Анонімний хостинг сайтівХостинг — одна ланка. Решту вісім належить закрити Вам.

Анонімність — це властивість ланцюга, а не постачальника

Той, хто хоче дізнатися, хто керує Вашим сайтом, не починає з повістки Вашому хостингу. Він починає з браузера, тому що вісім із дев'яти ланок ланцюга щось публікують, і більшість сайтів викриваються через одну з них задовго до того, як з'являється юрист.

Це написано тією єдиною ланкою, яка може говорити про себе доказово: те, що тут збирається, опубліковано як перелік, а не описано як гасло. Інші вісім — не наші — чотири належать іншим компаніям, а чотири належать Вам — і саме тому про них варто читати найбільше.

Дев'ять ланок і хто зберігає кожну з них

Кожен рядок нижче — це місце, де може «осісти» ім'я, адреса або платіж. Важлива саме третя колонка: для восьми з дев'яти відповідь — не Ваш хостинг.

Рівень імен і журнали, які ніхто не може видалити

Три з дев'яти ланок стоять між іменем і машиною, і саме вони зберігають записи, до яких Ви не маєте доступу. Це також ті три, які більшість людей розуміють неправильно, бо всі три сприймаються як технічна кухня, а не як розкриття інформації.

Реєстрація і те, чого не покриває приватність

Сервер — це машина в стійці. Домен — це контракт, а в кожного контракту є контрагент, якому хтось заплатив. Сервіси конфіденційності замінюють Ваші дані в публічному записі на адресу для пересилання; вони не видаляють ці дані з реєстратора, який і далі зберігає ім'я, адресу та спосіб оплати і відповідає перед судом власної юрисдикції, а не Вашої.

Вони також нічого не роблять із минулим. Історичні дані реєстрації комерційно архівуються вже два десятиліття, тож домен, зареєстрований відкрито й переведений у приватний режим лише через чотири роки, — це домен, власник якого вже зафіксований у записах. Увімкнення приватності змінює лише теперішній час.

Прозорість сертифікатів, яка за задумом незворотна

Кожен сертифікат, який видає публічно довірений центр сертифікації, записується в публічний журнал, до якого можна лише додавати записи. Це зроблено навмисно, і це добре: саме так помилково виданий сертифікат для Вашого домену стає видимим, а не залишається таємницею. Побічний ефект у тому, що кожне ім'я хоста, яке Ви коли-небудь вносили в сертифікат, стає доступним для пошуку будь-кому, назавжди, і забрати його назад неможливо.

Саме так знаходять піддомени на кшталт staging, vpn і old-project — не вгадуванням, а читанням публічного журналу, який якраз і створений для читання. Wildcard-сертифікат публікує одне ім'я замість переліку, і це найближче до розв'язання проблеми, що взагалі існує.

Пасивний DNS, який пам'ятає, де сайт розташовувався раніше

Резолвери та сканери фіксують, яке ім'я відповідало якою адресою і коли, а потім продають цю історію. Запис, який Ви видалили рік тому, і досі є доказом того, на яку машину він вказував, і саме тому перенесення сайту за проксі вже після того, як він публічно працював, захищає майбутнє, а не минуле.

Origin-адреса просочується повз проксі

CDN перед сервером приховує origin-сервер від випадкового відвідувача — і більше ні від кого, бо адреса зазвичай опублікована десь там, де проксі не має контролю. Ось шість шляхів, у тому порядку, в якому їх насправді використовують:

1. DNS-записи з часів до появи проксі, які й досі лежать в архіві пасивного DNS.
2. Піддомен, який ніхто не пропустив через проксі: mail, dev, webmail, direct, cpanel.
3. Шлях електронної пошти — MX-запис, SPF-запис або заголовок Received:, що називає машину, яка надіслала повідомлення.
4. Сертифікат, виданий безпосередньо на origin-сервер і занесений у журнал ще до налаштування проксі.
5. Усе, що застосунок надсилає назовні: вебхук, лист для скидання пароля, зображення, завантажене за URL-адресою, яку надав сторонній.
6. Сканери, що охоплюють увесь інтернет, індексують кожну адресу на кожному порту й дозволяють будь-кому шукати машину, чий сертифікат, заголовки відповіді чи favicon збігаються з Вашими.

Останній пункт і є причиною, чому проксі сам по собі — лише половинчастий захід. У межу його перетворює те, що origin-сервер відхиляє кожне з'єднання, яке надходить не з опублікованих діапазонів проксі — це правило файрвола, а не продукт, і водночас найкоротший абзац на цій сторінці з найбільшим ефектом.

Те, що Ви публікуєте, несе більше, ніж Ви написали

Контент — це та частина, яку Ви контролюєте повністю, і саме тут зазвичай зазнають невдачі перші спроби, бо метадані туди додаєте не Ви, а інструменти.

• Фотографії. Модель камери, серійний номер, програма для редагування і часто координати місця, де було натиснуто затвор.
• Документи. PDF містить поле автора та рядок виробника; офісний файл містить автора, компанію та історію версій.
• Репозиторії. Кожен коміт позначений іменем та адресою електронної пошти, і публічний репозиторій публікує їх усі, для кожного коміту, назавжди.
• Результат збірки. Source maps, маніфести залежностей і трасування стека називають шляхи, імена користувачів і внутрішні імена хостів.
• Сама платформа. Типова інсталяція залюбки покаже перелік авторів, сторінку входу, рядок версії та стрічку, яку Ви ніколи не просили публікувати.
• Теги аналітики та реклами. Той самий ідентифікатор вимірювання на двох сайтах — це найдешевший можливий доказ того, що обидва веде одна людина, і публічні інструменти виконують такий пошук масово.

