ভাড়া নেওয়া VPN সার্ভারে আপনার ট্রাফিক কে দেখতে পারে?

একটি সার্ভার ভাড়া নেওয়া বদলে দেয় আপনি কাকে বিশ্বাস করেন, তবে প্রশ্নটি মুছে দেয় না। টানেল আপনার ট্রাফিককে যে নেটওয়ার্কগুলো অতিক্রম করে সেগুলো থেকে লুকায়, তারপর স্পষ্ট লেখাটি এমন একটি মেশিনের হাতে দেয় যেটি চালায় অন্য কারও হাইপারভাইজার। আপনার ক্লায়েন্ট থেকে বাইরের দিকে প্যাকেটটি অনুসরণ করলে দেখা যায় প্রতিটি পর্যবেক্ষক কোথায় দাঁড়িয়ে আছে এবং তাদের প্রত্যেকে আসলে কী দেখতে পারে। এই হাঁটাপথটি নামহীন হওয়া সম্পর্কে যেকোনো দাবির চেয়ে বেশি কাজে লাগে।

ক্লায়েন্ট থেকে শুরু করুন এবং প্যাকেটটি বাইরে অনুসরণ করুন

ল্যাপটপ থেকে কিছু বেরোনোর আগে, ক্লায়েন্ট প্যাকেটটি মুড়ে সার্ভারের পাবলিক এন্ডপয়েন্টে ঠিকানা দেয়। আপনার স্থানীয় নেটওয়ার্ক এবং আপনার আইএসপি সেই ঠিকানা ও পোর্টে একটি প্রবাহ দেখে, একটি আকার ও একটি ছন্দসহ। তারা যা দেখে না তা হলো আপনি কোন সাইটটি খুলেছিলেন, কারণ সেই গন্তব্যটি এনক্রিপ্টেড পেলোডের ভিতরে থাকে। মেটাডেটা ও বিষয়বস্তুর মধ্যে রেখাটিই পুরো হাঁটাপথটি এক বাক্যে।

সেই প্রথম লাফটিই এমন জায়গা যেখানে বেশিরভাগ বিপণন দাবি আর আকর্ষণীয় থাকে না। একই Wi-Fi-তে থাকা প্রতিবেশী যা আইএসপি দেখে তাই দেখে, আর তাদের কেউই পৃষ্ঠাটি দেখে না। তবে ভলিউম ও সময় দৃশ্যমান থাকে, এবং পেলোড না করলেও তারা আচরণ বর্ণনা করে।

হোস্টিং নেটওয়ার্ক টানেল দেখে, পৃষ্ঠা নয়

প্রদানকারীর নেটওয়ার্কের ভিতরে এনক্রিপ্টেড প্রবাহটি প্রথমে একটি সুইচে, তারপর একটি ভার্চুয়াল ইন্টারফেসে, তারপর আপনার VM-এ পৌঁছায়। যে কেউ সেই নেটওয়ার্ক চালায় সে কোনো চাবি না রেখেই বাইট গুনতে ও প্রবাহের রেকর্ড রাখতে পারে, এবং এর জন্য কোনো চাবি দরকার নেই। হোস্টিং প্রদানকারী ঠিক এই অবস্থানটিই দখল করে।

বাইরের পথে চিত্রটি বদলে যায়। VM গন্তব্যের সঙ্গে একটি নতুন সংযোগ খোলে, তাই হোস্টিং নেটওয়ার্ক সেই গন্তব্য ঠিকানা এবং তার চারপাশের TLS হ্যান্ডশেক দেখতে পারে। পেলোডটি অ্যাপ্লিকেশনের নিজস্ব এনক্রিপশনে সুরক্ষিত থাকে, মেটাডেটা থাকে না।

সারিগুলো ক্রমে পড়ুন এবং সমস্যার আকৃতি ফুটে ওঠে: প্রত্যেকে তার উপরের সারির চেয়ে বেশি দেখে, এবং এটা করতে তাদের কারও VPN ভাঙতে হয় না।

