Apakah Hosting VPS Aman? Hal yang Anda Kendalikan

Apakah hosting VPS aman? Jawaban singkat

Ya. Hosting VPS aman untuk sebagian besar kebutuhan pengguna, dan merupakan peningkatan nyata dibandingkan shared hosting. VPS (virtual private server) adalah mesin virtual dengan kernel, memori, disk, dan akun penggunanya sendiri. Hypervisor yang menjalankannya mencegah pelanggan lain mengakses keempat komponen tersebut. Orang yang menyewa server di sebelah server Anda pada mesin fisik yang sama tidak dapat membaca file Anda, mencantumkan proses Anda, login ke server Anda, atau melihat trafik jaringan Anda.

Jawaban lengkapnya terdiri atas dua bagian. Provider menguasai hardware dan hypervisor. Anda menguasai semua hal di dalam mesin virtual Anda, dan hampir semua insiden nyata bermula dari sana. Server biasanya dibobol melalui port yang terbuka, password SSH yang lemah, package yang tidak pernah diperbarui, atau secret dalam file yang terpublikasi. Server sangat jarang dibobol melalui hypervisor.

Apa yang sebenarnya dipisahkan oleh hypervisor

Hypervisor adalah perangkat lunak yang menjalankan virtual machine pada satu host fisik. Pada VPS KVM (KVM berarti kernel based virtual machine, standar pada host Linux), server Anda merupakan virtual machine penuh. Server tersebut melakukan booting dengan kernel sendiri. Host memberikan wilayah memori fisik yang tetap, dan memory management unit pada prosesor menolak setiap akses di luar wilayah tersebut. Dengan demikian, kode yang berjalan pada guest lain sama sekali tidak dapat mengakses RAM Anda. Tidak ada filesystem bersama dan tidak ada tabel pengguna bersama. Karena itu, izin file pada server tetangga tidak berpengaruh pada server Anda.

Shared hosting bekerja dengan cara berbeda. Banyak situs berada dalam satu sistem operasi, di bawah satu web server dan satu instalasi PHP, sebagai akun pengguna biasa. Satu-satunya batasan adalah izin file. Kesalahan izin, atau plugin rentan yang berjalan sebagai pengguna dengan akses baca terlalu luas, dapat menjangkau file akun lain. Itulah celah yang ditutup oleh beralih dari shared hosting ke VPS.

Periksa apa yang Anda beli, karena tidak semua paket yang dijual sebagai VPS merupakan virtual machine. Paket berbasis container (OpenVZ, LXC, Virtuozzo) menggunakan kernel host bersama dan memisahkan pelanggan dengan namespace serta cgroups, bukan virtualisasi perangkat keras. Batasan ini lebih lemah karena bug kernel pada host juga menjadi bug kernel pada server Anda. Anda juga tidak dapat memuat kernel module pada paket tersebut, sehingga beberapa perangkat lunak tidak dapat digunakan. KVM adalah pilihan default yang lebih aman. Tanyakan jenis virtualisasi yang Anda dapatkan sebelum membayar.

Hal yang dapat dilakukan tetangga yang bising terhadap Anda

Berbagi host fisik mengurangi kecepatan Anda, dan hanya itu dampaknya. Guest pada satu mesin berbagi CPU fisik dan disk. Saat CPU sibuk menangani guest lain, CPU virtual Anda harus menunggu. Linux melaporkan waktu tunggu tersebut sebagai steal time: field %st dalam top dan vmstat. Steal time yang berada di atas beberapa persen selama berjam-jam berarti host mengalami oversubscription. Hal ini tidak berarti ada pihak yang membaca data Anda. Solusinya adalah memilih paket atau provider lain. Anda juga dapat mengukur CPU dan disk yang benar-benar Anda dapatkan sebelum mengambil keputusan.

