Wie kan jou verkeer sien op 'n gehuurde VPN-bediener?

Om 'n bediener te huur verander wie jy vertrou, en dit verwyder nie die vraag nie. Die tonnel verberg jou verkeer vir die netwerke wat dit kruis, en gee dan die gewone teks aan 'n masjien wat deur iemand anders se hipervisor bestuur word. Om die pakket van jou kliënt af na buite te volg, wys waar elke waarnemer staan en wat elkeen werklik kan sien. Daardie wandeling is nuttiger as enige bewering oor anoniem wees.

Begin by die kliënt en volg die pakket na buite

Voordat enigiets die skootrekenaar verlaat, verpak die kliënt die pakket en adresseer dit aan die bediener se publieke eindpunt. Jou plaaslike netwerk en jou ISP sien een stroom na daardie adres en poort, met 'n grootte en 'n ritme. Wat hulle nie sien nie, is watter werf jy oopgemaak het, want daardie bestemming sit binne die geënkripteerde vrag. Die lyn tussen metadata en inhoud is die hele deurloop in een sin.

Daardie eerste sprong is waar die meeste bemarkingsbewerings ophou interessant wees. 'n Buurman op dieselfde Wi-Fi sien wat die ISP sien, en nie een van hulle sien die bladsy nie. Volume en tydsberekening bly egter sigbaar, en hulle beskryf gedrag selfs wanneer die vrag dit nie doen nie.

Die gasheernetwerk sien die tonnel, nie die bladsy nie

Binne die verskaffer se netwerk kom die geënkripteerde stroom by 'n skakelaar aan, dan by 'n virtuele koppelvlak, dan by jou VM. Wie ook al daardie netwerk bedryf, kan grepe tel en stroomrekords hou sonder om enige sleutel te hou, en geen sleutel word daarvoor nodig nie. Dit is presies die posisie wat 'n gasheer-verskaffer beklee.

Op pad uit verander die prentjie. Die VM maak 'n nuwe verbinding na die bestemming, so die gasheernetwerk kan daardie bestemmingsadres en die TLS-handskud rondom dit sien. Die vrag bly deur die toepassing se eie enkripsie beskerm, en die metadata nie.

Lees die rye in volgorde en die vorm van die probleem verskyn: elkeen sien meer as die ry bo hom, en nie een van hulle hoef die VPN te breek om dit te doen nie.

Binne die VM eindig die tonnel en begin gewone teks

Die tonnel eindig op jou VM, so die gasheer sien die binnepakket voordat enigiets dit weer enkripteer. Dit is nie 'n fout nie; dit is wat 'n self-gehoste uitgang doen. Dit beteken wel dat die uitgang se sekuriteit daarvan afhang wie die gasheer administreer, en op daardie rekening is jy die administrateur.

wg show
ss -tunp | head
nft list ruleset | head -40

Voer dit op die bediener uit en jy ondersoek dieselfde sokkies wat 'n operateur met root op die gasheer kan ondersoek. Enigiets wat deur die dienste wat jy bedryf, aangeteken word, sit binne dieselfde vertrouensgrens, en daarom is gasheer-loginstellings en infrastruktuurrekords afsonderlike vrae eerder as een instelling.

Die hipervisor sit onder die gasheer

'n Virtuele masjien besit nie die kern waarop dit loop nie. Die hipervisor karteer sy geheue en sy virtuele netwerkkaart, so 'n operateur op daardie laag val buite die gasheer se vermoë om dit te oudit. Gasheer-isolasie is werklik en die moeite werd om tussen huurders op te vertrou, en dit is nie 'n belofte dat bevoorregte toegang onmoontlik is nie. Daardie asimmetrie verdien dit om reguit gestel te word in plaas daarvan om agter die woord isolasie weg te kruip.

'n Toegewyde fisiese bediener verander die reëling sonder om die netwerk, die fisiese toegang of die bestuurskoppelvlak wat die verskaffer voorsien, te verwyder. Lees wat die produk dokumenteer eerder as om een woord die toegangsvraag te laat besleg.

Maak die deurloop 'n vertrouensbesluit

Skryf elke waarnemer neer en die vermoë wat jy aan hom gee, en besluit dan of daardie toekenning pas by die verkeer wat jy van plan is om te stuur. Die lys is kort: jou plaaslike netwerk, jou ISP, die gasheernetwerk, die hipervisor-operateur, en jy. Enigiets anders is 'n subkontrakteur van een van hulle en erf dieselfde vermoë. Om vooraf te besluit is goedkoper as om die lys agterna te ontdek.

Verifieer dan die dele wat jy werklik kan nagaan: watter logs jou eie dienste skryf, hoe lank jy hulle hou, en wat die verskaffer publiseer oor stroomrekords en bewaring. Beleide wat jy kan lees en toets, is beter as aannames oor wat 'n woord soos privaat beteken.