Kuka voi nähdä liikenteesi vuokratulla VPN-palvelimella?

Palvelimen vuokraaminen muuttaa sitä, kehen luotat, eikä poista kysymystä. Tunneli kätkee liikenteesi verkoilta, joiden läpi se kulkee, ja luovuttaa sitten selkokirjoituksen koneelle, jota jonkun toisen hypervisor ajaa. Paketin seuraaminen asiakkaastasi ulospäin näyttää, missä kukin tarkkailija seisoo ja mitä kukin heistä voi tosiasiassa nähdä. Se katsaus on hyödyllisempi kuin mikään väite anonyymiydestä.

Aloita asiakkaasta ja seuraa pakettia ulospäin

Ennen kuin mitään lähtee kannettavalta, asiakas käärii paketin ja osoittaa sen palvelimen julkiseen päätepisteeseen. Paikallinen verkkosi ja operaattorisi näkevät yhden virtauksen tuohon osoitteeseen ja porttiin, kooltaan ja rytmiltään. Sitä he eivät näe, minkä sivuston avasit, koska kohde on salatun hyötykuorman sisällä. Metatietojen ja sisällön välinen raja on koko katsaus yhdessä lauseessa.

Tuo ensimmäinen hyppy on kohta, jossa useimmat markkinointiväitteet lakkaavat olemasta kiinnostavia. Saman Wi-Fi-verkon naapuri näkee sen, mitä operaattori näkee, eikä kumpikaan heistä näe sivua. Volyymi ja ajoitus pysyvät kuitenkin näkyvinä, ja ne kuvaavat käyttäytymistä silloinkin, kun hyötykuorma ei sitä tee.

Hosting-verkko näkee tunnelin, ei sivua

Tarjoajan verkon sisällä salattu virtaus saapuu kytkimelle, sitten virtuaaliliitännälle ja sitten VM:ääsi. Kuka tahansa tuota verkkoa ylläpitää voi laskea tavuja ja pitää virtauskirjaa ilman mitään avainta, eikä siihen tarvita avainta. Juuri tämän aseman hosting-tarjoaja ottaa.

Ulos mentäessä kuva muuttuu. VM avaa uuden yhteyden kohteeseen, joten hosting-verkko voi nähdä tuon kohdeosoitteen ja sen ympärillä olevan TLS-kättelyn. Hyötykuorma pysyy sovelluksen oman salauksen suojaamana, metatiedot eivät.

Lue rivit järjestyksessä, ja ongelman muoto paljastuu: kukin näkee enemmän kuin rivi yläpuolellaan, eikä kenenkään tarvitse murtaa VPN:ää tehdäkseen sen.

VM:n sisällä tunneli päättyy ja selkokirjoitus alkaa

Tunneli päättyy VM:ääsi, joten vieras näkee sisemmän paketin ennen kuin mikään salaa sen uudelleen. Se ei ole virhe; juuri niin itse ylläpidetty ulostulo tekee. Se tarkoittaa kuitenkin, että ulostulon turvallisuus riippuu siitä, kuka hallinnoi vierasta, ja siltä osin ylläpitäjä olet sinä.

wg show
ss -tunp | head
nft list ruleset | head -40

Aja ne palvelimella, ja tarkastelet samoja socketeja, joita vieraan root-käyttäjä voisi tarkastella. Kaikki, mitä ajamasi palvelut kirjaavat, on saman luottamusrajan sisällä, ja siksi vieraan lokiasetukset ja infrastruktuuritietueet ovat kaksi eri kysymystä eivätkä yksi asetus.

Hypervisor istuu vieraan alapuolella

Virtuaalikone ei omista ydintä, jolla se toimii. Hypervisor kartoittaa sen muistin ja virtuaalisen verkkokortin, joten tuon tason toimija on vieraan auditointikyvyn ulkopuolella. Vieraan eristys on todellista ja siihen kannattaa luottaa vuokralaisten välillä, eikä se ole lupaus siitä, että etuoikeutettu pääsy olisi mahdotonta. Tämä epäsymmetria ansaitsee tulla sanotuksi suoraan sen sijaan, että se piilotetaan sanan eristys taakse.

Oma fyysinen palvelin muuttaa järjestelyä poistamatta verkkoa, fyysistä pääsyä tai hallintaliittymää, jonka tarjoaja toimittaa. Lue, mitä tuote dokumentoi, sen sijaan että annat yhden sanan ratkaista pääsykysymyksen.

Muuta katsaus luottamuspäätökseksi

Kirjoita ylös kukin tarkkailija ja sen valtuus, jonka sille annat, ja päätä sitten, sopiiko se valtuus liikenteeseen, jota aiot lähettää. Lista on lyhyt: paikallinen verkkosi, operaattorisi, hosting-verkko, hypervisorin ylläpitäjä ja sinä. Kaikki muu on yhden näistä alihankkija ja perii saman valtuuden. Etukäteen päättäminen on halvempaa kuin listan löytäminen jälkikäteen.

Tarkista sitten ne osat, joita todella voit tarkistaa: mitä lokeja omat palvelusi kirjoittavat, kuinka kauan pidät niitä ja mitä tarjoaja julkaisee virtauskirjoista ja säilytyksestä. Käytännöt, jotka voit lukea ja testata, voittavat oletukset siitä, mitä sana kuten yksityinen tarkoittaa.