VM-এর ভিতরে টানেল শেষ হয় এবং স্পষ্ট লেখা শুরু হয়

টানেল আপনার VM-এ শেষ হয়, তাই অতিথি ভিতরের প্যাকেটটি দেখে এর আগেই কিছু পুনরায় এনক্রিপ্ট করে। এটি কোনো ত্রুটি নয়; নিজের হোস্ট করা এক্সিট ঠিক এটাই করে। এর অর্থ হলো এক্সিটের নিরাপত্তা নির্ভর করে অতিথিটি কে পরিচালনা করে তার উপর, আর সেই হিসাবে প্রশাসক আপনি নিজেই।

wg show
ss -tunp | head
nft list ruleset | head -40

এগুলো সার্ভারে চালান, আর আপনি সেই একই সকেটগুলো পরিদর্শন করছেন যা অতিথিতে root থাকা একজন অপারেটরও পরিদর্শন করতে পারত। আপনার চালানো সেবাগুলো যা লগ করে তা একই আস্থার সীমার ভিতরে থাকে, তাই অতিথির লগ সেটিংস আর পরিকাঠামোর রেকর্ড দুটি আলাদা প্রশ্ন, একটি সেটিং নয়।

হাইপারভাইজার অতিথির নিচে বসে

একটি ভার্চুয়াল মেশিন যে কার্নেলে চলে তার মালিক নয়। হাইপারভাইজার তার মেমরি ও ভার্চুয়াল নেটওয়ার্ক কার্ড ম্যাপ করে, তাই সেই স্তরের একজন অপারেটর অতিথির নিরীক্ষা করার সামর্থ্যের বাইরে থাকে। অতিথি বিচ্ছিন্নতা বাস্তব এবং ভাড়াটেদের মধ্যে এর উপর নির্ভর করা উচিত, তবে এটি এই প্রতিশ্রুতি নয় যে বিশেষাধিকারী প্রবেশ অসম্ভব। এই অসমতা বিচ্ছিন্নতা শব্দটির পিছনে লুকানোর বদলে স্পষ্টভাবে বলা উচিত।

একটি নিবেদিত ভৌত সার্ভার ব্যবস্থাটি বদলে দেয়, তবে প্রদানকারীর দেওয়া নেটওয়ার্ক, ভৌত প্রবেশ বা ব্যবস্থাপনা ইন্টারফেস মুছে দেয় না। একটি শব্দকে প্রবেশের প্রশ্নটি নিষ্পত্তি করতে দেওয়ার বদলে পণ্যটি যা নথিভুক্ত করে তা পড়ুন।

এই হাঁটাপথটিকে আস্থার সিদ্ধান্তে পরিণত করুন

প্রতিটি পর্যবেক্ষক এবং তাকে আপনি যে সামর্থ্য দিচ্ছেন তা লিখে রাখুন, তারপর সিদ্ধান্ত নিন সেই অনুমোদন আপনি যে ট্রাফিক পাঠাতে চান তার সঙ্গে মানানসই কি না। তালিকাটি ছোট: আপনার স্থানীয় নেটওয়ার্ক, আপনার আইএসপি, হোস্টিং নেটওয়ার্ক, হাইপারভাইজার অপারেটর এবং আপনি। এর বাইরে যা কিছু আছে তা এদের কারও উপঠিকাদার এবং একই সামর্থ্য উত্তরাধিকারে পায়। আগে থেকেই সিদ্ধান্ত নেওয়া পরে তালিকাটি আবিষ্কার করার চেয়ে সস্তা।

তারপর আপনি সত্যিই যাচাই করতে পারেন এমন অংশগুলো যাচাই করুন: আপনার নিজের সেবাগুলো কোন লগ লেখে, কতদিন সেগুলো রাখেন, এবং প্রবাহের রেকর্ড ও সংরক্ষণ সম্পর্কে প্রদানকারী কী প্রকাশ করে। যে নীতিগুলো আপনি পড়তে ও পরীক্ষা করতে পারেন সেগুলো ব্যক্তিগত শব্দটির অর্থ নিয়ে অনুমানের চেয়ে ভালো।