Câte dependențe independente are lanțul tău de confidențialitate?

Numără căsuțele din majoritatea diagramelor de confidențialitate și obții trei sau cinci salturi, fiecare cu sigla unei alte companii. Numără organizațiile care ar putea acționa efectiv asupra acestor căsuțe și numărul scade adesea la două. Un lanț separă încrederea doar în măsura în care dependențele sale sunt independente, iar numărul de salturi nu măsoară nimic din asta. Exact această diferență este întreaga întrebare care merită pusă.

Două hărți ajută. Una urmărește unde merg pachetele; cealaltă înregistrează cine operează, plătește, administrează și cine poate fi obligat să acționeze asupra fiecărui element. A doua hartă nu este spectaculoasă, de obicei este incompletă și mult mai probabil să schimbe o decizie.

Desenează traseul traficului, apoi traseul controlului

Un proxy închiriat în fața a două servicii de tunel pare trei părți. Notează furnizorul de găzduire, contul panoului de control, identitatea de facturare și adresa la care ar fi înmânată o solicitare legală, iar cele trei pot deveni un singur chiriaș de cloud cu o singură căsuță de recuperare. Nimic din traseul traficului nu s-a schimbat; descrierea independenței da.

Etichetează fiecare rând ca cunoscut, dedus sau necunoscut și notează pe ce se sprijină eticheta. Un nume de marcă stabilește cine ți-a vândut serviciul. Nu stabilește cine deține mașina și cu atât mai puțin dacă înregistrările clienților stau în aceeași bază de date cu cele ale altui serviciu.

Disciplina contează mai mult decât foaia de calcul. Odată ce «necunoscut» devine o valoare permisă, diagrama încetează să se flateze și începe să arate care fapt lipsă ar răsturna concluzia.

Ce nu poate vedea numărul de salturi

Salturile descriu încapsularea și redirecționarea. Nu spun nimic despre administrarea partajată, tranzitul superior partajat, instrumentele de plată partajate sau canalele de recuperare partajate, iar exact aceste patru locuri sunt cele în care două servicii nominal diferite devin în liniște unul.

Ia un proiect al cărui prim și ultim salt aparțin unor companii diferite, dar ambele stau în spatele aceluiași furnizor de tranzit. Din poziția acelui furnizor, o parte mare din metadatele despre cele două capete trece prin aceeași infrastructură. Nu este o dovadă a identificării; este o dependență pe care un rezumat al numărului de salturi o omite complet.

Eroarea inversă este la fel de frecventă. Presupunerea că proprietatea separată garantează separarea ignoră faptul că operatorii sunt compromiși, constrânși sau pur și simplu neglijenți în aceleași moduri. Independența se stabilește punct cu punct, nu este conferită de o siglă.

Un sistem autonom este o graniță de rutare

Un număr AS identifică un domeniu care prezintă omologilor săi o viziune coerentă de rutare. Această afirmație este despre politica de rutare, nu despre proprietatea corporativă, personal, jurisdicție sau separarea acreditărilor. Două servicii în spatele unor numere AS diferite pot împărtăși un singur proprietar, iar un serviciu răspândit pe mai multe numere AS rămâne un singur operator.

Citirea numerelor AS dintr-un looking glass este un prim pas rezonabil pentru rândul de tranzit al hărții tale. Nu este o măsurare a traseului pe care traficul tău l-a urmat într-o anumită seară și nu ar trebui descrisă ca atare. Unde traseul este necunoscut, scrie necunoscut.

Patru rânduri de completat pentru fiecare salt

Parcurge fiecare capăt cu aceleași patru întrebări în aceeași ordine, astfel încât golurile să rămână vizibile în loc să fie netezite de o propoziție de sinteză încrezătoare.

• Cine poate citi conținutul? Numește partea care încheie stratul de protecție și ce text simplu sau chei deține.
• Cine poate opera cutia? Distinge proprietarul infrastructurii de cel care deține accesul la consolă și verifică dacă acel acces este partajat cu alt serviciu din lanț.
• Ale cui înregistrări l-ar putea lega de altceva? Identitatea de facturare, adresa de recuperare, contul de suport și instrumentul de plată sunt podurile obișnuite.
• Cine răspunde unei cereri de date? Identifică entitatea juridică și jurisdicția în care își are sediul, apoi întreabă ce date reține de fapt acea entitate.

Apoi notează de unde a venit fiecare răspuns: documentația furnizorului, politica publicată, observația directă sau o inferență făcută pentru că alternativa era incomodă. Un rând susținut de o declarație concretă de păstrare este o dovadă mai puternică decât un rând susținut de faptul că site-ul părea profesionist.

Când o dependență partajată contează cu adevărat

Întrebarea despre confidențialitate nu este niciodată dacă există o dependență partajată, ci ce ar putea conecta acea dependență. Accesul de administrare partajat este o expunere diferită de vizibilitatea pasivă a traficului criptat, iar legarea conturilor diferă de ambele. Numește observația, privilegiul și înregistrarea păstrată înainte de a trage vreo concluzie.

Discuția despre observatori și corelație din RFC 6973 oferă o structură aplicabilă: enumeră ce învață fiecare entitate, apoi întreabă ce ar da combinarea acestor cunoștințe. Două părți care observă metadate similare sunt un motiv de a examina corelația. Nu este o probabilitate măsurată de identificare și nu ar trebui prezentată ca atare.

Odată dezvoltat, exemplul cu trei părți se desparte în constatări separate. Găzduirea partajată fără acces partajat la consolă este o concentrare în lanțul de aprovizionare. O căsuță de recuperare partajată este un pod administrativ. Ambele sunt reale; doar a doua permite unei compromiteri să treacă două granițe.

Ceea cu ce termini nu este un certificat de anonimat. Este o afirmație defendabilă despre unde a fost verificată independența, unde a fost presupusă și care singur fapt ți-ar schimba părerea. Asta este mai bun decât încă o săgeată pe diagramă.