Chuỗi riêng tư của bạn có bao nhiêu phụ thuộc độc lập?

Đếm các ô trong phần lớn sơ đồ riêng tư, bạn sẽ thấy ba hoặc năm chặng, mỗi chặng mang logo một công ty khác. Đếm các tổ chức thực sự có thể tác động lên những ô đó và con số thường co lại còn hai. Một chuỗi chỉ tách biệt niềm tin trong chừng mực các phụ thuộc của nó độc lập, và số chặng không đo được điều nào trong số đó. Chính khoảng trống ấy là toàn bộ câu hỏi đáng để đặt ra.

Hai bản đồ giúp ích. Một bản lần theo các gói tin đi đâu; bản kia ghi lại ai vận hành, trả tiền, quản trị và ai có thể bị buộc phải hành động với từng thành phần. Bản đồ thứ hai không hào nhoáng, thường thiếu và có nhiều khả năng thay đổi một quyết định hơn.

Vẽ đường đi của lưu lượng, rồi vẽ đường đi của kiểm soát

Một proxy thuê đặt trước hai dịch vụ đường hầm trông như ba bên. Ghi ra nhà cung cấp lưu trữ, tài khoản bảng điều khiển, danh tính thanh toán và địa chỉ nơi một yêu cầu pháp lý sẽ được tống đạt, và ba bên ấy có thể rút lại thành một người thuê đám mây với một hộp thư khôi phục. Không có gì trên đường đi của lưu lượng thay đổi; mô tả về tính độc lập thì có.

Dán nhãn từng hàng là đã biết, suy ra hoặc chưa biết, và ghi lại nhãn dựa trên điều gì. Tên thương hiệu xác lập ai đã bán dịch vụ cho bạn. Nó không xác lập ai sở hữu chiếc máy, và càng không xác lập liệu hồ sơ khách hàng có nằm trong cùng cơ sở dữ liệu với hồ sơ của một dịch vụ khác hay không.

Kỷ luật quan trọng hơn bảng tính. Một khi «chưa biết» là giá trị được phép, sơ đồ thôi tự tô hồng và bắt đầu chỉ ra sự thật còn thiếu nào sẽ lật ngược kết luận.

Điều số chặng không thể thấy

Các chặng mô tả đóng gói và chuyển tiếp. Chúng không nói gì về quản trị chung, chuyển tuyến thượng nguồn chung, công cụ thanh toán chung hay kênh khôi phục chung, và chính bốn nơi ấy là nơi hai dịch vụ khác nhau trên danh nghĩa lặng lẽ trở thành một.

Lấy một thiết kế có chặng đầu và chặng cuối thuộc hai công ty khác nhau nhưng cả hai đều nằm sau cùng một nhà cung cấp chuyển tuyến. Từ vị thế của nhà cung cấp đó, phần lớn siêu dữ liệu về hai đầu đi qua cùng một hạ tầng. Đó không phải bằng chứng nhận dạng; đó là một phụ thuộc mà bản tóm tắt số chặng bỏ sót hoàn toàn.

Lỗi ngược lại cũng phổ biến không kém. Giả định quyền sở hữu tách biệt bảo đảm sự tách biệt bỏ qua việc các nhà vận hành bị xâm phạm, bị cưỡng ép hoặc đơn giản là cẩu thả theo cùng những cách như nhau. Tính độc lập được xác lập từng mục, không do logo ban cho.

Hệ thống tự trị là một ranh giới định tuyến

Một số AS nhận diện một miền trình bày góc nhìn định tuyến nhất quán cho các peer của nó. Phát biểu đó nói về chính sách định tuyến, không phải về quyền sở hữu doanh nghiệp, nhân sự, thẩm quyền hay việc tách biệt thông tin xác thực. Hai dịch vụ sau các số AS khác nhau có thể chia sẻ một chủ, và một dịch vụ trải trên nhiều số AS vẫn là một nhà vận hành.

Đọc số AS từ looking glass là bước đầu hợp lý cho hàng chuyển tuyến trên bản đồ của bạn. Đó không phải phép đo đường đi mà lưu lượng của bạn đã đi trong một tối cụ thể, và không nên viết như vậy. Ở nơi chưa biết đường đi, hãy viết chưa biết.

Bốn hàng cần điền cho mỗi chặng

Đi qua từng đầu với đúng bốn câu hỏi theo đúng thứ tự, để các lỗ hổng vẫn hiện rõ thay vì bị một câu tóm tắt đầy tự tin san phẳng.

• Ai có thể đọc nội dung? Nêu bên chấm dứt lớp bảo vệ và văn bản rõ hoặc khóa mà bên đó nắm giữ.
• Ai có thể vận hành chiếc máy? Phân biệt chủ hạ tầng với người giữ quyền truy cập bảng điều khiển, và kiểm tra xem quyền đó có được chia sẻ với dịch vụ khác trong chuỗi hay không.
• Hồ sơ của ai có thể nối nó với thứ khác? Danh tính thanh toán, địa chỉ khôi phục, tài khoản hỗ trợ và công cụ thanh toán là những cây cầu thường gặp.
• Ai trả lời yêu cầu dữ liệu? Xác định pháp nhân và thẩm quyền nơi pháp nhân đó đặt trụ sở, rồi hỏi pháp nhân ấy thực sự lưu dữ liệu gì.

Sau đó ghi lại mỗi câu trả lời đến từ đâu: tài liệu nhà cung cấp, chính sách công bố, quan sát trực tiếp, hay một suy luận bạn làm vì phương án thay thế bất tiện. Một hàng được chống đỡ bởi tuyên bố lưu trữ cụ thể là bằng chứng mạnh hơn một hàng được chống đỡ bởi việc trang web trông chuyên nghiệp.

Khi nào một phụ thuộc chung thực sự quan trọng

Câu hỏi riêng tư không bao giờ là có hay không một phụ thuộc chung, mà là phụ thuộc ấy có thể nối điều gì. Quyền truy cập quản trị chung là một mức phơi nhiễm khác với khả năng nhìn thấy thụ động lưu lượng đã mã hóa, và liên kết tài khoản khác cả hai. Nêu rõ quan sát, đặc quyền và hồ sơ được lưu trước khi kết luận bất cứ điều gì.

Phần thảo luận về người quan sát và tương quan trong RFC 6973 đưa ra một cấu trúc khả dụng: liệt kê mỗi thực thể học được gì, rồi hỏi việc kết hợp những hiểu biết đó sẽ cho ra gì. Việc hai bên quan sát siêu dữ liệu tương tự là lý do để xem xét tương quan. Đó không phải xác suất nhận dạng được đo lường, và không nên trình bày như vậy.

Khi làm rõ, ví dụ ba bên tách thành những phát hiện riêng. Lưu trữ chung không có quyền truy cập bảng điều khiển chung là sự tập trung trong chuỗi cung ứng. Một hộp thư khôi phục chung là cây cầu quản trị. Cả hai đều thật; chỉ cái thứ hai cho phép một sự xâm phạm vượt qua hai ranh giới.

Điều bạn kết thúc không phải chứng chỉ ẩn danh. Đó là một tuyên bố có thể bảo vệ về nơi tính độc lập được kiểm chứng, nơi nó được giả định và sự thật duy nhất nào sẽ khiến bạn đổi ý. Điều đó tốt hơn một mũi tên nữa trên sơ đồ.