Wynajmujesz VPS-a, instalujesz oprogramowanie i dostajesz uprawnienia administratora. Naturalnie mówisz: „mój serwer”. Faktura potwierdza. Tyle że fizyczny komputer nadal należy do kogoś innego. Ten drobiazg mówi o twojej prywatności znacznie więcej niż słowo „prywatny” w ofercie.

Wirtualny serwer prywatny to komputer utworzony za pomocą oprogramowania, działający na fizycznej maszynie kontrolowanej przez dostawcę. Ty zarządzasz tym, co dzieje się wewnątrz wynajętego środowiska. Dostawca zarządza sprzętem i systemami, dzięki którym to środowisko w ogóle istnieje. To dwa różne poziomy kontroli.

Ty masz roota. Oni mają maszynę.

Root to konto administratora wewnątrz twojego serwera. Pozwala instalować programy, zarządzać użytkownikami i zmieniać ustawienia. Nie daje ci kontroli nad fizyczną maszyną dostawcy. Zarządzasz mieszkaniem. Nie kupiłeś całego budynku.

W typowej konfiguracji VPS osoba z odpowiednimi uprawnieniami w infrastrukturze dostawcy może skopiować dysk wirtualny i przejrzeć jego niezaszyfrowaną zawartość bez logowania się do twojego serwera. Twoje hasło nie bierze w tym udziału. Do danych można dotrzeć z pominięciem systemu, który sprawdza hasło.

To zwykłe narzędzia administracyjne. Na przykład Libguestfs pozwala przeglądać i modyfikować obrazy dysków maszyn wirtualnych. Przydaje się do legalnych prac serwisowych. Pokazuje też niezręczny szczegół: dostęp do zaplecza przechowującego dane to coś innego niż logowanie, nad którym masz kontrolę.

„My tam nie zaglądamy” ma załatwić całą sprawę

Dostawca może mieć surowe zasady, ograniczać dostęp pracowników i dobrze ich nadzorować. To wszystko ma znaczenie. Ale „pracownikom nie wolno czytać twoich plików” i „nasze systemy nie pozwalają pracownikom czytać twoich plików” to dwie różne obietnice. Uspokajająca polityka prywatności nie sprawia, że czytelny dysk nagle przestaje być czytelny.

Ryzyko nie kończy się na ciekawskim pracowniku. Ktoś, kto przejmie systemy zarządzania dostawcy, może uzyskać uprawnienia, których nigdy mu nie nadałeś. Możesz zabezpieczyć każde konto wewnątrz VPS-a i nadal zależeć od bezpieczeństwa kont znajdujących się poza nim.

Nie trzeba do tego żadnego spisku. Ufasz ludziom, procedurom i infrastrukturze operatora. W porządku, jeśli właśnie na taki układ chciałeś się zgodzić. Trochę mniej przyjemnie, jeśli „prywatny” miało znaczyć, że nikt inny nie może zajrzeć do środka.

Twoja kłódka. Zapasowy klucz kierownika magazynu.

Wyobraź sobie, że wynajmujesz boks w magazynie. Zakładasz świetny zamek, równo ustawiasz pudła i wychodzisz z poczuciem dobrze spełnionego obowiązku. Kierownik nadal ma sposób, żeby wejść do środka. Pytasz go o to, a on wyjaśnia, że wchodzenie bez zgody byłoby niezgodne z regulaminem firmy.

Wspaniale. Pytasz, kto może otworzyć drzwi. W odpowiedzi słyszysz, kto powinien się przyzwoicie zachowywać.

Kierownik może być człowiekiem bez zarzutu. Zapasowy klucz od tego nie znika. Nadal warto wiedzieć, kto może go użyć, co chroni go przed trafieniem w niepowołane ręce i czy w ogóle dowiesz się, że ktoś go użył. „Zaufaj nam” to prośba. Nie zabezpieczenie drzwi.

Strona może działać bez zarzutu, gdy ktoś czyta kopię

Kopiowanie informacji nie wymaga usunięcia oryginału. Oprogramowanie do wirtualizacji potrafi robić migawki dysku działającego serwera; dokumentacja libvirt opisuje to jako zwykłą funkcję. Taką kopię można później przeglądać osobno. Działająca strona i zielony wykres dostępności nie powiedzą ci, kto widział jej dane.

Mogą to być wiadomości od klientów, faktury, kod źródłowy, nieopublikowane materiały albo baza danych. Mogą to być również dane dostępowe bota handlowego. Problem jest szerszy niż kryptowaluty i szerszy niż pytanie, gdzie trzymać hasło: ktoś inny może mieć wgląd w całe środowisko, w którym pracujesz.

Świetna dostępność. O prywatności porozmawiamy osobno.

Co naprawdę powstrzymuje operatora przed zajrzeniem do środka?

To pytanie warto zadać, zanim potraktujesz VPS-a jak własny prywatny komputer. Czy dostęp zależy od tego, że pracownik przestrzega zasad, czy istnieje techniczna bariera, której operator nie może po prostu ominąć? Kto tę barierę kontroluje?

Istnieją rozwiązania zaprojektowane tak, aby ograniczyć potrzebę zaufania do operatora infrastruktury. Na przykład poufne maszyny wirtualne (confidential VM) wykorzystują zabezpieczenia sprzętowe, aby odizolować uruchomione zadania od warstwy hostingowej. Zakres ochrony zależy od konfiguracji, w tym od sposobu obsługi dysków i kluczy szyfrujących. Same litery VPS niczego takiego nie gwarantują.

Wynajmowanie mocy obliczeniowej ma sens. Błędem jest założenie, że uprawnienia administratora dają ci wyłączną kontrolę nad cudzym komputerem. Maszyną nadal zarządza dostawca. To, czy może zajrzeć do środka, trzeba ustalić, a nie przyjmować na wiarę.