Website hosting ẩn danhNhà cung cấp chỉ là một mắt xích. Tám mắt xích còn lại là việc của quý khách phải khép lại.

Tính ẩn danh là thuộc tính của chuỗi, không phải của nhà cung cấp

Người muốn biết ai đang điều hành trang web của quý khách không bắt đầu bằng cách gửi trát đòi hồ sơ đến nhà cung cấp của quý khách. Họ bắt đầu bằng một trình duyệt, vì tám trong chín mắt xích của chuỗi đó công khai điều gì đó, và phần lớn các trang web bị lộ bởi một trong số đó từ rất lâu trước khi có luật sư tham gia.

Trang này được viết bởi mắt xích duy nhất có thể tự nói về chính mình bằng bằng chứng: những gì được thu thập ở đây được công bố dưới dạng một danh mục, chứ không phải được mô tả như một giá trị. Tám mắt xích còn lại không phải của chúng tôi — bốn thuộc về các công ty khác và bốn thuộc về chính quý khách — và đó chính xác là lý do vì sao chúng đáng để đọc.

Chín mắt xích, và ai nắm giữ từng mắt xích

Mỗi hàng dưới đây là một nơi mà một cái tên, một địa chỉ hoặc một khoản thanh toán có thể dừng lại. Cột thứ ba mới là cột quan trọng: với tám trong chín mắt xích, câu trả lời không phải là nhà cung cấp của quý khách.

Lớp đặt tên, và những nhật ký không ai xóa được

Ba trong chín mắt xích nằm giữa một cái tên và một cỗ máy, và đó là ba mắt xích lưu giữ những hồ sơ mà quý khách không thể chạm tới. Đây cũng là ba mắt xích mà hầu hết mọi người hiểu sai, vì cả ba đều giống hạ tầng kỹ thuật hơn là sự tiết lộ thông tin.

Việc đăng ký tên miền, và những gì bảo mật không bao gồm

Một máy chủ là một cỗ máy trong rack. Một tên miền là một hợp đồng, và một hợp đồng có một bên đối tác đã được ai đó trả tiền. Các dịch vụ bảo mật thay thế thông tin của quý khách trong hồ sơ công khai bằng một địa chỉ chuyển tiếp; chúng không xóa thông tin đó khỏi nhà đăng ký, nơi vẫn nắm giữ một cái tên, một địa chỉ và một phương thức thanh toán, và nơi trả lời một tòa án theo khu vực pháp lý của chính nó chứ không phải của quý khách.

Chúng cũng không làm được gì với quá khứ. Dữ liệu đăng ký lịch sử đã được các bên thương mại lưu trữ trong hai thập kỷ, vì vậy một tên miền được đăng ký công khai rồi bốn năm sau mới chuyển sang bảo mật vẫn là một tên miền có chủ sở hữu nằm trên hồ sơ. Bật bảo mật lên chỉ là một thay đổi ở thì hiện tại.

Minh bạch chứng chỉ, một cơ chế vĩnh viễn theo thiết kế

Mọi chứng chỉ do một tổ chức được tin cậy công khai cấp phát đều được ghi vào một nhật ký công khai chỉ ghi thêm (append-only). Đó là điều có chủ đích và là một điều tốt: đó là cách một chứng chỉ cấp sai cho tên miền của quý khách trở nên có thể nhìn thấy được thay vì được giữ bí mật. Tác dụng phụ là mọi hostname quý khách từng đưa lên một chứng chỉ đều có thể được bất kỳ ai tìm kiếm, mãi mãi, và không thể rút lại.

Đây là cách các subdomain staging, vpn và old-project bị tìm ra — không phải bằng cách đoán, mà bằng cách đọc một nhật ký công khai được xây dựng để được đọc. Một chứng chỉ wildcard công khai một cái tên duy nhất thay vì cả một danh sách, đó là thứ gần nhất với một biện pháp khắc phục hiện có.

Passive DNS, cơ chế ghi nhớ nơi trang web từng đặt

Các resolver và scanner ghi lại tên nào đã trả lời bằng địa chỉ nào và vào lúc nào, rồi bán lại lịch sử đó. Một bản ghi quý khách đã xóa từ một năm trước vẫn là bằng chứng của cỗ máy mà nó từng trỏ tới, đó là lý do vì sao việc chuyển một trang web ra sau proxy sau khi nó đã hoạt động công khai chỉ bảo vệ được tương lai chứ không bảo vệ được quá khứ.

