Хто бачыць ваш трафік на арэндаваным VPN-серверы?

Арэнда сервера змяняе, каму вы давяраеце, і не здымае пытанне. Тунель хавае ваш трафік ад сетак, праз якія ён ідзе, а потым перадае адкрыты тэкст машыне, якой кіруе чужы гіпервізар. Калі прасачыць пакет ад вашага кліента вонкі, бачна, дзе стаіць кожны назіральнік і што кожны з іх сапраўды можа ўбачыць. Гэтае праходжанне карыснейшае за любое сцвярджэнне пра ананімнасць.

Пачніце з кліента і прасачыце пакет вонкі

Перш чым штосьці пакіне ноўтбук, кліент абгортвае пакет і адрасуе яго публічнай кропцы прызначэння сервера. Ваша лакальная сетка і ваш правайдэр бачаць адзін паток да гэтага адраса і порта, з памерам і рытмам. Чаго яны не бачаць — які сайт вы адкрылі, бо гэтая мэта знаходзіцца ўнутры зашыфраванай нагрузкі. Мяжа паміж метаданымі і змесцівам — гэта ўсё праходжанне ў адным сказе.

Гэты першы скачок — месца, дзе большасць маркетынгавых заяў перастае быць цікавай. Сусед у той жа Wi-Fi бачыць тое, што бачыць правайдэр, і ніводзін з іх не бачыць старонку. Аб’ём і час застаюцца бачнымі, і яны апісваюць паводзіны нават тады, калі нагрузка гэтага не робіць.

Хостынг-сетка бачыць тунель, а не старонку

Унутры сеткі правайдэра зашыфраваны паток прыходзіць на камутатар, потым на віртуальны інтэрфейс, потым на вашу VM. Хто б ні кіраваў гэтай сеткай, можа лічыць байты і весці запісы патокаў, не трымаючы ніякага ключа, і ключ для гэтага не патрэбны. Гэта менавіта тое становішча, якое займае хостынг-правайдэр.

На шляху вонкі карціна змяняецца. VM адкрывае новае злучэнне да мэты, таму хостынг-сетка можа бачыць гэты адрас прызначэння і TLS-рукапоцісканне вакол яго. Нагрузка застаецца абароненай уласным шыфраваннем праграмы, а метаданыя — не.

Чытайце радкі па парадку, і форма праблемы праяўляецца: кожны бачыць больш за радок вышэй, і ніводнаму не даводзіцца ўзломваць VPN, каб гэта зрабіць.

Унутры VM тунель сканчаецца і пачынаецца адкрыты тэкст

Тунель сканчаецца на вашай VM, таму госць бачыць унутраны пакет перш чым штосьці перашыфруе яго зноў. Гэта не хіба; гэта тое, што робіць самастойна размешчаны выхад. Гэта азначае, што бяспека выхаду залежыць ад таго, хто адмініструе госця, і па гэтым рахунку адміністратар — вы.

wg show
ss -tunp | head
nft list ruleset | head -40

Выканайце гэта на серверы, і вы агледзіце тыя ж сокеты, якія мог бы агледзець аператар з root на госці. Усё, што запісваюць вашыя службы, ляжыць унутры той жа мяжы даверу, і менавіта таму налады журналаў госця і запісы інфраструктуры — гэта два розныя пытанні, а не адзін налад.

Гіпервізар сядзіць ніжэй за госця

Віртуальная машына не валодае ядром, на якім працуе. Гіпервізар адлюстроўвае яе памяць і яе віртуальную сеткавую карту, таму аператар на гэтым узроўні знаходзіцца па-за межамі здольнасці госця аўдытаваць. Ізаляцыя госця рэальная і вартая даверу паміж арандатарамі, і яна не абяцанне, што прывілеяваны доступ немагчымы. Гэтая асіметрыя заслугоўвае таго, каб быць сказанай проста, а не схаванай за словам ізаляцыя.

Выдзелены фізічны сервер змяняе ўладкаванне, не прыбіраючы сетку, фізічны доступ ці інтэрфейс кіравання, які падае правайдэр. Чытайце тое, што дакументуе прадукт, замест таго каб дазваляць аднаму слову вырашаць пытанне доступу.

Ператварыце праходжанне ў рашэнне пра давер

Запішыце кожнага назіральніка і здольнасць, якую вы яму даяце, потым вырашыце, ці адпавядае гэтая паступка трафіку, які вы плануеце адпраўляць. Спіс кароткі: ваша лакальная сетка, ваш правайдэр, хостынг-сетка, аператар гіпервізара і вы. Усё астатняе — субпадрадчык аднаго з іх і наследуе тую ж здольнасць. Вырашыць загадзя танней, чым выявіць спіс потым.

Затым праверце тое, што вы сапраўды можаце праверыць: якія журналы пішуць вашыя службы, колькі вы іх захоўваеце і што правайдэр публікуе пра запісы патокаў і захаванне. Палітыкі, якія можна прачытаць і пратэставаць, лепш за здагадкі пра тое, што значыць слова прыватны.