摘要

  • RFC 6973 用一组问题检查数据、观察者、关联、保留、用户参与、安全与设计取舍；答案构成讨论依据，而不是通用评分。
  • 协议一旦与其他系统、外部数据、具体界面、默认设置、日志和运营流程结合，隐私属性就可能改变。
  • 因此，可信的隐私主张必须同时保存有版本的威胁模型与部署证据：谁能看到什么、能够怎样拼接、数据存活多久、实际运行何种默认值，以及谁承担剩余风险。

一张没有结论栏的审查表

RFC 6973 于 2013 年 7 月以 IAB 的 Informational RFC 发布。Cooper 是列在首位的作者，其他作者为 John Morris、Rhys Smith、Bernard Aboba、Marit Hansen、Hannes Tschofenig 和 Jon Peterson。它记录的是集体形成的方法，不是个人授予的权威，也不是正在晋升为互联网标准的规范。

文件先承认一个标签最不愿承认的事实：不同个人、学科与法域对隐私的理解并不相同。因此，它把注意力放在具体工程选择上，而不声称提供全球统一的法律定义。甚至“隐私考虑”应放在哪里，也由文件内容决定——可以独立成节、并入安全考虑、贯穿全文，或对某些狭窄技术不作专门展开。

这不是降低要求，而是拒绝伪造二元结论。完成问卷后，审查者可以追问遗漏的中介、无理由的持久标识符或保护较弱的默认模式。答案是判断“是否充分”的讨论基础，却不能把设计永久变成一种叫作“私密”的属性。

协议发布后，边界仍会移动

互联网协议本来就要被复用和组合。一个单独看来无害的字段，与账户、位置记录、另一种协议或运营日志连接后，可能变成识别线索。实现出现多年后，新的架构与团队也会赋予原字段未预见的用途。

所以，RFC 6973 把隐私结果放进完整系统：协议组合、产品设计、代码、用户界面、默认设置、安全流程与运营实践。规范可以限制格式、建议行为，却很少能控制中介保留多久、分析系统会连接哪些标识符、用户能否理解偏好选项，或运营方是否改用保护较弱的配置。

承认这一点不是不写分析的借口，而是要求声明分析边界。作者应检查可预见的外部交互，同时承认不可能穷举未来部署。审查只有写清覆盖范围、假设与留给实现者和运营者的决定，才是一份可复核证据。

“隐私”不是“机密性”的扩大版

RFC 6973 描述了财务、声誉、独处、自主与人身安全方面的损害，并区分监视、存储数据泄露、错误归因、关联、识别、二次使用、披露、排斥和侵扰。

这些威胁需要不同的控制。观察者可以先把活动关联起来，后来才知道真实身份。假名能够遮住姓名，却可能因为长期稳定而便于追踪。加密保护传输内容，但包长、时间、端点或长寿命令牌仍可暴露模式。同意可能改变预期，却不会删除已复制的数据，也不会在技术上阻止后来的二次使用。

观察者本身是属性定义的一部分。匿名集合取决于特定观察者知道什么，其成员还会随时间缩小。不说明观察者、辅助数据和时间窗口，“匿名”就不是完整主张；“不可关联”“最小化”“保护隐私”也一样。

三类缓解措施，三处不同的控制面

第一类是数据最小化：把收集、使用、披露、保留、可识别性、敏感度与访问权限制在任务所需。协议作者可以删除字段、缩短标识符寿命或允许轮换，但对运营者如何再利用和保留记录，往往只能提出建议。

第二类是用户参与：谁能控制向不同接收者分享什么，能否限制中介看到的数据，又能否表达偏好。有些能力属于协议，有些属于界面、合同或操作流程。线格式能够承载偏好，不等于默认界面会清楚显示，也不等于接收者会兑现。

第三类是安全：它可以缓解窃听、存储泄露、侵扰和错误归因等威胁。但安全信道不是完整的隐私设计。两端仍能看到明文并过度收集；更强认证能阻止冒充，也可能让活动更容易长期连接。审查要说明缓解了哪种威胁，以及哪些数据关系仍然存在。

问卷真正产出的是决策轨迹

第 7 节要求列出标识符和其他暴露信息，再把可见性分配给接收者、中介与辅助服务。它追问字段顺序是否形成指纹、标识符持续多久、能否与外部信息关联，以及接收者为何必须保留数据。

随后，问题进入用户控制与安全：能否针对不同接收者分享不同信息，能否限制中介，偏好是否可表达，哪些控制被假定在协议之外；流量分析还会泄露什么，存储数据如何保护，又如何处理侵扰和错误归因。

最后一组问题把藏在默认值里的政策公开。如果初始模式没有尽量减少数据、可识别性和持久性，就应说明理由；隐私与可用性、效率、可实现性之间的取舍也要写明。框架不替所有协议选择同一答案，它记录谁在什么假设下接受了什么代价。

普遍监视让系统连接处更重要

RFC 7258 后来把普遍监视定为应尽可能缓解的技术攻击。“缓解”不是保证阻止，而是提高成本、增加暴露概率或削弱效果。它也承认，有些监测服务于网络管理、反滥用或透明度；IETF 无法控制所有实现、部署、协议层和非技术回应。

RFC 7624 又把威胁模型扩展到跨协议、跨会话和跨存储的内容与元数据收集、关联。某个协议内部正确的隐私承诺，可能在系统连接处失效。这说明架构审查必须尽早发生，审查记录还要跟随实现与运营证据，而不能停在 RFC 发布日。

RFC 6973 的制度价值不是盖章，而是提供拒绝无依据盖章的共同语言。团队可以拿出威胁模型、数据流、观察者矩阵、默认值决定、保留边界和未解决风险；审计者再用真实系统验证它们。

来源