Lưu trữ không nhật kýMọi nhà cung cấp đều thấy nhiều hơn những gì họ giữ lại. Câu hỏi là họ ghi lại những gì.

Nhìn thấy và lưu giữ là hai câu hỏi khác nhau

Điều mà hầu hết mọi người nghe thấy trong một tuyên bố không nhật ký là nhà cung cấp không thể nhìn thấy lưu lượng truy cập của họ. Điều mà bất kỳ nhà cung cấp trung thực nào thực sự có thể nói lại hẹp hơn: rất nhiều thứ có thể nhìn thấy được trong khoảnh khắc đó, nhưng hầu như không có gì trong số đó được ghi lại. Một gói tin đi qua một router biên thì router đó nhìn thấy được nó. Việc khả năng nhìn thấy đó có trở thành một hồ sơ hay không là một quyết định về cấu hình và lưu giữ — và hồ sơ đó là phần duy nhất trong chuyện này mà bất kỳ ai cũng có thể bị ra lệnh phải cung cấp.

Hai câu hỏi này được trả lời bởi hai cơ chế khác nhau, đó là lý do vì sao việc đánh đồng chúng lại hữu ích đến vậy đối với một trang tiếp thị. Nhìn thấy bị giới hạn bởi mật mã học: những gì được mã hóa đầu-cuối thì không thể đọc được trong quá trình truyền, bất kể thiện chí của bất kỳ ai. Lưu giữ bị giới hạn bởi một bộ đếm thời gian, và một bộ đếm thời gian là thứ có thể được công bố, mô tả và bị ràng buộc phải tuân theo. Một nhà cung cấp chỉ nói về điều thứ nhất là đang né tránh điều thứ hai.

Tám nơi có thể tồn tại hồ sơ về quý khách

Gần như mọi lập luận về hosting không nhật ký đều xoay quanh một trong số này — nhật ký truy cập của máy chủ web — và nó còn lâu mới là loại tiết lộ nhiều nhất. Chuỗi mang một yêu cầu đến máy chủ của quý khách chạm qua ít nhất tám bên, và chỉ một số trong đó là nhà cung cấp của quý khách.

Ba trong số tám nơi đó nằm hoàn toàn ngoài hợp đồng lưu trữ, và đây chính là phần mà một nhãn không nhật ký hoàn toàn không thể nói lên được điều gì. Nhà mạng thượng nguồn lưu giữ bất cứ điều gì cơ quan quản lý của riêng họ yêu cầu. Resolver kế thừa từ một image hệ điều hành mặc định nhìn thấy mọi hostname mà máy chủ của quý khách tra cứu. Và kênh thanh toán là mắt xích được đề cập trong bài hướng dẫn về thanh toán cho một máy chủ bằng crypto, vì đây là mắt xích thường mang theo một cái tên nhất.

Mỗi loại hồ sơ thực sự chứng minh được điều gì

Các hồ sơ không nguy hiểm như nhau, nhưng các cuộc thảo luận trong ngành lại coi chúng như thể chúng nguy hiểm ngang nhau. Đây là thứ tự tương đối về mức độ gây tổn hại của chúng.

Bốn cách mà “không nhật ký” thường không đúng sự thật

Không điều nào trong số này thực sự là một lời nói dối. Mỗi điều là một câu đúng, nhưng nói về một thứ nhỏ hơn nhiều so với những gì người đọc tin là đang được mô tả.

• Nó chỉ nói về một loại nhật ký. Tuyên bố đó nói về nhật ký lưu lượng truy cập, trong khi lịch sử đăng nhập, kho lưu trữ ticket, hồ sơ thanh toán và truy vấn DNS vẫn tiếp diễn như thường lệ. Nó đúng với loại ít tiết lộ nhất trong số tám loại.
• Nó có nghĩa là xóa, chứ không phải không tồn tại. Các hồ sơ được tạo ra rồi bị xóa — theo lịch trình nếu quý khách may mắn, theo yêu cầu nếu không. Xóa dữ liệu là một chính sách, và một chính sách có thể bị ra lệnh dừng lại, khi đó mọi thứ đã được ghi lại từ trước sẽ được giữ nguyên kể từ thời điểm lệnh đó có hiệu lực.
• Nó dừng lại ở ranh giới của công ty. Bên lọc lưu lượng phía trước, nền tảng ticket bên cạnh, CDN, bên xử lý thanh toán và đoạn mã phân tích trong khu vực thanh toán đều tự lưu giữ dữ liệu riêng, theo quy tắc riêng, tại khu vực pháp lý riêng của mình.
• Nó mô tả hiện tại. Một tuyên bố không có danh mục và không có bộ đếm thời gian chỉ là mô tả về thông lệ hiện hành, và thông lệ hiện hành hoàn toàn có thể thay đổi ngay vào ngày áp lực xuất hiện. Không điều gì trong đó có thể bị phản bác, đó là lý do vì sao nó được viết theo cách đó.

Lưu giữ là một bộ đếm thời gian, không phải một lời hứa

Phiên bản có ý nghĩa thực sự của tuyên bố này thì tẻ nhạt khi đọc: mọi hồ sơ đang tồn tại, nó tồn tại để làm gì, và nó tồn tại trong bao lâu. Hệ thống này công bố bảy hàng, và cột thực sự đảm nhận công việc là cột thứ hai.

