ვინ ხედავს თქვენს ტრაფიკს ნაქირავებ VPN სერვერზე?
VPN სერვერის ქირაობა ნდობას ჰოსტინგის მომწოდებელზე გადააქვს. გაიარეთ გზა კლიენტიდან გასასვლელამდე და ნახეთ, რა შეიძლება იცოდეს თითოეულმა დამკვირვებელმა და რა არა.
სერვერის ქირაობა ცვლის, ვის ენდობით და კითხვას არ აქრობს. გვირაბი მალავს თქვენს ტრაფიკს იმ ქსელებისგან, რომლებსაც გადის, შემდეგ ღია ტექსტს გადასცემს მანქანას, რომელსაც სხვისი ჰიპერვიზორი მართავს. პაკეტის თქვენი კლიენტიდან გარეთ თვალყურის დევნება გვიჩვენებს, სად დგას თითოეული დამკვირვებელი და რა შეუძლია თითოეულ მათგანს რეალურად ნახოს. ეს გზა უფრო სასარგებლოა, ვიდრე ანონიმურობის შესახებ ნებისმიერი მტკიცება.
დაიწყეთ კლიენტიდან და მიჰყევით პაკეტს გარეთ
სანამ რამე ლეპტოპს დატოვებს, კლიენტი პაკეტს ახვევს და მიმართავს სერვერის საჯარო საბოლოო წერტილზე. თქვენი ლოკალური ქსელი და თქვენი პროვაიდერი ხედავენ ერთ ნაკადს ამ მისამართსა და პორტზე, ზომითა და რიტმით. რასაც ისინი ვერ ხედავენ, ეს არის რომელი საიტი გახსენით, რადგან ის დანიშნულება დაშიფრული დატვირთვის შიგნითაა. მეტამონაცემებსა და შიგთავსს შორის ზღვარი მთელი გზაა ერთ წინადადებაში.
ის პირველი ნახტომი არის ადგილი, სადაც მარკეტინგული მტკიცებების უმეტესობა საინტერესო ყოფნას წყვეტს. მეზობელი იმავე Wi-Fi-ზე ხედავს იმას, რასაც პროვაიდერი ხედავს და არც ერთი მათგანი ვერ ხედავს გვერდს. თუმცა მოცულობა და დრო ხილული რჩება და ისინი აღწერენ ქცევას მაშინაც, როცა დატვირთვა ამას არ აკეთებს.
ჰოსტინგის ქსელი ხედავს გვირაბს და არა გვერდს
მომწოდებლის ქსელის შიგნით დაშიფრული ნაკადი აღწევს კომუტატორთან, შემდეგ ვირტუალურ ინტერფეისთან, შემდეგ თქვენს VM-თან. ვინც ამ ქსელს მართავს, შეუძლია ბაიტების დათვლა და ნაკადების ჩანაწერების შენახვა ყოველგვარი გასაღების გარეშე და ამისთვის გასაღები არ არის საჭირო. ეს ზუსტად ის პოზიციაა, რომელსაც ჰოსტინგის მომწოდებელი იკავებს.
გასასვლელის გზაზე სურათი იცვლება. VM ხსნის ახალ კავშირს დანიშნულებასთან, ამიტომ ჰოსტინგის ქსელს შეუძლია ნახოს ეს დანიშნულების მისამართი და მის გარშემო TLS ხელის ჩამორთმევა. დატვირთვა რჩება დაცული თავად აპლიკაციის დაშიფვრით, ხოლო მეტამონაცემები არა.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
წაიკითხეთ სტრიქონები თანმიმდევრობით და პრობლემის ფორმა ჩნდება: თითოეული ხედავს უფრო მეტს, ვიდრე მის ზემოთ სტრიქონი და არც ერთს არ სჭირდება VPN-ის გატეხვა ამისთვის.
VM-ის შიგნით გვირაბი მთავრდება და იწყება ღია ტექსტი
გვირაბი მთავრდება თქვენს VM-ზე, ამიტომ სტუმარი ხედავს შიდა პაკეტს მანამ, სანამ რამე მას ხელახლა დაშიფრავს. ეს ხარვეზი არ არის; ასე აკეთებს თვითდაჰოსტილი გასასვლელი. ეს ნიშნავს, რომ გასასვლელის უსაფრთხოება დამოკიდებულია იმაზე, თუ ვინ მართავს სტუმარს და ამ ანგარიშზე ადმინისტრატორი თქვენ ხართ.
wg show
ss -tunp | head
nft list ruleset | head -40გაუშვით ისინი სერვერზე და თქვენ ამოწმებთ იმავე სოკეტებს, რომლებსაც სტუმარზე root-ის მქონე ოპერატორი შეამოწმებდა. ყველაფერი, რასაც თქვენი სერვისები აღრიცხავენ, იმავე ნდობის საზღვრის შიგნითაა და ამიტომ სტუმრის ჟურნალის პარამეტრები და ინფრასტრუქტურის ჩანაწერები ორი ცალკე კითხვაა და არა ერთი პარამეტრი.
ჰიპერვიზორი სტუმრის ქვეშ ზის
ვირტუალური მანქანა არ ფლობს იმ ბირთვს, რომელზეც მუშაობს. ჰიპერვიზორი ასახავს მის მეხსიერებას და ვირტუალურ ქსელურ ბარათს, ამიტომ ამ დონის ოპერატორი სტუმრის აუდიტის უნარის გარეთაა. სტუმრის იზოლაცია რეალურია და ღირს მასზე დაყრდნობა მოიჯარეებს შორის და ეს არ არის დაპირება, რომ პრივილეგირებული წვდომა შეუძლებელია. ეს ასიმეტრია იმსახურებს ღიად თქმას და არა იზოლაციის სიტყვის უკან დამალვას.
გამოყოფილი ფიზიკური სერვერი ცვლის განლაგებას ქსელის, ფიზიკური წვდომის ან მომწოდებლის მიერ მოწოდებული მართვის ინტერფეისის მოცილების გარეშე. წაიკითხეთ, რას ადასტურებს პროდუქტი, ნაცვლად იმისა, რომ ერთ სიტყვას მიანდოთ წვდომის კითხვის გადაწყვეტა.
აქციეთ ეს გზა ნდობის გადაწყვეტილებად
ჩამოწერეთ თითოეული დამკვირვებელი და ის უნარი, რომელსაც აძლევთ მას, შემდეგ გადაწყვიტეთ, შეესაბამება თუ არა ეს მინიჭება იმ ტრაფიკს, რომლის გაგზავნასაც აპირებთ. სია მოკლეა: თქვენი ლოკალური ქსელი, თქვენი პროვაიდერი, ჰოსტინგის ქსელი, ჰიპერვიზორის ოპერატორი და თქვენ. ყველაფერი სხვა ამათგან რომელიმეს ქვეკონტრაქტორია და იმავე უნარს მემკვიდრეობით იღებს. წინასწარ გადაწყვეტა იაფია, ვიდრე სიის შემდგომი აღმოჩენა.
შემდეგ გადაამოწმეთ ის ნაწილები, რომელთა შემოწმებაც ნამდვილად შეგიძლიათ: რა ჟურნალებს წერენ თქვენი სერვისები, რამდენ ხანს ინახავთ მათ და რას აქვეყნებს მომწოდებელი ნაკადების ჩანაწერებსა და შენახვაზე. პოლიტიკა, რომლის წაკითხვაც და გამოცდაც შეგიძლიათ, სჯობს ვარაუდებს იმაზე, თუ რას ნიშნავს სიტყვა როგორიცაა პირადი.