Ada satu dampak lintas pelanggan yang perlu diketahui, dan ini bukan celah keamanan. Jika Anda mengirim email dari VPS, alamat IP Anda berada dalam rentang yang juga digunakan pelanggan lain. Tetangga yang mengirim spam dapat menyebabkan sebagian rentang tersebut tercantum dalam blocklist. Akibatnya, email Anda masuk ke folder spam karena alasan yang bukan Anda sebabkan. Provider yang menindak penyalahgunaan biasanya memiliki rentang IP yang lebih bersih. Tanyakan hal tersebut jika email penting bagi Anda.

Hal yang tidak dapat dilakukan tetangga berbahaya, serta kasus langka ketika mereka bisa

Pelanggan pada host yang sama tidak memiliki jalur ke file Anda. Mereka tidak dapat melihat proses Anda, memasang disk Anda, atau membuka shell pada server Anda karena semua hal tersebut tidak berada di dalam virtual machine mereka. Ada satu pengecualian yang perlu ditegaskan: perlakukan private network milik provider sebagai jaringan yang digunakan bersama orang yang tidak Anda kenal, lalu enkripsi data yang melintasinya. Jangan berasumsi bahwa data tersebut tidak terlihat.

Hypervisor escape memang dapat terjadi. Bug pada lapisan virtualisasi dapat memungkinkan kode di dalam satu guest mengakses host, lalu dari host mengakses setiap guest di dalamnya. Bug semacam ini ditemukan, dipublikasikan dengan identifier CVE (common vulnerabilities and exposures), lalu ditambal. Provider hosting menambalnya dengan cepat karena seluruh bisnis mereka bergantung pada lapisan tersebut. Untuk memanfaatkannya, diperlukan exploit yang berfungsi pada versi hypervisor tertentu. Exploit seperti ini terlalu mahal untuk digunakan terhadap akun hosting kecil.

Side channel lintas guest juga dapat terjadi. Side channel ini termasuk keluarga Spectre dan Meltdown, serta memanfaatkan cache prosesor yang digunakan bersama untuk menyimpulkan sejumlah kecil data dari sisi lain suatu batas. Pembaruan microcode dan kernel mengurangi dampaknya, dan laju kebocoran dalam penelitian yang dipublikasikan sangat kecil. Kasus yang dipublikasikan merupakan demonstrasi penelitian, bukan serangan massal. Risikonya tidak nol. Namun, risikonya jauh di bawah ancaman yang paling mungkin menimbulkan kerugian bagi Anda.

Batas tanggung jawab provider dan Anda

Provider bertanggung jawab atas gedung, perangkat keras host, hypervisor dan kernel host, jaringan fisik, serta control panel yang dapat memulai, menghentikan, membangun ulang, dan membuat snapshot server Anda. Jika salah satu komponen tersebut gagal, provider bertanggung jawab untuk memperbaikinya.

Anda bertanggung jawab atas semua hal mulai dari sistem operasi ke atas. Ini mencakup paket yang Anda instal, port yang tetap terbuka, akun dan key yang dapat digunakan untuk login, update yang Anda terapkan, backup Anda, serta kode aplikasi Anda sendiri. Sebagian besar paket VPS tidak dikelola, sehingga tidak ada pihak yang menerapkan patch untuk server Anda dan tidak ada tiket dukungan yang akan melakukannya. Perbedaan layanan terkelola dan tidak terkelola layak dibaca sebelum Anda membeli, karena perbedaan tersebut menentukan seberapa besar bagian dari daftar itu yang menjadi tanggung jawab Anda.

Satu bagian dari tanggung jawab Anda sering terlupakan: control panel hosting itu sendiri. Siapa pun yang memiliki kredensial login tersebut dapat membangun ulang server Anda atau memasang disk Anda ke sistem pemulihan, tanpa perlu mengetahui password apa pun dari dalam server. Aktifkan autentikasi dua faktor (2FA) pada akun hosting, dan jangan gunakan kembali password tersebut di tempat lain.

Dapatkah penyedia hosting Anda melihat data Anda?

