Hosting bez logówKażdy dostawca hostingu widzi więcej, niż przechowuje. Pytanie brzmi, co zapisuje.

Widzieć i przechowywać to dwa różne pytania

To, co większość ludzi słyszy w twierdzeniu o braku logów, to że dostawca nie widzi ich ruchu. To, co może faktycznie powiedzieć każdy uczciwy dostawca, jest węższe: bardzo wiele jest widoczne w danej chwili, a niemal nic z tego nie zostaje zapisane. Pakiet przechodzący przez router brzegowy jest widoczny dla tego routera. To, czy widoczność zamienia się w zapis, jest decyzją dotyczącą konfiguracji i retencji — a zapis to jedyna część tego wszystkiego, do której ujawnienia ktoś może zostać zobowiązany nakazem.

Na te dwa pytania odpowiadają różne mechanizmy, dlatego utożsamianie ich ze sobą jest tak wygodne dla strony marketingowej. Widzenie ogranicza kryptografia: to, co jest zaszyfrowane end-to-end, jest nieczytelne w transmisji niezależnie od niczyjej dobrej woli. Przechowywanie ogranicza licznik czasu, a licznik to coś, co można opublikować, opisać i z czego można być rozliczanym. Dostawca, który mówi wyłącznie o pierwszym, unika drugiego.

Osiem miejsc, w których może istnieć zapis dotyczący Państwa

Niemal każdy argument dotyczący hostingu bez logów sprowadza się do jednego z nich — dziennika dostępu serwera WWW — a to i tak nie jest ten najbardziej wymowny. Łańcuch, który prowadzi żądanie do maszyny, obejmuje co najmniej osiem podmiotów, a tylko część z nich to Państwa host.

Trzy z tych ośmiu w ogóle nie mieszczą się w umowie hostingowej, i to jest właśnie ta część, do której etykieta braku logów nie może się w żaden sposób odnieść. Operator nadrzędny przechowuje to, czego wymaga jego własny regulator. Resolwer odziedziczony po domyślnym obrazie systemu operacyjnego widzi każdą nazwę hosta, o którą pyta Państwa serwer. A kanał płatności to ogniwo omówione w przewodniku o płaceniu za serwer w kryptowalucie, ponieważ to ono najczęściej niesie ze sobą imię i nazwisko.

Co faktycznie dowodzi każdy rodzaj zapisu

Zapisy nie są jednakowo groźne, choć dyskusja branżowa traktuje je tak, jakby były. Oto z grubsza kolejność, w jakiej szkodzą.

Cztery sposoby, w jakie “brak logów” zwykle nie jest prawdą

Żadne z nich nie jest kłamstwem w ścisłym sensie. Każde jest prawdziwym zdaniem o czymś mniejszym, niż czytelnikowi wydaje się, że jest opisywane.

• Oznacza jeden log. Twierdzenie dotyczy logów ruchu, podczas gdy historia logowań, archiwum zgłoszeń, dane rozliczeniowe i zapytania DNS trwają swoim zwyczajnym trybem. Jest prawdziwe w odniesieniu do najmniej wymownego z ośmiu.
• Oznacza usuwanie, nie brak. Zapisy są tworzone, a następnie usuwane — według harmonogramu, gdy dopisze szczęście, na żądanie, gdy nie dopisze. Usuwanie to polityka, a politykę można nakazać wstrzymać, przy czym wszystko, co już zapisano, zostaje zachowane od chwili wejścia nakazu w życie.
• Kończy się na granicy firmy. Dostawca ochrony przed DDoS z przodu, platforma zgłoszeń z boku, CDN, operator płatności i skrypt analityczny w panelu rozliczeniowym przechowują własne dane, każdy na własnych zasadach, we własnej jurysdykcji.
• Opisuje dzień dzisiejszy. Twierdzenie bez wykazu i bez licznika to opis obecnej praktyki, a obecna praktyka może się zmienić dokładnie w dniu, w którym pojawi się presja. Nic w nim nie da się podważyć, i właśnie dlatego jest tak sformułowane.

Retencja to licznik, nie obietnica

Wersja twierdzenia, która faktycznie coś znaczy, jest nużąca w lekturze: każdy istniejący zapis, po co istnieje i jak długo trwa. Ta infrastruktura publikuje siedem wierszy, a kolumną, która wykonuje całą pracę, jest ta druga.

