Насколько безопасен VPS-хостинг и что вы контролируете

Безопасен ли VPS-хостинг? Краткий ответ

Да. VPS-хостинг безопасен для задач, под которые его обычно приобретают, и это реальный шаг вперед по сравнению с виртуальным хостингом. KVM VPS (виртуальный выделенный сервер) представляет собой виртуальную машину с собственным ядром, памятью, диском и учетными записями пользователей, а гипервизор изолирует эти ресурсы от других клиентов. Арендатор соседнего сервера на той же физической машине не может прочитать ваши файлы, просмотреть список процессов, войти в вашу систему или перехватить ваш сетевой трафик. Тарифы на основе контейнеров обеспечивают более слабую изоляцию, что описано ниже.

Честный ответ состоит из двух частей. Провайдер владеет оборудованием и гипервизором. Вы владеете всем, что находится внутри виртуальной машины, и именно здесь начинается почти каждый реальный инцидент. Взлом серверов происходит через открытый порт, слабый пароль SSH, необновленный пакет или секретные данные в файле, который был опубликован. Взлом через гипервизор случается крайне редко.

Что на самом деле изолирует гипервизор

Гипервизор — это программное обеспечение, которое запускает виртуальные машины на одном физическом хосте. На KVM VPS (KVM означает kernel based virtual machine, стандарт для Linux-хостов) ваш сервер является полноценной виртуальной машиной. Он загружает собственное ядро. Хост выделяет ему фиксированную область физической памяти, а модуль управления памятью процессора блокирует любой доступ за пределы этой области, поэтому код, выполняющийся в другом гостевом окружении, не может обратиться к вашей оперативной памяти. Общая файловая система и общая таблица пользователей отсутствуют, поэтому права доступа к файлам на соседнем сервере никак не влияют на ваш.

Виртуальный хостинг работает иначе. Множество сайтов функционируют внутри одной операционной системы, под управлением одного веб-сервера и одной инсталляции PHP, как обычные учетные записи пользователей. Единственным барьером являются права доступа к файлам. Ошибка в правах или уязвимый плагин, запущенный от имени пользователя с избыточными полномочиями, могут привести к доступу к файлам другой учетной записи. Это тот разрыв, который устраняет переход с виртуального хостинга на VPS.

Проверяйте, что именно вы покупаете, так как не каждый тариф, продаваемый как VPS, является виртуальной машиной. Контейнерные решения (OpenVZ, LXC, Virtuozzo) используют общее ядро хоста и изолируют клиентов с помощью namespaces и cgroups вместо аппаратной виртуализации. Это более слабая граница, так как ошибка в ядре хоста становится ошибкой в ядре вашего сервера. Кроме того, на таких тарифах нельзя загружать модули ядра, что исключает использование некоторого программного обеспечения. KVM — более безопасный выбор по умолчанию. Уточняйте тип виртуализации перед оплатой.

Что может сделать «шумный сосед»

Совместное использование физического хоста влияет на производительность, и это единственный ресурс, который вы теряете. Гостевые системы на одной машине делят физический процессор и диски. Когда процессор занят другим клиентом, ваш виртуальный процессор простаивает, и Linux фиксирует это время как steal time: поле %st в утилитах top и vmstat. Если показатель steal time превышает несколько процентов в течение нескольких часов, это означает, что хост перегружен. Это не означает, что кто-то читает ваши данные. Решение заключается в смене тарифного плана или провайдера, при этом вы можете измерить реальную производительность процессора и диска, прежде чем принимать решение.

Стоит учитывать один побочный эффект от других клиентов, который не является уязвимостью безопасности. Если вы отправляете электронную почту со своего VPS, ваш IP-адрес находится в диапазоне, который используют и другие клиенты. Сосед, рассылающий спам, может привести к попаданию части этого диапазона в черные списки, из-за чего ваши письма будут попадать в папку «Спам» по причинам, от вас не зависящим. Провайдеры, которые следят за злоупотреблениями, поддерживают чистоту своих диапазонов. Уточните этот момент, если для вас важна работа с электронной почтой.