Địa chỉ origin rò rỉ vòng qua proxy

Một CDN đặt trước một máy chủ che giấu được origin khỏi một khách truy cập thông thường và không che giấu được khỏi bất kỳ ai khác, vì địa chỉ đó thường được công khai ở một nơi nào đó mà proxy không kiểm soát được. Đây là sáu con đường, theo đúng thứ tự chúng thực sự được sử dụng:

1. Các bản ghi DNS từ trước khi proxy tồn tại, vẫn còn nằm trong một kho lưu trữ passive DNS.
2. Một subdomain không ai đặt sau proxy: mail, dev, webmail, direct, cpanel.
3. Đường đi của mail — một bản ghi MX, một mục SPF, hoặc một header Received: nêu tên cỗ máy đã gửi thông điệp đó.
4. Một chứng chỉ được cấp ngay trên origin và được ghi log trước khi proxy được cấu hình.
5. Bất cứ thứ gì ứng dụng gửi ra ngoài: một webhook, một mail đặt lại mật khẩu, một hình ảnh được tải về từ một URL do người lạ cung cấp.
6. Các scanner quét toàn bộ Internet, thứ lập chỉ mục mọi địa chỉ trên mọi cổng và cho phép bất kỳ ai tìm kiếm một cỗ máy có chứng chỉ, header phản hồi hoặc favicon trùng khớp với của quý khách.

Điều cuối cùng đó là lý do vì sao một proxy, nếu đứng một mình, chỉ là một biện pháp nửa vời. Thứ biến nó thành một ranh giới thực sự là việc origin từ chối mọi kết nối không đến từ các dải địa chỉ đã công bố của proxy — một quy tắc tường lửa chứ không phải một sản phẩm, và là đoạn văn ngắn nhất trên trang này nhưng có tác động lớn nhất.

Những gì quý khách công khai mang theo nhiều hơn những gì quý khách viết ra

Nội dung là phần quý khách kiểm soát hoàn toàn, và đây cũng là nơi những lần thử đầu tiên thường thất bại, vì metadata được đặt vào đó bởi các công cụ chứ không phải bởi quý khách.

• Ảnh chụp. Model máy ảnh, số serial, phần mềm chỉnh sửa, và thường cả tọa độ nơi màn trập được bấm.
• Tài liệu. Một tệp PDF mang theo một trường tác giả và một chuỗi trình tạo; một tệp văn phòng mang theo một tác giả, một công ty và một lịch sử chỉnh sửa.
• Kho mã nguồn. Mỗi commit đều được đóng dấu bằng một cái tên và một địa chỉ email, và một kho mã nguồn công khai sẽ công khai tất cả những thông tin đó, cho từng commit, vĩnh viễn.
• Kết quả build. Source map, manifest phụ thuộc và stack trace nêu tên các đường dẫn, tên đăng nhập và hostname nội bộ.
• Chính nền tảng đó. Một bản cài đặt mặc định sẽ vô tư để lộ một danh sách tác giả, một trang đăng nhập, một chuỗi phiên bản và một feed mà quý khách chưa từng yêu cầu nó công khai.
• Thẻ phân tích và quảng cáo. Cùng một mã định danh đo lường xuất hiện trên hai trang web là bằng chứng rẻ nhất có thể có rằng một người điều hành cả hai, và các công cụ công khai thực hiện việc tra cứu đó ở quy mô lớn.

Những thói quen phá hỏng tất cả những điều còn lại

Mọi biện pháp kiểm soát nêu trên đều có thể bị chính người đó phá vỡ chỉ bằng cách làm một điều bình thường, và danh sách đó không hề thay đổi: một địa chỉ được dùng lại từ một cuộc đời khác, một tên đăng nhập có thể tra cứu được, một mật khẩu từng xuất hiện trong một vụ rò rỉ dữ liệu, một lần đăng nhập quản trị từ một kết nối tại nhà, và tiền có thể lần ngược về một tài khoản được mở bằng hộ chiếu.

Điều cuối cùng đó là lý do vì sao cách quý khách thanh toán quan trọng ít nhất ngang với việc biểu mẫu đăng ký có hỏi tên hay không. Một nhà cung cấp không giữ hồ sơ danh tính nào, được thanh toán từ một tài khoản sàn giao dịch mang tên quý khách, vẫn tạo ra chuỗi liên kết đó — nó chỉ đơn giản là nằm trong cơ sở dữ liệu của người khác.

Và điều lâu đời nhất, thứ không nhà cung cấp nào có thể định giá và không cấu hình nào có thể bảo vệ: kể cho ai đó biết. Tính ẩn danh phụ thuộc vào việc một người khác giữ kín nó là một lịch trình, chứ không phải một thuộc tính.