Druga lista ma większe znaczenie, i to właśnie ona jest listą tego, co nigdy nie powstaje: brak dokumentu tożsamości, brak nazwiska, brak zapisu adresów, z których loguje się konto, brak historii adresów IP, brak odcisku urządzenia, brak netflow w rozdzielczości pozwalającej odtworzyć, kto z kim się łączył, brak dzienników zapytań na resolwerach, którymi zarządzamy, oraz brak zawartości dysków, pamięci czy kopii zapasowych. Usuwanie można nakazać wstrzymać. Brak jest faktem dotyczącym schematu danych, a nakaz nie może sięgnąć wstecz, by go cofnąć. Obie listy są opublikowane w całości w polityce prywatności i logowania, gdzie stanowią część umowy, a nie część broszury reklamowej.

Niewygodna część: host może odczytać niezaszyfrowany dysk

Operator hiperwizora może skopiować dysk uruchamianej przez siebie maszyny gościa. Dostawca, który twierdzi inaczej, albo nie rozumie własnej infrastruktury, albo Państwa okłamuje, i to jest najważniejsze zdanie na tej stronie. Nie naprawi tego żadna polityka, nie naprawi tego żadna jurysdykcja, a żadna obietnica nie przetrwa, gdy ktoś dysponujący fizycznym dostępem zdecyduje inaczej.

Naprawia to wyłącznie klucz, którego host nigdy nie posiadał. Szyfrowanie całego dysku wewnątrz maszyny gościa, odblokowywane przez sesję SSH przy rozruchu, przenosi to pytanie z rejestru prawnego na rejestr matematyczny, a matematyczna odpowiedź nie zależy od sądu. Procedura znajduje się w bazie wiedzy i jest to najbardziej wartościowa godzina pracy, jaką może wykonać każdy, komu choć trochę na tym zależy.

Ten sam schemat powtarza się o jedną warstwę dalej. To, co przechodzi przez łącze jawnym tekstem, może odczytać każda strona pomiędzy obydwoma końcami połączenia; to, co przechodzi pod TLS, nie jest czytelne, niezależnie od tego, co zapis przepływu mówi o tym, że rozmowa się odbyła. Szyfrowanie decyduje o tym, co da się zobaczyć. Retencja decyduje o tym, co da się przekazać. Jedno nie zastępuje drugiego.

Jak zweryfikować z zewnątrz twierdzenie o braku logów

Licznika retencji nie da się zweryfikować z poziomu przeglądarki. Można natomiast, w ciągu około dwudziestu minut, ustalić, czy dane twierdzenie w ogóle należy do kategorii rzeczy, które dałoby się zweryfikować.

1. Warto szukać wykazu, a nie przymiotnika. Dostawca, który przechowuje niewiele, jest w stanie wymienić, co przechowuje; ten, który nie chce tego wyliczyć, tym samym już coś ujawnił.
2. Sprawdź, czy przy każdym wierszu podano okres. “Tak długo, jak to konieczne” nie jest okresem retencji. 24 godziny są.
3. Przeczytaj listę tego, co nigdy nie powstaje, jeśli taka istnieje. Mówi więcej niż lista tego, co jest przechowywane, bo to część, której żaden nakaz nie cofnie.
4. Otwórz narzędzia deweloperskie w panelu rozliczeniowym i obserwuj żądania opuszczające domenę. Każdy zewnętrzny podmiot, który się tam pojawi, to rejestrujący dane podmiot, o którym nie wspomniała polityka prywatności.
5. Przeczytaj raport przejrzystości pod kątem wyników, a nie wolumenu. Liczy się to, ile żądań przyniosło jakikolwiek skutek i co to było — w tym przypadku 164 żądania organów ścigania od 2019 roku, z czego 31 przyniosło jakiś skutek, a tym, co uzyskano, był adres e-mail i rejestr kwot.
6. Sprawdź, czy twierdzenie jest podpisane. Warrant canary to jedyny element tego wszystkiego, którego sfałszowanie coś kosztuje: ten konkretny przywołuje niedawny blok Bitcoina, więc oświadczenie nie mogło zostać podpisane z wyprzedzeniem, i zapewnia, że żaden sprzęt nigdy nie został zajęty, skopiowany ani poddany fizycznemu dostępowi.
7. Następnie otwórz formularz rejestracji. Bez względu na to, co mówi polityka, to właśnie formularz jest tą częścią, która nie może skłamać co do tego, co jest zbierane.

Pytania, które faktycznie są zadawane

Każda cena w tej infrastrukturze jest publikowana w całości, w jednym miejscu. Zobacz cały katalog