Звички, які зводять нанівець усе інше

Кожен із заходів вище можна звести нанівець, якщо та сама людина зробить щось звичайне, і перелік незмінний: адреса, повторно використана з іншого життя, ім'я користувача, яке можна знайти пошуком, пароль, що засвітився у витоку даних, адміністративний вхід із домашнього з'єднання, і гроші, які ведуть до облікового запису, відкритого за паспортом.

Саме останній пункт і є причиною, чому спосіб оплати має значення щонайменше таке саме, як і те, чи форма реєстрації запитувала ім'я. Хостинг, що не зберігає жодного запису про особу, але оплачений з облікового запису біржі на Ваше ім'я, однаково створив цей ланцюг — він просто лежить у чужій базі даних.

І найстаріший пункт, який жоден хостинг не може оцінити в ціні, а жодне налаштування — захистити: розповісти комусь. Анонімність, яка залежить від того, чи збереже її інша людина, — це радше розклад, ніж властивість.

Що може зробити хостинг і де його можливості закінчуються

Точність щодо обсягу коштує більше, ніж твердження. Те, що відбувається з цього боку, — задокументований факт, а не намір:

• Жодного документа, що посвідчує особу, не збирається ані під час реєстрації, ані будь-коли пізніше, за жодного рівня витрат. Повний перелік того, що зберігається, наведено в політиці приватності та журналювання.
• Розрахунки ведуться лише в мережі блокчейну, тож за обліковим записом не стоїть жодна процесингова компанія, яка веде власний запис про Вас.
• Журнали доступу знищуються за 24-годинним таймером, і немає ані netflow, ані історії IP-адрес, ані відбитка пристрою, які могли б пов'язати адресу з обліковим записом після цього.
• Що саме дає чинне розпорядження, заздалегідь описано в посібнику для правоохоронних органів, а кількість отриманого зафіксована в звіті про прозорість.

А ось частина, яку не нам вирішувати: жоден хостинг не змусить реєстратора забути Вас, не прибере ім'я з журналу прозорості сертифікатів, не зніме з публікації DNS-запис 2021 року, не видалить поле автора з документа, який Ви завантажили, і не завадить Вам входити в систему з дому. Вісім із дев'яти ланок перебувають поза межами договору, і саме тому це посібник, а не рекламна сторінка.

Десятихвилинний аудит, у порядку виконання

Ніщо з переліченого нижче не потребує інструменту, який Вам довелося б купувати, і кожен крок повідомляє Вам щось таке, чого не повідомляв попередній.

1. Знайдіть домен в архіві історичних даних реєстрації, а не лише в поточному записі — і знайдіть усі інші домени, зареєстровані на ту саму адресу.
2. Пошукайте свій домен у журналі прозорості сертифікатів і перегляньте кожне ім'я хоста, яке він поверне. Для кожного з них вирішіть, чи справді Ви мали намір його публікувати.
3. Зробіть запит до пасивного DNS щодо цього домену й складіть перелік усіх адрес, на які він коли-небудь вказував.
4. Визначте адресу кожного піддомену, знайденого на цих двох кроках, і перевірте, чи не відповідає хоч один із них на справжньому origin-сервері.
5. Надішліть собі лист із сайту й прочитайте повні заголовки, включно з кожним рядком Received:.
6. Пошукайте origin-адресу в сканері, що охоплює весь інтернет, а потім повторіть пошук за відбитком Вашого сертифіката.
7. Завантажте три опубліковані Вами файли — зображення, документ, архів — і прочитайте їхні метадані.
8. Якщо якийсь репозиторій публічний, складіть перелік усіх унікальних адрес авторів у його історії.
9. Пошукайте Ваше ім'я користувача та адресу Вашого облікового запису як точні фрази в лапках, у пошуковику, в якому Ви не авторизовані.
10. Запишіть усе, що знайшли, а тоді виправте те, що ще можна виправити. Журналів прозорості та пасивного DNS у цьому переліку немає — саме тому вони йдуть кроками два і три, а не дев'ять і десять.

Три речі, які не варто робити

• Фальсифікація реєстраційних даних. Це єдиний контрзахід із оприлюдненою санкцією: неточні реєстраційні дані є підставою для реєстратора призупинити домен, і діє він за скаргою, а не за рішенням суду.
• Обслуговування публічного сайту лише через Tor. Onion-сервіс — правильна відповідь, коли аудиторія готова заради Вас встановити браузер, і неправильна, коли аудиторія — це всі, бо це прибирає те охоплення, заради якого сайт і варто було захищати.
• Купівля “анонімного” хостингу, що приймає картки. Процесингова компанія нав'язує ідентифікацію продавцю, а продавець рано чи пізно передає її далі. Це пояснення викладено в посібнику про те, що насправді означає no-KYC.

Питання, які справді ставлять

Кожна ціна цієї інфраструктури повністю опублікована в одному місці. Переглянути весь каталог