Wie kan je verkeer zien op een gehuurde VPN-server?

Een server huren verandert wie je vertrouwt en haalt de vraag niet weg. De tunnel verbergt je verkeer voor de netwerken die hij doorkruist en geeft de platte tekst daarna aan een machine die door iemands anders hypervisor wordt gedraaid. Het pakket vanaf je client naar buiten volgen laat zien waar elke waarnemer staat en wat ieder van hen werkelijk kan zien. Die wandeling is nuttiger dan welke bewering over anoniem zijn dan ook.

Begin bij de client en volg het pakket naar buiten

Voordat er iets de laptop verlaat, verpakt de client het pakket en adresseert het aan het openbare eindpunt van de server. Je lokale netwerk en je provider zien één stroom naar dat adres en die poort, met een grootte en een ritme. Wat ze niet zien is welke site je hebt geopend, omdat die bestemming in de versleutelde lading zit. De grens tussen metadata en inhoud is de hele wandeling in één zin.

Die eerste sprong is waar de meeste marketingbeweringen ophouden interessant te zijn. Een buur op dezelfde Wi-Fi ziet wat de provider ziet, en geen van beiden ziet de pagina. Volume en timing blijven wel zichtbaar, en ze beschrijven gedrag ook wanneer de lading dat niet doet.

Het hostingnetwerk ziet de tunnel, niet de pagina

Binnen het netwerk van de provider komt de versleutelde stroom bij een switch aan, dan bij een virtuele interface, dan bij je VM. Wie dat netwerk beheert, kan bytes tellen en stroomgegevens bijhouden zonder een sleutel te bezitten, en daarvoor is geen sleutel nodig. Het is precies de positie die een hostingprovider inneemt.

Op weg naar buiten verandert het beeld. De VM opent een nieuwe verbinding naar de bestemming, zodat het hostingnetwerk dat bestemmingsadres en de TLS-handshake eromheen kan zien. De lading blijft beschermd door de versleuteling van de toepassing zelf, de metadata niet.

Lees de rijen op volgorde en de vorm van het probleem verschijnt: elke rij ziet meer dan de rij erboven, en geen van hen hoeft de VPN te breken om dat te doen.

In de VM eindigt de tunnel en begint platte tekst

De tunnel eindigt op je VM, dus de gast ziet het binnenste pakket voordat iets het opnieuw versleutelt. Dat is geen gebrek; dat doet een zelf gehoste uitgang. Het betekent wel dat de veiligheid van de uitgang afhangt van wie de gast beheert, en op die rekening ben jij de beheerder.

wg show
ss -tunp | head
nft list ruleset | head -40

Voer die op de server uit en je inspecteert dezelfde sockets die een operator met root op de gast zou kunnen inspecteren. Alles wat de diensten die je draait loggen, zit binnen dezelfde vertrouwensgrens, en daarom zijn de loginstellingen van de gast en de infrastructuurgegevens twee aparte vragen en niet één instelling.

De hypervisor zit onder de gast

Een virtuele machine bezit de kernel niet waarop hij draait. De hypervisor brengt het geheugen en de virtuele netwerkkaart in kaart, dus een operator op die laag valt buiten het vermogen van de gast om hem te controleren. Gastisolatie is echt en het loont om er tussen huurders op te vertrouwen, en het is geen belofte dat bevoorrechte toegang onmogelijk is. Die asymmetrie verdient het om ronduit te worden gezegd in plaats van verstopt te worden achter het woord isolatie.

Een toegewijde fysieke server verandert de opzet zonder het netwerk, de fysieke toegang of de beheerinterface weg te nemen die de provider levert. Lees wat het product documenteert in plaats van één woord de toegangsvraag te laten beslechten.

Maak van de wandeling een vertrouwensbeslissing

Schrijf elke waarnemer op en het vermogen dat je hem geeft, en beslis dan of die verlening past bij het verkeer dat je wilt versturen. De lijst is kort: je lokale netwerk, je provider, het hostingnetwerk, de operator van de hypervisor en jij. Al het andere is een onderaannemer van een van hen en erft hetzelfde vermogen. Vooraf beslissen is goedkoper dan de lijst achteraf ontdekken.

Controleer daarna de delen die je echt kunt nagaan: welke logs je eigen diensten schrijven, hoe lang je ze bewaart en wat de provider publiceert over stroomgegevens en bewaring. Beleid dat je kunt lezen en testen is beter dan aannames over wat een woord als privé betekent.