Три прыжка, один хост: как считать настоящие зависимости приватности
Число прыжков скрывает общий хостинг, одну учётную запись администратора и того же регистратора. Постройте реестр зависимостей, оцените каждую строку и посмотрите, что связывает общее значение.
Второй прыжок поднялся по расписанию, а на вашей схеме по-прежнему три отдельных провайдера. Затем приходят счета, и в двух из них одна и та же хостинговая компания, один и тот же регистратор держит все три домена, а каждая учётная запись восстанавливается на один ящик, которым владеете вы. В конфигурации туннеля ничего не сломано. Просто проект ни разу не посчитал зависимости, лежащие под прыжками, а число прыжков описывает путь, который проходит трафик, а не число сторон, способных на него повлиять.
Симптом проявляется в счетах, а не в журналах
Вы не найдёте это в журнале туннеля, потому что туннель делает именно то, что вы настроили. Доказательства живут в публичных реестрах и настройках учётных записей: названия организаций в whois, совпадающие между конечными точками, одинаковые серверы имён, общий адрес регистранта, один способ оплаты, одна панель управления. Каждое из этого — подсказка, что два уровня, которые должны отказывать независимо, могут отказать вместе.
Ни одна из этих подсказок не доказывает, что какая-либо отдельная сторона может читать ваш трафик. Они уменьшают число независимых решений, которые должны оказаться неверными, прежде чем два уровня защиты будут скомпрометированы одним и тем же событием.
Сравните записи, которые вы действительно видите, и запишите, что именно сравнили. Найдите организацию по каждому адресу конечной точки, перечислите серверы имён каждого домена и откройте настройки восстановления каждой учётной записи в цепочке. Там, где два значения совпадают, отметьте, относится ли совпадение к собственности, к эксплуатации или только к фронтенду реселлера. Это разные выводы, и обращение с ними как с одним — то, из-за чего обзор зависимостей превращается в догадки.
Нарисуйте логический путь, затем карту зависимостей
Нужны две схемы, а большинство рисует только первую. Логический путь показывает, где заканчивается каждый уровень защиты и что эта конечная точка может наблюдать. Карта зависимостей показывает, кто эксплуатирует и администрирует каждую из этих конечных точек, а это совершенно отдельный набор имён.
| Layer to record | Evidence you can collect | What a shared value would mean |
|---|---|---|
| Endpoint operator | Published operator, contract, support contacts | The same party sees two traffic layers |
| Compute and hosting | Address ranges, hosting brands, platform status pages | One administrative action affects two machines |
| Network dependency | Endpoints and transit links near the observation point | Two paths share a segment that could be watched once |
| Management | Control panels, SSH keys, staff with access | One credential compromise crosses both layers |
| Account linkage | Registration records, payment method, recovery mail | Two services can be tied to one identity |
Оценивайте каждую строку, а не просто заполняйте её. «Известно» означает, что вы видели запись, которая это утверждает; «выведено» — что одно наблюдение поддерживает это, не разрешая; «неизвестно» — что ничего не найдено. Общий бренд хостинга — это вывод об общей инфраструктуре, а не утверждение об общей клиентской базе. Не повышайте молча вывод до известного факта только потому, что он удобен для ожидаемого заключения.
Пустая строка — сама по себе вывод. Она говорит, какой факт изменил бы решение, если бы вы его узнали, и это полезнее ещё одного абзаца о том, что мог бы сделать изощрённый противник.
Номер AS отвечает только на вопрос маршрутизации
Автономная система — это понятие администрирования маршрутизации, набор адресов, представляемый другим сетям как единый согласованный взгляд на маршрутизацию. Поэтому разные номера AS ничего окончательного не говорят о корпоративной собственности, отдельном персонале или независимом юридическом контроле. Обратная ошибка так же распространена: две конечные точки в одной AS не автоматически означают случай, когда одна сторона идентифицирует конкретного пользователя.
Если вам нужны числа, выясните их, а не предполагайте. Адрес ниже — заполнитель, а флаг просит инструмент пометить каждый прыжок той AS, которая его объявляет.
mtr --aslookup --report --report-cycles 5 203.0.113.9Рассматривайте этот вывод как измерение маршрутизации, а не собственности или полного пути трафика. Сеть доступа, из которой вы стартуете, и транзитные зависимости между конечными точками — отдельные вопросы, на которые адреса конечных точек ответить не могут. Когда маршрут или выбор реле не наблюдаемы с того места, где вы находитесь, помечайте их как неизвестные, а не вносите общее утверждение о том, как конкретная сеть выбирает пути сегодня. Ненаблюдаемое — не то же самое, что ненаблюдаемое в принципе, но это и не доказательство.
Назовите наблюдение прежде, чем назвать риск
В большинстве обзоров зависимостей смешиваются три вывода, и их разделение — большая часть работы. Пассивная видимость зашифрованного трафика — один вывод. Общий административный доступ — другой, потому что он подразумевает действие, а не взгляд. Связывание учётных записей — третий, потому что оно соединяет личности, не давая никакого технического доступа.
Рекомендации по приватности в RFC 6973 дают для этого рабочую форму: перечислите, что узнаёт каждый субъект, а затем спросите, как это можно объединить с информацией, хранящейся в другом месте. Две точки на пути, наблюдающие похожие схемы трафика, могут обосновать опасение о корреляции, но не дают измеренной вероятности того, что кого-то идентифицировали. Запишите опасение, затем запишите наблюдение, которое его подтвердит.
Вернитесь к цепочке из двух туннельных сервисов и арендованного прокси. Если учётные данные управления прокси делят учётную запись восстановления с одним туннельным сервером, один административный компромисс может пересечь обе границы. Если единственное пересечение — то, что хостинговая компания управляет обеими машинами, обзор должен указать, какими полномочиями обладает эта компания и какая информация остаётся защищённой. Те же три прыжка, другой вывод.
Реестр — не сертификат анонимности и никогда им не будет. Его ценность уже и практичнее: он показывает, где независимость установлена, где предполагается, и какая единственная неизвестная строка сдвинула бы решение. Выберите эту строку следующей и оставьте остальную часть схемы в покое, пока не получите на неё ответ.