anonymous vps
Privacy infrastructure
Pour les personnes dont le modèle de menace a un nom.
Ce que nous déploierions
25,13 €/mois
35,90 €−30% annuel
Les journalistes, les chercheurs et les personnes opérant sous une pression réelle ont besoin d'une infrastructure dont les propriétés peuvent être vérifiées plutôt que crues. Le mode RAM uniquement sans disque ne laisse rien sur le lecteur à saisir. LUKS2 avec déverrouillage pré-démarrage à distance rend la machine inutile sans une phrase de passe que nous ne voyons jamais. Les images Whonix Gateway fournissent un accès torifié par défaut. L'inscription est une adresse e-mail, et si vous ajoutez une clé PGP, nous ne pouvons pas non plus lire notre propre correspondance en clair.
Pourquoi cette configuration
Reykjavik bénéficie de certaines des lois de protection des sources les plus solides d'Europe, Zurich de la FADP suisse révisée, et Chisinau en dehors des instruments de l'UE. Choisissez d'abord la juridiction, puis le plan.
Ce que nous déploierions
Dimensionnement
Une racine RAM uniquement contient le système de fichiers et tout ce qui serait autrement écrit. Un rootfs Debian ou Alpine minimal occupe 0,5 à 1,5 Go en tmpfs, avant les journaux, le cache de paquets et l'état de l'application. 4 Go est le minimum, 8 Go est confortable, et journald doit être plafonné avec RuntimeMaxUse sinon il finira par consommer la racine. Une passerelle Whonix a besoin de 1 cœur et 1 Go. Dimensionnez la station de travail derrière elle pour sa charge de travail réelle. LUKS ne coûte rien de mesurable avec AES-NI.
Déverrouillage pré-démarrage, effectué à distance
Le chiffrement complet du disque sur un serveur distant n'est utile que si vous ne stockez jamais la clé sur ce serveur. La configuration standard place dropbear-ssh dans l'initramfs : la machine démarre à un stade minimal, lève le réseau et attend. Vous vous connectez sur un port séparé, fournissez la phrase de passe, et la racine réelle pivote. Vérifiez la clé d'hôte initramfs hors bande la première fois, car c'est le point où un stade substitué capturerait votre phrase de passe. Combinez cela avec une racine tmpfs et le seul état durable sur la machine est le volume chiffré lui-même, déverrouillé uniquement pendant que vous regardez.
La juridiction est le contrôle ; le no-KYC n'est pas
L'inscription à CrestVPS est une adresse e-mail et aucun document d'identité n'est jamais demandé. Cela supprime un maillon, pas toute la chaîne. Le serveur occupe toujours un rack dans un pays nommé, et CrestVPS répond aux processus légaux valides de cette juridiction, avec des volumes publiés deux fois par an dans un rapport de transparence. Traitez cela comme une entrée technique. Choisissez le pays pour sa loi réelle plutôt que sa réputation, séparez la garde des clés, et placez une passerelle Whonix devant tout ce où la corrélation au niveau du réseau compte, afin que la station de travail n'ait pas d'autre route que Tor et aucune connaissance de sa propre adresse publique.
Ce qui va de travers
- Aucun runbook de déverrouillage. Un volume LUKS nécessitant une saisie pré-démarrage reste hors ligne après tout redémarrage imprévu jusqu'à ce qu'un humain tape la phrase de passe. Surveillez spécifiquement l'état initramfs, et documentez qui déverrouille à 3 heures du matin.
- Échange sur un volume non chiffré. Une racine RAM uniquement ne signifie rien si le noyau pagine la mémoire de l'application sur un disque en clair. N'utilisez pas d'échange du tout, ou chiffrez-le avec une clé aléatoire générée au démarrage.
- Garder les clés dans la même juridiction que les données. Si le gardien de la phrase de passe et le serveur répondent au même processus légal, la séparation est décorative. Séparez-les délibérément entre pays.
Réglez la machine
- Stockage et chiffrement — Diskless RAM-only mode · 22 €
- Tout le reste — Résolveur récursif sans journaux avec DoH · Inclus
- Adressage et transit — IPv6 /48 delegation · 3 €
Plus
Conçu pour des tâches spécifiques
Hébergement de serveurs de jeux
Le tick rate est un problème mono-thread. Tout le reste est du bruit.
VPS de trading et basse latence
Distance au moteur de correspondance, et rien entre vous et la ligne.
Endpoints VPN et proxy privé
Votre propre sortie, dans une juridiction choisie délibérément.
Seedboxes et stockage volumineux
Des téraoctets qui restent bon marché et un port qui reste ouvert.
Nœuds workers Kubernetes
Pas cher par cœur, dense, et identique à chaque fois.
Inférence IA et fine-tuning
Un GPU entier, transféré, sur un engagement qui rend les calculs rentables.