Sehen und Vorhalten sind zwei unterschiedliche Fragen
Was die meisten Menschen in einer No-Logs-Behauptung hören, ist, dass der Anbieter ihren Traffic nicht sehen kann. Was ein ehrlicher Anbieter tatsächlich sagen kann, ist enger gefasst: Vieles ist im Moment sichtbar, und fast nichts davon wird aufgezeichnet. Ein Paket, das einen Border-Router durchquert, ist für diesen Router sichtbar. Ob die Sichtbarkeit zu einer Aufzeichnung wird, ist eine Entscheidung über Konfiguration und Aufbewahrung — und die Aufzeichnung ist der einzige Teil davon, den man per Anordnung zur Herausgabe zwingen kann.
Die beiden Fragen werden durch unterschiedliche Mechanismen beantwortet, weshalb es sich für eine Marketingseite so gut eignet, sie zu vermischen. Sehen wird durch Kryptografie begrenzt: Was Ende-zu-Ende verschlüsselt ist, ist unterwegs unlesbar, ganz gleich, wie guten Willens irgendjemand ist. Vorhalten wird durch einen Timer begrenzt, und ein Timer ist etwas, das veröffentlicht, beschrieben und eingehalten werden kann. Ein Host, der nur über das Erste spricht, weicht dem Zweiten aus.
Die acht Stellen, an denen eine Aufzeichnung von Ihnen existieren kann
Fast jedes Argument über No-Logs-Hosting dreht sich um eines von diesen — das Zugriffsprotokoll des Webservers — und das ist bei Weitem nicht das aufschlussreichste. Die Kette, die eine Anfrage zu Ihrer Maschine trägt, berührt mindestens acht Parteien, und nur manche davon sind Ihr Host.
| Wo | Was es aufzeichnen kann | Gehalten von |
|---|---|---|
| Der Webserver | Adresse, Zeitpunkt, URL, User-Agent und Referrer, für jede Anfrage | Ihr Host |
| Der Hypervisor | Die Festplatte und der Arbeitsspeicher des von ihm betriebenen Gasts, zu jedem Zeitpunkt | Ihr Host |
| Der Border-Router | Netflow: wer mit wem gesprochen hat, wie lange, in welchem Umfang | Ihr Host |
| DDoS-Abwehr | Traffic-Eigenschaften, durchgehend und grundsätzlich im Pfad geprüft | Ihr Host, oder ein Scrubbing-Anbieter |
| Der vorgelagerte Carrier | Dieselben Flow-Daten einen Hop weiter draußen, unter eigenem Aufbewahrungsrecht | Ein Transitanbieter, den Sie nie gewählt haben |
| Der rekursive Resolver | Jede Domain, die die Maschine abfragt, und wann | Wer auch immer von Ihrem Image angesprochen wird |
| Das Konto und der Support | Was Sie eingegeben haben, was Sie gekauft haben, was Sie bezahlt haben | Ihr Host |
| Der Zahlungsweg | Ein bürgerlicher Name, falls das Geld je etwas durchlaufen hat, das danach fragte | Ein Exchange oder ein Zahlungsdienstleister |
Drei dieser acht liegen vollständig außerhalb des Hosting-Vertrags, und genau dazu kann ein No-Logs-Siegel überhaupt nichts sagen. Der vorgelagerte Carrier führt, was auch immer sein eigener Regulierer verlangt. Der Resolver, der von einem Standard-Betriebssystem-Image geerbt wurde, sieht jeden Hostnamen, nach dem Ihr Server fragt. Und der Zahlungsweg ist das Glied, das im Leitfaden zu Bezahlen eines Servers in Krypto behandelt wird, denn er ist derjenige, der am häufigsten einen Namen trägt.
Was jede Art von Aufzeichnung tatsächlich beweist
Aufzeichnungen sind nicht gleich gefährlich, doch das Branchengespräch behandelt sie, als wären sie es. Dies ist ungefähr die Reihenfolge, in der sie schaden.
