Zien en bewaren zijn twee verschillende vragen
Wat de meeste mensen horen in een no-logs-claim, is dat de provider hun verkeer niet kan zien. Wat een eerlijke provider daadwerkelijk kan zeggen, is beperkter: heel veel is op het moment zelf zichtbaar, en bijna niets daarvan wordt vastgelegd. Een pakket dat een grensrouter passeert, is zichtbaar voor die router. Of die zichtbaarheid een record wordt, is een beslissing over configuratie en bewaring — en het record is het enige deel ervan dat iemand kan worden bevolen te overleggen.
De twee vragen worden door verschillende mechanismen beantwoord, en dat is waarom het voor een marketingpagina zo handig is om ze door elkaar te halen. Zien wordt begrensd door cryptografie: wat end-to-end versleuteld is, is onleesbaar tijdens transport, ongeacht ieders goede wil. Bewaren wordt begrensd door een timer, en een timer is iets dat gepubliceerd en beschreven kan worden, en waaraan een provider gehouden kan worden. Een host die alleen over het eerste spreekt, vermijdt het tweede.
De acht plaatsen waar een record van u kan bestaan
Bijna elk argument over no-logs-hosting gaat over een van deze — het toegangslog van de webserver — en dat is bij lange na niet het meest onthullende. De keten die een verzoek naar uw machine draagt, raakt minstens acht partijen, en slechts een deel daarvan is uw host.
| Waar | Wat het kan registreren | In handen van |
|---|---|---|
| De webserver | Adres, tijdstip, URL, user-agent en referrer, voor elk verzoek | Uw host |
| De hypervisor | De schijf en het geheugen van de guest die hij draait, op elk moment | Uw host |
| De grensrouter | Netflow: wie met wie sprak, hoe lang, en met welk volume | Uw host |
| DDoS-mitigatie | Verkeerskenmerken, continu en per ontwerp geïnspecteerd in het pad | Uw host, of een scrubbing-leverancier |
| De upstream-carrier | Dezelfde flowdata, één hop verderop, onder zijn eigen bewaarplicht | Een transitprovider die u nooit heeft gekozen |
| De recursieve resolver | Elk domein dat de machine opzoekt, en wanneer | Naar wie uw image ook wijst |
| Het account en de supportdesk | Wat u typte, wat u kocht, wat u betaalde | Uw host |
| De betaalrail | Een wettelijke naam, als het geld ooit iets passeerde dat erom vroeg | Een exchange of een verwerker |
Drie van die acht vallen volledig buiten het hostingcontract, en dat is precies het deel waarover een no-logs-badge helemaal niets kan zeggen. De upstream-carrier bewaart wat zijn eigen toezichthouder vereist. De resolver die wordt meegeleverd met een standaardimage van het besturingssysteem ziet elke hostnaam waar uw server naar vraagt. En de betaalrail is de schakel die wordt behandeld in de gids over een server betalen met crypto, omdat dit de schakel is die het vaakst een naam bevat.
Wat elk soort record daadwerkelijk bewijst
Records zijn niet allemaal even gevaarlijk, en het gesprek in deze markt behandelt ze alsof dat wel zo is. Dit is ongeveer de volgorde waarin ze schade aanrichten.
| Record | Wat het vaststelt | Waarom dat ertoe doet |
|---|---|---|
| Een schijfimage | Alles: inhoud, sleutels die nog in het geheugen staan, verwijderde bestanden die nog niet zijn overschreven | Het enige record dat geen bevestiging van elders nodig heeft |
| Netflow | Wie er verbinding maakte met de machine, wanneer, hoe lang en hoeveel er is verplaatst | Koppelt een persoon aan een machine zonder een byte aan inhoud te lezen |
| Een HTTP-toegangslog | Eén adres dat op één seconde één verzoek doet | Schadelijk in combinatie met een record dat iemand anders bewaart |
| Een DNS-queryregistratie | Elke naam die de machine heeft omgezet, wat het grootste deel is van wat de machine doet | Een gedragsprofiel, zelfs als het verkeer zelf versleuteld is |
| Inloggeschiedenis | Waar de beheerder van het account was, maandenlang | Het record dat de mens identificeert in plaats van de machine |
| Interfacetellers | Bits per seconde op een poort | Geaggregeerd: het kan geen gesprek reconstrueren, en dat is nu net het punt |
De vier manieren waarop “geen logs” meestal niet klopt
Geen van deze is strikt genomen een leugen. Elk is een ware zin over iets kleiners dan de lezer denkt dat wordt beschreven.
- Het betekent één log. De claim gaat over verkeerslogs, terwijl inloggeschiedenis, ticketarchieven, factuurgegevens en DNS-query's op de gewone manier doorgaan. Het is waar voor het minst onthullende van de acht.
