ใครมองเห็นทราฟฟิกของคุณบนเซิร์ฟเวอร์ VPN ที่เช่าได้บ้าง?

การเช่าเซิร์ฟเวอร์เปลี่ยนคนที่คุณไว้วางใจ และไม่ได้ลบคำถามทิ้ง อุโมงค์ซ่อนทราฟฟิกของคุณจากเครือข่ายที่มันผ่าน แล้วส่งข้อความธรรมดาให้เครื่องที่ไฮเปอร์ไวเซอร์ของคนอื่นรันอยู่ การตามแพ็กเก็ตออกไปข้างนอกจากไคลเอนต์ของคุณแสดงว่าผู้สังเกตแต่ละรายยืนอยู่ตรงไหน และแต่ละคนเห็นอะไรได้จริง การเดินทางนั้นมีประโยชน์กว่าคำกล่าวอ้างเรื่องการไม่ระบุตัวตนใด ๆ

เริ่มที่ไคลเอนต์แล้วตามแพ็กเก็ตออกไปข้างนอก

ก่อนที่อะไรจะออกจากแล็ปท็อป ไคลเอนต์ห่อแพ็กเก็ตและใส่ที่อยู่ปลายทางสาธารณะของเซิร์ฟเวอร์ เครือข่ายท้องถิ่นและผู้ให้บริการอินเทอร์เน็ตของคุณเห็นการไหลเดียวไปยังที่อยู่และพอร์ตนั้น พร้อมขนาดและจังหวะ สิ่งที่พวกเขาไม่เห็นคือ เว็บไซต์ที่คุณเปิด เพราะปลายทางนั้นอยู่ภายในเพย์โหลดที่เข้ารหัส เส้นแบ่งระหว่างเมทาดาทากับเนื้อหาคือเส้นทางการเดินทางทั้งหมดในประโยคเดียว

การกระโดดครั้งแรกคือจุดที่คำกล่าวอ้างทางการตลาดส่วนใหญ่หมดความน่าสนใจ เพื่อนบ้านบน Wi-Fi เดียวกันเห็นสิ่งที่ผู้ให้บริการอินเทอร์เน็ตเห็น และทั้งคู่ไม่เห็นหน้าเว็บ อย่างไรก็ตาม ปริมาณและจังหวะเวลายังคงมองเห็นได้ และสิ่งเหล่านี้อธิบายพฤติกรรมแม้เมื่อเพย์โหลดไม่ได้ทำเช่นนั้น

เครือข่ายโฮสติ้งเห็นอุโมงค์ ไม่เห็นหน้าเว็บ

ภายในเครือข่ายของผู้ให้บริการ การไหลที่เข้ารหัสมาถึงสวิตช์ จากนั้นไปยังอินเทอร์เฟซเสมือน จากนั้นไปยัง VM ของคุณ ใครก็ตามที่ดำเนินการเครือข่ายนั้นสามารถนับไบต์และเก็บบันทึกการไหลได้โดยไม่ต้องถือกุญแจใด ๆ และไม่ต้องใช้กุญแจสำหรับสิ่งนั้น นั่นคือตำแหน่งที่ผู้ให้บริการโฮสติ้งยึดอยู่พอดี

ในเส้นทางออก ภาพเปลี่ยนไป VM เปิดการเชื่อมต่อใหม่ไปยังปลายทาง เครือข่ายโฮสติ้งจึงเห็นที่อยู่ปลายทางนั้นและการจับมือ TLS รอบ ๆ เพย์โหลดยังคงได้รับการปกป้องด้วยการเข้ารหัสของแอปพลิเคชันเอง ส่วนเมทาดาทาไม่

อ่านแถวตามลำดับแล้วรูปร่างของปัญหาก็ปรากฏ แต่ละแถวเห็นมากกว่าแถวเหนือขึ้นไป และไม่มีแถวใดต้องทำลาย VPN เพื่อทำเช่นนั้น