| Eintrag | Was es feststellt | Warum das wichtig ist |
|---|---|---|
| Ein Disk-Image | Alles: Inhalte, im Speicher zurückgebliebene Schlüssel, gelöschte Dateien, die noch nicht überschrieben wurden | Die einzige Aufzeichnung, die keine Bestätigung von anderswo braucht |
| Netflow | Wer sich mit der Maschine verbunden hat, wann, wie lange und wie viel übertragen wurde | Verortet eine Person an einer Maschine, ohne auch nur ein Byte an Inhalt zu lesen |
| Ein HTTP-Zugriffsprotokoll | Eine einzelne Adresse, die eine einzelne Anfrage in einer einzelnen Sekunde stellt | Schädlich in Kombination mit einer Aufzeichnung, die jemand anders vorhält |
| Ein DNS-Abfrageprotokoll | Jeder Name, den die Maschine aufgelöst hat, was den Großteil dessen ausmacht, was sie tut | Ein Verhaltensprofil, selbst wenn der Traffic selbst verschlüsselt ist |
| Anmeldeverlauf | Wo sich der Kontoinhaber über Monate hinweg aufgehalten hat | Die Aufzeichnung, die den Menschen identifiziert statt die Maschine |
| Interface-Zähler | Bits pro Sekunde an einem Port | Aggregiert: Es kann kein Gespräch rekonstruieren, und das ist der Punkt |
Die vier Wege, auf denen „keine Logs“ meist nicht zutrifft
Keine davon ist genau genommen eine Lüge. Jede ist ein wahrer Satz über etwas Kleineres, als der Leser glaubt, dass beschrieben wird.
- Es bedeutet ein einziges Protokoll. Die Behauptung betrifft Traffic-Protokolle, während Anmeldeverlauf, Ticket-Archive, Abrechnungsdaten und DNS-Anfragen ganz normal weiterlaufen. Sie stimmt für das am wenigsten aufschlussreiche der acht.
- Es bedeutet Löschung, nicht Fehlen. Die Aufzeichnungen werden erstellt und dann entfernt — nach einem Zeitplan, wenn Sie Glück haben, auf Anfrage, wenn nicht. Löschung ist eine Richtlinie, und eine Richtlinie kann per Anordnung gestoppt werden, wobei alles bereits Geschriebene ab dem Moment, in dem die Anordnung eintrifft, erhalten bleibt.
- Es endet an der Grenze des Unternehmens. Der vorgeschaltete Scrubbing-Anbieter, die Ticketing-Plattform daneben, das CDN, der Zahlungsdienstleister und das Analytics-Skript im Abrechnungsbereich führen jeweils ihre eigenen, nach ihren eigenen Regeln, in ihrer eigenen Jurisdiktion.
- Es beschreibt die Gegenwart. Eine Behauptung ohne Verzeichnis und ohne Timer ist eine Beschreibung der aktuellen Praxis, und aktuelle Praxis kann sich frei ändern, sobald der Druck eintrifft. Nichts daran lässt sich widerlegen, und genau deshalb ist es so formuliert.
Aufbewahrung ist ein Timer, kein Versprechen
Die Version der Behauptung, die etwas bedeutet, liest sich zäh: jede Aufzeichnung, die existiert, wofür sie existiert, und wie lange sie besteht. Dieser Bestand veröffentlicht sieben Zeilen, und die Spalte, die die eigentliche Arbeit leistet, ist die zweite.
| Eintrag | Aufbewahrt | Was es hervorbringen würde |
|---|---|---|
| E-Mail-Adresse | Lebensdauer des Kontos | Eine von Ihnen gewählte Adresse, gegen nichts als sich selbst verifiziert |
| Passwort-Hash | Lebensdauer des Kontos | Ein Hash — mehr ist ein Hash nicht wert. |
| Guthaben und Kontobuch | Lebensdauer des Kontos | Beträge und Daten, auf einer Chain, die ohnehin bereits öffentlich war |
| Dienstkonfiguration | Laufzeit des Dienstes, dann 7 Tage | Region, Spezifikation und Image — nicht der Inhalt der Festplatte |
| HTTP-Zugriffsprotokolle | 24 Stunden, dann gelöscht | Überhaupt nichts für eine Anfrage, die älter als gestern ist |
| Support-Korrespondenz | 90 Tage nach Abschluss des Gesprächs | Was auch immer Sie hineingetippt haben |
| Interface-Zähler | 13 Monate, nur aggregiert | Bits pro Sekunde an einem Port. Bewusst kein Netflow |
Die zweite Liste ist die, auf die es mehr ankommt, und es ist die Liste dessen, was nie entsteht: kein Identitätsdokument, kein bürgerlicher Name, keine Aufzeichnung der Adressen, von denen aus sich ein Konto anmeldet, keine IP-Historie, kein Gerätefingerabdruck, kein Netflow in einer Auflösung, die rekonstruieren könnte, wer mit wem gesprochen hat, keine Abfrageprotokolle auf den Resolvern, die wir betreiben, und keine Inhalte von Festplatten, Arbeitsspeicher oder Backups. Löschung kann per Anordnung gestoppt werden. Fehlen ist eine Tatsache über das Schema, und eine Anordnung kann nicht rückwirkend hindurchgreifen. Beide Listen sind vollständig in der Datenschutz- und Protokollierungsrichtlinie veröffentlicht, wo sie Teil der Vereinbarung sind und nicht Teil der Broschüre.
