Qui peut voir votre trafic sur un serveur VPN loué ?

Louer un serveur change la personne à qui vous faites confiance et ne supprime pas la question. Le tunnel cache votre trafic aux réseaux qu'il traverse, puis remet le texte en clair à une machine dont l'hyperviseur est exploité par quelqu'un d'autre. Suivre le paquet vers l'extérieur depuis votre client montre où se trouve chaque observateur et ce que chacun peut réellement voir. Ce parcours est plus utile que n'importe quelle affirmation d'anonymat.

Partez du client et suivez le paquet vers l'extérieur

Avant que quoi que ce soit ne quitte l'ordinateur portable, le client emballe le paquet et l'adresse au point de terminaison public du serveur. Votre réseau local et votre fournisseur d'accès voient un seul flux vers cette adresse et ce port, avec une taille et un rythme. Ce qu'ils ne voient pas, c'est quel site vous avez ouvert, car cette destination se trouve à l'intérieur de la charge chiffrée. La frontière entre métadonnées et contenu, c'est tout le parcours en une phrase.

Ce premier saut est l'endroit où la plupart des affirmations marketing cessent d'être intéressantes. Un voisin sur le même Wi-Fi voit ce que voit le fournisseur d'accès, et aucun des deux ne voit la page. Le volume et le minutage restent toutefois visibles, et ils décrivent un comportement même quand la charge ne le fait pas.

Le réseau de l'hébergeur voit le tunnel, pas la page

À l'intérieur du réseau de l'hébergeur, le flux chiffré arrive sur un commutateur, puis sur une interface virtuelle, puis sur votre VM. Qui exploite ce réseau peut compter les octets et tenir des registres de flux sans détenir de clé, et aucune clé n'est nécessaire pour cela. C'est précisément la position qu'occupe un hébergeur.

Sur le chemin de sortie, l'image change. La VM ouvre une nouvelle connexion vers la destination, si bien que le réseau de l'hébergeur peut voir cette adresse de destination et la poignée de main TLS qui l'entoure. La charge reste protégée par le chiffrement propre à l'application, les métadonnées non.

Lisez les lignes dans l'ordre et la forme du problème apparaît : chacune voit plus que la ligne du dessus, et aucune n'a besoin de casser le VPN pour cela.

Dans la VM, le tunnel s'arrête et le texte en clair commence

Le tunnel se termine sur votre VM, l'invité voit donc le paquet interne avant que quoi que ce soit ne le chiffre à nouveau. Ce n'est pas un défaut ; c'est ce que fait une sortie auto-hébergée. Cela signifie en revanche que la sécurité de la sortie dépend de qui administre l'invité, et sur ce compte l'administrateur, c'est vous.

wg show
ss -tunp | head
nft list ruleset | head -40

Exécutez ces commandes sur le serveur et vous inspectez les mêmes sockets qu'un opérateur disposant de root sur l'invité pourrait inspecter. Tout ce que journalisent les services que vous exécutez se trouve dans la même frontière de confiance, et c'est pourquoi les réglages de journaux de l'invité et les enregistrements d'infrastructure sont deux questions distinctes et non un seul réglage.

L'hyperviseur se trouve sous l'invité

Une machine virtuelle ne possède pas le noyau sur lequel elle s'exécute. L'hyperviseur mappe sa mémoire et sa carte réseau virtuelle, si bien qu'un opérateur de cette couche échappe à la capacité d'audit de l'invité. L'isolation de l'invité est réelle et mérite qu'on s'y fie entre locataires, et elle n'est pas la promesse qu'un accès privilégié soit impossible. Cette asymétrie mérite d'être dite clairement au lieu d'être cachée derrière le mot isolation.

Un serveur physique dédié change la disposition sans supprimer le réseau, l'accès physique ni l'interface de gestion fournie par l'hébergeur. Lisez ce que le produit documente plutôt que de laisser un seul mot trancher la question de l'accès.

Transformez le parcours en décision de confiance

Notez chaque observateur et la capacité que vous lui accordez, puis décidez si cette concession convient au trafic que vous comptez envoyer. La liste est courte : votre réseau local, votre fournisseur d'accès, le réseau de l'hébergeur, l'opérateur de l'hyperviseur et vous. Tout le reste est un sous-traitant de l'un d'eux et hérite de la même capacité. Décider à l'avance coûte moins cher que découvrir la liste ensuite.

Vérifiez ensuite les parties que vous pouvez réellement contrôler : quels journaux vos propres services écrivent, combien de temps vous les conservez et ce que l'hébergeur publie sur les registres de flux et la rétention. Les politiques que vous pouvez lire et tester valent mieux que les suppositions sur ce que signifie un mot comme privé.