Ya, pada prinsipnya bisa. Ini adalah batasan yang harus dipahami dari penggunaan VPS. Image disk Anda berada pada penyimpanan milik penyedia. Konsol mereka menyediakan akses tingkat layar ke mesin virtual Anda. Mode rescue dapat mem-boot sistem lain dengan disk Anda terpasang. VPS melindungi Anda dari pelanggan lain, tetapi penyedia berada di luar cakupan perlindungan tersebut.

Jika Anda menyimpan data yang harus tetap tidak dapat dibaca oleh host, enkripsi data tersebut di aplikasi sebelum menuliskannya. Enkripsi disk penuh di dalam guest membantu melindungi image yang disalin saat tidak digunakan, tetapi key harus berada di memori selama server berjalan. Karena itu, enkripsi tersebut tidak menghilangkan peran penyedia. Tingkat kepercayaan yang sama berlaku untuk server dedicated yang Anda sewa sendiri, dengan satu lapisan bersama yang lebih sedikit.

Yang benar-benar membobol VPS

Service yang listen pada semua interface. Database, cache, message queue, dan panel admin sering kali bind ke 0.0.0.0 secara default. Artinya, service tersebut listen pada setiap network interface, termasuk interface publik. Pemindaian dari Internet berlangsung terus-menerus dan otomatis. Karena itu, alamat IP baru biasanya menerima probe pertama yang tidak diminta dalam hitungan menit setelah online. Redis tanpa password, node Elasticsearch tanpa autentikasi, Docker API yang terbuka pada port 2375, dan panel admin yang masih menggunakan login default semuanya ditemukan dengan cara ini oleh scanner yang tidak mengetahui siapa Anda. Bind service ke 127.0.0.1 jika hanya mesin lokal yang membutuhkannya. Blokir akses lainnya pada firewall.

Docker melewati firewall Anda. Publishing port container membuat aturan network address translation (NAT) yang dievaluasi sebelum aturan dari ufw (uncomplicated firewall). Akibatnya, container dapat diakses dari Internet meskipun ufw status menyatakan bahwa port tersebut ditolak. Hal ini sering mengejutkan orang yang sudah mengonfigurasi semua bagian lain dengan benar. Alasan port Docker mengabaikan ufw layak dibaca sebelum Anda melakukan publishing port container.

SSH dengan password yang diaktifkan. Baca /var/log/auth.log pada server publik mana pun. Anda akan menemukan baris seperti Failed password for root from 203.0.113.10 port 54312 ssh2 dalam jumlah ribuan, siang dan malam. Bot mencoba berbagai username dan password umum. Login dengan password, ditambah account root yang menerima login, sudah cukup bagi attacker. Gunakan key saja dan nonaktifkan login root. Dengan begitu, trafik tersebut hanya menjadi noise yang dapat Anda abaikan.

Satu private key digunakan di mana-mana. Satu key yang disalin ke setiap laptop dan setiap server berarti satu laptop yang dicuri dapat membuka akses ke semuanya. Selain itu, SSH key tidak kedaluwarsa. Jadi, key yang diberikan kepada kontraktor dua tahun lalu masih dapat digunakan saat ini. Satu key untuk setiap orang dan setiap mesin tidak memerlukan biaya dan membatasi akses yang dapat dicapai dengan satu key yang dicuri.

Package yang tidak pernah diperbarui. CVE yang dipublikasikan untuk web server atau application framework Anda merupakan kumpulan instruksi publik. Scanner mulai mengujinya dalam beberapa hari. Security update adalah pertahanan yang paling murah. Proses ini juga dapat berjalan otomatis: lihat automatic security updates pada Ubuntu.

Secret yang bocor. Password database dan API key disimpan dalam file .env. File tersebut dapat ter-commit ke repository publik atau disajikan oleh web server yang mengarah ke directory yang salah. Apa pun yang ditempelkan ke context AI coding agent juga dapat masuk ke log. Ini merupakan topik tersendiri: menjauhkan secret dari jangkauan agent.

