Waarom de uitsluitingslijst niet gehasht is

Een site bouwen betekent hem twintig keer per dag openen. Bij een teller met veertig bezoekers per maand is de helft van de statistieken de maker zelf. Daarom is er een instelling: tel bezoeken vanaf mijn eigen adres niet mee.

Overal elders in deze dienst worden adressen gehasht met een geheim zout en een datum, en het adres zelf bereikt de opslag nooit. Op deze ene plek wordt het precies zo bewaard als het is ingevoerd, in leesbare vorm. Dat is een bewust besluit en het verdient hardop gezegd te worden in plaats van dat iemand het ontdekt.

De versie die eerst geprobeerd is

De eerste uitvoering bewaarde een controlegetal van het adres, in lijn met al het andere. Het werkte, het bewaarde minder, en het was zo goed als nutteloos: de meeste thuisverbindingen krijgen elke dag een nieuw adres. De uitsluiting klopte op het moment dat ze werd ingesteld en was de volgende ochtend waardeloos.

Wat een dagelijkse wisseling wel overleeft, is een bereik — meestal de /24 of /16 van de provider, die gelijk blijft terwijl het laatste deel roteert. En een bereik is niet als controlegetal te vergelijken. Hashen vernietigt de ordening met opzet, en "ligt dit adres binnen dit bereik" is een vraag over ordening. Er is geen slimme omweg; de twee eisen wijzen tegengestelde kanten op.

Het bereik wordt dus bewaard zoals het is ingevoerd, genormaliseerd, samen met zijn twee grenzen van elk zestien bytes, en één BETWEEN geeft de doorslag. IPv4 wordt in zijn IPv6-vorm geschreven, zodat beide families even breed zijn en één vergelijking allebei afdekt.

Waarom deze ruil hier aanvaardbaar is

Wat er bewaard wordt, is het eigen netwerk van de beheerder, door hem ingetypt, aan hem teruggetoond en door hem op elk moment te verwijderen. Het is niet het adres van een bezoeker. De privacyverklaring zegt hetzelfde in dezelfde woorden, want het alternatief — de dienst beschrijven als "alles wordt gehasht" en dit stilletjes uitzonderen — zou de soort bewering zijn die in grote lijnen waar is en minder waard dan helemaal geen bewering.

De grens ligt op tien vermeldingen per teller: genoeg voor thuis, kantoor en mobiel, weinig genoeg dat de lijst geen algemene bewaarplaats voor adressen kan worden.

De tweede soort, voor dingen die bewegen

Sommig verkeer heeft een vaste identiteit en een wisselend adres: een uptimemonitor, een linkvoorbeeldophaler van een chatprogramma, een controledienst. Geen enkel bereik vangt die.

Voor hen komt de uitsluiting overeen met een fragment van de browserherkenning. Het invoeren van uptimerobot vangt de hele tekenreeks die hij stuurt. Het minimum is vier tekens, want een fragment van twee letters zou in bijna elke herkenningstekenreeks voorkomen en de teller volledig uitschakelen.

Het algemene punt

Een privacyontwerp is een reeks ruilen, en de interessante delen zijn waar een regel moest buigen. Regels die nooit buigen betekenen meestal dat nog niemand ze tegen een echte eis heeft gehouden.

Wat je moet vermijden, is er stilletjes een buigen. Een gehasht veld dat niet echt gehasht is en in de documentatie beschreven wordt alsof het dat wel is, is erger dan een leesbaar veld dat leesbaar beschreven wordt — het geeft vertrouwen uit dat het niet verdiend heeft, en het wordt uiteindelijk gevonden door iemand die niet verwachtte te moeten nakijken.