Affitti un VPS, installi i tuoi programmi e ottieni i privilegi di amministratore. Naturalmente lo chiami «il mio server». La fattura ti dà ragione. Il computer fisico, però, appartiene ancora a qualcun altro. Un piccolo dettaglio che sulla tua privacy ha molto più da dire della parola «privato» nella pubblicità.

Un server privato virtuale è un computer creato via software, in esecuzione su una macchina controllata dal provider. Tu gestisci ciò che succede dentro l’ambiente che hai affittato. Il provider gestisce tutto ciò che permette a quell’ambiente di esistere. Sono due livelli di controllo diversi.

Tu hai root. Loro hanno la macchina.

Root è l’account amministratore del tuo server. Ti permette di installare programmi, gestire utenti e cambiare impostazioni. Non mette sotto il tuo controllo la macchina fisica del provider. Hai le chiavi dell’appartamento. Non hai comprato il palazzo.

In una normale infrastruttura VPS, chi dispone di un accesso sufficiente al sistema host può copiare il disco virtuale ed esaminarne il contenuto non cifrato senza accedere al tuo server. La tua password non entra in gioco. I dati vengono raggiunti dall’esterno del sistema che la verifica.

Siamo nel campo della normale amministrazione di sistema. Libguestfs, per esempio, offre strumenti per esaminare e modificare le immagini disco delle macchine virtuali. Sono utili per la manutenzione legittima. Illustrano anche il punto scomodo: accedere al sistema di archiviazione sottostante è una cosa diversa dall’usare le credenziali che controlli tu.

«Noi non andremmo a guardare» richiede parecchia fiducia

Un provider può avere regole severe, accessi limitati per il personale e controlli seri. Tutto questo conta. Ma «ai nostri dipendenti è vietato leggere i tuoi file» e «i nostri sistemi impediscono ai dipendenti di leggere i tuoi file» sono due promesse diverse. Un’informativa sulla privacy rassicurante non impedisce di leggere un disco.

Il rischio non si limita a un dipendente curioso. Chi compromette i sistemi di gestione del provider può ottenere poteri che non gli hai mai concesso. Puoi proteggere ogni account dentro il tuo VPS e dipendere comunque dalla sicurezza di account che stanno fuori.

Non serve immaginare un complotto. Ti stai fidando delle persone, delle procedure e dell’infrastruttura del provider. Va benissimo, se era questo l’accordo che avevi in mente. Un po’ meno se pensavi che «privato» significasse che nessun altro poteva guardare.

La tua serratura. La sua copia della chiave.

Immagina di affittare un box in un magazzino. La porta è solida e la serratura è ottima. Sistemi le scatole, chiudi a chiave e te ne vai con la sensazione di avere tutto sotto controllo. Il responsabile del magazzino, però, ha una copia della chiave. Quando gli chiedi spiegazioni, ti dice che il regolamento aziendale gli vieta di entrare senza il tuo permesso.

Che sollievo. Hai chiesto chi può aprire la porta. Ti ha spiegato a chi è vietato farlo.

Il responsabile può essere una persona assolutamente affidabile. Questo non fa sparire la copia della chiave. Devi comunque sapere chi può usarla, che cosa le impedisce di finire nelle mani sbagliate e se verresti a sapere che qualcuno l’ha usata. «Fidati di noi» è una richiesta. Non tiene fuori nessuno.

Il sito funziona benissimo. Qualcuno potrebbe leggere la copia.

Copiare un’informazione non fa sparire l’originale. I software di virtualizzazione possono creare un’istantanea del disco di un server in funzione; libvirt la documenta come una funzione standard. La copia può poi essere esaminata separatamente. Un sito che funziona e un indicatore di disponibilità tutto verde non ti dicono chi ha visto i dati.

Potrebbero essere messaggi dei clienti, fatture, codice sorgente, lavori non ancora pubblicati o un database. Potrebbero anche essere le credenziali di un bot di trading. Il problema va oltre le crypto e il posto in cui conservi una password: qualcun altro potrebbe avere accesso all’ambiente in cui lavori.

Ottima disponibilità del servizio. Per la privacy, il discorso è un altro.

Che cosa impedisce davvero al provider di guardare?

È questa la domanda utile da fare prima di considerare un VPS come una macchina davvero privata. L’accesso dipende da un dipendente che rispetta una regola, oppure esiste una barriera tecnica che il provider non può semplicemente aggirare? E chi controlla quella barriera?

Esistono architetture progettate per ridurre la fiducia necessaria nei confronti dell’host. Le macchine virtuali riservate, per esempio, usano protezioni hardware per isolare i programmi in esecuzione dal sistema che li ospita. La protezione dipende dalla configurazione, compresa la gestione dei dischi e delle chiavi di cifratura. La sigla VPS, da sola, non garantisce nulla di tutto questo.

Affittare potenza di calcolo è utile. L’errore è credere che i privilegi di amministratore diano il controllo esclusivo del computer di qualcun altro. Il provider continua a gestire la macchina. Se possa guardarci dentro è una cosa da chiarire, non da accettare sulla fiducia.