil på diagrammet.