Miks välistusloendit ei räsita

Veebisaiti ehitades avatakse seda päevas kakskümmend korda. Loenduril, mille külastajaid on kuus nelikümmend, on pool statistikast autor ise. Seepärast on säte: ära loe külastusi minu enda aadressilt.

Mujal selles teenuses räsitakse aadressid salajase soola ja kuupäevaga ning aadress ise ei jõua kunagi salvestusse. Selles ühes kohas hoitakse seda täpselt nii, nagu see sisestati, selgelt. See on teadlik otsus ja seda tasub valjusti öelda, mitte jätta avastada.

Esimesena proovitud versioon

Esimene teostus salvestas aadressi kontrollsumma, kooskõlas kõigega muuga. See töötas, salvestas vähem ja oli peaaegu kasutu: enamik koduühendusi saab iga päev uue aadressi. Välistus oli õige hetkel, kui see seati, ja väärtusetu järgmisel hommikul.

See, mis päevase muutuse üle elab, on vahemik — tavaliselt pakkuja /24 või /16, mis püsib samana, kui viimane osa vaheldub. Ja vahemikku ei saa kontrollsummana võrrelda. Räsimine hävitab järjestuse tahtlikult ning küsimus „kas see aadress on selles vahemikus“ on küsimus järjestuse kohta. Ümbersõitu ei ole; kaks nõuet osutavad vastupidistes suundades.

Seega salvestatakse vahemik sisestatud kujul, normaliseerituna, koos oma kahe piiriga, kumbki kuusteist baiti, ja otsuse teeb üks operaator BETWEEN – ja ainult see. IPv4 kirjutatakse oma IPv6 kujul, nii et mõlemad perekonnad on sama laiad ja üks võrdlus katab mõlemad.

Miks see kompromiss siin vastuvõetav on

Salvestatakse operaatori enda võrk, tema enda sisestatud, talle tagasi kuvatud ja tema poolt igal hetkel kustutatav. See ei ole külastaja aadress. Selle kohta ütleb sama privaatsuspoliitika samade sõnadega, sest alternatiiv — teenuse kirjeldamine kõike räsivana ja sellest vaikselt erandi tegemine — oleks selline piirjoontes tõene väide, mis on vähem väärt kui puuduv väide.

Piir on kümme kirjet loenduri kohta: piisavalt kodu, kontori ja mobiili jaoks, ja piisavalt vähe, et loend ei saaks muutuda üldotstarbeliseks aadresside hoidlaks.

Teine liik, liikuvate asjade jaoks

Mõnel liiklusel on püsiv identiteet ja ebapüsiv aadress: tööaja monitor, vestlusprogrammi lingi eelvaate hankija, kontrolliteenus. Ükski vahemik neid ei püüa.

Nende jaoks sobitab välistus hoopis brauseri tuvastusstringi fragmendi. Sisestades uptimerobot püütakse kinni kogu string, mille see saadab. Miinimum on neli märki, sest kahetäheline fragment esineks peaaegu igas tuvastusstringis ja lülitaks loenduri täielikult välja.

Üldine mõte

Privaatsuskujundus on kompromisside kogum ja huvitavad osad on seal, kus reegel pidi painduma. Reeglid, mis kunagi ei paindu, tähendavad tavaliselt, et keegi pole neid veel päris nõudega testinud.

Vältida tuleb seda, et reeglit painutatakse vaikselt. Räsitud väli, mis tegelikult ei ole räsitud, dokumentatsioonis kirjeldatuna nagu oleks, on hullem kui lihtne väli, mida kirjeldatakse lihtsalt — see kulutab usaldust, mida ta pole välja teeninud, ja see leitakse varem või hiljem üles kellegi poolt, kes ei oodanud kontrollima pidada.