Что не может сделать «сосед» по серверу и редкие исключения

Клиент, использующий тот же физический сервер, не имеет доступа к вашим файлам. Он не может видеть ваши процессы, монтировать ваш диск или открыть shell на вашем сервере, так как ничего из этого не существует внутри его виртуальной машины. Стоит упомянуть одно исключение: рассматривайте любую частную сеть провайдера как сеть, которую вы делите с посторонними, и шифруйте передаваемые данные, вместо того чтобы полагаться на их невидимость.

Побег из гипервизора (hypervisor escape) возможен. Ошибка в уровне виртуализации может позволить коду внутри одной гостевой системы получить доступ к хосту, а с хоста — к любой другой гостевой системе. Такие ошибки обнаруживаются, публикуются с идентификатором CVE (common vulnerabilities and exposures) и исправляются. Хостинг-провайдеры оперативно устанавливают патчи, так как на этом уровне держится весь их бизнес. Для реализации такой атаки требуется рабочий эксплойт под конкретную версию гипервизора, что является слишком дорогим ресурсом для атаки на небольшую учётную запись хостинга.

Атаки по сторонним каналам между гостевыми системами также существуют. К ним относятся уязвимости семейств Spectre и Meltdown, которые используют общие процессорные кэши для извлечения небольших объёмов данных через границы изоляции. Обновления микрокода и ядра минимизируют эти риски, а скорость утечки данных в опубликованных исследованиях крайне мала. Описанные случаи являются скорее демонстрацией в рамках научных исследований, чем массовыми атаками. Риск не равен нулю, но он находится далеко не в начале списка угроз, которые могут вам навредить.

Где заканчивается зона ответственности провайдера и начинается ваша

Провайдер отвечает за здание, аппаратное обеспечение хоста, гипервизор и ядро хоста, физическую сеть, а также за панель управления, которая позволяет запускать, останавливать, переустанавливать сервер и создавать его снимки. Если что-то из этого выходит из строя, обязанность по устранению неисправности лежит на провайдере.

Вы отвечаете за всё, что находится выше уровня операционной системы. Это включает устанавливаемые пакеты, открытые порты, учетные записи и ключи для входа, применяемые обновления, резервные копии и код ваших приложений. Большинство тарифов VPS являются неуправляемыми: это означает, что никто не будет устанавливать патчи на ваш сервер, и тикет в службу поддержки не решит эту задачу. Стоит ознакомиться с разделом Разделение на управляемые и неуправляемые услуги перед покупкой, так как это определяет объем задач, которые ложатся на вас.

Одну часть вашей зоны ответственности легко упустить из виду: саму панель управления хостингом. Тот, у кого есть доступ к этой учетной записи, может переустановить ваш сервер или подключить диск к системе восстановления, не зная пароля от самой операционной системы. Включите двухфакторную аутентификацию (2FA) для учетной записи хостинга и не используйте этот пароль нигде больше.

Может ли ваш хостинг-провайдер видеть ваши данные?

Да, в принципе может, и это честный предел того, что дает вам VPS. Ваш образ диска находится на системе хранения провайдера. Их консоль предоставляет доступ к виртуальной машине на уровне экрана. Режим восстановления (rescue mode) позволяет загрузить другую систему с подключенным вашим диском. VPS защищает вас от других клиентов, но провайдер остается вне этой гарантии.

Если вы храните данные, которые должны оставаться нечитаемыми для хоста, шифруйте их в приложении до записи. Полное шифрование диска внутри гостевой системы помогает против копирования образа в состоянии покоя, но ключ должен находиться в оперативной памяти во время работы сервера, поэтому это не исключает провайдера из процесса. Тот же уровень доверия применим к выделенному серверу, который вы арендуете единолично, с той лишь разницей, что в нем на один общий слой меньше.

