Ile niezależnych zależności ma twój łańcuch prywatności?

Policz pola na większości diagramów prywatności, a otrzymasz trzy lub pięć przeskoków, każdy z logiem innej firmy. Policz organizacje, które naprawdę mogłyby działać na tych polach a liczba często spada do dwóch. Łańcuch rozdziela zaufanie tylko o tyle, o ile jego zależności są niezależne, a liczba przeskoków nie mierzy z tego niczego. Właśnie ta luka jest całym pytaniem, które warto zadać.

Pomagają dwie mapy. Jedna śledzi, dokąd trafiają pakiety; druga zapisuje, kto obsługuje, opłaca, administruje i kogo można zmusić do działania wobec każdego elementu. Druga mapa nie jest efektowna, zwykle bywa niekompletna i znacznie częściej zmienia decyzję.

Narysuj ścieżkę ruchu, potem ścieżkę kontroli

Wynajęty serwer proxy przed dwiema usługami tunelowymi wygląda na trzy strony. Zapisz dostawcę hostingu, konto panelu sterowania, tożsamość rozliczeniową i adres, na który doręczono by żądanie prawne, a te trzy mogą zredukować się do jednego najemcy chmury z jedną skrzynką odzyskiwania. Nic w ścieżce ruchu się nie zmieniło; zmienił się opis niezależności.

Oznacz każdy wiersz jako znany, wywnioskowany lub nieznany i zapisz, na czym opiera się oznaczenie. Nazwa marki ustala, kto sprzedał ci usługę. Nie ustala, kto jest właścicielem maszyny, a już na pewno nie ustala, czy dane klientów leżą w tej samej bazie co dane innej usługi.

Dyscyplina liczy się bardziej niż arkusz. Gdy «nieznane» staje się dozwoloną wartością, diagram przestaje sobie schlebić i zaczyna pokazywać, który brakujący fakt odwróciłby wniosek.

Czego liczba przeskoków nie widzi

Przeskoki opisują kapsułkowanie i przekazywanie. Nie mówią nic o współdzielonej administracji, współdzielonym tranzycie wyższego poziomu, współdzielonych instrumentach płatniczych ani współdzielonych kanałach odzyskiwania, i właśnie te cztery miejsca są tymi, w których dwie nominalnie różne usługi cicho stają się jedną.

Weź projekt, którego pierwszy i ostatni przeskok należą do różnych firm, ale oba stoją za tym samym dostawcą tranzytu. Z pozycji tego dostawcy znaczna część metadanych o obu końcach podróżuje przez tę samą infrastrukturę. To nie jest dowód identyfikacji; to zależność, którą podsumowanie liczby przeskoków całkowicie pomija.

Odwrotny błąd jest równie częsty. Założenie, że odrębna własność gwarantuje rozdzielenie, ignoruje to, że operatorzy padają ofiarą naruszeń, nacisków albo zwykłej niedbałości w te same sposoby. Niezależność ustala się punkt po punkcie, nie nadaje jej logo.

System autonomiczny jest granicą routingu

Numer AS identyfikuje domenę, która przedstawia swoim partnerom spójny obraz routingu. To stwierdzenie dotyczy polityki routingu, a nie własności korporacyjnej, personelu, jurysdykcji czy rozdzielenia poświadczeń. Dwie usługi za różnymi numerami AS mogą mieć jednego właściciela, a jedna usługa rozłożona na kilka numerów AS nadal jest jednym operatorem.

Odczytywanie numerów AS z looking glass to rozsądny pierwszy krok dla wiersza tranzytu na twojej mapie. To nie jest pomiar trasy, którą twój ruch przebył pewnego wieczoru, i nie powinno być tak opisywane. Gdzie trasa jest nieznana, pisz nieznana.

Cztery wiersze do wypełnienia dla każdego przeskoku

Przejdź każdy punkt końcowy tymi samymi czterema pytaniami w tej samej kolejności, aby luki pozostały widoczne, a nie zostały wyrównane przez pewne siebie zdanie podsumowania.

• Kto może czytać treść? Wskaż stronę, która kończy warstwę ochrony, i jaki tekst jawny lub jakie klucze posiada.
• Kto może obsługiwać maszynę? Odróżnij właściciela infrastruktury od tego, kto ma dostęp do konsoli, i sprawdź, czy ten dostęp jest współdzielony z inną usługą w łańcuchu.
• Czyje zapisy mogą połączyć ją z czymś innym? Tożsamość rozliczeniowa, adres odzyskiwania, konto wsparcia i instrument płatniczy to zwykłe mosty.
• Kto odpowiada na wniosek o dane? Zidentyfikuj osobę prawną i jurysdykcję, w której się znajduje, a następnie zapytaj, jakie dane ta osoba w ogóle przechowuje.

Następnie zapisz, skąd pochodzi każda odpowiedź: dokumentacja dostawcy, opublikowana polityka, bezpośrednia obserwacja lub wnioskowanie, które wykonałeś, bo alternatywa była niewygodna. Wiersz poparty konkretnym oświadczeniem o przechowywaniu jest silniejszym dowodem niż wiersz poparty tym, że strona wyglądała profesjonalnie.

Kiedy współdzielona zależność naprawdę ma znaczenie

Pytanie o prywatność nigdy nie dotyczy tego, czy istnieje współdzielona zależność, ale tego, co ta zależność mogłaby połączyć. Współdzielony dostęp administracyjny to inne narażenie niż pasywna widoczność zaszyfrowanego ruchu, a powiązanie kont różni się od obu. Wskaż obserwację, uprawnienie i przechowywany zapis, zanim cokolwiek wywnioskujesz.

Omówienie obserwatorów i korelacji w RFC 6973 daje użyteczną strukturę: wypisz, czego uczy się każdy podmiot, a potem zapytaj, co dałoby połączenie tej wiedzy. To, że dwie strony obserwują podobne metadane, jest powodem do zbadania korelacji. To nie jest zmierzone prawdopodobieństwo identyfikacji i nie powinno być tak przedstawiane.

Po opracowaniu przykład z trzema stronami rozdziela się na osobne ustalenia. Współdzielony hosting bez współdzielonego dostępu do konsoli to koncentracja w łańcuchu dostaw. Współdzielona skrzynka odzyskiwania to administracyjny most. Oba są realne; tylko drugi pozwala jednej kompromitacji przekroczyć dwie granice.

To, czym kończysz, nie jest certyfikatem anonimowości. To stwierdzenie możliwe do obrony o tym, gdzie niezależność została zweryfikowana, gdzie założona i który pojedynczy fakt zmieniłby twoje zdanie. To lepsze niż jeszcze jedna strzałka na diagramie.