ภายใน VM อุโมงค์สิ้นสุดลงและข้อความธรรมดาเริ่มต้น

อุโมงค์สิ้นสุดที่ VM ของคุณ แขกจึงเห็นแพ็กเก็ตภายในก่อนที่อะไรจะเข้ารหัสมันอีกครั้ง นี่ไม่ใช่ข้อบกพร่อง ทางออกที่คุณโฮสต์เองทำเช่นนี้ แต่มันหมายความว่าความปลอดภัยของทางออกขึ้นอยู่กับว่าใครดูแลแขก และในบัญชีนั้นผู้ดูแลคือคุณ

wg show
ss -tunp | head
nft list ruleset | head -40

เรียกใช้สิ่งเหล่านี้บนเซิร์ฟเวอร์แล้วคุณกำลังตรวจสอบซ็อกเก็ตเดียวกับที่ผู้ปฏิบัติงานที่มี root บนแขกจะตรวจสอบได้ ทุกสิ่งที่บริการที่คุณรันบันทึกไว้อยู่ในขอบเขตความไว้วางใจเดียวกัน นั่นคือเหตุผลที่การตั้งค่าบันทึกของแขกและบันทึกโครงสร้างพื้นฐานเป็นคำถามสองข้อแยกจากกัน ไม่ใช่การตั้งค่าเดียว

ไฮเปอร์ไวเซอร์อยู่ใต้แขก

เครื่องเสมือนไม่ได้เป็นเจ้าของเคอร์เนลที่มันรันอยู่ ไฮเปอร์ไวเซอร์แมปหน่วยความจำและบัตรเครือข่ายเสมือนของมัน ผู้ปฏิบัติงานในชั้นนั้นจึงอยู่นอกความสามารถของแขกที่จะตรวจสอบ การแยกแขกเป็นของจริงและควรค่าแก่การไว้วางใจระหว่างผู้เช่า และไม่ใช่คำสัญญาว่าการเข้าถึงแบบพิเศษจะเป็นไปไม่ได้ ความไม่สมมาตรนั้นสมควรถูกพูดตรง ๆ แทนที่จะซ่อนอยู่หลังคำว่าการแยก

เซิร์ฟเวอร์กายภาพเฉพาะเปลี่ยนการจัดวางโดยไม่ลบเครือข่าย การเข้าถึงทางกายภาพ หรืออินเทอร์เฟซการจัดการที่ผู้ให้บริการจัดหาให้ อ่านสิ่งที่ผลิตภัณฑ์บันทึกไว้ แทนที่จะปล่อยให้คำเดียวตัดสินคำถามเรื่องการเข้าถึง

เปลี่ยนการเดินทางนี้ให้เป็นการตัดสินใจเรื่องความไว้วางใจ

เขียนผู้สังเกตแต่ละรายและความสามารถที่คุณมอบให้ แล้วตัดสินว่าการมอบนั้นเหมาะกับทราฟฟิกที่คุณวางแผนจะส่งหรือไม่ รายการนั้นสั้น เครือข่ายท้องถิ่นของคุณ ผู้ให้บริการอินเทอร์เน็ต เครือข่ายโฮสติ้ง ผู้ปฏิบัติงานไฮเปอร์ไวเซอร์ และคุณ สิ่งอื่นใดล้วนเป็นผู้รับเหมาช่วงของผู้ใดผู้หนึ่งในกลุ่มนี้และสืบทอดความสามารถเดียวกัน การตัดสินใจล่วงหน้าถูกกว่าการค้นพบรายการภายหลัง

จากนั้นตรวจสอบส่วนที่คุณตรวจสอบได้จริง บริการของคุณเขียนบันทึกอะไร คุณเก็บไว้นานเท่าใด และผู้ให้บริการเผยแพร่อะไรเกี่ยวกับบันทึกการไหลและการเก็บรักษา นโยบายที่คุณอ่านและทดสอบได้ดีกว่าการสันนิษฐานว่าคำอย่างเป็นส่วนตัวหมายถึงอะไร