anonymous vps
Privacy-infrastructuur
Voor mensen wiens dreigingsmodel een naam heeft.
Wat wij zouden implementeren
€ 25,13/mnd
€ 35,90−30% jaarlijks
Journalisten, onderzoekers en mensen die onder echte druk opereren, hebben infrastructuur nodig waarvan ze de eigenschappen kunnen verifiëren in plaats van vertrouwen. Schijfloze RAM-only-modus laat niets op de schijf achter om in beslag te nemen. LUKS2 met externe pre-boot-ontgrendeling betekent dat de machine nutteloos is zonder een wachtzin die wij nooit zien. Whonix Gateway-images geven standaard een torified egress. Registratie is een e-mailadres, en als je een PGP-sleutel toevoegt, kunnen wij onze eigen correspondentie met jou ook niet in platte tekst lezen.
Waarom deze configuratie
Reykjavik valt onder een van de sterkste bronbeschermingswetten van Europa, Zürich onder de herziene Zwitserse FADP, en Chisinau valt buiten EU-instrumenten. Kies eerst de jurisdictie, daarna het plan.
Wat wij zouden implementeren
Sizing
Een RAM-only root bevat het bestandssysteem en alles wat anders zou worden weggeschreven. Een minimale Debian- of Alpine-rootfs neemt 0,5-1,5 GB in tmpfs in beslag, vóór logs, pakketcache en applicatiestatus. 4 GB is het minimum, 8 GB is comfortabel, en journald moet worden begrensd met RuntimeMaxUse of het zal uiteindelijk de root consumeren. Een Whonix-gateway heeft 1 core en 1 GB nodig. Groot de werkstation erachter in voor de daadwerkelijke workload. LUKS kost niets meetbaars met AES-NI.
Pre-boot-ontgrendeling, op afstand gedaan
Full-disk-encryptie op een externe server is alleen nuttig als je de sleutel nooit op die server opslaat. De standaardopstelling plaatst dropbear-ssh in de initramfs: de machine start op naar een minimale fase, brengt het netwerk omhoog en wacht. Je verbindt op een aparte poort, levert de wachtzin en de echte root pivoteert in. Verifieer de initramfs-hostkey out-of-band de eerste keer, want dat is het punt waarop een vervangende fase je wachtzin zou vastleggen. Combineer dit met een tmpfs-root en de enige blijvende staat op de machine is het versleutelde volume zelf, alleen ontgrendeld terwijl je toekijkt.
Jurisdictie is de controle; no-KYC niet
Aanmelden bij CrestVPS is een e-mailadres en er wordt nooit om een identiteitsdocument gevraagd. Dat verwijdert één schakel, niet de hele keten. De server staat nog steeds in een rack in een genoemd land, en CrestVPS beantwoordt geldige juridische verzoeken uit die jurisdictie, met volumes die twee keer per jaar worden gepubliceerd in een transparantierapport. Behandel dit als een technische input. Kies het land voor zijn echte wet in plaats van zijn reputatie, splits sleutelbewaring ervan af, en plaats een Whonix-gateway voor alles waar netwerk niveau-correlatie ertoe doet, zodat de werkstation geen andere route heeft dan via Tor en geen kennis heeft van zijn eigen publieke adres.
Wat er mis kan gaan
- Geen unlock-runbook. Een LUKS-volume dat pre-boot-invoer nodig heeft, blijft na elke ongeplande herstart uit totdat een mens de wachtzin typt. Monitor specifiek op de initramfs-status en documenteer wie er om 3 uur 's nachts ontgrendelt.
- Swap op een onversleuteld volume. Een RAM-only root betekent niets als de kernel applicatiegeheugen naar plaintext-schijf pagineert. Gebruik helemaal geen swap, of versleutel het met een willekeurige sleutel die bij het opstarten wordt gegenereerd.
- Sleutels in dezelfde jurisdictie bewaren als de gegevens. Als de wachtzinbeheerder en de server onderworpen zijn aan hetzelfde juridische proces, is de scheiding decoratief. Splits ze bewust over verschillende landen.
Tweak de machine
- Opslag en encryptie — Diskless RAM-only mode · € 22
- Al het andere — No-log recursive resolver + DoH · Inbegrepen
- Adressering en transit — IPv6 /48 delegation · € 3
Meer
Gebouwd voor specifieke taken
Game server hosting
Tick rate is een single-thread probleem. Al het andere is ruis.
Trading en low-latency VPS
Afstand tot de matching engine, en niets tussen jou en de draad.
Private VPN en proxy endpoints
Jouw eigen exit, in een jurisdictie die je bewust koos.
Seedboxes en bulkopslag
Tera's die goedkoop blijven en een poort die open blijft.
Kubernetes worker-nodes
Goedkoop per core, dicht, en elke keer identiek.
AI-inferentie en fine-tuning
Een hele GPU, doorgegeven, op een verbintenis die de wiskunde laat kloppen.