Wien kann deinen Traffic op engem gemieteten VPN-Server gesinn?
E VPN-Server mieten verréckelt d'Vertrauen op den Hosting-Provider. Gitt de Wee vum Client bis zum Ausgang of a gesitt, wat all Beobachter ka léieren a wat net.
E Server mieten ännert, wiem du vertraust, an et hëlt d'Fro net ewech. Den Tunnel verstoppt deinen Traffic virun de Netzen, déi en duerchkräizt, an iwwerleet dann de kloeren Text un eng Maschinn, déi vun engem aneren sengem Hypervisor bedriwwe gëtt. Dem Pak vun dengem Client no baussen ze verfollegen weist, wou all Beobachter steet a wat jiddwereen dovunner tatsächlech ka gesinn. Dee Duerchgang ass méi nëtzlech wéi all Behauptung iwwer anonym ze sinn.
Fänkt beim Client un a verfollegt de Pak no baussen
Ier eppes den Laptop verléisst, packt de Client de Pak an a adresséiert en un den ëffentlechen Endpunkt vum Server. Däin lokalen Netz an däin Provider gesinn ee Floss op déi Adress an dee Port, mat enger Gréisst an engem Rhythmus. Wat si net gesinn, ass wéi eng Säit s du opgemaach hues, well déi Destinatioun bannent der verschlësselter Notzlaascht läit. D'Grenz tëscht Metadaten an Inhalt ass de ganzen Duerchgang an engem Saz.
Dee éischte Sprong ass de Punkt, wou déi meescht Marketingbehauptungen ophalen interessant ze sinn. En Noper am selwechte Wi-Fi gesäit, wat de Provider gesäit, an keen vun deenen zwee gesäit d'Säit. Volumen an Timing bleiwen awer sichtbar, an si beschreiwen Verhalen, och wann d'Notzlaascht dat net mécht.
D'Hosting-Netz gesäit den Tunnel, net d'Säit
Bannent dem Netz vum Provider kënnt de verschlësselte Floss op e Switch, dann op eng virtuell Schnëttstell, dann op deng VM. Wien och ëmmer dat Netz bedreift, ka Bytes zielen a Flossopzeechnunge féieren, ouni ee Schlëssel ze halen, an dofir ass kee Schlëssel néideg. Et ass genee déi Positioun, déi en Hosting-Provider anhëlt.
Um Wee no baussen ännert sech d'Bild. D'VM mécht eng nei Verbindung op d'Destinatioun op, sou datt d'Hosting-Netz déi Destinatiounsadress an den TLS-Handshake ronderëm gesinn kann. D'Notzlaascht bleift duerch d'Verschlësselung vun der Applikatioun selwer geschützt, d'Metadaten net.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
Liest d'Reien an der Rei a Form vum Problem erschéngt: jiddweree gesäit méi wéi d'Rei driwwer, an keen vun hinnen muss den VPN briechen, fir dat ze maachen.
An der VM endet den Tunnel a kloeren Text fänkt un
Den Tunnel endet op denger VM, sou datt de Gaascht de bannenzege Pak gesäit, ier eppes en nach eng Kéier verschlësselt. Dat ass keen Defekt; dat mécht en Ausgang, deen s du selwer hostest. Et heescht awer, datt d'Sécherheet vum Ausgang dovun ofhänkt, wien de Gaascht administréiert, an op deem Kont s du den Administrateur.
wg show
ss -tunp | head
nft list ruleset | head -40Féier déi um Server aus an s du iwwerpréifs déi selwecht Sockets, déi en Operateur mat Root um Gaascht iwwerpréiwe kéint. Alles, wat déi Servicer, déi s du bedreifs, loggen, sëtzt bannent därselwechter Vertrauensgrenz, an dofir sinn d'Log-Astellungen vum Gaascht an d'Infrastrukturregistren zwou getrennte Froe an net eng Astellung.
Den Hypervisor sëtzt ënner dem Gaascht
Eng virtuell Maschinn besëtzt net de Kernel, op deem si leeft. Den Hypervisor kartéiert hire Späicher an hir virtuell Netzwierkkart, sou datt en Operateur op där Schicht baussen der Fäegkeet vum Gaascht ass, hien ze auditieren. D'Isolatioun vum Gaascht ass richteg an et lount sech, sech drop tëscht Locatairen ze verloossen, an et ass kee Verspriechen, datt privilegiéierten Zougang onméiglech ass. Déi Asymmetrie verdéngt et, plakeg gesot ze ginn, amplaz sech hannert dem Wuert Isolatioun ze verstoppen.
En dedizéierte physesche Server ännert d'Arrangement, ouni d'Netz, den physeschen Zougang oder d'Verwaltungsschnëttstell ewechzehuelen, déi de Provider liwwert. Liest, wat de Produkt dokumentéiert, amplaz ee Wuert d'Zougangsfro entscheede ze loossen.
Maacht aus dem Duerchgang eng Vertrauensentscheedung
Schreif all Beobachter op an d'Fäegkeet, déi s du him gëss, an entscheed dann, ob déi Bewëllegung zum Traffic passt, deen s du wëlls schécken. D'Lëscht ass kuerz: däin lokalen Netz, däin Provider, d'Hosting-Netz, den Operateur vum Hypervisor, an du. Alles anescht ass en Ënnerkontrahent vun engem vun deenen a iwwerhëlt déi selwecht Fäegkeet. Virun entscheeden ass méi bëlleg wéi d'Lëscht duerno ze entdecken.
Dann iwwerpréif d'Deeler, déi s du wierklech kontrolléiere kanns: wéi eng Loge deng eege Servicer schreiwen, wéi laang s du se behältst, a wat de Provider iwwer Flossopzeechnungen an Opbewahrung publizéiert. Richtlinnen, déi s du liesen an testen kanns, si besser wéi Unhuele wat ee Wuert wéi privat bedeit.