- Het betekent verwijdering, niet afwezigheid. De records worden aangemaakt en vervolgens verwijderd — volgens een schema als u geluk heeft, op verzoek als u dat niet heeft. Verwijdering is een beleid, en een beleid kan worden bevolen te stoppen, waarbij alles wat al is vastgelegd, bewaard blijft vanaf het moment dat het bevel binnenkomt.
- Het houdt op bij de grens van het bedrijf. De scrubbing-leverancier ervoor, het ticketingplatform ernaast, de CDN, de betaalverwerker en het analyticsscript in het factureringsgedeelte houden elk hun eigen registratie bij, onder hun eigen regels, in hun eigen jurisdictie.
- Het beschrijft vandaag. Een claim zonder inventaris en zonder timer is een beschrijving van de huidige praktijk, en de huidige praktijk staat vrij om te veranderen op de dag dat de druk arriveert. Niets eraan kan worden tegengesproken, en dat is waarom het zo geschreven is.
Bewaring is een timer, geen belofte
De versie van de claim die iets betekent, is saai om te lezen: elk record dat bestaat, waarvoor het bestaat, en hoe lang het bewaard blijft. Dit estate publiceert zeven rijen, en de kolom die het werk doet, is de tweede.
| Record | Bewaard | Wat het zou overleggen |
|---|---|---|
| E-mailadres | Levensduur van het account | Een adres dat u zelf koos, nooit tegen iets anders geverifieerd dan zichzelf |
| Wachtwoordhash | Levensduur van het account | Een hash, en dat is precies wat een hash waard is |
| Saldo en grootboek | Levensduur van het account | Bedragen en datums, tegen een keten die al openbaar was |
| Serviceconfiguratie | Levensduur van de dienst, daarna 7 dagen | Regio, specificatie en image — niet de inhoud van de schijf |
| HTTP-toegangslogs | 24 uur, daarna vernietigd | Helemaal niets voor een verzoek dat ouder is dan gisteren |
| Supportcorrespondentie | 90 dagen na het sluiten van het gesprek | Wat u er ook in koos te typen |
| Interfacetellers | 13 maanden, alleen geaggregeerd | Bits per seconde op een poort. Bewust geen netflow |
De tweede lijst is degene die zwaarder weegt, en het is de lijst van wat nooit wordt aangemaakt: geen identiteitsdocument, geen wettelijke naam, geen registratie van de adressen waarvandaan een account inlogt, geen IP-geschiedenis, geen apparaat-fingerprint, geen netflow op een resolutie die zou kunnen reconstrueren wie met wie sprak, geen queryregistraties op de resolvers die wij beheren, en geen inhoud van schijven, geheugen of back-ups. Verwijdering kan worden bevolen te stoppen. Afwezigheid is een feit over het schema, en een bevel kan daar niet met terugwerkende kracht doorheen reiken. Beide lijsten worden volledig gepubliceerd in het privacy- en logbeleid, waar ze deel uitmaken van de overeenkomst en niet van de brochure.
Het ongemakkelijke deel: een host kan een onversleutelde schijf lezen
Een hypervisorbeheerder kan de schijf van een guest die hij draait kopiëren. Een provider die u iets anders vertelt, begrijpt zijn eigen stack verkeerd of liegt tegen u, en dit is de belangrijkste zin op deze pagina. Geen beleid herstelt dat, geen jurisdictie herstelt dat, en geen belofte overleeft het wanneer iemand met fysieke toegang anders besluit.
Wat dit wél herstelt, is een sleutel die de host nooit in handen heeft gehad. Volledige schijfversleuteling binnen de guest, ontgrendeld via een SSH-sessie bij het opstarten, verplaatst de vraag van een juridisch vraagstuk naar een wiskundig vraagstuk, en het wiskundige antwoord verandert niet mee met de rechtbank. De handleiding staat in de kennisbank, en het is het waardevolste uur werk dat beschikbaar is voor iedereen die hier ook maar iets om geeft.
Hetzelfde patroon geldt één laag verderop. Wat onversleuteld over de lijn gaat, is leesbaar voor elke partij tussen de twee uiteinden ervan; wat onder TLS gaat, is dat niet, wat een flowrecord ook zegt over het feit dat het gesprek heeft plaatsgevonden. Encryptie bepaalt wat gezien kan worden. Bewaring bepaalt wat overgelegd kan worden. Het een vervangt het ander niet.
Hoe u een no-logs-claim van buitenaf test
U kunt een bewaartermijntimer niet vanuit een browser controleren. U kunt in ongeveer twintig minuten wel vaststellen of de claim het soort bewering is dat überhaupt gecontroleerd zou kunnen worden.
- Zoek naar een inventaris in plaats van een bijvoeglijk naamwoord. Een provider die weinig bewaart, kan opsommen wat hij bewaart; een provider die niet wil opsommen, heeft u daarmee iets verteld.
- Controleer of er een termijn achter elke rij staat. “Zo lang als nodig” is geen bewaartermijn. 24 uur is dat wel.
