Trzy skoki, jeden host: liczenie rzeczywistych zależności prywatności
Liczba skoków ukrywa współdzielony hosting, jedno konto administratora i tego samego registrara. Zbuduj rejestr zależności, oceń każdy wiersz i zobacz, co łączy współdzielona wartość.
Drugi skok wstał zgodnie z planem, a twój diagram nadal pokazuje trzech odrębnych dostawców. Potem przychodzą faktury i dwie z nich wymieniają tę samą firmę hostingową, ten sam registrar trzyma wszystkie trzy domeny, a każde konto odzyskuje się na jedną skrzynkę, którą posiadasz. W konfiguracji tunelu nic nie jest zepsute. Projekt po prostu nigdy nie liczył zależności leżących pod skokami, a liczba skoków opisuje drogę, którą podąża ruch, nie liczbę stron, które mogą na niego wpłynąć.
Objaw pojawia się w rozliczeniach, nie w logach
Nie znajdziesz tego w logu tunelu, ponieważ tunel robi dokładnie to, co skonfigurowałeś. Dowody żyją w publicznych rejestrach i ustawieniach kont: nazwy organizacji w whois, które pokrywają się między punktami końcowymi, identyczne serwery nazw, współdzielony adres rejestranta, jedna metoda płatności, jeden panel sterowania. Każdy z nich jest wskazówką, że dwie warstwy, które powinny zawieść niezależnie, mogą zawieść razem.
Żadna z tych wskazówek nie dowodzi, że jakakolwiek pojedyncza strona może odczytać twój ruch. Zmniejszają one liczbę niezależnych decyzji, które muszą pójść źle, zanim dwie warstwy ochrony zostaną naruszone przez to samo zdarzenie.
Porównaj rejestry, które naprawdę widzisz, i zapisz, co porównałeś. Sprawdź organizację pod każdym adresem punktu końcowego, wypisz serwery nazw każdej domeny i otwórz ustawienia odzyskiwania każdego konta w łańcuchu. Tam, gdzie dwie wartości się zgadzają, zanotuj, czy zgodność dotyczy własności, operacji, czy tylko frontu resellera. To różne ustalenia, a traktowanie ich jako jednego sprawia, że przegląd zależności staje się zgadywaniem.
Narysuj ścieżkę logiczną, potem mapę zależności
Potrzebne są dwa diagramy, a większość ludzi rysuje tylko pierwszy. Ścieżka logiczna pokazuje, gdzie kończy się każda warstwa ochrony i co ten punkt końcowy może obserwować. Mapa zależności pokazuje, kto obsługuje i administruje każdym z tych punktów końcowych, co jest całkowicie odrębnym zbiorem nazw.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Oceń każdy wiersz zamiast go wypełniać. Znane oznacza, że widziałeś zapis, który to stwierdza, wywnioskowane oznacza, że jedna obserwacja to wspiera, nie rozstrzygając, a nieznane oznacza, że nic nie znaleziono. Wspólna marka hostingowa to wniosek o współdzielonej infrastrukturze, a nie twierdzenie o współdzielonej bazie klientów. Nie podnoś po cichu wniosku do znanego faktu tylko dlatego, że pasuje do oczekiwanego wniosku.
Pusty wiersz sam w sobie jest ustaleniem. Mówi ci, który fakt zmieniłby decyzję, gdybyś go poznał, a to jest bardziej użyteczne niż kolejny akapit o tym, co mógłby zrobić wyrafinowany przeciwnik.
Numer AS odpowiada tylko na pytanie routingu
System autonomiczny to pojęcie administracji routingu, zbiór adresów przedstawiany innym sieciom jako jeden spójny widok routingu. Dlatego różne numery AS nie mówią nic rozstrzygającego o własności korporacyjnej, odrębnym personelu ani niezależnej kontroli prawnej. Odwrotny błąd jest równie częsty: dwa punkty końcowe w jednym AS nie są automatycznie przypadkiem identyfikowania przez jedną stronę konkretnego użytkownika.
Jeśli chcesz tych liczb, rozwiąż je zamiast zakładać. Poniższy adres jest zastępczy, a flaga prosi narzędzie o oznaczenie każdego skoku AS, który go ogłasza.
mtr --aslookup --report --report-cycles 5 203.0.113.9Traktuj to wyjście jako pomiar routingu, a nie własności czy pełnej ścieżki ruchu. Sieć dostępowa, z której startujesz, i zależności tranzytowe między punktami końcowymi to odrębne pytania, na które adresy punktów końcowych nie potrafią odpowiedzieć. Gdy trasy lub wyboru przekaznika nie da się zaobserwować z miejsca, w którym siedzisz, oznacz to jako nieznane, zamiast importować ogólne twierdzenie o tym, jak konkretna sieć wybiera dziś ścieżki. Niezaobserwowane to nie to samo co nieobserwowalne, ale to także nie dowód.
Nazwij obserwację, zanim nazwiesz ryzyko
Trzy ustalenia mieszają się w większości przeglądów zależności, a ich rozdzielenie to większość pracy. Pasywna widoczność zaszyfrowanego ruchu to jedno ustalenie. Współdzielony dostęp administracyjny to drugie, bo oznacza działanie, a nie widok. Powiązanie kont to trzecie, bo łączy tożsamości, nie przyznając żadnego dostępu technicznego.
Wytyczne dotyczące prywatności w RFC 6973 dają na to wykonalną formę: wypisz, czego uczy się każdy podmiot, a potem zapytaj, jak można by to połączyć z informacjami trzymanymi gdzie indziej. Dwa punkty na ścieżce obserwujące podobne wzorce ruchu mogą uzasadniać obawę o korelację, ale nie dają zmierzonego prawdopodobieństwa, że ktokolwiek został zidentyfikowany. Zapisz obawę, a potem zapisz obserwację, która by ją potwierdziła.
Wróć do łańcucha dwóch usług tunelowych i wynajętego proxy. Jeśli dane logowania do zarządzania proxy dzielą konto odzyskiwania z jednym serwerem tunelowym, jedno naruszenie administracyjne może przekroczyć obie granice. Jeśli jedynym nakładaniem jest to, że firma hostingowa prowadzi obie maszyny, przegląd musi stwierdzić, jakie uprawnienia ma ta firma i jakie informacje pozostają chronione. Te same trzy skoki, inne ustalenie.
Rejestr nie jest certyfikatem anonimowości i nigdy nim nie będzie. Jego wartość jest węższa i bardziej praktyczna: pokazuje, gdzie niezależność jest ustalona, gdzie zakładana, i który pojedynczy nieznany wiersz przesunąłby decyzję. Wybierz ten wiersz następnym razem, a resztę diagramu zostaw w spokoju, dopóki nie znajdziesz na niego odpowiedzi.