Kdo lahko vidi vaš promet na najetem strežniku VPN?

Najem strežnika spremeni, komu zaupate, in ne odpravi vprašanja. Tunel skrije vaš promet pred omrežji, ki jih prečka, nato pa golo besedilo izroči stroju, ki ga poganja hipervizor nekoga drugega. Če paketu sledite od svojega odjemalca navzven, vidite, kje stoji vsak opazovalec in kaj lahko vsak od njih v resnici vidi. Ta sprehod je bolj koristen od vsake trditve o anonimnosti.

Začnite pri odjemalcu in sledite paketu navzven

Preden karkoli zapusti prenosnik, odjemalec paket ovije in ga naslovi na javno končno točko strežnika. Vaše lokalno omrežje in vaš ponudnik vidita en tok na ta naslov in vrata, z velikostjo in ritmom. Česar ne vidita, je katero stran ste odprli, ker je ta cilj znotraj šifriranega tovora. Meja med metapodatki in vsebino je celoten sprehod v enem stavku.

Ta prvi skok je mesto, kjer večina trženjskih trditev neha biti zanimiva. Sosed v istem omrežju Wi-Fi vidi, kar vidi ponudnik, in nobeden od njiju ne vidi strani. Obseg in časovni potek pa ostaneta vidna in opisujeta vedenje tudi takrat, ko tovor tega ne počne.

Gostiteljsko omrežje vidi tunel, ne strani

Znotraj omrežja ponudnika šifrirani tok prispe do stikala, nato do navideznega vmesnika, nato do vaše VM. Kdor koli upravlja to omrežje, lahko šteje bajte in vodi evidence tokov brez kakršnega koli ključa, in za to ni potreben noben ključ. Točno ta položaj zavzema ponudnik gostovanja.

Na poti navzven se slika spremeni. VM odpre novo povezavo do cilja, zato lahko gostiteljsko omrežje vidi ta ciljni naslov in rokovanje TLS okoli njega. Tovor ostane zaščiten z lastnim šifriranjem aplikacije, metapodatki pa ne.

Preberite vrstice po vrsti in oblika problema se pokaže: vsaka vidi več od vrstice nad njo in nobeni od njih ni treba zato vlomiti VPN.

Znotraj VM se tunel konča in začne se golo besedilo

Tunel se konča na vaši VM, zato gost vidi notranji paket, preden ga karkoli znova šifrira. To ni napaka; tako počne izhod, ki ga gostite sami. Pomeni pa, da je varnost izhoda odvisna od tega, kdo upravlja gosta, in na tem računu ste upravitelj vi.

wg show
ss -tunp | head
nft list ruleset | head -40

Zaženite jih na strežniku in pregledujete iste vtičnice, ki bi jih lahko pregledal operater z rootom na gostu. Vse, kar vaše storitve zapišejo v dnevnike, je znotraj iste meje zaupanja, zato sta nastavitvi dnevnikov gosta in evidence infrastrukture dve ločeni vprašanji in ne ena nastavitev.

Hipervizor sedi pod gostom

Navidezni stroj ni lastnik jedra, na katerem teče. Hipervizor preslika njegov pomnilnik in njegovo navidezno omrežno kartico, zato je operater na tej ravni zunaj zmožnosti gosta, da bi ga revidiral. Izolacija gosta je resnična in nanjo se je med najemniki vredno zanesti, in ni obljuba, da privilegiran dostop ni mogoč. Ta asimetrija si zasluži, da se pove naravnost, namesto da se skriva za besedo izolacija.

Namenski fizični strežnik spremeni ureditev, ne da bi odstranil omrežje, fizični dostop ali vmesnik za upravljanje, ki ga zagotavlja ponudnik. Preberite, kaj izdelek dokumentira, namesto da eni besedi prepustite odločitev o dostopu.

Spremenite sprehod v odločitev o zaupanju

Zapišite vsakega opazovalca in zmožnost, ki mu jo dajete, nato odločite, ali ta podelitev ustreza prometu, ki ga nameravate pošiljati. Seznam je kratek: vaše lokalno omrežje, vaš ponudnik, gostiteljsko omrežje, operater hipervizorja in vi. Vse drugo je podizvajalec enega od njih in podeduje isto zmožnost. Odločiti se vnaprej je ceneje kot seznam odkriti pozneje.

Nato preverite dele, ki jih res lahko preverite: katere dnevnike pišejo vaše lastne storitve, kako dolgo jih hranite in kaj ponudnik objavlja o evidencah tokov in hrambi. Pravila, ki jih lahko preberete in preizkusite, so boljša od domnev o tem, kaj pomeni beseda, kot je zasebno.