Wer kann Ihren Datenverkehr auf einem gemieteten VPN-Server sehen?

Einen Server zu mieten ändert, wem Sie vertrauen, und beseitigt die Frage nicht. Der Tunnel verbirgt Ihren Datenverkehr vor den Netzen, die er durchquert, und übergibt den Klartext dann an eine Maschine, deren Hypervisor jemand anderes betreibt. Folgt man dem Paket vom Client nach außen, sieht man, wo jeder Beobachter steht und was jeder von ihnen tatsächlich sehen kann. Dieser Rundgang ist nützlicher als jede Behauptung, anonym zu sein.

Beginnen Sie beim Client und folgen Sie dem Paket nach außen

Bevor etwas den Laptop verlässt, verpackt der Client das Paket und adressiert es an den öffentlichen Endpunkt des Servers. Ihr lokales Netz und Ihr Provider sehen einen einzigen Fluss zu dieser Adresse und diesem Port, mit einer Größe und einem Rhythmus. Was sie nicht sehen, ist welche Seite Sie geöffnet haben, weil dieses Ziel innerhalb der verschlüsselten Nutzlast liegt. Die Grenze zwischen Metadaten und Inhalt ist der ganze Rundgang in einem Satz.

Dieser erste Sprung ist der Punkt, an dem die meisten Marketingaussagen uninteressant werden. Ein Nachbar im selben WLAN sieht, was der Provider sieht, und keiner von beiden sieht die Seite. Volumen und Timing bleiben jedoch sichtbar, und sie beschreiben Verhalten, auch wenn die Nutzlast es nicht tut.

Das Hosting-Netz sieht den Tunnel, nicht die Seite

Innerhalb des Netzes des Anbieters erreicht der verschlüsselte Fluss einen Switch, dann eine virtuelle Schnittstelle, dann Ihre VM. Wer dieses Netz betreibt, kann Bytes zählen und Flussaufzeichnungen führen, ohne einen Schlüssel zu besitzen, und dafür ist kein Schlüssel nötig. Genau diese Position nimmt ein Hosting-Anbieter ein.

Auf dem Weg nach draußen ändert sich das Bild. Die VM öffnet eine neue Verbindung zum Ziel, sodass das Hosting-Netz diese Zieladresse und den TLS-Handshake darum herum sehen kann. Die Nutzlast bleibt durch die eigene Verschlüsselung der Anwendung geschützt, die Metadaten nicht.

Lesen Sie die Zeilen der Reihe nach, und die Form des Problems zeigt sich: Jede sieht mehr als die Zeile darüber, und keine von ihnen muss dafür das VPN brechen.

In der VM endet der Tunnel, und Klartext beginnt

Der Tunnel endet auf Ihrer VM, der Gast sieht das innere Paket also, bevor irgendetwas es erneut verschlüsselt. Das ist kein Mangel; genau das tut ein selbst gehosteter Ausgang. Es bedeutet aber, dass die Sicherheit des Ausgangs davon abhängt, wer den Gast administriert, und auf diesem Konto sind Sie der Administrator.

wg show
ss -tunp | head
nft list ruleset | head -40

Führen Sie diese Befehle auf dem Server aus, und Sie prüfen dieselben Sockets, die ein Betreiber mit Root auf dem Gast prüfen könnte. Alles, was die von Ihnen betriebenen Dienste protokollieren, liegt innerhalb derselben Vertrauensgrenze, weshalb Gast-Logeinstellungen und Infrastrukturprotokolle zwei getrennte Fragen sind und nicht eine Einstellung.

Der Hypervisor sitzt unter dem Gast

Eine virtuelle Maschine besitzt den Kernel nicht, auf dem sie läuft. Der Hypervisor bildet ihren Speicher und ihre virtuelle Netzwerkkarte ab, sodass ein Betreiber auf dieser Ebene außerhalb der Prüfmöglichkeit des Gastes steht. Gast-Isolation ist real und es lohnt sich, sich zwischen Mietern darauf zu verlassen, und sie ist kein Versprechen, dass privilegierter Zugriff unmöglich ist. Diese Asymmetrie verdient es, klar benannt zu werden, statt sich hinter dem Wort Isolation zu verstecken.

Ein dedizierter physischer Server ändert die Anordnung, ohne das Netz, den physischen Zugang oder die Verwaltungsschnittstelle zu beseitigen, die der Anbieter bereitstellt. Lesen Sie, was das Produkt dokumentiert, statt ein einziges Wort die Zugangsfrage entscheiden zu lassen.

Machen Sie den Rundgang zu einer Vertrauensentscheidung

Schreiben Sie jeden Beobachter und die Fähigkeit auf, die Sie ihm gewähren, und entscheiden Sie dann, ob diese Gewährung zu dem Datenverkehr passt, den Sie senden wollen. Die Liste ist kurz: Ihr lokales Netz, Ihr Provider, das Hosting-Netz, der Hypervisor-Betreiber und Sie. Alles andere ist ein Subunternehmer eines dieser Beteiligten und erbt dieselbe Fähigkeit. Vorher zu entscheiden ist billiger, als die Liste hinterher zu entdecken.

Prüfen Sie dann die Teile, die Sie tatsächlich prüfen können: welche Protokolle Ihre eigenen Dienste schreiben, wie lange Sie sie aufbewahren und was der Anbieter über Flussaufzeichnungen und Aufbewahrung veröffentlicht. Richtlinien, die Sie lesen und testen können, sind besser als Annahmen darüber, was ein Wort wie privat bedeutet.