Tre hopp, én vert: å telle reelle personvernavhengigheter
Et hopp-antall skjuler delt hosting, én admin-konto og samme registrator. Bygg et avhengighetsregister, vurder hver rad og se hva en delt verdi forbinder.
Det andre hoppet kom opp etter planen, og diagrammet ditt viser fortsatt tre separate leverandører. Så kommer fakturaene, og to av dem nevner det samme hostingselskapet, den samme registraren har alle tre domenene, og hver konto gjenopprettes til én postkasse som du eier. Ingenting i tunnelkonfigurasjonen er ødelagt. Designet har bare aldri telt avhengighetene som ligger under hoppene, og et hopp-antall beskriver veien trafikken tar, ikke antallet parter som kan handle på den.
Symptomet viser seg i faktureringen, ikke i loggene
Du finner ikke dette i en tunnellogg, fordi tunnelen gjør nøyaktig det du konfigurerte. Bevisene bor i offentlige registre og kontoinnstillinger: whois-organisasjonsnavn som samsvarer på tvers av endepunkter, identiske navneservere, en delt registrantadresse, én betalingsmetode, ett kontrollpanel. Hver av disse er et hint om at to lag som skal feile uavhengig kan feile sammen.
Ingen av disse hintene beviser at noen enkelt part kan lese trafikken din. Det de reduserer, er antallet uavhengige beslutninger som må gå galt før to beskyttelseslag kompromitteres av samme hendelse.
Sammenlign registrene du faktisk kan se, og skriv ned hva du sammenlignet. Slå opp organisasjonen på hver endepunktadresse, list navneserverne for hvert domene, og åpne gjenopprettingsinnstillingene for hver konto i kjeden. Der to verdier samsvarer, noter om samsvaret gjelder eierskap, drift eller bare fronten til en forhandler. Dette er forskjellige funn, og å behandle dem som ett er hvordan en avhengighetsgjennomgang blir gjetting.
Tegn den logiske veien, deretter avhengighetskartet
Det trengs to diagrammer, og de fleste tegner bare det første. Den logiske veien viser hvor hvert beskyttelseslag ender og hva det endepunktet kan observere. Avhengighetskartet viser hvem som driver og administrerer hvert av disse endepunktene, som er et helt separat sett med navn.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Vurder hver rad i stedet for å fylle den ut. Kjent betyr at du har sett en registrering som sier det, utledet betyr at én observasjon støtter det uten å avgjøre det, og ukjent betyr at ingenting ble funnet. Et delt hostingmerke er en utledning om delt infrastruktur, ikke en påstand om en delt kundedatabase. Ikke forfrem en utledning stille til kjent faktum bare fordi det passer konklusjonen du forventet.
En tom rad er et funn i seg selv. Den forteller deg hvilket faktum som ville endre beslutningen hvis du lærte det, og det er nyttigere enn nok et avsnitt om hva en sofistikert motstander kan gjøre.
Et AS-nummer svarer bare på et rutingspørsmål
Et autonomt system er et rutingadministrasjonsbegrep, et sett med adresser presentert for andre nettverk som én sammenhengende rutingsvisning. Ulike AS-numre sier derfor ingenting definitivt om selskapets eierskap, eget personale eller uavhengig juridisk kontroll. Den motsatte feilen er like vanlig: to endepunkter i ett AS er ikke automatisk et tilfelle av at én part identifiserer en bestemt bruker.
Hvis du vil ha tallene, løs dem opp i stedet for å anta dem. Adressen nedenfor er en plassholder, og flagget ber verktøyet merke hvert hopp med AS-et som annonserer det.
mtr --aslookup --report --report-cycles 5 203.0.113.9Behandle den utdataen som en måling av ruting, ikke av eierskap eller av hele trafikkveien. Aksessnettverket du starter fra, og transittavhengighetene mellom endepunkter, er separate spørsmål som endepunktadressene ikke kan svare på. Når en rute eller et relévalg ikke kan observeres der du sitter, merk det ukjent i stedet for å importere en generell påstand om hvordan et bestemt nettverk velger veier i dag. Uobservert er ikke det samme som uobserverbart, men det er heller ikke bevis.
Navngi observasjonen før du navngir risikoen
Tre funn blandes sammen i de fleste avhengighetsgjennomganger, og å skille dem er det meste av arbeidet. Passiv synlighet av kryptert trafikk er ett funn. Delt administrativ tilgang er et annet, fordi det innebærer en handling snarere enn en visning. Kontokobling er et tredje, fordi det forbinder identiteter uten å gi noen teknisk tilgang.
Personvernveiledningen i RFC 6973 gir en brukbar form for dette: list hva hver enhet lærer, og spør deretter hvordan det kan kombineres med informasjon som oppbevares andre steder. To punkter på en vei som observerer lignende trafikkmønstre kan motivere en korrelasjonsbekymring, men de gir deg ikke en målt sannsynlighet for at noen er identifisert. Skriv bekymringen, og skriv deretter observasjonen som ville bekrefte den.
Gå tilbake til en kjede av to tunnelstjenester og en leid proxy. Hvis proxyens administrasjonspåloggingsinformasjon deler en gjenopprettingskonto med én tunnelserver, kan én administrativ kompromittering krysse begge grensene. Hvis den eneste overlappingen er at et hostingselskap driver begge maskinene, må gjennomgangen si hvilke fullmakter selskapet har og hvilken informasjon som forblir beskyttet. De samme tre hoppene, et annet funn.
Registeret er ikke et sertifikat for anonymitet og blir det aldri. Verdien er snevrere og mer praktisk: det viser hvor uavhengighet er etablert, hvor den antas, og hvilken enkelt ukjent rad som ville flytte beslutningen. Velg den raden neste gang, og la resten av diagrammet være i fred til du har et svar på den.