Qui pot veure el teu trànsit en un servidor VPN llogat?
Llogar un servidor VPN trasllada la confiança al proveïdor d'allotjament. Recorre el camí del client a la sortida i mira què pot i què no pot aprendre cada observador.
Llogar un servidor canvia en qui confies i no elimina la pregunta. El túnel amaga el teu trànsit de les xarxes que travessa i després lliura el text pla a una màquina que executa l'hipervisor d'una altra persona. Seguir el paquet cap enfora des del teu client mostra on és cada observador i què pot veure realment cadascun. Aquest recorregut és més útil que qualsevol afirmació sobre ser anònim.
Comença al client i segueix el paquet cap enfora
Abans que res surti de l'ordinador portàtil, el client embolcalla el paquet i l'adreça al punt final públic del servidor. La teva xarxa local i el teu proveïdor d'internet veuen un sol flux cap a aquesta adreça i port, amb una mida i un ritme. El que no veuen és quin lloc has obert, perquè aquesta destinació és dins de la càrrega xifrada. La línia entre metadades i contingut és tot el recorregut en una frase.
Aquest primer salt és on la majoria d'afirmacions de màrqueting deixen de ser interessants. Un veí a la mateixa Wi-Fi veu el que veu el proveïdor d'internet, i cap dels dos no veu la pàgina. El volum i el moment, però, continuen visibles, i descriuen comportament encara que la càrrega no ho faci.
La xarxa d'allotjament veu el túnel, no la pàgina
Dins de la xarxa del proveïdor, el flux xifrat arriba a un commutador, després a una interfície virtual i després a la teva VM. Qui operi aquesta xarxa pot comptar bytes i guardar registres de flux sense tenir cap clau, i per això no cal cap clau. És precisament la posició que ocupa un proveïdor d'allotjament.
De camí cap enfora la imatge canvia. La VM obre una connexió nova a la destinació, així que la xarxa d'allotjament pot veure aquesta adreça de destinació i l'apretada de mans TLS al seu voltant. La càrrega continua protegida pel xifratge propi de l'aplicació, i les metadades no.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
Llegeix les files en ordre i apareix la forma del problema: cadascuna veu més que la fila de dalt, i cap d'elles no ha de trencar la VPN per fer-ho.
Dins de la VM el túnel acaba i comença el text pla
El túnel acaba a la teva VM, així que el convidat veu el paquet interior abans que res el torni a xifrar. Això no és cap defecte; és el que fa una sortida autoallotjada. Sí que vol dir que la seguretat de la sortida depèn de qui administra el convidat, i en aquest compte l'administrador ets tu.
wg show
ss -tunp | head
nft list ruleset | head -40Executa aquestes ordres al servidor i estàs inspeccionant els mateixos sockets que inspeccionaria un operador amb root al convidat. Tot el que registren els serveis que executes és dins d'aquesta mateixa frontera de confiança, i per això la configuració dels registres del convidat i els registres d'infraestructura són dues preguntes separades i no un sol paràmetre.
L'hipervisor seu sota el convidat
Una màquina virtual no és propietària del nucli on s'executa. L'hipervisor mapeja la seva memòria i la seva targeta de xarxa virtual, així que un operador en aquesta capa queda fora de la capacitat d'auditoria del convidat. L'aïllament del convidat és real i val la pena confiar-hi entre llogaters, i no és una promesa que l'accés privilegiat sigui impossible. Aquesta asimetria mereix dir-se obertament en lloc d'amagar-se darrere la paraula aïllament.
Un servidor físic dedicat canvia la disposició sense eliminar la xarxa, l'accés físic ni la interfície de gestió que proporciona el proveïdor. Llegeix el que documenta el producte en lloc de deixar que una paraula decideixi la qüestió de l'accés.
Converteix el recorregut en una decisió de confiança
Escriu cada observador i la capacitat que li concedeixes, i després decideix si aquesta concessió encaixa amb el trànsit que penses enviar. La llista és curta: la teva xarxa local, el teu proveïdor d'internet, la xarxa d'allotjament, l'operador de l'hipervisor i tu. Qualsevol altra cosa és un subcontractista d'algun d'aquests i hereta la mateixa capacitat. Decidir per endavant és més barat que descobrir la llista després.
Després verifica les parts que realment pots comprovar: quins registres escriuen els teus serveis, quant temps els guardes i què publica el proveïdor sobre els registres de flux i la retenció. Les polítiques que pots llegir i provar són millors que les suposicions sobre què significa una paraula com privat.