Ver e guardar são duas questões diferentes
O que a maioria das pessoas ouve em uma alegação de ausência de logs é que o provedor não consegue ver o tráfego delas. O que qualquer provedor honesto pode realmente dizer é mais restrito: muita coisa é visível no momento, e quase nada disso fica registrado. Um pacote atravessando um roteador de borda é visível para esse roteador. Se a visibilidade vira registro é uma decisão sobre configuração e retenção — e o registro é a única parte disso que alguém pode ser obrigado, por ordem, a produzir.
As duas questões são respondidas por mecanismos diferentes, e é por isso que confundi-las é tão útil para uma página de marketing. Ver é limitado pela criptografia: o que é criptografado de ponta a ponta é ilegível em trânsito, independentemente da boa vontade de qualquer um. Guardar é limitado por um temporizador, e um temporizador é algo que pode ser publicado, descrito e cobrado. Um host que fala apenas do primeiro está evitando o segundo.
Os oito lugares onde um registro seu pode existir
Quase todo argumento sobre hospedagem sem logs é sobre um destes — o log de acesso do servidor web — e ele está longe de ser o mais revelador. A cadeia que leva uma requisição até sua máquina toca pelo menos oito partes, e só algumas delas são o seu host.
| Onde | O que ele consegue registrar | Mantido por |
|---|---|---|
| O servidor web | Endereço, hora, URL, user-agent e referrer, para cada requisição | Seu host |
| O hipervisor | O disco e a memória do convidado que executa, a qualquer momento | Seu host |
| O roteador de borda | Netflow: quem falou com quem, por quanto tempo, e em que volume | Seu host |
| Mitigação de DDoS | Características do tráfego, inspecionadas no caminho, de forma contínua e por design | Seu host, ou um fornecedor de scrubbing |
| A operadora upstream | Os mesmos dados de fluxo, um salto mais adiante, sob sua própria lei de retenção | Um provedor de trânsito que você nunca escolheu |
| O resolvedor recursivo | Todo domínio que a máquina consulta, e quando | Seja quem for que sua imagem aponte |
| A conta e a central de suporte | O que você digitou, o que você comprou, o que você pagou | Seu host |
| O meio de pagamento | Um nome legal, se o dinheiro alguma vez passou por algo que pediu um | Uma exchange ou uma processadora |
Três desses oito ficam totalmente fora do contrato de hospedagem, e essa é a parte sobre a qual um selo de sem logs nada pode dizer. A operadora upstream guarda o que seu próprio regulador exigir. O resolvedor herdado de uma imagem padrão do sistema operacional vê cada nome de host que seu servidor consulta. E o meio de pagamento é o elo abordado no guia sobre pagar por um servidor em cripto, porque é o que mais frequentemente carrega um nome.
O que cada tipo de registro realmente prova
Os registros não são igualmente perigosos, e o discurso deste mercado os trata como se fossem. Esta é, aproximadamente, a ordem em que eles prejudicam.
| Registro | O que ele estabelece | Por que isso importa |
|---|---|---|
| Uma imagem de disco | Tudo: conteúdo, chaves deixadas na memória, arquivos apagados ainda não sobrescritos | O único registro que não precisa de corroboração de mais lugar nenhum |
| Netflow | Quem se conectou à máquina, quando, por quanto tempo e quanto dado passou | Situa uma pessoa em uma máquina sem ler um único byte de conteúdo |
| Um log de acesso HTTP | Um endereço fazendo uma requisição em um segundo | Prejudicial em combinação com um registro que outra pessoa guarda |
| Um log de consultas DNS | Todo nome que a máquina resolveu, que é a maior parte do que ela faz | Um perfil comportamental mesmo quando o próprio tráfego está criptografado |
| Histórico de login | Onde o operador da conta estava, ao longo de meses | O registro que identifica o ser humano, não a máquina |
| Contadores de interface | Bits por segundo em uma porta | Agregado: não consegue reconstruir uma conversa, que é o objetivo |
As quatro formas pelas quais “sem logs” costuma não ser verdade
Nenhuma delas é exatamente uma mentira. Cada uma é uma frase verdadeira sobre algo menor do que o leitor acredita estar sendo descrito.