Der unbequeme Teil: Ein Host kann eine unverschlüsselte Festplatte lesen
Ein Hypervisor-Betreiber kann die Platte eines von ihm betriebenen Gasts kopieren. Ein Anbieter, der Ihnen das Gegenteil sagt, versteht entweder den eigenen Stack falsch oder belügt Sie, und das ist der wichtigste Satz auf dieser Seite. Keine Richtlinie repariert das, keine Jurisdiktion repariert das, und kein Versprechen übersteht jemanden mit physischem Zugriff, der sich anders entscheidet.
Was das repariert, ist ein Schlüssel, den der Host nie besessen hat. Festplattenverschlüsselung im gesamten Gast, entsperrt über eine SSH-Sitzung beim Boot, verlagert die Frage von einer rechtlichen Ebene auf eine mathematische, und die mathematische Antwort ändert sich nicht mit dem Gericht. Das Runbook steht in der Wissensdatenbank, und das ist die wertvollste Arbeitsstunde, die für jeden verfügbar ist, dem das überhaupt wichtig ist.
Dieselbe Form gilt eine Schicht weiter draußen. Was das Kabel im Klartext durchquert, ist für jede Partei zwischen den beiden Enden lesbar; was unter TLS läuft, ist es nicht, was auch immer ein Flow-Datensatz darüber aussagt, dass das Gespräch stattgefunden hat. Verschlüsselung entscheidet, was gesehen werden kann. Aufbewahrung entscheidet, was herausgegeben werden kann. Keines von beiden ersetzt das andere.
Wie sich eine No-Logs-Behauptung von außen testen lässt
Einen Aufbewahrungs-Timer können Sie nicht von einem Browser aus prüfen. Sie können jedoch in etwa zwanzig Minuten feststellen, ob die Behauptung überhaupt von der Art ist, die sich prüfen ließe.
- Achten Sie auf ein Verzeichnis statt auf ein Adjektiv. Ein Anbieter, der wenig vorhält, kann auflisten, was er vorhält; einer, der sich weigert aufzuzählen, hat Ihnen damit etwas gesagt.
- Achten Sie bei jeder Zeile auf eine Frist. „Solange wie nötig“ ist keine Aufbewahrungsfrist. 24 Stunden sind eine.
- Lesen Sie die Liste des nie Erstellten, falls es eine gibt. Sie ist aufschlussreicher als die Liste des Vorgehaltenen, denn sie ist der Teil, den keine Anordnung rückgängig machen kann.
- Öffnen Sie die Entwicklertools im Abrechnungsbereich und achten Sie auf Anfragen, die die Domain verlassen. Jede dort auftauchende dritte Partei ist ein Logger, den die Datenschutzrichtlinie nicht erwähnt hat.
- Lesen Sie den Transparenzbericht auf Ergebnisse hin, nicht auf Volumen. Die Zahl, die zählt, ist, wie viele Anfragen etwas hervorgebracht haben und was es war — hier 164 Anfragen von Strafverfolgungsbehörden seit 2019, von denen 31 etwas hervorgebracht haben, und was sie hervorbrachten, war eine E-Mail-Adresse und ein Verzeichnis von Beträgen.
- Prüfen Sie, ob die Behauptung signiert ist. Ein warrant canary ist der einzige Teil davon, dessen Fälschung etwas kostet: dieser hier zitiert einen aktuellen Bitcoin-Block, sodass die Erklärung nicht im Voraus signiert worden sein kann, und er versichert, dass niemals Ausrüstung beschlagnahmt, gespiegelt oder physisch angefasst wurde.
- Öffnen Sie dann das Anmeldeformular. Was auch immer die Richtlinie sagt, das Formular ist der Teil, der nicht darüber lügen kann, was erhoben wird.