Nhà cung cấp có thể làm được gì, và giới hạn ở đâu

Chính xác về phạm vi có giá trị hơn một lời tuyên bố. Những gì diễn ra ở phía này là vấn đề của hồ sơ ghi nhận, chứ không phải của ý định:

• Không giấy tờ tùy thân nào được thu thập lúc đăng ký hay ở bất kỳ thời điểm nào sau đó, ở bất kỳ mức chi tiêu nào. Danh mục đầy đủ những gì được lưu giữ nằm trong chính sách quyền riêng tư và ghi nhật ký.
• Thanh toán chỉ on-chain, nên không có bên xử lý thẻ nào đứng sau tài khoản để giữ hồ sơ riêng về quý khách.
• Nhật ký truy cập bị hủy theo bộ đếm 24 giờ, và không có netflow, không có lịch sử IP, cũng không có dấu vân tay thiết bị nào có thể liên kết một địa chỉ với một tài khoản sau thời điểm đó.
• Những gì một lệnh hợp lệ thực sự thu được đã được ghi rõ từ trước trong hướng dẫn dành cho cơ quan thực thi pháp luật, và số lượng đã nhận được nằm trong báo cáo minh bạch.

Và phần không thuộc quyền của chúng tôi để trao: không nhà cung cấp nào có thể khiến một nhà đăng ký quên quý khách, xóa một cái tên khỏi nhật ký minh bạch, gỡ bỏ tính công khai của một bản ghi DNS từ năm 2021, xóa trường tác giả khỏi một tài liệu quý khách đã tải lên, hay ngăn quý khách đăng nhập từ nhà. Tám trong chín mắt xích nằm ngoài hợp đồng, đó là lý do đây là một bài hướng dẫn chứ không phải một trang bán hàng.

Một cuộc kiểm tra mười phút, theo đúng thứ tự cần thực hiện

Không bước nào dưới đây cần một công cụ phải mua, và mỗi bước cho quý khách biết một điều mà bước trước đó chưa cho biết.

1. Tra cứu tên miền trong một kho lưu trữ đăng ký lịch sử, chứ không chỉ trong bản ghi hiện tại — và tra cứu mọi tên miền khác được đăng ký cùng địa chỉ đó.
2. Tìm kiếm tên miền của quý khách trong một nhật ký minh bạch chứng chỉ và đọc mọi hostname mà nó trả về. Với từng cái, hãy quyết định xem quý khách có thực sự muốn công khai nó hay không.
3. Truy vấn passive DNS cho tên miền đó và liệt kê mọi địa chỉ mà nó từng phân giải tới trong suốt vòng đời của nó.
4. Phân giải mọi subdomain mà hai bước trên tìm ra, và kiểm tra xem có cái nào trong số đó trả lời trên chính origin thật hay không.
5. Tự gửi cho mình một mail từ trang web đó và đọc toàn bộ header, kể cả từng dòng Received:.
6. Tìm kiếm địa chỉ origin trên một scanner quét toàn bộ Internet, rồi tìm lại một lần nữa bằng fingerprint của chứng chỉ quý khách.
7. Tải về ba tệp quý khách đã công khai — một hình ảnh, một tài liệu, một tệp nén — và đọc metadata của chúng.
8. Nếu có bất kỳ kho mã nguồn nào công khai, hãy liệt kê các địa chỉ tác giả khác biệt trong lịch sử của nó.
9. Tìm kiếm tên đăng nhập và địa chỉ tài khoản của quý khách dưới dạng chuỗi có dấu ngoặc kép, trên một công cụ tìm kiếm mà quý khách chưa đăng nhập vào.
10. Ghi lại những gì quý khách tìm thấy, rồi khắc phục những gì còn có thể khắc phục được. Nhật ký minh bạch và passive DNS không nằm trong danh sách đó, đó là lý do chúng là bước hai và ba, chứ không phải bước chín và mười.

Ba điều không đáng để làm

• Khai man thông tin đăng ký. Đây là biện pháp đối phó duy nhất có một hình phạt được công bố kèm theo: dữ liệu đăng ký không chính xác là căn cứ để một nhà đăng ký đình chỉ tên miền, và điều đó xảy ra dựa trên một khiếu nại chứ không cần đến lệnh của tòa án.
• Chỉ phục vụ một trang công khai qua Tor. Một onion service là câu trả lời đúng khi đối tượng khán giả sẵn sàng cài đặt một trình duyệt vì quý khách, và là câu trả lời sai khi đối tượng đó là tất cả mọi người, vì nó loại bỏ mất độ tiếp cận vốn là thứ khiến trang web đó đáng để bảo vệ.
• Mua hosting “ẩn danh” nhưng lại nhận thẻ thanh toán. Bên xử lý thẻ áp đặt yêu cầu định danh lên người bán, và người bán rốt cuộc sẽ chuyển yêu cầu đó xuống. Lập luận đó được trình bày trong bài hướng dẫn về ý nghĩa thực sự của no-KYC.

Những câu hỏi khách hàng thực sự đặt ra

Mọi mức giá trên toàn hệ thống này được công bố đầy đủ, tại một nơi duy nhất. Xem toàn bộ danh mục