Cine poate vedea traficul tău pe un server VPN închiriat?
Închirierea unui server VPN mută încrederea către furnizorul de găzduire. Parcurge drumul de la client la ieșire și vezi ce poate și ce nu poate afla fiecare observator.
Închirierea unui server schimbă în cine ai încredere și nu elimină întrebarea. Tunelul îți ascunde traficul de rețelele pe care le traversează, apoi predă textul simplu unei mașini pe care o rulează hipervizorul altcuiva. Urmărirea pachetului spre exterior din clientul tău arată unde stă fiecare observator și ce poate vedea cu adevărat fiecare. Acel parcurs este mai util decât orice afirmație despre anonimat.
Începe la client și urmărește pachetul spre exterior
Înainte ca ceva să părăsească laptopul, clientul împachetează pachetul și îl adresează punctului final public al serverului. Rețeaua ta locală și furnizorul tău văd un singur flux către acea adresă și port, cu o dimensiune și un ritm. Ce nu văd este ce site ai deschis, pentru că acea destinație se află în interiorul încărcăturii criptate. Linia dintre metadate și conținut este întregul parcurs într-o singură propoziție.
Acel prim salt este locul unde majoritatea afirmațiilor de marketing încetează să mai fie interesante. Un vecin pe același Wi-Fi vede ce vede furnizorul, și niciunul dintre ei nu vede pagina. Volumul și momentul rămân totuși vizibile, și descriu comportament chiar și atunci când încărcătura nu o face.
Rețeaua de găzduire vede tunelul, nu pagina
În interiorul rețelei furnizorului, fluxul criptat ajunge la un comutator, apoi la o interfață virtuală, apoi la VM-ul tău. Oricine operează acea rețea poate număra octeți și ține evidența fluxurilor fără să dețină vreo cheie, și nu este nevoie de nicio cheie pentru asta. Este exact poziția pe care o ocupă un furnizor de găzduire.
Pe drumul spre exterior imaginea se schimbă. VM-ul deschide o conexiune nouă către destinație, așa că rețeaua de găzduire poate vedea acea adresă de destinație și strângerea de mână TLS din jurul ei. Încărcătura rămâne protejată de criptarea proprie a aplicației, iar metadatele nu.
| Observer | Visible to it | Hidden from it |
|---|---|---|
| Local network | Tunnel endpoint, volume, timing | Destination and payload |
| Your ISP | The same flow metadata | Destination and payload |
| Hosting network | Tunnel flow, exit destination, TLS handshake | HTTPS payload |
| Hypervisor operator | Guest memory and virtual NIC, in principle | Nothing, if it chooses to look |
Citește rândurile în ordine și forma problemei apare: fiecare vede mai mult decât rândul de deasupra, și niciunul dintre ele nu trebuie să spargă VPN-ul pentru asta.
În interiorul VM tunelul se termină și începe textul simplu
Tunelul se termină pe VM-ul tău, așa că invitatul vede pachetul interior înainte ca ceva să îl cripteze din nou. Nu este un defect; asta face o ieșire găzduită de tine. Înseamnă însă că securitatea ieșirii depinde de cine administrează invitatul, iar la acel cont administratorul ești tu.
wg show
ss -tunp | head
nft list ruleset | head -40Rulează-le pe server și inspectezi aceleași socketuri pe care le-ar putea inspecta un operator cu root pe invitat. Tot ce loghează serviciile pe care le rulezi se află în aceeași graniță de încredere, de aceea setările de log ale invitatului și evidențele de infrastructură sunt două întrebări separate, nu o singură setare.
Hipervizorul stă sub invitat
O mașină virtuală nu deține nucleul pe care rulează. Hipervizorul îi mapează memoria și placa de rețea virtuală, așa că un operator de la acel nivel se află în afara capacității invitatului de a-l audita. Izolarea invitatului este reală și merită să te bazezi pe ea între chiriași, și nu este o promisiune că accesul privilegiat este imposibil. Această asimetrie merită spusă deschis în loc să fie ascunsă în spatele cuvântului izolare.
Un server fizic dedicat schimbă aranjamentul fără a elimina rețeaua, accesul fizic sau interfața de administrare pe care o oferă furnizorul. Citește ce documentează produsul în loc să lași un singur cuvânt să decidă întrebarea accesului.
Transformă parcursul într-o decizie de încredere
Notează fiecare observator și capacitatea pe care i-o acorzi, apoi decide dacă acea acordare se potrivește traficului pe care intenționezi să îl trimiți. Lista este scurtă: rețeaua ta locală, furnizorul tău, rețeaua de găzduire, operatorul hipervizorului și tu. Orice altceva este un subcontractant al unuia dintre ei și moștenește aceeași capacitate. A decide dinainte este mai ieftin decât a descoperi lista după aceea.
Apoi verifică părțile pe care chiar le poți controla: ce loguri scriu serviciile tale, cât timp le păstrezi și ce publică furnizorul despre evidențele de flux și retenție. Politicile pe care le poți citi și testa sunt mai bune decât presupunerile despre ce înseamnă un cuvânt ca privat.