Kas var redzēt jūsu datu plūsmu īrētā VPN serverī?

Servera īrēšana maina to, kam jūs uzticaties, un neatceļ jautājumu. Tunelis slēpj jūsu datu plūsmu no tīkliem, kurus tas šķērso, un pēc tam nodod atklāto tekstu mašīnai, kuru vada kāda cita hipervizors. Sekojot paketei no jūsu klienta uz āru, redzams, kur stāv katrs novērotājs un ko katrs no viņiem patiešām var redzēt. Šis gājiens ir noderīgāks par jebkuru apgalvojumu par anonimitāti.

Sāciet ar klientu un sekojiet paketei uz āru

Pirms kaut kas pamet klēpjdatoru, klients iesaiņo paketi un adresē to servera publiskajam galapunktam. Jūsu vietējais tīkls un jūsu pakalpojumu sniedzējs redz vienu plūsmu uz šo adresi un portu, ar apjomu un ritmu. Ko viņi neredz, ir kuru vietni jūs atvērāt, jo šis galamērķis atrodas šifrētās kravas iekšienē. Robeža starp metadatiem un saturu ir viss gājiens vienā teikumā.

Šis pirmais lēciens ir vieta, kur lielākā daļa mārketinga apgalvojumu pārstāj būt interesanti. Kaimiņš tajā pašā Wi-Fi tīklā redz to, ko redz pakalpojumu sniedzējs, un neviens no viņiem neredz lapu. Apjoms un laiks tomēr paliek redzami, un tie raksturo uzvedību arī tad, kad krava to nedara.

Mitināšanas tīkls redz tuneli, nevis lapu

Pakalpojumu sniedzēja tīklā šifrētā plūsma nonāk pie komutatora, tad pie virtuālas saskarnes, tad pie jūsu VM. Ikviens, kas pārvalda šo tīklu, var skaitīt baitus un uzturēt plūsmu ierakstus, neturot nekādu atslēgu, un tam atslēga nav vajadzīga. Tieši šo pozīciju ieņem mitināšanas pakalpojumu sniedzējs.

Ejot uz āru, aina mainās. VM atver jaunu savienojumu ar galamērķi, tāpēc mitināšanas tīkls var redzēt šo galamērķa adresi un TLS rokasspiedienu ap to. Krava paliek aizsargāta ar pašas lietotnes šifrēšanu, metadati ne.

Lasiet rindas pēc kārtas, un parādās problēmas forma: katra redz vairāk nekā rinda virs tās, un nevienai nav jālauž VPN, lai to izdarītu.

VM iekšienē tunelis beidzas un sākas atklāts teksts

Tunelis beidzas jūsu VM, tāpēc viesis redz iekšējo paketi pirms tam, kad kaut kas to atkārtoti šifrē. Tas nav defekts; tā dara pašu mitināta izeja. Tas gan nozīmē, ka izejas drošība ir atkarīga no tā, kas pārvalda viesi, un šajā kontā administrators esat jūs.

wg show
ss -tunp | head
nft list ruleset | head -40

Palaidiet tos serverī, un jūs pārbaudāt tos pašus ligzdas, ko varētu pārbaudīt operators ar root piekļuvi viesim. Viss, ko reģistrē jūsu palaistie pakalpojumi, atrodas tajā pašā uzticības robežā, tāpēc viesa žurnālu iestatījumi un infrastruktūras ieraksti ir divi atsevišķi jautājumi, nevis viens iestatījums.

Hipervizors atrodas zem viesa

Virtuālā mašīna nepieder kodolam, kurā tā darbojas. Hipervizors kartē tās atmiņu un virtuālo tīkla karti, tāpēc šī slāņa operators atrodas ārpus viesa audita iespējām. Viesa izolācija ir reāla, un uz to ir vērts paļauties starp nomniekiem, un tā nav solījums, ka privileģēta piekļuve nav iespējama. Šī asimetrija ir pelnījusi tikt pateikta tieši, nevis paslēpta aiz vārda izolācija.

Specializēts fizisks serveris maina izkārtojumu, neizņemot tīklu, fizisku piekļuvi vai pakalpojumu sniedzēja nodrošināto pārvaldības saskarni. Lasiet, ko produkts dokumentē, nevis ļaujiet vienam vārdam izlemt piekļuves jautājumu.

Pārvērtiet šo gājienu uzticības lēmumā

Pierakstiet katru novērotāju un tam piešķirto spēju, pēc tam izlemiet, vai šī piešķiršana atbilst datu plūsmai, ko plānojat sūtīt. Saraksts ir īss: jūsu vietējais tīkls, jūsu pakalpojumu sniedzējs, mitināšanas tīkls, hipervizora operators un jūs. Viss cits ir kāda no tiem apakšuzņēmējs un manto to pašu spēju. Izlemt iepriekš ir lētāk nekā atklāt sarakstu vēlāk.

Pēc tam pārbaudiet tās daļas, ko patiešām varat pārbaudīt: kādus žurnālus raksta jūsu pašu pakalpojumi, cik ilgi tos glabājat un ko pakalpojumu sniedzējs publicē par plūsmu ierakstiem un glabāšanu. Politikas, ko varat lasīt un pārbaudīt, ir labākas par pieņēmumiem, ko nozīmē tāds vārds kā privāts.