מי יכול לראות את התעבורה שלך בשרת VPN שכור?
שכירת שרת VPN מעבירה את האמון לספק האחסון. עברו את המסלול מהלקוח עד היציאה וראו מה כל צופה יכול ומה אינו יכול לדעת.
שכירת שרת משנה במי אתם בוטחים ואינה מסלקת את השאלה. המנהרה מסתירה את התעבורה שלכם מהרשתות שהיא חוצה, ואז מוסרת את הטקסט הגלוי למכונה שההיפרוויזר של מישהו אחר מריץ. מעקב אחר החבילה החוצה מהלקוח שלכם מראה היכן עומד כל צופה ומה כל אחד מהם באמת יכול לראות. המעבר הזה שימושי יותר מכל טענה על אנונימיות.
התחילו בלקוח ועקבו אחר החבילה החוצה
לפני שמשהו יוצא מהמחשב הנייד, הלקוח עוטה את החבילה ומפנה אותה לנקודת הקצה הציבורית של השרת. הרשת המקומית שלכם וספק האינטרנט שלכם רואים זרימה אחת לכתובת ולפורט האלה, עם גודל וקצב. מה שהם אינם רואים הוא איזה אתר פתחתם, מפני שהיעד הזה נמצא בתוך המטען המוצפן. הגבול בין מטא-נתונים לתוכן הוא כל המעבר במשפט אחד.
הקפיצה הראשונה הזו היא המקום שבו רוב הטענות השיווקיות מפסיקות להיות מעניינות. שכן על אותה רשת Wi-Fi רואה את מה שספק האינטרנט רואה, ואף אחד מהם אינו רואה את הדף. עם זאת, הנפח והתזמון נשארים גלויים, והם מתארים התנהגות גם כשהמטען אינו עושה זאת.
רשת האחסון רואה את המנהרה, לא את הדף
בתוך הרשת של הספק הזרימה המוצפנת מגיעה למתג, אחר כך לממשק וירטואלי, ואחר כך למכונה הווירטואלית שלכם. מי שמפעיל את הרשת הזו יכול לספור בייטים ולשמור רשומות זרימה בלי להחזיק שום מפתח, ולא נדרש מפתח לשם כך. זה בדיוק המצב שבו נמצא ספק אחסון.
בדרך החוצה התמונה משתנה. המכונה הווירטואלית פותחת חיבור חדש ליעד, כך שרשת האחסון יכולה לראות את כתובת היעד ואת לחיצת היד של TLS סביבה. המטען נשאר מוגן בהצפנה של היישום עצמו, והמטא-נתונים לא.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
קראו את השורות לפי הסדר וצורת הבעיה מתגלה: כל אחת רואה יותר מהשורה שמעליה, ואף אחת מהן אינה צריכה לשבור את ה-VPN כדי לעשות זאת.
בתוך המכונה הווירטואלית המנהרה נגמרת והטקסט הגלוי מתחיל
המנהרה מסתיימת במכונה הווירטואלית שלכם, כך שהאורח רואה את החבילה הפנימית לפני שמשהו מצפין אותה מחדש. זו אינה תקלה; זה מה שיציאה שמתארחת אצלכם עושה. זה כן אומר שאבטחת היציאה תלויה במי שמנהל את האורח, ובחשבון הזה המנהל הוא אתם.
wg show
ss -tunp | head
nft list ruleset | head -40הריצו אותם על השרת ואתם בוחנים את אותם שקעים שמפעיל עם הרשאת root על האורח היה יכול לבחון. כל מה שהשירותים שלכם רושמים נמצא בתוך אותה גבול אמון, ולכן הגדרות היומן של האורח ורשומות התשתית הן שתי שאלות נפרדות ולא הגדרה אחת.
ההיפרוויזר יושב מתחת לאורח
מכונה וירטואלית אינה הבעלים של הליבה שהיא רצה עליה. ההיפרוויזר ממפה את הזיכרון ואת כרטיס הרשת הווירטואלי שלה, כך שמפעיל בשכבה הזו נמצא מחוץ ליכולת של האורח לבקר אותו. בידוד האורח הוא אמיתי וראוי לסמוך עליו בין דיירים, והוא אינו הבטחה שגישה מורשית אינה אפשרית. האי-סימטריה הזו ראויה להיאמר בפירוש במקום להסתתר מאחורי המילה בידוד.
שרת פיזי ייעודי משנה את הסידור בלי להסיר את הרשת, את הגישה הפיזית או את ממשק הניהול שהספק מספק. קראו מה המוצר מתעד במקום לתת למילה אחת להכריע את שאלת הגישה.
הפכו את המעבר להחלטת אמון
רשמו כל צופה ואת היכולת שאתם מעניקים לו, ואז החליטו אם ההענקה הזו מתאימה לתעבורה שאתם מתכננים לשלוח. הרשימה קצרה: הרשת המקומית שלכם, ספק האינטרנט שלכם, רשת האחסון, מפעיל ההיפרוויזר, ואתם. כל דבר אחר הוא קבלן משנה של אחד מהם ויורש את אותה יכולת. להחליט מראש זול יותר מלגלות את הרשימה אחר כך.
אחר כך אמתו את החלקים שבאמת אפשר לבדוק: אילו יומנים השירותים שלכם כותבים, כמה זמן אתם שומרים אותם, ומה הספק מפרסם על רשומות זרימה ועל שמירה. מדיניות שאפשר לקרוא ולבדוק עדיפה על הנחות לגבי מה פירושה של מילה כמו פרטי.