Aplicar LINDDUN al diagrama de flujo de datos

El diagrama tiene los cuatro elementos de siempre: entidades externas, procesos, almacenes y flujos, con sus fronteras de confianza. La diferencia con un análisis por elemento es que la versión sistemática de LINDDUN toma cada interacción (un flujo con su origen y su destino) y la mira por tres lados. En el origen: qué comparte quien envía y si comparte más de lo necesario. En el flujo: qué revela lo que viaja, incluidos los metadatos, a quien pueda verlo pasar. En el destino: qué hace quien recibe con el dato, cuánto lo guarda y con qué lo junta.

La regla práctica es que todo flujo personal que cruza una frontera de confianza se analiza, aunque no toque los servidores propios: un flujo que va del celular de la persona a un tercero también es del sistema, porque lo puso ahí el diseño.

El análisis de un equipo suele seguir el camino de sus propios servidores, y por eso se le escapan los flujos que salen directamente del celular hacia un tercero: los kits que se incluyen dentro de la app, los servicios de mapas, los botones de redes sociales. Son flujos del sistema aunque nadie del equipo los haya programado a mano.

Lee dfd/elementos.txt y dfd/flujos.txt y cruza los flujos con la primera columna de dfd/analisis-por-interaccion.txt.

Que el destino no guarde un dato no cierra el análisis: lo que viaja puede contar algo por sí mismo a quien lo transporta o lo entrega. El texto de un mensaje, el nombre de un lugar, la hora en que se envía. Un intermediario que «solo entrega» lee lo que entrega, y un contrato que dice que no lo guarda no cambia lo que ya supo.

Revisa las filas del análisis que concluyen «sin amenaza» y, para cada una, lee qué lleva su flujo en la tabla de flujos.

En el destino, la amenaza de vinculación aparece cuando un almacén recibe datos de orígenes distintos que, juntos, dicen más que por separado. Un lago de datos analítico es el lugar típico: cada copia nocturna parece inocente («ya estaba en otro sitio»), pero el lago es el único lugar donde la identidad completa y el comportamiento quedan uno al lado del otro, al alcance de todos los que hacen análisis.

Mira los destinos de los flujos de copia y qué lleva cada uno.

El flujo de la tarea 2 manda a un tercero, cada minuto, la ubicación de la persona junto a un identificador publicitario que ese tercero puede cruzar con los de otras apps. Pedalia quiere seguir sabiendo qué pantallas se usan y dónde se atascan las personas.