Кратко

  • RFC 1281 называл правила Internet добровольными и в основном непринудительными, кроме областей действия национального закона. Их соблюдение могло быть условием присоединения, но не создавало центрального исполнителя.
  • Пользователи, поставщики услуг, операторы, производители и разработчики несли разные обязанности. Каждая площадка должна была объявить правила, пределы наблюдения, контакт и лицо, вправе принимать решения.
  • Обнаружение, уведомление, реагирование, установление личности и санкция не были одним событием. Для каждого перехода нужны свои доказательства и полномочия.

Условия участия не превращались в центральную власть

Опубликованные в ноябре 1991 года Guidelines for the Secure Operation of the Internet имели статус Informational, а не стандарта Internet. Каждая участвующая сеть отвечала за собственную работу; единого управляющего органа над всеми компонентами не было.

RFC 1281 называл добровольность силой Internet и, возможно, его самым хрупким свойством. Правила оставались добровольными и почти не поддавались принуждению, если только не применялся национальный закон. Но и присоединение было добровольным. Соблюдение правил могло стать частью условий участия, а нарушение — основанием рассмотреть санкции.

Основание не равно решению. Общая рекомендация не доказывала нарушение, не назначала решающего и не устанавливала единого наказания. Приложение связывало последствия с конкретной площадкой и характером инцидента. Норма была общей, право действовать — местным.

У каждой обязанности оставался свой носитель

Безопасность включала частную жизнь, несанкционированное изменение, отказ в обслуживании и незаконный доступ. Пользователи должны были знать правила, соблюдать их, отвечать за действия и применять доступную защиту. Поставщики услуг поддерживали безопасность и сообщали о правилах и изменениях. Производители и разработчики создавали надёжные системы и средства контроля, описывали возможности, исправляли дефекты и своевременно распространяли исправления. Сотрудничество требовалось от всех, а улучшение должно было быть непрерывным и начинаться при проектировании.

Такое распределение не позволяло одному отделу присвоить все обязанности. Слабая защита не давала разрешения на вторжение. Открытая система всё равно должна была помогать другим площадкам. Исправление производителя не заменяло настройки и реакции оператора.

Ответственность сначала требовала карты: какая обязанность действовала, кому принадлежала и какие возможности имел этот участник. Общая фраза «сбой безопасности» не отвечала, кто должен исправлять последствия.

Опубликованное правило ещё требовалось довести до адресата

Приложение требовало ясной, сообщённой, сохранённой и доступной вместе с условиями доступа политики. Сам документ не доказывал, какая версия когда и для кого действовала и как объявлялись изменения.

Предшествующий RFC 1244 раскрывал эту цепочку. Политика работает лишь после сообщения пользователям и обслуживающему персоналу. Условием доступа могло стать подписанное подтверждение прочтения и понимания; предварительное объявление и срок для замечаний оставляли дополнительные свидетельства.

Текст, доставка, подтверждение и область применения — разные факты. Для санкции дополнительно нужны доказательство поведения, решение уполномоченного лица и допустимое политикой или законом последствие.

У наблюдения был контур частной жизни

RFC 1281 советовал применять журналы, аудит и трассировку для контроля соблюдения и событий. Одновременно следовало публиковать, что собирается, кто получает доступ и с какой целью, сохраняя частную жизнь пользователей. Способность видеть ещё не означала законность любого просмотра.

RFC 1244 разделял обычный диагностический сбор и расследование нарушения. Одна и та же сетевая запись меняет смысл, когда используется не для устранения неисправности, а для оценки действий человека. Аудит документирует проверку и ожидаемый результат, но даёт уверенность, а не абсолютное доказательство.

Полезной записи нужны цель, границы, срок хранения, доступ, целостность и вопрос, на который она способна ответить. Без этого наблюдение за работой сервиса незаметно превращается в власть судить людей.

Общедоступный контакт не получал власть автоматически

Каждая площадка должна была опубликовать известный контакт по безопасности. Этот человек либо заранее имел право решить вопрос, либо мог быстро найти того, кто имел. Приём сообщения и принятие решения оставались разными ролями.

Адрес подтверждает наличие места доставки. Он не подтверждает право изолировать систему, раскрывать данные, обращаться к правоохранителям или прекращать доступ. RFC 1244 советовал заранее определить, кто может говорить с удалёнными площадками, прессой и правоохранительными органами и какие сведения разрешено раскрывать.

Позднейший RFC 2350 отделил круг обслуживаемых командой реагирования участников от систем, которыми команда могла управлять, и требовал назвать покровителя и полномочия. Форму 1998 года нельзя выдавать за готовый институт 1991-го. Она лишь подчёркивает прежнюю границу: открытая дверь не является всеобщей юрисдикцией.

Между сигналом и санкцией лежала цепь решений

При вторжении RFC 1281 признавал выбор между быстрым закрытием уязвимости и коротким продолжением наблюдения ради установления нарушителя. Следовало уведомить другие затронутые площадки, но не раскрывать безгранично детали, способные усилить риск.

Нужно было обнаружить сигнал, оценить событие, определить возможных пострадавших, уведомить контакт, выбрать сдерживание или наблюдение, исследовать доказательства и оценить атрибуцию. Лишь затем компетентный орган мог рассмотреть подходящую санкцию.

Тревога не была инцидентом; инцидент не был личностью; личность не доказывала умысел; умысел не назначал последствие автоматически. Поздний RFC 2196 требовал осуществимой, исполнимой и ясной в распределении ответственности политики, а при санкциях различал ошибку, наивность и намерение.

RFC 1281 не предлагал единого рычага для всего Internet. Он оставлял проверяемыми отдельные элементы: правило, уведомление, границу наблюдения, контакт, полномочие и доказательство каждого следующего шага.

Источники и пределы

Основной источник — официальный RFC 1281, ближайший контекст — RFC 1244. Последний называл себя неполной первой попыткой с уклоном в ресурсы США; оба документа нельзя считать всеобщим законом. RFC 2196 и RFC 2350 используются только как более поздний контекст формализации политики, санкций, круга обслуживания и полномочий.