— В чём прикол хоститься у российской компании за рубежом?
Рассмотрим размещение в Амстердаме или Лондоне. Из-за другой юрисдикции не будет вопросов от российского МВД, например, потому, что на практике будет очень сложно дотянуться и разобраться. С другой стороны, точно так же вас почти точно не будет трогать и местное МВД, поскольку при запросе данных через кросс-юрисдикцию нужно будет делать это через Интерпол, что довольно сложно. В итоге нужно реально сильно накосячить, чтобы за вами пришли. У нас запросов через Интерпол было только два за историю .
— Погодите, то есть это лучше, чем у английской компании в Англии?
С точки зрения приватности — да. Местные не могут получить доступа к вашим установочным данным без запроса в Интерпол, а в России никто на практике не интересуется другой юрисдикцией. Если при этом выбрать ещё не Англию, а Голландию, где законы разрешают почти всё с точки зрения информационной свободы, то получится флеш-рояль.
— Это защитит от блокировок РКН?
Нет. Если Роскомнадзор посчитает, что ваш сайт не подходит для россиян, то его добавят в чёрный список на оборудовании провайдеров, и у большей части жителей России вместо него будет показываться заглушка. Если они не туннелируют трафик каким-то образом, конечно.
— Что означает 30 % отклонённых запросов МВД в transparency report?
Обычно то, что около трети запросов было написано неверно и на следующий день прислано ещё раз с правильным указанием юрлица и правильной шапкой. То есть это не количество неисполненных требований, а примерное распределение запросов по ведомствам, потому что опытные люди знают: в МВД ошибаются часто, а в погранслужбе ФСБ — почти никогда.
— Где про всё это можно почитать больше?
Вот пост про разные запросы органов, которые приходят к нам, и то, как мы их обрабатываем.
— Можно ли дидосить себя с вашего VDS-хостинга?
Минут пять можно, а дальше сработает защита и изолирует сервер. Базовая защита настроена просто на нетипичную активность, более сложная DDoS-защита — у нас это дополнительная опция. Базовая защита не спасает вас, она спасает остальных на , которых могла бы поаффектить атака на вас.
— А как вы поймёте, что это DDoS, если не должны лезть внутрь виртуальной машины?
Мы не видим ничего дальше гостевой ОС, кроме одного исключения. Ну и опытный пользователь может полностью зашифровать свою ВМ и не хранить ключи на ней, если не верит этому утверждению. Поэтому формулировки «не топите остальных клиентов в нашей коммуналке» в оферте достаточно широки и с явной перестраховкой. На практике защита от майнинга может заблокировать тяжёлые вычисления, защита от спама — рассылку по клиентской базе, защита от DDoS — какой-то тяжёлый парсинг. Если вы знаете, что такое может случиться либо если такое уже случилось, то поддержка реагирует в течение 15 минут. Обратите внимание, что иногда это требует объяснения цели деятельности или её технической реализации, что может не очень вязаться с желаемой приватностью. Но таковы особенности всех VDS-шар.
— А что это за исключение, когда можно лезть внутрь ВМ клиента?
Это прямое авторизованное обращение в поддержку с просьбой что-то починить внутри ВМ и явная передача права заглянуть внутрь на время решения проблемы. Этим часто пользуются не очень опытные пользователи (не админы).
— Могут ли быть другие причины залезть на ВМ клиента?
Могут: это аудит Microsoft, но снова через запрос доступа уже от нас у клиента. По лицензионному соглашению с MS она имеет право в любой момент иметь доступ ко всем машинам, где стоят её продукты. В случае юрисдикции США речь идёт про постоянный доступ в онлайн-режиме без запроса. В нашем случае это реализовано через систему аудитов по запросу. То есть кто-то стучит на вас, что у вас пиратский офис, MS отправляет запрос нам, мы отправляем запрос вам, вы имеете пару дней на удаление конфиденциальных данных с ВМ, затем передаёте доступы, затем там проводится аудит в поисках пиратского офиса и другого пиратского софта MS. С учётом, что мы живём в реальном мире, обычно MS застают там девственно чистую машину. Все всё понимают, но иногда попадаются пользователи, которые не знали, что нельзя использовать десктопные ключи на ВМ без специальной конвертации по SPLA. Альтернатива аудиту — отказ в обслуживании.