Semua proses berjalan sebagai root. Jika aplikasi Anda berjalan sebagai root, satu bug pada aplikasi tersebut dapat menguasai seluruh mesin. Tidak ada lagi batas di dalam server yang dapat menghentikan penyebarannya.

Bagian yang menjadi tanggung jawab Anda

Tidak satu pun dari tugas berikut merupakan pekerjaan hypervisor. Semuanya berada di sisi Anda, dan sisi inilah yang menentukan apakah VPS Anda aman.

• Lakukan langkah awal dengan benar: sepuluh menit pertama pada VPS baru mencakup pembuatan pengguna non-root dan firewall.
• Amankan akses jarak jauh: hardening SSH pada VPS.
• Tutup port yang tidak digunakan: dasar-dasar firewall ufw.
• Berikan setiap service hanya akses yang diperlukan: pengguna dengan hak akses minimum pada VPS.
• Perlambat login brute force: fail2ban pada Ubuntu 24.04.
• Simpan backup yang sudah Anda pulihkan setidaknya satu kali: backup restic untuk VPS.

Bagian provider sudah selesai saat server Anda melakukan boot. Bagian Anda memerlukan sekitar satu jam pada hari pertama dan beberapa menit setiap bulan setelah itu. Jika Anda masih membandingkan pilihan, apa sebenarnya VPS itu menjelaskan dasar yang mendasari semua hal ini.

FAQ

Apakah pelanggan lain pada server fisik yang sama dapat membaca file saya?

Tidak, pada VPS KVM. Server Anda adalah mesin virtual dengan kernel dan disk virtual sendiri, serta wilayah memori fisik yang dialokasikan host untuknya. Prosesor memblokir akses ke luar wilayah tersebut. Tidak ada filesystem bersama antar-guest, sehingga permission file di server milik tetangga tidak berlaku di server Anda. Paket berbasis container seperti OpenVZ dan LXC menggunakan kernel host secara bersama dan memberikan batas isolasi yang lebih lemah. Karena itu, periksa jenis layanan yang Anda beli.

Apakah VPS lebih aman daripada shared hosting?

Untuk isolasi, ya. Pada shared hosting, banyak situs berjalan dalam satu sistem operasi dan satu-satunya batas adalah permission file. Kesalahan pada akun lain terkadang dapat mengekspos file. Pada VPS, batasnya adalah mesin virtual. Konsekuensinya, patch pada shared hosting dikelola oleh host, sedangkan patch pada VPS unmanaged harus Anda kelola sendiri. VPS hanya lebih aman jika Anda benar-benar menerapkan pembaruan dan menutup port.

Apakah penyedia hosting dapat membaca data saya?

Pada prinsipnya, ya. Tidak ada produk VPS yang mengubah hal tersebut. Image disk disimpan pada hardware milik penyedia. Console memberikan akses tingkat layar ke mesin yang sedang berjalan. Rescue mode dapat mem-boot sistem lain dengan disk Anda terpasang. Jika data tertentu harus tetap tidak dapat dibaca oleh host, enkripsi data tersebut di dalam aplikasi sebelum menulisnya. Enkripsi disk di dalam guest tetap menyimpan key di memori selama server berjalan. Karena itu, enkripsi tersebut tidak menghapus penyedia dari aspek kepercayaan.

Apa cara paling umum VPS dapat mengalami breach?

Service yang terekspos atau login SSH yang lemah, dengan selisih yang jauh. Scanner otomatis terus memeriksa setiap alamat IP publik. Karena itu, database yang terikat ke 0.0.0.0 tanpa password, atau panel admin yang masih menggunakan kredensial default, dapat ditemukan dalam hitungan menit, bukan bulan. /var/log/auth.log pada server publik mana pun menunjukkan sisi SSH: baris Failed password for root berulang dari alamat di seluruh dunia. Hypervisor escape memang ada, tetapi merupakan teknik tingkat riset yang ditujukan untuk target bernilai tinggi, bukan penyebab breach biasa.