Kven kan sjå trafikken din på ein leigd VPN-server?

Å leige ein server endrar kven du stolar på, og det fjernar ikkje spørsmålet. Tunnelen skjuler trafikken din for netta han kryssar, og overleverer deretter klarteksten til ei maskin som hypervisoren til nokon andre køyrer. Å følgje pakken utover frå klienten din viser kvar kvar observatør står og kva kvar av dei faktisk kan sjå. Den gjennomgangen er nyttigare enn noko påstand om å vere anonym.

Start ved klienten og følg pakken utover

Før noko forlèt den berelege maskina, pakkar klienten inn pakken og adresserer han til det offentlege endepunktet til serveren. Det lokale nettet ditt og leverandøren din ser éin straum til den adressa og porten, med ein storleik og ein rytme. Det dei ikkje ser, er kva nettstad du opna, fordi den destinasjonen ligg inne i den krypterte nyttelasta. Linja mellom metadata og innhald er heile gjennomgangen i éi setning.

Det første hoppet er der dei fleste marknadsføringspåstandar sluttar å vere interessante. Ein nabo på same Wi-Fi ser det leverandøren ser, og ingen av dei ser sida. Volum og timing blir likevel synlege, og dei skildrar åtferd sjølv når nyttelasta ikkje gjer det.

Vertsnettet ser tunnelen, ikkje sida

Inne i nettet til leverandøren kjem den krypterte straumen til ein svitsj, deretter eit virtuelt grensesnitt, deretter VM-en din. Den som driv det nettet, kan telje byte og føre straumregister utan å halde nokon nøkkel, og det trengst ingen nøkkel for det. Det er nøyaktig posisjonen ein vertsleverandør inntek.

På vegen ut endrar biletet seg. VM-en opnar ei ny tilkopling til destinasjonen, så vertsnettet kan sjå den destinasjonsadressa og TLS-handtrykket rundt henne. Nyttelasta blir verande verna av krypteringa til applikasjonen sjølv, og metadataa gjer det ikkje.

Les radene i rekkjefølgje, og forma til problemet viser seg: kvar ser meir enn rada over, og ingen av dei treng å bryte VPN-en for å gjere det.

Inne i VM-en sluttar tunnelen og klartekst byrjar

Tunnelen sluttar på VM-en din, så gjesten ser den indre pakken før noko krypterer han på nytt. Det er ikkje ein feil; det er det ein sjølvhosta utgang gjer. Det tyder likevel at tryggleiken til utgangen avheng av kven som administrerer gjesten, og på den kontoen er du administratoren.

wg show
ss -tunp | head
nft list ruleset | head -40

Køyr dei på serveren, og du inspiserer dei same sokkane som ein operatør med root på gjesten kunne inspisere. Alt tenestene du køyrer loggar, ligg innanfor same tillitsgrensa, og difor er logginnstillingane til gjesten og infrastrukturregistra to separate spørsmål og ikkje éi innstilling.

Hypervisoren sit under gjesten

Ei virtuell maskin eig ikkje kjernen ho køyrer på. Hypervisoren kartlegg minnet og det virtuelle nettverkskortet, så ein operatør på det laget er utanfor evna til gjesten til å revidere. Gjesteisolering er reell og verdt å stole på mellom leigetakarar, og det er ikkje eit løfte om at privilegert tilgang er umogeleg. Den asymmetrien fortener å bli sagt rett ut i staden for å gøyme seg bak ordet isolering.

Ein dedikert fysisk server endrar ordninga utan å fjerne nettet, den fysiske tilgangen eller administrasjonsgrensesnittet leverandøren tilbyr. Les det produktet dokumenterer i staden for å la eitt ord avgjere tilgangsspørsmålet.

Gjer gjennomgangen til ei tillitsavgjerd

Skriv ned kvar observatør og evna du gir han, og avgjer deretter om den tildelinga passar trafikken du planlegg å sende. Lista er kort: det lokale nettet ditt, leverandøren din, vertsnettet, hypervisoroperatøren og du. Alt anna er ein underleverandør av ein av dei og arvar same evna. Å avgjere på førehand er billegare enn å oppdage lista etterpå.

Stadfest deretter delane du faktisk kan kontrollere: kva loggar dine eigne tenester skriv, kor lenge du oppbevarer dei, og kva leverandøren publiserer om straumregister og oppbevaring. Retningslinjer du kan lese og teste, slår antakingar om kva eit ord som privat tyder.