Kes näeb sinu liiklust renditud VPN-serveris?

Serveri rentimine muudab seda, keda sa usaldad, ega kõrvalda küsimust. Tunnel peidab sinu liikluse võrkude eest, mida see läbib, ja annab seejärel avateksti masinale, mida käitab kellegi teise hüpervisor. Paketi jälgimine kliendist väljapoole näitab, kus iga vaatleja seisab ja mida igaüks neist tegelikult näha võib. See läbikäik on kasulikum kui ükskõik milline väide anonüümsuse kohta.

Alusta kliendist ja jälgi paketti väljapoole

Enne kui midagi sülearvutist lahkub, mähib klient paketi ja adresseerib selle serveri avalikku lõpp-punkti. Sinu kohalik võrk ja sinu teenusepakkuja näevad üht voogu sellele aadressile ja pordile, koos suuruse ja rütmiga. Mida nad ei näe, on millise saidi sa avasid, sest see sihtkoht asub krüpteeritud kasuliku koormuse sees. Piir metaandmete ja sisu vahel on kogu läbikäik ühes lauses.

See esimene hüpe on koht, kus enamik turundusväiteid lakkab olemast huvitav. Naaber samas Wi-Fi võrgus näeb seda, mida näeb teenusepakkuja, ja kumbki neist ei näe lehte. Maht ja ajastus jäävad siiski nähtavaks ning kirjeldavad käitumist ka siis, kui kasulik koormus seda ei tee.

Majutusvõrk näeb tunnelit, mitte lehte

Pakkuja võrgu sees jõuab krüpteeritud voog lülitile, seejärel virtuaalsele liidesele, seejärel sinu VM-ile. Kes iganes seda võrku käitab, saab lugeda baite ja pidada voogude kirjeid ilma ühtki võtit hoidmata, ja selleks pole võtit vaja. See on täpselt see positsioon, mille majutuspackuja hõivab.

Väljamineku teel pilt muutub. VM avab sihtkohaga uue ühenduse, nii et majutusvõrk näeb seda sihtkoha aadressi ja selle ümber toimuvat TLS-kätlust. Kasulik koormus jääb rakenduse enda krüpteeringu kaitse alla, metaandmed mitte.

Loe ridu järjekorras ja probleemi kuju ilmub: igaüks näeb rohkem kui rida temast ülal, ja ükski neist ei pea selleks VPN-i murdma.

VM-i sees lõpeb tunnel ja algab avatekst

Tunnel lõpeb sinu VM-is, nii et külaline näeb sisemist paketti enne, kui miski selle uuesti krüpteerib. See pole viga; nii teeb ise majutatud väljapääs. See tähendab siiski, et väljapääsu turvalisus sõltub sellest, kes külalist haldab, ja sellel kontol oled administraator sina.

wg show
ss -tunp | head
nft list ruleset | head -40

Käivita need serveris ja sa uurid samu sokette, mida saaks uurida root-õigustega operaator külalises. Kõik, mida sinu käitatavad teenused logivad, asub sama usalduspiiri sees, mistõttu külalise logiseaded ja infrastruktuuri kirjed on kaks eraldi küsimust, mitte üks seade.

Hüpervisor istub külalise all

Virtuaalmasin ei oma tuuma, millel ta töötab. Hüpervisor kaardistab selle mälu ja virtuaalse võrgukaardi, nii et selle kihi operaator jääb külalise auditeerimisvõime alt välja. Külalise isolatsioon on tõeline ja üürnike vahel tasub sellele loota, kuid see ei ole lubadus, et privilegeeritud juurdepääs on võimatu. See asümmeetria väärib otsekohest ütlemist, mitte sõna isolatsioon taha peitmist.

Pühendatud füüsiline server muudab korraldust, eemaldamata võrku, füüsilist juurdepääsu ega haldusliidest, mille pakkuja pakub. Loe, mida toode dokumenteerib, selle asemel et lasta ühel sõnal juurdepääsuküsimuse otsustada.

Muuda läbikäik usaldusotsuseks

Kirjuta üles iga vaatleja ja võime, mille sa talle annad, ning otsusta siis, kas see luba sobib liiklusega, mida kavatsed saata. Nimekiri on lühike: sinu kohalik võrk, sinu teenusepakkuja, majutusvõrk, hüpervisori operaator ja sina. Kõik muu on ühe nimetatud osalise alltöövõtja ja pärib sama võime. Ette otsustada on odavam kui nimekirja hiljem avastada.

Seejärel kontrolli osi, mida sa tõesti kontrollida saad: milliseid logisid sinu enda teenused kirjutavad, kui kaua sa neid hoiad ja mida pakkuja avaldab voogude kirjete ja säilitamise kohta. Poliitikad, mida saad lugeda ja testida, on paremad kui oletused selle kohta, mida tähendab sõna privaatne.