Quantas dependências independentes tem a sua cadeia de privacidade?

Conte as caixas na maioria dos diagramas de privacidade e obtém três ou cinco saltos, cada um com o logótipo de uma empresa diferente. Conte as organizações que poderiam realmente agir sobre essas caixas e o número costuma reduzir-se a duas. Uma cadeia separa a confiança apenas na medida em que as suas dependências são independentes, e o número de saltos não mede nada disso. É essa lacuna a pergunta inteira que vale a pena fazer.

Dois mapas ajudam. Um rastreia para onde vão os pacotes; o outro registra quem opera, paga, administra e pode ser compelido a atuar sobre cada elemento. O segundo mapa não é vistoso, costuma estar incompleto e é muito mais provável que mude uma decisão.

Desenhe o caminho do tráfego e depois o caminho do controlo

Um proxy alugado à frente de dois serviços de túnel parece três partes. Anote o fornecedor de alojamento, a conta do painel de controlo, a identidade de faturação e o endereço onde uma exigência legal seria notificada, e as três podem reduzir-se a um único inquilino de nuvem com uma única caixa de recuperação. Nada do caminho do tráfego mudou; a descrição da independência mudou.

Etiquete cada linha como conhecida, inferida ou desconhecida, e anote em que se baseia a etiqueta. Um nome de marca estabelece quem lhe vendeu o serviço. Não estabelece quem possui a máquina, e muito menos se os registos dos clientes estão na mesma base de dados que os de outro serviço.

A disciplina importa mais do que a folha de cálculo. Quando «desconhecido» é um valor permitido, o diagrama deixa de se lisonjear e começa a mostrar que facto em falta inverteria a conclusão.

O que o número de saltos não consegue ver

Os saltos descrevem encapsulamento e reencaminhamento. Não dizem nada sobre administração partilhada, trânsito superior partilhado, instrumentos de pagamento partilhados nem canais de recuperação partilhados, e são esses quatro lugares onde dois serviços nominalmente distintos se tornam um em silêncio.

Tome um desenho cujo primeiro e último salto pertencem a empresas diferentes mas ambos estão atrás do mesmo fornecedor de trânsito. Da posição desse fornecedor, boa parte dos metadados sobre ambos os extremos viaja pela mesma infraestrutura. Não é prova de identificação; é uma dependência que um resumo do número de saltos omite por completo.

O erro inverso é igualmente comum. Supor que a propriedade separada garante a separação ignora que os operadores são comprometidos, coagidos ou simplesmente negligentes das mesmas maneiras. A independência estabelece-se item a item, não é conferida por um logótipo.

Um sistema autónomo é uma fronteira de encaminhamento

Um número de AS identifica um domínio que apresenta aos seus pares uma visão coerente de encaminhamento. Essa afirmação é sobre política de encaminhamento, não sobre propriedade empresarial, pessoal, jurisdição ou separação de credenciais. Dois serviços atrás de números de AS diferentes podem partilhar um dono, e um serviço distribuído por vários números de AS continua a ser um único operador.

Ler números de AS de um looking glass é uma primeira passagem razoável para a linha de trânsito do seu mapa. Não é uma medição do caminho que o seu tráfego tomou numa noite concreta, e não deve ser apresentado como tal. Onde o caminho é desconhecido, escreva desconhecido.

Quatro linhas a preencher para cada salto

Percorra cada extremo com as mesmas quatro perguntas na mesma ordem, para que as lacunas continuem visíveis em vez de serem diluídas por uma frase de resumo confiante.

• Quem pode ler o conteúdo? Nomeie a parte que termina a camada de proteção e que texto simples ou chaves detém.
• Quem pode operar a máquina? Distinga o proprietário da infraestrutura de quem tem acesso à consola, e verifique se esse acesso é partilhado com outro serviço da cadeia.
• Que registos o podem ligar a outra coisa? A identidade de faturação, o endereço de recuperação, a conta de suporte e o instrumento de pagamento são as pontes habituais.
• Quem responde a um pedido de dados? Identifique a entidade legal e a jurisdição em que está sedeada, e depois pergunte que dados essa entidade conserva.

Depois anote de onde veio cada resposta: documentação do fornecedor, política publicada, observação direta ou uma inferência que fez porque a alternativa era incómoda. Uma linha sustentada por uma declaração de retenção concreta é evidência mais forte do que uma linha sustentada pelo facto de o site parecer profissional.

Quando uma dependência partilhada realmente importa

A pergunta de privacidade nunca é se existe uma dependência partilhada, mas o que essa dependência poderia ligar. O acesso de gestão partilhado é uma exposição diferente da visibilidade passiva de tráfego cifrado, e a ligação entre contas difere de ambos. Nomeie a observação, o privilégio e o registo retido antes de concluir seja o que for.

A discussão sobre observadores e correlação em RFC 6973 oferece uma estrutura praticável: enumere o que cada entidade aprende e depois pergunte o que daria combinar essas aprendizagens. Duas partes que observam metadados semelhantes são razão para examinar a correlação. Não é uma probabilidade medida de identificação e não deve ser apresentada como tal.

Depois de trabalhado, o exemplo de três partes divide-se em constatações separadas. Alojamento partilhado sem acesso de consola partilhado é uma concentração na cadeia de fornecimento. Uma caixa de recuperação partilhada é uma ponte administrativa. Ambas são reais; só a segunda permite que um compromisso atravesse duas fronteiras.

Aquilo com que termina não é um certificado de anonimato. É uma declaração defensável de onde a independência foi verificada, onde foi presumida e que único facto o faria mudar de opinião. Isso é melhor do que mais uma seta no diagrama.