Inizia da una persona, non da una funzione
La maggior parte delle decisioni sulla privacy va storta al primo passo, perché inizia da un prodotto anziché da una persona. Un modello di minaccia inverte questo: nomina chi ti stai proteggendo, stabilisci quale accesso ha realisticamente e solo allora scegli i controlli.
Sembra astratto finché non lo provi, momento in cui di solito elimina immediatamente metà delle opzioni, e spesso rivela che la funzione che stavi per acquistare non affronta la persona di cui ti preoccupavi davvero.
Le persone, e cosa ognuna di esse può raggiungere
Avversari diversi hanno capacità completamente diverse, e un controllo che sconfigge uno può essere irrilevante per un altro.
- Chi prende in prestito occasionalmente: accesso fisico a un telefono sbloccato, nessuna credenziale, finestra breve.
- Un familiare: accesso fisico ripetuto, spesso conosce il codice, può condividere un account.
- Un ladro: accesso fisico a un dispositivo bloccato, nessuna credenziale, tempo illimitato.
- Un tecnico di riparazione: accesso fisico, può richiedere il codice, strumenti professionali.
- Un attaccante dell'account: nessun accesso fisico, prende di mira credenziali e copie cloud.
- Una persona coercitiva: accesso fisico più la capacità di costringerti a sbloccare.
Perché nessuna singola funzione vince
Un album nascosto risolve lo scorrimento accidentale e fallisce completamente contro qualcuno che conosce il codice del dispositivo. Una cassaforte solo locale riduce l'esposizione cloud e aumenta la conseguenza di perdere il telefono. Un'opzione di coercizione distruttiva affronta la coercizione e introduce un rischio irreversibile.
Ogni controllo baratta qualcosa. La domanda non è mai quale sia il più forte ma quale compromesso corrisponda alla persona che affronti davvero.
Mappa ogni copia prima di scegliere qualsiasi cosa
I controlli si applicano alle posizioni, quindi il modello è incompleto finché non sai dove esistono le copie. L'originale nel rullino, la libreria cloud, i fili di messaggi, i download, i backup di sistema, le esportazioni e qualsiasi cosa un destinatario detenga ancora sono tutte posizioni separate con esposizione separata.
Una cassaforte copre esattamente una di esse. Vale la pena saperlo prima di concludere che il problema sia risolto.
Costruisci il modello in quattro passaggi
- Nomina i probabili osservatori anziché immaginare un attaccante generico.
- Elenca l'accesso fisico, alle credenziali, all'account e al dispositivo di ciascuno.
- Mappa ogni copia e ogni percorso di recupero che esiste attualmente.
- Scegli il più piccolo insieme di controlli che cambia quei percorsi specifici, e metti per iscritto il rischio che rimane.
I modelli di guasto
- Progettare solo per un attaccante drammatico mentre il rischio realistico è un telefono prestato.
- Ignorare la condivisione accidentale, che è più comune di qualsiasi attacco deliberato.
- Scegliere controlli di privacy senza un piano di recupero, e perdere i dati tu stesso.
- Trattare il modello come permanente quando dispositivi, account e relazioni cambiano.
Noah inizia con un test non sensibile: «Nomina i probabili osservatori: chi prende in prestito occasionalmente, familiare, ladro, tecnico, attaccante dell'account o persona coercitiva». Poi, Noah segue la seconda verifica: «Elenca il loro accesso fisico, alle credenziali, all'account e al dispositivo». Questo scenario fittizio illustra il processo decisionale; non è un resoconto di test di prodotto.
- Progettare solo per un attaccante drammatico
- Ignorare la condivisione accidentale
- Scegliere la privacy senza il recupero
Ho bisogno di conoscenze di sicurezza avanzate?
No. Domande concrete su persone, copie e perdita sono sufficienti per iniziare.
Una cassaforte può gestire rischi diversi?
A volte, ma spazi e credenziali indipendenti possono separare meglio contenuti di lavoro, personali, esca o ad alto rischio.