Três saltos, um hospedeiro: contar as dependências reais de privacidade

O segundo salto subiu a horas e o seu diagrama ainda mostra três fornecedores separados. Depois chegam as faturas e duas delas nomeiam a mesma empresa de alojamento, o mesmo registador detém os três domínios, e cada conta é recuperada numa única caixa de correio que possui. Nada na configuração do túnel está avariado. O desenho simplesmente nunca contou as dependências que estão por baixo dos saltos, e uma contagem de saltos descreve o caminho que o tráfego percorre, não o número de partes que podem agir sobre ele.

O sintoma aparece na faturação, não nos registos

Não vai encontrar isto num registo do túnel, porque o túnel faz exatamente o que configurou. As provas vivem em registos públicos e definições de conta: nomes de organizações no whois que coincidem entre extremos, servidores de nomes idênticos, um endereço de registante partilhado, um método de pagamento, um painel de controlo. Cada uma destas é uma pista de que duas camadas que deviam falhar de forma independente podem falhar juntas.

Nenhuma destas pistas prova que qualquer parte isolada consiga ler o seu tráfego. O que reduzem é o número de decisões independentes que têm de correr mal antes de duas camadas de proteção serem comprometidas pelo mesmo acontecimento.

Compare os registos que consegue realmente ver e anote o que comparou. Procure a organização em cada endereço de extremo, liste os servidores de nomes de cada domínio e abra as definições de recuperação de cada conta na cadeia. Onde dois valores coincidem, note se a coincidência diz respeito à propriedade, às operações ou apenas à frente de um revendedor. São constatações diferentes, e tratá-las como uma só é como uma revisão de dependências se transforma em conjectura.

Desenhe o caminho lógico e depois o mapa de dependências

São precisos dois diagramas, e a maioria das pessoas só desenha o primeiro. O caminho lógico mostra onde termina cada camada de proteção e o que esse extremo pode observar. O mapa de dependências mostra quem opera e administra cada um desses extremos, que é um conjunto de nomes completamente distinto.

Classifique cada linha em vez de a preencher. Conhecido significa que viu um registo que o afirma, inferido significa que uma observação o sustenta sem o resolver, e desconhecido significa que nada foi encontrado. Uma marca de alojamento partilhada é uma inferência sobre infraestrutura partilhada, não uma afirmação sobre uma base de dados de clientes partilhada. Não promova em silêncio uma inferência a facto conhecido só porque convém à conclusão que esperava.

Uma linha vazia é uma constatação em si mesma. Diz-lhe que facto mudaria a decisão se o aprendesse, e isso é mais útil do que outro parágrafo sobre o que um adversário sofisticado poderia fazer.

Um número de AS responde apenas a uma pergunta de encaminhamento

Um sistema autónomo é um conceito de administração de encaminhamento, um conjunto de endereços apresentado a outras redes como uma visão de encaminhamento coerente. Números de AS diferentes não dizem, por isso, nada de definitivo sobre propriedade empresarial, pessoal separado ou controlo jurídico independente. O erro inverso é igualmente comum: dois extremos num mesmo AS não são automaticamente um caso de uma parte a identificar um utilizador específico.

Se quer os números, resolva-os em vez de os presumir. O endereço abaixo é um marcador de posição, e a opção pede à ferramenta que etiquete cada salto com o AS que o anuncia.

mtr --aslookup --report --report-cycles 5 203.0.113.9

Trate essa saída como uma medição do encaminhamento, não da propriedade nem do caminho completo do tráfego. A rede de acesso de onde parte e as dependências de trânsito entre extremos são perguntas separadas que os endereços dos extremos não conseguem responder. Quando uma rota ou uma escolha de relé não é observável de onde está, etiquete-a como desconhecida em vez de importar uma afirmação geral sobre como uma determinada rede seleciona caminhos hoje. Não observado não é o mesmo que inobservável, mas também não é prova.

Nomeie a observação antes de nomear o risco

Três constatações misturam-se na maioria das revisões de dependências, e separá-las é a maior parte do trabalho. A visibilidade passiva do tráfego cifrado é uma constatação. O acesso de gestão partilhado é outra, porque implica uma ação e não uma vista. A ligação de contas é uma terceira, porque liga identidades sem conceder qualquer acesso técnico.

As orientações de privacidade no RFC 6973 dão uma forma exequível para isto: liste o que cada entidade aprende e depois pergunte como poderia ser combinado com informação guardada noutro lugar. Dois pontos num caminho que observam padrões de tráfego semelhantes podem motivar uma preocupação de correlação, mas não lhe dão uma probabilidade medida de que alguém tenha sido identificado. Escreva a preocupação e depois escreva a observação que a confirmaria.

Volte a uma cadeia de dois serviços de túnel e um proxy alugado. Se as credenciais de gestão do proxy partilharem uma conta de recuperação com um servidor de túnel, um único compromisso administrativo pode atravessar as duas fronteiras. Se a única sobreposição é que uma empresa de alojamento opera as duas máquinas, a revisão tem de indicar que poderes essa empresa detém e que informação permanece protegida. Os mesmos três saltos, uma constatação diferente.

O registo não é um certificado de anonimato e nunca será. O seu valor é mais estreito e mais prático: mostra onde a independência está estabelecida, onde é assumida e que única linha desconhecida moveria a decisão. Escolha essa linha a seguir, e deixe o resto do diagrama em paz até ter uma resposta para ela.