किराए के VPN सर्वर पर आपका ट्रैफ़िक कौन देख सकता है?

सर्वर किराए पर लेने से यह बदलता है कि आप किस पर भरोसा करते हैं, और सवाल खत्म नहीं होता। सुरंग आपका ट्रैफ़िक उन नेटवर्कों से छिपाती है जिनसे वह गुज़रती है, फिर सादा पाठ उस मशीन को सौंप देती है जिसे किसी और का हाइपरवाइज़र चलाता है। अपने क्लाइंट से पैकेट को बाहर तक ट्रैक करने पर दिखता है कि हर पर्यवेक्षक कहाँ खड़ा है और उनमें से हर एक वास्तव में क्या देख सकता है। यह यात्रा गुमनाम होने के किसी भी दावे से ज़्यादा उपयोगी है।

क्लाइंट से शुरू करें और पैकेट को बाहर तक ले जाएँ

लैपटॉप से कुछ भी निकलने से पहले, क्लाइंट पैकेट को लपेटता है और उसे सर्वर के सार्वजनिक एंडपॉइंट पर पता देता है। आपका स्थानीय नेटवर्क और आपका इंटरनेट प्रदाता उस पते और पोर्ट तक एक ही प्रवाह देखते हैं, एक आकार और एक लय के साथ। जो वे नहीं देखते वह यह है कि आपने कौन सी साइट खोली, क्योंकि वह गंतव्य एन्क्रिप्टेड पेलोड के भीतर है। मेटाडेटा और सामग्री के बीच की रेखा पूरी यात्रा एक वाक्य में है।

वही पहली छलांग वह जगह है जहाँ ज़्यादातर विपणन दावे दिलचस्प रहना बंद कर देते हैं। उसी Wi-Fi पर कोई पड़ोसी वही देखता है जो इंटरनेट प्रदाता देखता है, और उनमें से कोई भी पृष्ठ नहीं देखता। फिर भी मात्रा और समय दिखाई देते रहते हैं, और पेलोड न करे तब भी वे व्यवहार का वर्णन करते हैं।

होस्टिंग नेटवर्क सुरंग देखता है, पृष्ठ नहीं

प्रदाता के नेटवर्क के भीतर एन्क्रिप्टेड प्रवाह पहले स्विच पर, फिर वर्चुअल इंटरफ़ेस पर, फिर आपके VM तक पहुँचता है। जो भी वह नेटवर्क चलाता है वह कोई कुंजी रखे बिना बाइट गिन सकता है और प्रवाह रिकॉर्ड रख सकता है, और इसके लिए कोई कुंजी ज़रूरी नहीं है। होस्टिंग प्रदाता ठीक यही स्थान रखता है।

बाहर जाते समय तस्वीर बदल जाती है। VM गंतव्य के साथ नया कनेक्शन खोलता है, इसलिए होस्टिंग नेटवर्क उस गंतव्य पते और उसके आसपास के TLS हैंडशेक को देख सकता है। पेलोड अनुप्रयोग के अपने एन्क्रिप्शन से सुरक्षित रहता है, मेटाडेटा नहीं।

पंक्तियों को क्रम में पढ़िए और समस्या का आकार उभरता है: हर एक अपनी ऊपर की पंक्ति से ज़्यादा देखता है, और उनमें से किसी को ऐसा करने के लिए VPN तोड़ने की ज़रूरत नहीं है।

VM के भीतर सुरंग समाप्त होती है और सादा पाठ शुरू होता है

सुरंग आपके VM पर समाप्त होती है, इसलिए अतिथि भीतरी पैकेट को किसी भी पुनः एन्क्रिप्शन से पहले देखता है। यह कोई खामी नहीं है; स्वयं-होस्टेड एग्ज़िट यही करता है। इसका मतलब है कि एग्ज़िट की सुरक्षा इस पर निर्भर है कि अतिथि को कौन प्रशासित करता है, और उस हिसाब से प्रशासक आप ही हैं।

wg show
ss -tunp | head
nft list ruleset | head -40

उन्हें सर्वर पर चलाइए और आप वही सॉकेट देख रहे हैं जो अतिथि पर root रखने वाला ऑपरेटर देख सकता था। आपकी सेवाएँ जो कुछ लॉग करती हैं वह उसी भरोसा सीमा के भीतर है, इसीलिए अतिथि की लॉग सेटिंग्स और अवसंरचना रिकॉर्ड एक सेटिंग नहीं बल्कि दो अलग सवाल हैं।

हाइपरवाइज़र अतिथि के नीचे बैठता है

वर्चुअल मशीन उस कर्नेल की मालिक नहीं है जिस पर वह चलती है। हाइपरवाइज़र उसकी मेमोरी और उसके वर्चुअल नेटवर्क कार्ड का मैप बनाता है, इसलिए उस परत का ऑपरेटर अतिथि की ऑडिट क्षमता से बाहर रहता है। अतिथि अलगाव वास्तविक है और किरायेदारों के बीच उस पर भरोसा करना उचित है, और यह इसका वादा नहीं है कि विशेषाधिकार प्राप्त पहुँच असंभव है। यह असमानता अलगाव शब्द के पीछे छिपाने के बजाय स्पष्ट कही जानी चाहिए।

समर्पित भौतिक सर्वर व्यवस्था बदलता है पर प्रदाता द्वारा दिए गए नेटवर्क, भौतिक पहुँच या प्रबंधन इंटरफ़ेस को हटाता नहीं। एक शब्द को पहुँच का सवाल तय करने देने के बजाय पढ़िए कि उत्पाद क्या दस्तावेज़ करता है।

इस यात्रा को भरोसे का फैसला बनाएँ

हर पर्यवेक्षक और उसे दी जा रही क्षमता लिखिए, फिर तय कीजिए कि यह अनुमति उस ट्रैफ़िक के अनुकूल है या नहीं जो आप भेजने की योजना बना रहे हैं। सूची छोटी है: आपका स्थानीय नेटवर्क, आपका इंटरनेट प्रदाता, होस्टिंग नेटवर्क, हाइपरवाइज़र ऑपरेटर और आप। बाकी जो कुछ है वह इनमें से किसी का उपठेकेदार है और वही क्षमता विरासत में पाता है। पहले से तय करना बाद में सूची खोजने से सस्ता है।

फिर उन हिस्सों को सत्यापित कीजिए जिन्हें आप वास्तव में जाँच सकते हैं: आपकी अपनी सेवाएँ कौन से लॉग लिखती हैं, आप उन्हें कितने समय रखते हैं, और प्रवाह रिकॉर्ड तथा प्रतिधारण के बारे में प्रदाता क्या प्रकाशित करता है। जिन नीतियों को आप पढ़ और परख सकते हैं वे निजी जैसे शब्द के अर्थ के बारे में अनुमानों से बेहतर हैं।