Hassas bir değeri değiştiren birbirinden ayrı iki mekanizma — istek yolunda geri alınabilir maskeleme ve tespit kaydında geri alınamaz takma adlandırma.

CID222 hassas bir değeri iki farklı yerde, iki farklı nedenle ve iki farklı garantiyle değiştirir. Bunları karıştırmak, neyin geri getirilebileceği konusunda yanlış bir beklentiye yol açar.

Sorun

Bir müşterinin e-posta adresini içeren bir istem ticari bir modele ulaşmamalıdır — ama geri gelen yanıt, bir kişi yerine [EMAIL_1] hakkındaysa soruyu soran banka görevlisi için işe yaramaz. Bu sırada ağ geçidinin o e-postayı yakaladığını kanıtlayan tespit kaydının bir denetim için ayakta kalması ve kendisinin, koruduğu verinin bir kopyası hâline gelmemesi gerekir. Tek bir değiştirme mekanizması bu ikisini birden karşılayamaz: birincisinin geri alınabilir olması, ikincisinin ise olmaması gerekir.

CID222 bunu nasıl yapar

Maskeleme — istek yolunda, politikaya göre geri alınabilir

İstek ağ geçidinden çıkmadan önce, maskelenmek üzere işaretlenen her varlık yerinde numaralı bir yer tutucuyla değiştirilir: [EMAIL_1], [CREDIT_CARD_2]. Sağlayıcı yalnızca yer tutucuyu görür.

Numaralandırma konuşmanın tamamı boyunca kararlıdır. Önceki turlardaki yer tutucu–değer eşlemesi ileri taşınır; böylece bir müşteri birinci turdan onuncu tura kadar [EMAIL_1] olarak kalır ve sonraki bir tur çakışan bir numara üretemez. Bu eşleme, veri işleme ve saklama sayfasında anlatılan şifreli pii_map yapısıdır.

Bilinmeye değer iki davranış vardır:

Reddedilmek üzere işaretlenen bir varlık maskelemeyi tümüyle kısa devre yaptırır. Metin yeniden yazılmaz; istek reddedilir.
Maskelenmek üzere işaretlenen ama konum bilgisi taşımayan bir varlık — yani bir aralık değil, tüm metne ilişkin bir karar — mesajın yalnızca bir bölümünü değil tamamını kendi yer tutucusuyla değiştirir.

Maske kaldırma — varsayılan olarak kapalı, kiracı bazlı

Yanıt geri geldiğinde, bunu tercih etmiş bir kiracıda özgün değerler geri konur; böylece okuyucu kullanılabilir bir yanıt görür. Bu en sonda ve bir kopya üzerinde çalışır: oturum, maskelenmiş metni saklamayı sürdürür.

Maske kaldırma herkes için varsayılan olarak kapalıdır. Genel olarak, kiracı bazında ya da kiracı grubu bazında açılır ve öncelik sırası şöyledir: açık kiracı ayarı, sonra kiracının gruplarından herhangi biri, sonra genel varsayılan — yani bir kiracıdaki açık bir false, o kullanıcıyı açık bir gruptan ayırır. Ayar veritabanından okunur ve yaklaşık her 30 saniyede bir yeniden yüklenir.

Warning

Maske kaldırmayı açmak, gerçek kişisel verinin o kiracının oturumunu elinde tutan kişiye geri döndürülmesi demektir. Bu bir görüntüleme tercihi değil, okuyucunun kim olduğuna dair bir karardır. Ayrıca PII_MAP_ENCRYPTION_KEY değerinin ayarlanmış olmasına bağlıdır; anahtar yoksa politika ne olursa olsun yanıtlar maskeli kalır.

Takma adlandırma — tespit kaydında, geri alınamaz

Bundan ayrı olarak, bir tespit veritabanına yazılırken değeri takma adlandırma hizmetinden geçer; bu hizmet üç şey üretir ve özgün değerden hiçbirini saklamaz:

Çıktı	Nedir
Görüntüleme jetonu	Tespitin kendi varlık türünden `<TÜR_dizin>` biçiminde kurulan okunabilir bir karşılık — bir e-posta tespiti `<EMAIL_0>`, sonraki kart `<CREDIT_CARD_1>` olur
Değer özeti	Özgün değerin SHA-256 özeti; 64 onaltılık karakter
Özgün uzunluk	Karakter sayısı

Özet, yinelenenleri ayıklamayı ve denetimi mümkün kılar — iki kayıt, hiçbiri veriyi taşımadan karşılaştırılabilir. Geri çevrilemez.

Varsayılan açıktır. Bayrağı ayarlanmamış bir filtre satırı da, hiç filtre satırı olmayan bir varlık türü de takma adlandırılır. Düz metin saklamak, bir yöneticinin o filtre için bayrağı açıkça kapatmasını gerektirir.

İkisi birbirine bağlı değildir

Ortak yanları <TÜR_n> biçimli bir jeton ve başka hiçbir şey değildir. Maskeleme, kendisini geri alabilecek bir anahtarı olan bir istek yolu dönüşümüdür; takma adlandırma ise geri alınamayan bir depolama yolu dönüşümüdür. Her filtrenin nasıl yapılandırıldığına bağlı olarak bir değer maskelenip takma adlandırılmayabilir ya da tersi olabilir.

Sınırlar ve bilinen eksikler

Maskeleme tespite bağlıdır. Hattın bulmadığı bir varlık maskelenmez ve sağlayıcıya olduğu gibi ulaşır. Kapsam, "tüm kişisel veriler" değil, kişisel veri tespiti sayfasındaki varlık kataloğudur.
Çakışan tespitler maskelemeden önce sadeleştirilir. İki tespit motoru çakışan aralıklar iddia ettiğinde bir aralık ayakta kalır. Ayakta kalan yer tutucu tek bir varlık türünü adlandırır; bu yüzden hem ad hem adres olan bir aralık bunlardan biri olarak kaydedilir.
Tüm metni kapsayan bir maske mesajı yok eder. Konum bilgisi olmayan bir maskeleme kararı mesajın tamamını bir yer tutucuyla değiştirir. Konumu belirlenemeyen bir aralıkta olumlu bir karar için bu doğrudur ve maskeleme bekleyen bir kullanıcı için şaşırtıcıdır.
Takma adlandırma filtre bazındadır ve kapatılabilir. Bir filtre için bunu kapatmış bir dağıtım, o varlığın düz metnini ai_content_detections içinde saklıyordur. Sonradan hiçbir şey uyarmaz; seçimin tek kaydı bayraktır.
Özet, tuzsuz SHA-256'dır. Düşük entropili bir değerde — bir ulusal kimlik numarası, bir telefon numarası — veritabanını eline geçirmiş kararlı biri, tahminini özetleyerek doğrulayabilir. Özet, iki kaydın aynı değere işaret ettiğini kanıtlar; küçük bir kümeden çekilmiş bir değeri gizlemez.
Ham tespit değeri bir yönetici tarafından hâlâ okunabilir. Takma adlandırmanın kapalı olduğu yerde tespit API'si değeri admin_user rolüne döndürür. Bir auditor hesabı bunun yerine maskelenmiş biçimi ya da varlık türü yer tutucusunu alır.

İlgili

Kişisel veri tespiti — en başta neyin bulunduğu.
Veri işleme ve saklama — bu kayıtların her birinin nerede yaşadığı ve ne kadar sürdüğü.
Mevzuat eşlemesi — bu mekanizmaların karşıladığı yükümlülükler.

Takma adlandırma ve maskeleme