Fragen, die tatsächlich gestellt werden
Was bedeutet No-Logs-Hosting eigentlich?
Im Mindestfall sollte es bedeuten, dass keine Aufzeichnung existiert, die eine Person nachträglich einer Maschine zuordnen könnte: keine IP-Historie, keine Anmeldeorte, kein Netflow, und Zugriffsprotokolle mit einem kurzen Timer statt einem Versprechen. Alles Laxere ist eine Behauptung über eines von acht Protokollen. Die Version, für die es sich zu zahlen lohnt, kommt als Verzeichnis mit einer Aufbewahrungsfrist für jede Zeile daher.
Kann mein Hosting-Anbieter meine Dateien sehen?
Auf einer unverschlüsselten Festplatte, ja. Ein Hypervisor-Betreiber kann die Platte eines von ihm betriebenen Gasts kopieren, und ein Anbieter, der das Gegenteil behauptet, versteht seinen eigenen Stack falsch. Verschlüsseln Sie das Volume mit einem Schlüssel, den der Host nie erhält, und die Antwort hört auf, eine Richtlinie zu sein, und wird zu einer Chiffre — die einzige Kontrolle hier, die nicht davon abhängt, irgendjemandem zu vertrauen.
Führen Hosting-Anbieter Protokolle über meinen Traffic?
Die meisten führen Netflow, das aufzeichnet, wer sich wann mit Ihrer Maschine verbunden hat und wie viele Daten dabei bewegt wurden, ohne den Inhalt aufzuzeichnen. Es wird vorgehalten, weil es für Kapazitätsplanung und Missbrauchsbearbeitung einen echten Nutzen hat, und es ist die Aufzeichnung, die am häufigsten im Rahmen eines rechtlichen Verfahrens herausgegeben wird. Was hier stattdessen existiert, ist ein Bits-pro-Sekunde-Zähler pro Port, aggregiert und 13 Monate lang vorgehalten, der kein Gespräch rekonstruieren kann.
Ist eine No-Logs-Behauptung rechtlich bindend?
Die veröffentlichte Richtlinie ist hier Teil der Vereinbarung, was sie zu einer Vertragsklausel macht statt zu Marketingtext. Was keine Behauptung leisten kann, ist, eine rechtmäßige Anordnung eines zuständigen Gerichts außer Kraft zu setzen — und genau deshalb schlägt Fehlen ein Versprechen. Eine Anordnung, die Löschung zu stoppen, kann eine Aufzeichnung nicht zurückholen, die nie geschrieben wurde.
Bedeutet No-KYC-Hosting keine Logs?
Nein, und die beiden werden als ein und dieselbe Sache verkauft. No-KYC ist eine Aussage darüber, was bei der Anmeldung erhoben wurde; keine Logs ist eine Aussage darüber, was sich seitdem täglich ansammelt. Ein Host kann überhaupt kein Dokument verlangen und trotzdem ein Jahr an Anmeldeadressen vorhalten, was Sie ebenso gut identifizieren würde.
Wer sieht die DNS-Anfragen, die mein Server stellt?
Wer auch immer von der Maschine als Resolver angesprochen wird, was bei den meisten Images eine Standardeinstellung ist, die niemand gewählt hat. Abfrageprotokolle sind ein Verhaltensprofil, selbst wenn jede nachfolgende Verbindung verschlüsselt ist, und sie liegen bei einem Dritten unter dessen eigenen Aufbewahrungsregeln. Einen eigenen Resolver zu betreiben, oder einen zu wählen, der seine Aufbewahrung dokumentiert, ist eine Zehn-Minuten-Lösung, die fast niemand umsetzt.
Würde ein VPN vor meinem Server helfen?
Es hilft bei einem anderen Glied der Kette. Ein VPN oder Tor verbirgt, von wo aus Sie sich verbinden, wenn Sie die Maschine administrieren, und schließt damit das Problem des Anmeldeverlaufs, das im Leitfaden zu anonym bleiben beschrieben wird. Es ändert nichts daran, was die Maschine selbst veröffentlicht, was auf der Festplatte liegt, oder was der vorgelagerte Carrier über den bei ihr ankommenden Traffic aufzeichnet.
Jeder Preis auf diesem Anwesen ist vollständig veröffentlicht, an einem Ort. Den gesamten Katalog ansehen