Danh sách thứ hai mới là danh sách quan trọng hơn, và đó là danh sách những gì không bao giờ được tạo ra: không giấy tờ tùy thân, không tên pháp lý, không hồ sơ về các địa chỉ mà một tài khoản đăng nhập từ đó, không lịch sử IP, không dấu vân tay thiết bị, không netflow ở độ chi tiết đủ để tái dựng ai đã liên lạc với ai, không nhật ký truy vấn trên các resolver do chúng tôi vận hành, và không nội dung của ổ đĩa, bộ nhớ hay bản sao lưu. Việc xóa dữ liệu có thể bị ra lệnh dừng lại. Sự không tồn tại là một thực tế của schema, và một lệnh không thể vươn ngược trở lại xuyên qua nó. Cả hai danh sách đều được công bố đầy đủ trong chính sách quyền riêng tư và ghi nhật ký, nơi chúng là một phần của thỏa thuận chứ không phải một phần của tờ rơi quảng cáo.

Phần khó xử: một nhà cung cấp có thể đọc được một ổ đĩa không mã hóa

Một đơn vị vận hành hypervisor có thể sao chép ổ đĩa của một máy khách (guest) mà họ đang chạy. Một nhà cung cấp nói khác đi thì hoặc đang hiểu sai hệ thống của chính mình, hoặc đang nói dối quý khách, và đây là câu quan trọng nhất trên trang này. Không chính sách nào khắc phục được điều đó, không khu vực pháp lý nào khắc phục được điều đó, và không lời hứa nào có thể đứng vững nếu người có quyền truy cập vật lý quyết định khác đi.

Điều duy nhất khắc phục được nó là một khóa mà nhà cung cấp chưa từng nắm giữ. Mã hóa toàn bộ ổ đĩa bên trong máy khách (guest), được mở khóa qua một phiên SSH lúc khởi động, chuyển câu hỏi này từ góc độ pháp lý sang góc độ toán học, và câu trả lời toán học đó không thay đổi tùy theo tòa án. Runbook có trong cơ sở kiến thức, và đó là giờ làm việc có giá trị cao nhất dành cho bất kỳ ai thực sự quan tâm đến vấn đề này.

Cùng một hình dạng đó vẫn đúng ở một lớp xa hơn. Những gì truyền qua đường dây ở dạng không mã hóa thì mọi bên nằm giữa hai đầu đều đọc được; những gì truyền qua dưới TLS thì không, bất kể một bản ghi flow nói gì về việc cuộc trò chuyện đã từng diễn ra. Mã hóa quyết định điều gì có thể bị nhìn thấy. Lưu giữ quyết định điều gì có thể bị cung cấp. Không cái nào có thể thay thế cái còn lại.

Cách kiểm chứng một tuyên bố không nhật ký từ bên ngoài

Quý khách không thể kiểm chứng một bộ đếm thời gian lưu giữ chỉ bằng trình duyệt. Nhưng trong khoảng hai mươi phút, quý khách có thể xác định được liệu tuyên bố đó có thuộc loại có thể kiểm chứng được hay không.

1. Hãy tìm một danh mục, chứ không phải một tính từ. Một nhà cung cấp lưu giữ ít sẽ có khả năng liệt kê những gì họ lưu giữ; một bên từ chối liệt kê đã tự nói lên điều gì đó.
2. Kiểm tra xem có một thời hạn cụ thể ở mỗi hàng hay không. “Miễn là còn cần thiết” không phải là một thời hạn lưu giữ. 24 giờ thì có.
3. Hãy đọc danh sách những gì không bao giờ được tạo ra, nếu có tồn tại một danh sách như vậy. Nó có nhiều thông tin hơn danh sách những gì được lưu giữ, vì đó là phần mà không có lệnh nào có thể đảo ngược được.
4. Hãy mở công cụ dành cho lập trình viên trên khu vực thanh toán và theo dõi các yêu cầu rời khỏi tên miền. Mỗi bên thứ ba xuất hiện ở đó là một bên ghi nhật ký mà chính sách quyền riêng tư không hề nhắc đến.
5. Hãy đọc báo cáo minh bạch để xem kết quả, chứ không phải khối lượng. Con số quan trọng là có bao nhiêu yêu cầu đã tạo ra kết quả gì đó, và đó là gì — ở đây là 164 yêu cầu từ cơ quan thực thi pháp luật kể từ năm 2019, trong đó 31 yêu cầu tạo ra kết quả, và những gì được cung cấp là một địa chỉ email và một sổ ghi số tiền.
6. Kiểm tra xem tuyên bố có được ký hay không. Một warrant canary là phần duy nhất ở đây phải trả giá nếu bị làm giả: bản này trích dẫn một khối Bitcoin gần đây, nên tuyên bố không thể được ký từ trước, và nó khẳng định rằng chưa từng có thiết bị nào bị tịch thu, sao chép ổ đĩa hoặc truy cập vật lý.
7. Sau đó hãy mở biểu mẫu đăng ký. Dù chính sách có nói gì đi nữa, biểu mẫu chính là phần không thể nói dối về những gì được thu thập.

Những câu hỏi khách hàng thực sự đặt ra

Mọi mức giá trên toàn hệ thống này được công bố đầy đủ, tại một nơi duy nhất. Xem toàn bộ danh mục