- Significa um único log. A alegação é sobre logs de tráfego, enquanto o histórico de login, os arquivos de tickets, os registros de faturamento e as consultas DNS continuam normalmente. É verdadeira sobre o menos revelador dos oito.
- Significa exclusão, não ausência. Os registros são criados e depois removidos — em cronograma, se você tiver sorte; sob demanda, se não tiver. A exclusão é uma política, e uma política pode receber ordem para parar, preservando tudo o que já foi registrado a partir do momento em que a ordem chega.
- Para na borda da empresa. O fornecedor de scrubbing à frente, a plataforma de tickets ao lado, a CDN, a processadora de pagamentos e o script de analytics na área de faturamento mantêm cada um os seus próprios registros, sob suas próprias regras, em sua própria jurisdição.
- Descreve o presente. Uma alegação sem inventário e sem temporizador é uma descrição da prática atual, e a prática atual é livre para mudar no dia em que a pressão chegar. Nada nela pode ser contestado, e é por isso que é escrita assim.
Retenção é um temporizador, não uma promessa
A versão da alegação que significa alguma coisa é entediante de ler: cada registro que existe, para que ele existe, e quanto tempo dura. Este parque publica sete linhas, e a coluna que faz o trabalho é a segunda.
| Registro | Retido | O que ele produziria |
|---|---|---|
| Endereço de e-mail | Vida útil da conta | Um endereço que você escolheu, nunca verificado contra nada além dele mesmo |
| Hash de senha | Vida útil da conta | Um hash, que é o que um hash vale |
| Saldo e extrato | Vida útil da conta | Valores e datas, contra uma cadeia que já era pública |
| Configuração do serviço | Durante a vida do serviço, depois 7 dias | Região, especificação e imagem — não o conteúdo do disco |
| Logs de acesso HTTP | 24 horas, depois destruído | Absolutamente nada para uma requisição mais antiga que ontem |
| Correspondência de suporte | 90 dias após o encerramento da conversa | O que quer que você tenha escolhido digitar nele |
| Contadores de interface | 13 meses, apenas agregado | Bits por segundo em uma porta. Propositalmente não é netflow |
A segunda lista é a que mais importa, e é a lista do que nunca é criado: nenhum documento de identidade, nenhum nome legal, nenhum registro dos endereços de onde uma conta faz login, nenhum histórico de IP, nenhuma impressão digital de dispositivo, nenhum netflow com resolução que pudesse reconstruir quem falou com quem, nenhum log de consultas nos resolvedores que operamos, e nenhum conteúdo de discos, memória ou backups. A exclusão pode receber ordem para parar. A ausência é um fato sobre o esquema, e uma ordem não pode retroagir sobre ela. As duas listas são publicadas na íntegra na política de privacidade e registro, onde fazem parte do contrato, não do panfleto.
A parte incômoda: um host consegue ler um disco não criptografado
Um operador de hipervisor pode copiar o disco de um convidado que executa. Um provedor que afirma o contrário está mal-entendendo o próprio stack ou mentindo para você, e esta é a frase mais importante desta página. Nenhuma política repara isso, nenhuma jurisdição repara isso, e nenhuma promessa sobrevive a alguém com acesso físico decidindo de outra forma.
O que repara isso é uma chave que o host nunca teve. Criptografia de disco completo dentro do convidado, desbloqueada por uma sessão SSH na inicialização, desloca a questão de um registro jurídico para um registro matemático, e a resposta matemática não varia conforme o tribunal. O runbook está na base de conhecimento, e é a hora de trabalho de maior valor disponível para qualquer pessoa que se importe minimamente com isso.
O mesmo padrão se repete uma camada mais adiante. O que atravessa o fio em texto claro é legível por qualquer parte entre as duas pontas dele; o que atravessa sob TLS não é, seja lá o que um registro de fluxo diga sobre a conversa ter acontecido. A criptografia decide o que pode ser visto. A retenção decide o que pode ser produzido. Nenhuma substitui a outra.
Como testar, de fora, uma alegação de ausência de logs
Você não consegue auditar um temporizador de retenção a partir de um navegador. Você pode, em cerca de vinte minutos, estabelecer se a alegação é o tipo de coisa que poderia ser auditada.
- Procure um inventário, não um adjetivo. Um provedor que guarda pouco consegue listar o que guarda; um que se recusa a enumerar já disse alguma coisa.