- Lees de lijst van wat nooit wordt aangemaakt, als zo'n lijst bestaat. Die is informatiever dan de lijst van wat bewaard blijft, omdat dit het deel is dat geen enkel bevel kan terugdraaien.
- Open de ontwikkelaarstools op het factureringsgedeelte en let op verzoeken die het domein verlaten. Elke derde partij die daar verschijnt, is een logger die het privacybeleid niet vermeldde.
- Lees het transparantierapport op uitkomsten, niet op volume. Het cijfer dat ertoe doet, is hoeveel verzoeken iets hebben opgeleverd en wat dat was — hier, 164 verzoeken van rechtshandhaving sinds 2019, waarvan 31 iets opleverden, en wat ze opleverden was een e-mailadres en een grootboek van bedragen.
- Controleer of de claim ondertekend is. Een warrant canary is het enige onderdeel hiervan waarvan vervalsing een kostprijs heeft: deze citeert een recent Bitcoin-blok, zodat de verklaring niet vooraf ondertekend kan zijn, en hij stelt dat er nooit apparatuur in beslag is genomen, geïmaged of fysiek benaderd.
- Open dan het aanmeldformulier. Wat het beleid ook zegt, het formulier is het deel dat niet kan liegen over wat er wordt verzameld.
Vragen die mensen echt stellen
Wat betekent no-logs-hosting daadwerkelijk?
Op zijn minst zou het moeten betekenen dat er geen record bestaat dat achteraf een persoon aan een machine kan koppelen: geen IP-geschiedenis, geen inloglocaties, geen netflow, en toegangslogs op een korte timer in plaats van op een belofte. Alles wat losser is, is een claim over één log van de acht. De versie die het waard is om voor te betalen, komt als een inventaris met een bewaartermijn achter elke rij.
Kan mijn hostingprovider mijn bestanden zien?
Op een onversleutelde schijf, ja. Een hypervisorbeheerder kan de schijf van een guest die hij draait kopiëren, en een provider die het tegendeel beweert, begrijpt zijn eigen stack verkeerd. Versleutel het volume met een sleutel die de host nooit ontvangt, en het antwoord houdt op een beleidskwestie te zijn en wordt een vercijfering — het enige controlemiddel hier dat niet afhankelijk is van vertrouwen in iemand.
Houden hostingproviders logs bij van mijn verkeer?
De meeste bewaren netflow, dat registreert wie er verbinding maakte met uw machine, wanneer, en hoeveel data er is verplaatst, zonder de inhoud vast te leggen. Het wordt bewaard omdat het oprecht nuttig is voor capaciteitsplanning en de afhandeling van misbruik, en het is het record dat het vaakst wordt overgelegd onder een gerechtelijk bevel. Wat hier in plaats daarvan bestaat, is een bits-per-seconde-teller per poort, geaggregeerd en bewaard gedurende 13 maanden, die geen gesprek kan reconstrueren.
Is een no-logs-claim juridisch bindend?
Het gepubliceerde beleid maakt hier deel uit van de overeenkomst, wat er een contractbepaling van maakt in plaats van marketingtekst. Wat geen enkele claim kan doen, is een rechtmatig bevel van een bevoegde rechtbank terzijde schuiven — en precies daarom wint afwezigheid het van een belofte. Een bevel om te stoppen met verwijderen kan geen record terughalen dat nooit is geschreven.
Betekent no-KYC-hosting geen logs?
Nee, en de twee worden als één ding verkocht. Geen KYC is een bewering over wat er bij aanmelding is verzameld; geen logs is een bewering over wat zich elke dag daarna opstapelt. Een host kan helemaal geen document vragen en toch een jaar aan inlogadressen bewaren, wat u net zo goed zou identificeren.
Wie ziet de DNS-query's die mijn server uitvoert?
Naar wie de machine ook wijst als resolver, dat is op de meeste images een standaardinstelling die niemand zelf koos. Queryregistraties vormen een gedragsprofiel, zelfs wanneer elke verbinding die daarop volgt versleuteld is, en ze berusten bij een derde partij, onder diens eigen bewaarregels. Uw eigen resolver draaien, of een resolver kiezen die zijn bewaartermijn documenteert, is een oplossing van tien minuten die bijna niemand toepast.
Zou een VPN vóór mijn server helpen?
Het helpt bij een andere schakel. Een VPN of Tor verbergt vanwaar u verbinding maakt wanneer u de machine beheert, wat het inloggeschiedenis-probleem dicht dat wordt beschreven in de gids over anoniem blijven. Het verandert niets aan wat de machine zelf publiceert, wat er op de schijf staat, of wat de upstream-carrier registreert over het verkeer dat er binnenkomt.
Elke prijs binnen deze infrastructuur wordt volledig gepubliceerd, op één plek. Bekijk de volledige catalogus