anonymous vps
Infraestrutura de privacidade
Para pessoas cujo modelo de ameaça tem um nome.
O que implantaríamos
€ 25,13/mês
€ 35,90−30% anual
Jornalistas, pesquisadores e pessoas operando sob pressão real precisam de infraestrutura cujas propriedades possam verificar em vez de confiar. Modo somente RAM sem disco deixa nada no drive para apreender. LUKS2 com desbloqueio remoto pré-boot significa que a máquina é inútil sem uma senha que nunca vemos. Imagens Whonix Gateway dão uma saída torificada por padrão. O registro é um endereço de e-mail, e se você adicionar uma chave PGP, não podemos ler nossa própria correspondência com você em texto puro também.
Por que essa configuração
Reykjavik fica sob alguns dos estatutos de proteção de fonte mais fortes da Europa, Zurique sob a FADP suíça revisada, e Chisinau fora dos instrumentos da UE. Escolha a jurisdição primeiro, o plano depois.
O que implantaríamos
Dimensionamento
Uma raiz somente RAM guarda o sistema de arquivos e tudo o que seria escrito. Um rootfs mínimo Debian ou Alpine ocupa 0,5-1,5 GB em tmpfs, antes de logs, cache de pacotes e estado do aplicativo. 4 GB é o mínimo, 8 GB é confortável, e o journald deve ser limitado com RuntimeMaxUse ou ele eventualmente consumirá a raiz. Um gateway Whonix precisa de 1 núcleo e 1 GB. Dimensione a estação de trabalho atrás dele para sua carga real. LUKS não custa nada mensurável com AES-NI.
Desbloqueio pré-boot, feito remotamente
Criptografia de disco completa em um servidor remoto só é útil se você nunca armazenar a chave nesse servidor. A configuração padrão coloca dropbear-ssh no initramfs: a máquina inicializa em um estágio mínimo, levanta a rede e espera. Você se conecta em uma porta separada, fornece a senha e a raiz real entra. Verifique a chave de host do initramfs fora de banda na primeira vez, porque é nesse ponto que um estágio substituído capturaria sua senha. Combine isso com uma raiz tmpfs e o único estado durável na máquina é o próprio volume criptografado, desbloqueado apenas enquanto você está assistindo.
Jurisdição é o controle; no-KYC não é
O cadastro na CrestVPS é um endereço de e-mail e nenhum documento de identidade é solicitado. Isso remove um elo, não a cadeia inteira. O servidor ainda ocupa um rack em um país nomeado, e a CrestVPS responde a processos legais válidos dessa jurisdição, com volumes publicados duas vezes por ano em um relatório de transparência. Trate isso como uma entrada de engenharia. Escolha o país por sua lei real em vez de sua reputação, divida a custódia de chaves para longe dele, e coloque um gateway Whonix na frente de qualquer coisa onde a correlação em nível de rede importa, para que a estação de trabalho não tenha rota exceto através do Tor e nenhum conhecimento de seu próprio endereço público.
O que dá errado
- Sem runbook para desbloqueio. Um volume LUKS que precisa de entrada pré-boot fica fora do ar após qualquer reinicialização não planejada até que um humano digite a senha. Monitore especificamente o estado do initramfs e documente quem desbloqueia às 3 da manhã.
- Swap em volume não criptografado. Uma raiz somente RAM não significa nada se o kernel paginar memória do aplicativo para disco em texto puro. Não use swap, ou criptografe com uma chave aleatória gerada no boot.
- Manter chaves na mesma jurisdição que os dados. Se o custodante da senha e o servidor respondem ao mesmo processo legal, a separação é decorativa. Divida-os deliberadamente entre países.
Ajuste a máquina
- Armazenamento e criptografia — Sem disco, apenas RAM · € 22
- Tudo mais — Resolver recursivo sem logs com DoH · Incluído
- Endereçamento e trânsito — IPv6 /48 delegation · € 3
Mais
Feito para trabalhos específicos
Hospedagem de servidor de jogos
Tick rate é um problema de thread única. Todo o resto é ruído.
VPS para trading e baixa latência
Distância até o mecanismo de matching, e nada entre você e o wire.
Endpoints privados de VPN e proxy
Sua própria saída, em uma jurisdição que você escolheu de propósito.
Seedboxes e armazenamento em massa
Terabytes que continuam baratos e uma porta que permanece aberta.
Nós workers Kubernetes
Barato por núcleo, denso e idêntico toda vez.
Inferência e fine-tuning de IA
Uma GPU inteira, passada diretamente, sob um compromisso que faz a matemática funcionar.