Chi può vedere il tuo traffico su un server VPN affittato?

Affittare un server cambia chi consideri affidabile e non elimina la domanda. Il tunnel nasconde il tuo traffico alle reti che attraversa, poi consegna il testo in chiaro a una macchina il cui hypervisor è gestito da qualcun altro. Seguire il pacchetto verso l'esterno dal tuo client mostra dove si trova ogni osservatore e cosa ciascuno può davvero vedere. Quel percorso è più utile di qualsiasi affermazione sull'anonimato.

Parti dal client e segui il pacchetto verso l'esterno

Prima che qualcosa lasci il portatile, il client incapsula il pacchetto e lo indirizza all'endpoint pubblico del server. La tua rete locale e il tuo provider vedono un solo flusso verso quell'indirizzo e quella porta, con una dimensione e un ritmo. Quello che non vedono è quale sito hai aperto, perché quella destinazione sta dentro il carico cifrato. Il confine tra metadati e contenuto è tutto il percorso in una frase.

Quel primo salto è il punto in cui la maggior parte delle affermazioni di marketing smette di essere interessante. Un vicino sulla stessa Wi-Fi vede quello che vede il provider, e nessuno dei due vede la pagina. Il volume e la tempistica restano però visibili, e descrivono un comportamento anche quando il carico non lo fa.

La rete di hosting vede il tunnel, non la pagina

Dentro la rete del provider il flusso cifrato arriva a uno switch, poi a un'interfaccia virtuale, poi alla tua VM. Chi gestisce quella rete può contare i byte e tenere registri dei flussi senza possedere alcuna chiave, e per questo non serve alcuna chiave. È esattamente la posizione che occupa un provider di hosting.

Sulla via d'uscita l'immagine cambia. La VM apre una nuova connessione verso la destinazione, quindi la rete di hosting può vedere quell'indirizzo di destinazione e la stretta di mano TLS attorno ad esso. Il carico resta protetto dalla crittografia dell'applicazione stessa, i metadati no.

Leggi le righe in ordine e appare la forma del problema: ognuna vede più della riga sopra, e nessuna deve rompere la VPN per farlo.

Dentro la VM il tunnel finisce e inizia il testo in chiaro

Il tunnel termina sulla tua VM, quindi l'ospite vede il pacchetto interno prima che qualcosa lo cifri di nuovo. Non è un difetto; è ciò che fa un'uscita auto-ospitata. Significa però che la sicurezza dell'uscita dipende da chi amministra l'ospite, e su quel conto l'amministratore sei tu.

wg show
ss -tunp | head
nft list ruleset | head -40

Esegui quei comandi sul server e stai ispezionando gli stessi socket che un operatore con root sull'ospite potrebbe ispezionare. Tutto ciò che i servizi che esegui registrano nei log sta dentro lo stesso confine di fiducia, ed è per questo che le impostazioni dei log dell'ospite e i registri dell'infrastruttura sono due domande separate e non un'unica impostazione.

L'hypervisor si trova sotto l'ospite

Una macchina virtuale non possiede il kernel su cui gira. L'hypervisor mappa la sua memoria e la sua scheda di rete virtuale, quindi un operatore a quel livello è fuori dalla capacità dell'ospite di verificarlo. L'isolamento dell'ospite è reale e vale la pena fidarsi tra inquilini, e non è la promessa che l'accesso privilegiato sia impossibile. Quell'asimmetria merita di essere detta apertamente invece di nascondersi dietro la parola isolamento.

Un server fisico dedicato cambia la disposizione senza eliminare la rete, l'accesso fisico o l'interfaccia di gestione fornita dal provider. Leggi ciò che il prodotto documenta invece di lasciare che una parola risolva la questione dell'accesso.

Trasforma il percorso in una decisione di fiducia

Annota ogni osservatore e la capacità che gli concedi, poi decidi se quella concessione si adatta al traffico che intendi inviare. La lista è breve: la tua rete locale, il tuo provider, la rete di hosting, l'operatore dell'hypervisor e tu. Qualsiasi altra cosa è un subappaltatore di uno di questi e eredita la stessa capacità. Decidere in anticipo costa meno che scoprire la lista dopo.

Poi verifica le parti che puoi davvero controllare: quali log scrivono i tuoi servizi, quanto a lungo li conservi e cosa il provider pubblica sui registri dei flussi e sulla conservazione. Le politiche che puoi leggere e provare battono le supposizioni su cosa significhi una parola come privato.