— А разве можно так зашифровать ВМ, чтобы, имея доступ к памяти виртуальной машины, нельзя было достать ключ шифрования?
Короткий ответ: практически можно. Более сложный ответ: как и везде в юриспруденции или ИБ, 100-процентной вероятности в принципе нет. Есть вопрос затраченных усилий и навыка против затраченных усилий на получение данных. На практике для доступа к оперативной памяти машины и прослушивания всего её трафика нужно установить специальное устройство в разрыв между сервером и свитчем стойки. Получение разрешения на такое устройство — очень долгая и неприятная для органов процедура. У нас такое было один раз, и там шла речь о возможной массовой дистрибуции наркотиков в особо крупных размерах. В меньших случаях органы предпочитают другие, скажем так, неайтишные способы. Пост с этой историей.
— Пытаются ли майнить Chia или другие крипты, завязанные не на CPU, а на диски, например? Это вы тоже детектируете и пресекаете автоматически?
Да. Обычно нетипичная активность по диску связана со входящим или исходящим DDoS, поэтому майнинг такого типа крипты подпадёт под базовую защиту.
— Если с большим диском и сразу же начать заливать туда большой бэкап, это будет штатным использованием, или системы защиты на него стриггерятся и всё ограничат?
Стриггерятся не сразу. Скажем, первые 15 Гб пройдут нормально, далее порежется полоса, а если агрессивная w/r 90/10 продолжится, то тогда уже стриггерится. Если предупредить поддержку заранее или уже после применения защиты — можно будет продолжать. Напоминаю, что смысл всех этих действий не в том, чтобы не дать клиенту ресурсы, а в том, чтобы клиент не поаффектил остальных. Поскольку мы можем ориентироваться только на косвенные признаки, это достаточно трудный вопрос. Более подробно — в посте про разбор оферты.
— А это вообще нормально — в ЦОДах патч-корды ручками обжимать?
Да, мы обжимали первые патч-корды вручную ещё для своего первого ЦОДа, а потом привезли их во второй и третий. На фото с ЦОДа в бомбоубежище вы их и увидели. Те золотые времена давно прошли, и мы больше так не делаем. В других ЦОДах в России мы нередко видим обжатые вручную, но их обычно менее 10 %, то есть, скорее всего, примерно так же, как у нас. Работающий патч-корд может служить лет 15, что ему сделается.
— Можно ли подключаться к одобренному РКН VPN (который блокирует по списку), а через него подключиться на другой VPN (который даже не предоставляет услуг в России, и поэтому РКН про него даже не в курсе) и уже через тот, второй VPN, смотреть запрещённые сайты?
Логика в том, что одобренные РКН VPN должны поддерживать тот же чёрный список, что и провайдеры без VPN. Если с этого VPN подключаться в другой неизвестный РКН, то непонятна логика всего действия, если можно сразу подключиться к неизвестному VPN. Разве что только не спалить его адреса.
— Можно ли смотреть порно с конями с работы через , чтобы админ не заметил?
Короткий ответ: можно. Трафик он увидит только до VDS-хостинга, и это одна из частых причин аренды . Не обязательно с конями, но что-то такое, что не должно остаться в логах компании. Но при этом, если у вас параноидальный админ, есть шанс, что на вашем корпоративном компьютере стоит тулза, которая делает скриншот раз в 10 минут или даже перехватчик нажатий клавиш. Такое случается редко, но случается.
Ещё про внутряки :
— Как мы возим железо по России и Европе и насколько часто его бьют и ломают
— Коснётся ли цензура нас
— Какие бывают незаконные использования хостинга (с чем мы сталкивались)
— Управление хостингом: вид из головы тактика
— Странные управленческие решения внутри хостинга
— Управлять VPS-бизнесом в 10 городах — это же просто
— Наш первый ЦОД в советском бомбоубежище: особенности вычислений в бункере
— Как мы переучивали поддержку разговаривать по-человечески, и что получилось
— Делаем поддержку дешевле, стараясь не растерять качество
Автор: Никита Цаплин
