Kdo vidí váš provoz na pronajatém VPN serveru?

Pronájem serveru mění, komu důvěřujete, a otázku neodstraňuje. Tunel skrývá váš provoz před sítěmi, kterými prochází, a potom předá otevřený text stroji, který provozuje hypervizor někoho jiného. Sledování paketu ven od klienta ukazuje, kde stojí každý pozorovatel a co každý z nich skutečně může vidět. Tahle procházka je užitečnější než jakékoli tvrzení o anonymitě.

Začněte u klienta a sledujte paket ven

Než cokoli opustí notebook, klient paket zabalí a adresuje ho na veřejný koncový bod serveru. Vaše místní síť a váš poskytovatel připojení vidí jeden tok na tuto adresu a port, s velikostí a rytmem. Co nevidí, je který web jste otevřeli, protože cíl je uvnitř šifrovaného obsahu. Hranice mezi metadaty a obsahem je celá procházka v jedné větě.

Ten první skok je místo, kde většina marketingových tvrzení přestává být zajímavá. Soused na stejné Wi-Fi vidí to, co vidí poskytovatel připojení, a ani jeden z nich nevidí stránku. Objem a časování však zůstávají viditelné a popisují chování, i když obsah ne.

Hostingová síť vidí tunel, ne stránku

Uvnitř sítě poskytovatele dorazí šifrovaný tok na switch, potom na virtuální rozhraní a potom na vaši VM. Kdokoli tuto síť provozuje, může počítat bajty a vést záznamy o tocích, aniž by držel jakýkoli klíč, a žádný klíč k tomu není potřeba. Přesně tuto pozici hostingový poskytovatel zaujímá.

Na cestě ven se obraz mění. VM otevře nové spojení k cíli, takže hostingová síť vidí adresu tohoto cíle i TLS handshake kolem něj. Obsah zůstává chráněn vlastním šifrováním aplikace, metadata ne.

Čtěte řádky popořadě a tvar problému se objeví: každý vidí víc než řádek nad ním a žádný z nich kvůli tomu nemusí prolomit VPN.

Uvnitř VM tunel končí a začíná otevřený text

Tunel končí na vaší VM, takže host vidí vnitřní paket dřív, než ho cokoli znovu zašifruje. To není vada; takto to dělá výstup, který si hostujete sami. Znamená to ale, že bezpečnost výstupu závisí na tom, kdo spravuje hosta, a v tomto ohledu jste správcem vy.

wg show
ss -tunp | head
nft list ruleset | head -40

Spusťte tyto příkazy na serveru a prohlížíte si stejné sockety, jaké by prohlížel operátor s rootem na hostovi. Vše, co vaše služby zapisují do logů, leží uvnitř stejné hranice důvěry, a proto jsou nastavení logů hosta a záznamy infrastruktury dvě oddělené otázky, ne jedno nastavení.

Hypervizor sedí pod hostem

Virtuální stroj nevlastní jádro, na kterém běží. Hypervizor mapuje jeho paměť a jeho virtuální síťovou kartu, takže operátor na této vrstvě stojí mimo možnost hosta ho auditovat. Izolace hosta je skutečná a mezi nájemci stojí za to se na ni spoléhat, ale není to slib, že privilegovaný přístup je nemožný. Tato asymetrie si zaslouží být řečena přímo, místo aby se schovávala za slovo izolace.

Vyhrazený fyzický server mění uspořádání, aniž by odstranil síť, fyzický přístup nebo rozhraní pro správu, které poskytovatel dodává. Čtěte, co produkt dokumentuje, místo abyste nechali jedno slovo rozhodnout otázku přístupu.

Proměňte procházku v rozhodnutí o důvěře

Zapište každého pozorovatele a schopnost, kterou mu dáváte, a potom rozhodněte, zda tento grant odpovídá provozu, který hodláte posílat. Seznam je krátký: vaše místní síť, váš poskytovatel připojení, hostingová síť, operátor hypervizoru a vy. Cokoli dalšího je subdodavatel jednoho z nich a dědí stejnou schopnost. Rozhodnout předem je levnější než seznam objevit dodatečně.

Potom ověřte části, které skutečně můžete zkontrolovat: jaké logy vaše služby zapisují, jak dlouho je uchováváte a co poskytovatel zveřejňuje o záznamech toků a retenci. Zásady, které můžete číst a testovat, jsou lepší než předpoklady o tom, co znamená slovo soukromý.