Hur många oberoende beroenden har din integritetskedja?

Räkna rutorna i de flesta integritetsdiagram och du får tre eller fem hopp, varje med en annan firms logotyp. Räkna de organisationer som faktiskt skulle kunna agera på rutorna och antalet faller ofta till två. En kedja separerar förtroende bara så långt som dess beroenden är oberoende, och ett hoppantal mäter inget av det. Just den klyftan är hela frågan som är värd att ställa.

Två kartor hjälper. Den ena spårar vart paketen tar vägen; den andra registrerar vem som driver, betalar för, administrerar och kan tvingas agera på varje element. Den andra kartan är oglamorös, ofta ofullständig och mycket mer benägen att ändra ett beslut.

Rita trafikvägen och sedan kontrollvägen

En hyrd proxy framför två tunneltjänster ser ut som tre parter. Skriv ned värdleverantör, konto i kontrollpanelen, faktureringsidentitet och den adress där en juridisk begäran skulle delges, och de tre kan reduceras till en enda molnhyresgäst med en enda återställningsbrevlåda. Inget i trafikvägen ändrades; beskrivningen av oberoende gjorde det.

Märk varje rad som känd, härledd eller okänd och notera vad märkningen vilar på. Ett varumärke fastställer vem som sålde tjänsten till dig. Det fastställer inte vem som äger maskinen, och absolut inte om kunduppgifter ligger i samma databas som en annan tjänsts uppgifter.

Disciplinen betyder mer än kalkylarket. När «okänd» är ett tillåtet värde slutar diagrammet att smickra sig självt och börjar visa vilket saknat faktum som skulle vända slutsatsen.

Vad ett hoppantal inte kan se

Hopp beskriver inkapsling och vidarebefordran. De säger ingenting om delad administration, delad uppströms transit, delade betalningsinstrument eller delade återställningskanaler, och just dessa fyra ställen är där två nominellt olika tjänster tyst blir en.

Ta en design där första och sista hopp tillhör olika företag men båda står bakom samma transitleverantör. Från den leverantörens position reser en god del metadata om båda ändarna genom samma infrastruktur. Det är inte bevis på identifiering; det är ett beroende som en hoppantalssammanfattning helt utelämnar.

Det omvända felet är lika vanligt. Att anta att separat ägande garanterar åtskillnad ignorerar att operatörer blir komprometterade, tvingade eller helt enkelt slarviga på samma sätt. Oberoende fastställs punkt för punkt, det tilldelas inte av en logotyp.

Ett autonomt system är en routinggräns

Ett AS-nummer identifierar en domän som presenterar en sammanhängande routingbild för sina peers. Det påståendet handlar om routingpolitik, inte om företagsägande, personal, jurisdiktion eller åtskillnad av inloggningsuppgifter. Två tjänster bakom olika AS-nummer kan dela en ägare, och en tjänst utspridd över flera AS-nummer är fortfarande en operatör.

Att läsa AS-nummer från ett looking glass är en rimlig första genomgång för transitraden på din karta. Det är inte en mätning av den väg din trafik tog en viss kväll, och bör inte beskrivas som det. Där vägen är okänd, skriv okänd.

Fyra rader att fylla i för varje hopp

Gå igenom varje ändpunkt med samma fyra frågor i samma ordning, så att luckor förblir synliga i stället för att jämnas ut av en självsäker sammanfattande mening.

• Vem kan läsa innehållet? Namnge den part som avslutar skyddslagret och vilken klartext eller vilka nycklar den har.
• Vem kan driva lådan? Skilj infrastrukturägaren från den som har konsolåtkomst, och kontrollera om den åtkomsten delas med en annan tjänst i kedjan.
• Vems register kan koppla den till något annat? Faktureringsidentitet, återställningsadress, supportkonto och betalningsinstrument är de vanliga broarna.
• Vem svarar på en begäran om data? Identifiera den juridiska enheten och den jurisdiktion den sitter i, och fråga sedan vilka data den enheten överhuvudtaget behåller.

Notera sedan var varje svar kom ifrån: leverantörsdokumentation, publicerad policy, direkt observation eller en slutsats du drog eftersom alternativet var obekvämt. En rad som stöds av ett konkret bevarandeutlåtande är starkare bevis än en rad som stöds av att webbplatsen verkade professionell.

När ett delat beroende verkligen spelar roll

Integritetsfrågan är aldrig om ett delat beroende finns, utan vad det beroendet skulle kunna koppla samman. Delad administrationstillgång är en annan exponering än passiv synlighet av krypterad trafik, och kontokoppling skiljer sig från båda. Namnge observationen, privilegiet och den bevarade posten innan du drar någon slutsats.

Diskussionen om observatörer och korrelation i RFC 6973 ger en användbar struktur: lista vad varje enhet lär sig och fråga sedan vad kombinationen av den kunskapen skulle ge. Att två parter observerar liknande metadata är ett skäl att undersöka korrelation. Det är inte en uppmätt sannolikhet för identifiering och bör inte presenteras som det.

När exemplet med tre parter arbetas igenom delas det upp i separata fynd. Delad hosting utan delad konsolåtkomst är en koncentration i leverantörskedjan. En delad återställningsbrevlåda är en administrativ bro. Båda är verkliga; bara den andra låter en kompromiss korsa två gränser.

Det du slutar med är inte ett anonymitetsintyg. Det är ett försvarbart påstående om var oberoendet verifierades, var det antogs och vilket enda faktum som skulle ändra din uppfattning. Det är bättre än ännu en pil på diagrammet.