Kto môže vidieť váš prenos na prenajatom VPN serveri?

Prenájom servera mení, komu dôverujete, a otázku neodstraňuje. Tunel skrýva váš prenos pred sieťami, ktorými prechádza, a potom odovzdá otvorený text stroju, ktorý prevádzkuje hypervízor niekoho iného. Sledovanie paketu od vášho klienta von ukazuje, kde stojí každý pozorovateľ a čo každý z nich naozaj môže vidieť. Tá prehliadka je užitočnejšia než akékoľvek tvrdenie o anonymite.

Začnite pri klientovi a sledujte paket von

Skôr než čokoľvek opustí laptop, klient zabalí paket a adresuje ho na verejný koncový bod servera. Vaša miestna sieť a váš poskytovateľ vidia jeden tok na tú adresu a port, s veľkosťou a rytmom. Čo nevidia, je ktorú stránku ste otvorili, pretože ten cieľ sa nachádza vnútri šifrovaného obsahu. Hranica medzi metadátami a obsahom je celá prehliadka v jednej vete.

Ten prvý skok je miesto, kde väčšina marketingových tvrdení prestáva byť zaujímavá. Sused na tej istej Wi-Fi vidí to, čo vidí poskytovateľ, a ani jeden z nich nevidí stránku. Objem a časovanie však zostávajú viditeľné a opisujú správanie, aj keď obsah nie.

Hostingová sieť vidí tunel, nie stránku

Vnútri siete poskytovateľa šifrovaný tok dorazí na prepínač, potom na virtuálne rozhranie a potom na váš VM. Ktokoľvek tú sieť prevádzkuje, môže počítať bajty a viesť záznamy o tokoch bez akéhokoľvek kľúča, a na to nie je potrebný žiadny kľúč. Presne túto pozíciu zaujíma hostingový poskytovateľ.

Na ceste von sa obraz mení. VM otvorí nové spojenie k cieľu, takže hostingová sieť môže vidieť adresu tohto cieľa a podanie ruky TLS okolo nej. Obsah zostáva chránený vlastným šifrovaním aplikácie, metadáta nie.

Čítajte riadky po poradí a tvar problému sa objaví: každý vidí viac ako riadok nad ním a žiadny z nich nemusí preto lámať VPN.

Vo vnútri VM tunel končí a začína otvorený text

Tunel končí na vašom VM, takže hosť vidí vnútorný paket skôr, než ho čokoľvek znova zašifruje. To nie je chyba; takto to robí výstup, ktorý si hostujete sami. Znamená to však, že bezpečnosť výstupu závisí od toho, kto spravuje hosťa, a na tomto účte ste správcom vy.

wg show
ss -tunp | head
nft list ruleset | head -40

Spustite ich na serveri a prezeráte si tie isté sockety, ktoré by si mohol prezerať operátor s rootom na hosťovi. Všetko, čo vaše služby zapisujú do logov, leží vnútri tej istej hranice dôvery, a preto sú nastavenia logov hosťa a záznamy infraštruktúry dve oddelené otázky, nie jedno nastavenie.

Hypervízor sedí pod hosťom

Virtuálny stroj nevlastní jadro, na ktorom beží. Hypervízor mapuje jeho pamäť a jeho virtuálnu sieťovú kartu, takže operátor na tejto vrstve stojí mimo možnosti hosťa vykonávať audit. Izolácia hosťa je skutočná a medzi nájomcami sa na ňu oplatí spoliehať, a nie je to prísľub, že privilegovaný prístup je nemožný. Táto asymetria si zaslúži byť povedaná priamo, namiesto skrývania za slovom izolácia.

Vyhradený fyzický server mení usporiadanie bez toho, aby odstránil sieť, fyzický prístup alebo rozhranie na správu, ktoré poskytovateľ dodáva. Čítajte, čo produkt dokumentuje, namiesto toho, aby ste nechali jedno slovo rozhodnúť otázku prístupu.

Premeňte prehliadku na rozhodnutie o dôvere

Zapíšte každého pozorovateľa a schopnosť, ktorú mu dávate, potom rozhodnite, či toto udelenie vyhovuje prenosu, ktorý plánujete posielať. Zoznam je krátky: vaša miestna sieť, váš poskytovateľ, hostingová sieť, operátor hypervízora a vy. Čokoľvek iné je subdodávateľ jedného z nich a dedí rovnakú schopnosť. Rozhodnúť vopred je lacnejšie než zoznam objaviť dodatočne.

Potom overte časti, ktoré skutočne môžete skontrolovať: aké logy píšu vaše vlastné služby, ako dlho ich uchovávate a čo poskytovateľ zverejňuje o záznamoch tokov a retencii. Zásady, ktoré si môžete prečítať a otestovať, sú lepšie než predpoklady o tom, čo znamená slovo ako súkromný.