- Procure um prazo em cada linha. “Pelo tempo que for necessário” não é um período de retenção. 24 horas é.
- Leia a lista do que nunca foi criado, se ela existir. É mais informativa do que a lista do que é retido, porque é a parte que nenhuma ordem consegue reverter.
- Abra as ferramentas de desenvolvedor na área de faturamento e observe as requisições saindo do domínio. Cada terceiro ali é um registrador que a política de privacidade não mencionava.
- Leia o relatório de transparência em busca de resultados, não de volume. O número que importa é quantas solicitações produziram algum resultado e o que foi — aqui, 164 solicitações de autoridades policiais desde 2019, das quais 31 produziram algo, e o que elas produziram foi um endereço de e-mail e um livro-razão de valores.
- Verifique se a alegação é assinada. Um warrant canary é a única parte disto que tem um custo para falsificar: este cita um bloco recente do Bitcoin, de forma que a declaração não pode ter sido assinada com antecedência, e afirma que nenhum equipamento jamais foi apreendido, copiado ou fisicamente acessado.
- Depois, abra o formulário de cadastro. Seja lá o que a política diga, o formulário é a parte que não pode mentir sobre o que é coletado.
Perguntas que as pessoas realmente fazem
O que significa realmente hospedagem sem logs?
No mínimo, deveria significar que não existe nenhum registro capaz de situar uma pessoa em uma máquina depois do fato: nenhum histórico de IP, nenhuma localização de login, nenhum netflow, e logs de acesso com um temporizador curto em vez de uma promessa. Qualquer coisa mais frouxa é uma alegação sobre um log entre oito. A versão que vale a pena pagar chega como um inventário com um período de retenção em cada linha.
Meu provedor de hospedagem consegue ver meus arquivos?
Em um disco não criptografado, sim. Um operador de hipervisor pode copiar o disco de um convidado que executa, e um provedor que afirme o contrário está mal-entendendo o próprio stack. Criptografe o volume com uma chave que o host nunca recebe, e a resposta deixa de ser uma política e passa a ser uma cifra — o único controle aqui que não depende de confiar em ninguém.
Os provedores de hospedagem guardam logs do meu tráfego?
A maioria mantém netflow, que registra quem se conectou à sua máquina, quando, e quanto dado foi movimentado, sem registrar o conteúdo. É mantido porque é genuinamente útil para planejamento de capacidade e tratamento de abuso, e é o registro mais frequentemente produzido sob processo legal. O que existe aqui, em vez disso, é um contador de bits por segundo por porta, agregado e mantido por 13 meses, que não consegue reconstruir uma conversa.
Uma alegação de ausência de logs é juridicamente vinculante?
A política publicada faz parte do contrato aqui, o que a torna uma cláusula contratual, não texto de marketing. O que nenhuma alegação pode fazer é anular uma ordem lícita de um tribunal com jurisdição — e é exatamente por isso que a ausência vence uma promessa. Uma ordem para parar de excluir não consegue recuperar um registro que nunca foi escrito.
A hospedagem no-KYC significa sem logs?
Não, e as duas coisas são vendidas como se fossem uma só. No KYC é uma afirmação sobre o que foi coletado no cadastro; sem logs é uma afirmação sobre o que se acumula todo dia depois disso. Um host pode não pedir documento nenhum e ainda assim guardar um ano de endereços de login, o que identificaria você igualmente bem.
Quem vê as consultas DNS que meu servidor faz?
Seja quem for que a máquina aponte como resolvedor, o que na maioria das imagens é um padrão que ninguém escolheu. Os logs de consultas são um perfil comportamental mesmo quando toda conexão que se segue é criptografada, e eles ficam com um terceiro, sob as regras de retenção dele. Rodar seu próprio resolvedor, ou escolher um que documente sua retenção, é uma correção de dez minutos que quase ninguém faz.
Uma VPN na frente do meu servidor ajudaria?
Ajuda em um elo diferente. Uma VPN ou o Tor esconde de onde você se conecta quando administra a máquina, o que resolve o problema do histórico de login descrito no guia sobre permanecer anônimo. Isso não muda nada sobre o que a própria máquina publica, o que está no disco, ou o que a operadora upstream registra sobre o tráfego que chega até ela.
Todos os preços desta estrutura são publicados por completo, em um só lugar. Veja o catálogo completo