Kirayə götürülmüş VPN serverində trafikinizi kim görə bilər?

Server kirayələmək kimə etimad etdiyinizi dəyişir və sualı aradan qaldırmır. Tunel trafikinizi keçdiyi şəbəkələrdən gizlədir, sonra açıq mətni başqasının hipervizorunun idarə etdiyi maşına verir. Paketi müştərinizdən kənara doğru izləmək hər müşahidəçinin harada durduğunu və hər birinin həqiqətən nə görə bildiyini göstərir. Bu gəzinti anonim olmaq barədə hər hansı iddiadan daha faydalıdır.

Müştəridən başlayın və paketi kənara izləyin

Nəsə noutbukdan çıxmazdan əvvəl müştəri paketi bükür və serverin açıq son nöqtəsinə ünvanlayır. Yerli şəbəkəniz və İSP-niz həmin ünvana və porta gedən bir axın görür: bir həcm və bir ritm. Görmədikləri isə hansı saytı açdığınızdır, çünki həmin təyinat şifrələnmiş yükün içindədir. Metaməlumatla məzmun arasındakı xətt bütün gəzintinin bir cümləlik ifadəsidir.

İlk atlama məhz marketinq iddialarının böyük hissəsinin maraqlı olmaqdan çıxdığı yerdir. Eyni Wi-Fi-dakı qonşu İSP-nin gördüyünü görür və heç biri səhifəni görmür. Həcm və vaxt isə görünən qalır və yük bunu etməsə də, onlar davranışı təsvir edir.

Hostinq şəbəkəsi tuneli görür, səhifəni yox

Provayderin şəbəkəsi daxilində şifrələnmiş axın əvvəlcə kommutatora, sonra virtual interfeysə, sonra VM-inizə çatır. O şəbəkəni idarə edən istənilən şəxs heç bir açar saxlamadan baytları saya və axın qeydlərini saxlaya bilər və bunun üçün açar lazım deyil. Bu, hostinq provayderinin tutduğu mövqeyin eynisidir.

Çıxış yolunda mənzərə dəyişir. VM təyinatla yeni bağlantı açır, ona görə hostinq şəbəkəsi həmin təyinat ünvanını və ətrafındakı TLS əl sıxışmasını görə bilir. Yük tətbiqin öz şifrələməsi ilə qorunur, metaməlumat isə yox.

Sətirləri ardıcıllıqla oxuyun və problemin forması görünür: hər biri üstündəki sətirdən çoxunu görür və heç biri bunu etmək üçün VPN-i sındırmaq məcburiyyətində deyil.

VM-in içində tunel bitir və açıq mətn başlayır

Tunel VM-inizdə bitir, ona görə qonaq daxili paketi hər hansı yenidən şifrələmədən əvvəl görür. Bu qüsur deyil; özünün yerləşdirdiyi çıxışın etdiyi iş budur. Bu o deməkdir ki, çıxışın təhlükəsizliyi qonağı kimin idarə etdiyindən asılıdır və bu hesabda idarəçi sizsiniz.

wg show
ss -tunp | head
nft list ruleset | head -40

Bunları serverdə işlədin və qonaqda kök hüququ olan operatorun yoxlaya biləcəyi soketlərin eynisini yoxlayırsınız. İşlətdiyiniz xidmətlərin qeydə aldığı hər şey həmin etimad sərhədinin içindədir, buna görə qonaq jurnal parametrləri və infrastruktur qeydləri bir parametr deyil, iki ayrı sualdır.

Hipervizor qonağın altında oturur

Virtual maşın işlədiyi nüvəyə sahib deyil. Hipervizor onun yaddaşını və virtual şəbəkə kartını xəritələyir, ona görə həmin təbəqədəki operator qonağın audit imkanından kənarda qalır. Qonaq təcridi realdır və icarəçilər arasında ona güvənməyə dəyər, lakin bu, imtiyazlı girişin mümkünsüz olduğuna dair vəd deyil. Bu asimmetriya təcrid sözünün arxasında gizlədilmək əvəzinə açıq deyilməlidir.

Ayrılmış fiziki server şəbəkəni, fiziki girişi və ya provayderin təqdim etdiyi idarəetmə interfeysini aradan qaldırmadan quruluşu dəyişir. Giriş sualını bir sözün həll etməsinə imkan vermək əvəzinə məhsulun sənədləşdirdiyini oxuyun.

Gəzintini etimad qərarına çevirin

Hər müşahidəçini və ona verdiyiniz imkanı yazın, sonra bu icazənin göndərməyi planlaşdırdığınız trafikə uyğun olub-olmadığına qərar verin. Siyahı qısadır: yerli şəbəkəniz, İSP-niz, hostinq şəbəkəsi, hipervizor operatoru və siz. Başqa hər şey bunlardan birinin subpodratçısıdır və eyni imkanı miras alır. Əvvəlcədən qərar vermək siyahını sonradan kəşf etməkdən ucuzdur.

Sonra həqiqətən yoxlaya bildiyiniz hissələri təsdiqləyin: öz xidmətlərinizin hansı jurnalları yazdığını, onları nə qədər saxladığınızı və provayderin axın qeydləri və saxlama barədə nə dərc etdiyini. Oxuya və sınaya bildiyiniz siyasətlər «özəl» kimi bir sözün nə demək olduğuna dair fərziyyələrdən üstündür.