anonymous vps
Infrastruttura per la privacy
Per persone il cui modello di minaccia ha un nome.
Cosa implementeremmo
25,13 €/mese
35,90 €−30% annuale
Giornalisti, ricercatori e persone che operano sotto pressione reale hanno bisogno di infrastrutture le cui proprietà possano verificare piuttosto che fidarsi. La modalità solo-RAM senza disco non lascia nulla sul drive da sequestrare. LUKS2 con sblocco remoto pre-boot rende la macchina inutile senza una passphrase che non vediamo mai. Le immagini Whonix Gateway danno un'uscita torificata per impostazione predefinita. La registrazione è un indirizzo email, e se aggiungi una chiave PGP non possiamo leggere nemmeno la nostra corrispondenza con te in chiaro.
Perché questa configurazione
Reykjavik è sotto alcune delle più forti leggi sulla protezione delle fonti in Europa, Zurigo sotto la versione rivista della LPD svizzera e Chisinau al di fuori degli strumenti UE. Scegli prima la giurisdizione, poi il piano.
Cosa implementeremmo
Dimensionamento
Una root solo-RAM contiene il filesystem e tutto ciò che verrebbe altrimenti scritto. Un rootfs Debian o Alpine minimale occupa 0.5-1.5 GB in tmpfs, prima di log, cache dei pacchetti e stato dell'applicazione. 4 GB sono il minimo, 8 GB sono comodi, e journald deve essere limitato con RuntimeMaxUse o alla fine consumerà la root. Un gateway Whonix ha bisogno di 1 core e 1 GB. Dimensiona la workstation dietro di esso per il suo carico di lavoro effettivo. LUKS non costa nulla di misurabile con AES-NI.
Sblocco pre-boot, fatto da remoto
La crittografia completa del disco su un server remoto è utile solo se non memorizzi mai la chiave su quel server. L'accordo standard mette dropbear-ssh nell'initramfs: la macchina si avvia a uno stadio minimale, alza la rete e aspetta. Ti connetti su una porta separata, fornisci la passphrase e la vera root fa il pivot. Verifica la chiave host dell'initramfs fuori banda la prima volta, perché è il punto in cui uno stadio sostituito catturerebbe la tua passphrase. Combina questo con una root tmpfs e l'unico stato durevole sulla macchina è il volume crittografato stesso, sbloccato solo mentre stai guardando.
La giurisdizione è il controllo; no-KYC non lo è
La registrazione su CrestVPS è un indirizzo email e non viene mai richiesto un documento d'identità. Questo rimuove un anello, non l'intera catena. Il server occupa ancora un rack in un paese nominato, e CrestVPS risponde a procedimenti legali validi da quella giurisdizione, con volumi pubblicati due volte l'anno in un rapporto sulla trasparenza. Trattalo come un input ingegneristico. Scegli il paese per la sua legge effettiva piuttosto che per la sua reputazione, dividi la custodia delle chiavi lontano da esso e metti un gateway Whonix davanti a qualsiasi cosa in cui la correlazione a livello di rete conti, così la workstation non ha alcuna route tranne attraverso Tor e nessuna conoscenza del proprio indirizzo pubblico.
Cosa va storto
- Nessun runbook di sblocco. Un volume LUKS che richiede l'inserimento pre-boot rimane giù dopo qualsiasi riavvio non pianificato finché un umano non digita la passphrase. Monitora specificamente lo stato initramfs e documenta chi sblocca alle 3 di notte.
- Swap su volume non crittografato. Una root solo-RAM non significa nulla se il kernel pagina la memoria dell'applicazione su disco in chiaro. Non usare swap affatto, o crittografalo con una chiave casuale generata all'avvio.
- Tenere le chiavi nella stessa giurisdizione dei dati. Se il custode della passphrase e il server rispondono allo stesso processo legale, la separazione è decorativa. Dividili deliberatamente tra paesi.
Configura la macchina
- Storage e crittografia — Diskless RAM-only mode · 22 €
- Tutto il resto — No-log recursive resolver + DoH · Incluso
- Indirizzi e transito — IPv6 /48 delegation · 3 €
Altro
Progettate per lavori specifici
Hosting per server di gioco
Il tick rate è un problema single-thread. Tutto il resto è rumore.
VPS per trading e bassa latenza
Distanza dal matching engine, e niente tra te e il wire.
Endpoint VPN e proxy privati
La tua uscita, in una giurisdizione scelta apposta.
Seedbox e storage bulk
Terabyte che restano economici e una porta che resta aperta.
Nodi worker Kubernetes
Economico per core, denso, e identico ogni volta.
Inferenza AI e fine-tuning
Una GPU intera, passata attraverso, su un impegno che fa funzionare la matematica.