Hvem kan se trafikken din på en leid VPN-server?

Å leie en server endrer hvem du stoler på, og det fjerner ikke spørsmålet. Tunnelen skjuler trafikken din for nettene den krysser, og overleverer deretter klarteksten til en maskin som noen andres hypervisor kjører. Å følge pakken utover fra klienten din viser hvor hver observatør står og hva hver av dem faktisk kan se. Den gjennomgangen er nyttigere enn noen påstand om å være anonym.

Start ved klienten og følg pakken utover

Før noe forlater den bærbare maskinen, pakker klienten inn pakken og adresserer den til serverens offentlige endepunkt. Ditt lokale nett og leverandøren din ser én strøm til den adressen og porten, med en størrelse og en rytme. Det de ikke ser, er hvilket nettsted du åpnet, fordi den destinasjonen ligger inne i den krypterte nyttelasten. Linjen mellom metadata og innhold er hele gjennomgangen i én setning.

Det første hoppet er der de fleste markedsføringspåstander slutter å være interessante. En nabo på samme Wi-Fi ser det leverandøren ser, og ingen av dem ser siden. Volum og timing forblir likevel synlige, og de beskriver atferd selv når nyttelasten ikke gjør det.

Vertsnettet ser tunnelen, ikke siden

Inne i leverandørens nett ankommer den krypterte strømmen en svitsj, deretter et virtuelt grensesnitt, deretter din VM. Den som driver det nettet, kan telle byte og føre strømregistre uten å holde noen nøkkel, og det trengs ingen nøkkel for det. Det er nøyaktig posisjonen en vertsleverandør inntar.

På veien ut endrer bildet seg. VM-en åpner en ny forbindelse til destinasjonen, så vertsnettet kan se den destinasjonsadressen og TLS-håndtrykket rundt den. Nyttelasten forblir beskyttet av applikasjonens egen kryptering, og metadataene gjør det ikke.

Les radene i rekkefølge, og problemets form viser seg: hver ser mer enn raden over, og ingen av dem trenger å bryte VPN-en for å gjøre det.

Inne i VM-en slutter tunnelen og klartekst begynner

Tunnelen slutter på din VM, så gjesten ser den indre pakken før noe krypterer den på nytt. Det er ikke en feil; det er det en selvhostet utgang gjør. Det betyr likevel at utgangens sikkerhet avhenger av hvem som administrerer gjesten, og på den kontoen er du administratoren.

wg show
ss -tunp | head
nft list ruleset | head -40

Kjør dem på serveren, og du inspiserer de samme socketene som en operatør med root på gjesten kunne inspisere. Alt tjenestene du kjører logger, ligger innenfor samme tillitsgrense, og derfor er gjestens logginnstillinger og infrastrukturregistre to separate spørsmål og ikke én innstilling.

Hypervisoren sitter under gjesten

En virtuell maskin eier ikke kjernen den kjører på. Hypervisoren kartlegger minnet og det virtuelle nettverkskortet, så en operatør på det laget er utenfor gjestens evne til å revidere. Gjesteisolering er reell og verdt å stole på mellom leietakere, og det er ikke et løfte om at privilegert tilgang er umulig. Den asymmetrien fortjener å bli sagt rett ut i stedet for å gjemme seg bak ordet isolering.

En dedikert fysisk server endrer ordningen uten å fjerne nettet, den fysiske tilgangen eller administrasjonsgrensesnittet leverandøren tilbyr. Les det produktet dokumenterer i stedet for å la ett ord avgjøre tilgangsspørsmålet.

Gjør gjennomgangen til en tillitsbeslutning

Skriv ned hver observatør og evnen du gir den, og avgjør deretter om den tildelingen passer trafikken du planlegger å sende. Listen er kort: ditt lokale nett, leverandøren din, vertsnettet, hypervisoroperatøren og deg. Alt annet er en underleverandør av en av dem og arver samme evne. Å bestemme på forhånd er billigere enn å oppdage listen etterpå.

Bekreft deretter delene du faktisk kan kontrollere: hvilke logger dine egne tjenester skriver, hvor lenge du oppbevarer dem, og hva leverandøren publiserer om strømregistre og oppbevaring. Retningslinjer du kan lese og teste, slår antakelser om hva et ord som privat betyr.