Mengapa daftar pengecualian tidak di-hash

Membangun situs berarti membukanya dua puluh kali sehari. Pada penghitung dengan empat puluh pengunjung sebulan, separuh statistiknya adalah pembuatnya sendiri. Karena itu ada pengaturan: jangan hitung kunjungan dari alamat saya sendiri.

Di semua bagian lain layanan ini, alamat di-hash dengan salt rahasia dan tanggal, dan alamatnya sendiri tidak pernah sampai ke penyimpanan. Di satu tempat ini, alamat disimpan persis seperti yang dimasukkan, dalam bentuk teks biasa. Itu keputusan yang disengaja dan layak disampaikan secara terbuka, bukan dibiarkan untuk ditemukan sendiri.

Versi yang dicoba pertama kali

Implementasi pertama menyimpan checksum dari alamat, sejalan dengan semua bagian lain. Cara itu berfungsi, menyimpan lebih sedikit, dan nyaris tidak berguna: sebagian besar koneksi rumah mendapat alamat baru setiap hari. Pengecualian itu benar saat diatur dan tidak berguna keesokan paginya.

Yang bertahan dari perubahan harian adalah rentang — biasanya /24 atau /16 milik penyedia, yang tetap sama sementara bagian terakhir berganti. Dan rentang tidak dapat dibandingkan sebagai checksum. Hashing sengaja menghancurkan urutan, dan “apakah alamat ini berada di dalam rentang ini” adalah pertanyaan tentang urutan. Tidak ada cara cerdik untuk menghindarinya; kedua kebutuhan itu mengarah ke arah yang berlawanan.

Jadi rentang disimpan seperti yang dimasukkan, dinormalisasi, bersama kedua batasnya yang masing-masing berukuran enam belas byte, dan satu BETWEEN yang memutuskan. IPv4 ditulis dalam bentuk IPv6-nya sehingga kedua keluarga alamat memiliki lebar yang sama dan satu perbandingan mencakup keduanya.

Mengapa kompromi ini dapat diterima di sini

Yang disimpan adalah jaringan milik pengelola sendiri, diketik oleh mereka, ditampilkan kembali kepada mereka, dan dapat mereka hapus kapan saja. Itu bukan alamat pengunjung. Kebijakan Privasi menyatakan hal yang sama dengan kata-kata yang sama, karena alternatifnya — menggambarkan layanan ini sebagai layanan yang meng-hash segalanya sambil diam-diam mengecualikan hal ini — akan menjadi klaim yang hanya benar secara garis besar, dan klaim seperti itu nilainya lebih rendah daripada tidak ada klaim sama sekali.

Batasnya sepuluh entri per penghitung: cukup untuk rumah, kantor, dan ponsel, dan cukup sedikit sehingga daftar ini tidak dapat menjadi tempat penyimpanan alamat serbaguna.

Jenis kedua, untuk hal yang berpindah-pindah

Sebagian lalu lintas memiliki identitas yang stabil dan alamat yang tidak stabil: pemantau uptime, pengambil pratinjau tautan dari program obrolan, layanan pemeriksa. Tidak ada rentang yang dapat menangkapnya.

Untuk itu, pengecualian mencocokkan penggalan identifikasi browser sebagai gantinya. Memasukkan uptimerobot akan menangkap seluruh string yang dikirimnya. Minimal empat karakter, karena penggalan dua huruf akan muncul di hampir setiap string identifikasi dan mematikan penghitung sepenuhnya.

Pelajaran umumnya

Desain privasi adalah serangkaian kompromi, dan bagian yang menarik adalah tempat sebuah aturan harus dilenturkan. Aturan yang tidak pernah dilenturkan biasanya berarti belum ada yang mengujinya terhadap kebutuhan nyata.

Yang harus dihindari adalah melenturkannya diam-diam. Kolom ter-hash yang sebenarnya tidak di-hash, tetapi dijelaskan dalam dokumentasi seolah-olah di-hash, lebih buruk daripada kolom biasa yang dijelaskan apa adanya — ia menghabiskan kepercayaan yang belum diperolehnya, dan pada akhirnya akan ditemukan oleh seseorang yang tidak menyangka harus memeriksanya.