Что на самом деле приводит к взлому VPS

Сервис, слушающий все интерфейсы. Базы данных, кэши, очереди сообщений и панели администратора часто по умолчанию привязываются к 0.0.0.0. Это означает, что они доступны на всех сетевых интерфейсах, включая публичный. Сканирование IPv4 в интернете происходит постоянно и автоматизировано, поэтому новый IPv4-адрес получает первые нежелательные запросы через несколько минут после выхода в сеть. Пространство IPv6 слишком велико для полного перебора, но IPv6-адрес всё равно обнаруживается через DNS-записи и другие утечки, поэтому не считайте его скрытым. Redis без пароля, неавторизованный узел Elasticsearch, открытый Docker API на порту 2375 и панель администратора с дефолтным логином — всё это обнаруживается сканерами, которые даже не знают, кто вы. Привязывайте сервис к 127.0.0.1, если он нужен только локально, и блокируйте остальное на уровне межсетевого экрана.

Docker в обход межсетевого экрана. Публикация порта контейнера создает правила трансляции сетевых адресов (NAT), которые обрабатываются до правил ufw (uncomplicated firewall). В результате контейнер может быть доступен из интернета, даже если ufw status сообщает, что порт закрыт. На этом попадаются те, кто всё остальное сделал правильно. Статью Почему порт Docker игнорирует ufw стоит прочитать до того, как вы опубликуете порт контейнера.

SSH с включенным входом по паролю. Изучите SSH-лог на любом сервере с публичным IPv4-адресом (/var/log/auth.log в Ubuntu, /var/log/secure в Rocky Linux и других системах семейства RHEL, или journalctl -u ssh и journalctl -u sshd, если лог-файл не ведется), и вы найдете тысячи строк вида Failed password for root from 203.0.113.10 port 54312 ssh2, которые появляются днем и ночью. Боты перебирают распространенные имена пользователей и пароли. Вход по паролю плюс разрешенный вход для root — это всё, что нужно злоумышленнику. Использование только ключей при отключенном входе для root превращает этот трафик в шум, который можно игнорировать.

Один приватный ключ везде. Один ключ, скопированный на каждый ноутбук и сервер, означает, что кража одного ноутбука открывает доступ ко всему. SSH-ключи не имеют срока действия, поэтому ключ, переданный подрядчику два года назад, работает до сих пор. Один ключ на человека и на машину — это бесплатно и ограничивает ущерб от кражи одного ключа.

Необновленные пакеты. Опубликованный CVE для вашего веб-сервера или фреймворка приложения — это готовая инструкция, и сканеры начинают проверку на уязвимость в течение нескольких дней. Обновления безопасности — самая дешевая защита, и они могут работать автоматически: см. автоматические обновления безопасности в Ubuntu.

Утечка секретов. Пароли от баз данных и API-ключи хранятся в файлах .env, которые попадают в публичные репозитории или отдаются веб-сервером, если он настроен на неверную директорию. Любая информация, вставленная в контекст AI-помощника для программирования, также может оказаться в логах, что является отдельной темой: как не допустить попадания секретов в доступ агента.

Запуск всего от имени root. Когда приложение работает от имени root, одна ошибка в нем дает контроль над всей машиной, так как внутри сервера не остается границ, способных остановить распространение атаки.

Ваша часть работы

Ни один из перечисленных ниже пунктов не относится к работе гипервизора. Всё это находится в зоне вашей ответственности, и именно от этого зависит безопасность вашего VPS.

• Правильно выполните первоначальную настройку: первые десять минут на новом VPS охватывают создание пользователя без прав root и настройку межсетевого экрана.
• Ограничьте удаленный доступ: укрепление SSH на VPS.
• Закройте порты, которые вы не используете: основы работы с ufw.
• Предоставляйте каждому сервису только те права, которые ему необходимы: принцип наименьших привилегий для пользователей на VPS.
• Замедлите попытки подбора паролей: fail2ban в Ubuntu 24.04.
• Создавайте резервные копии и восстанавливайте их хотя бы один раз: резервное копирование с помощью restic на VPS.

Часть работы провайдера выполнена к моменту загрузки вашего сервера. Ваша часть занимает около часа в первый день и несколько минут в месяц в дальнейшем. Если вы всё ещё сравниваете варианты, что такое VPS на самом деле поможет разобраться в основах.

FAQ

Может ли другой клиент на том же физическом сервере прочитать мои файлы?

Нет, если речь идет о KVM VPS. Ваш сервер представляет собой виртуальную машину с собственным ядром и виртуальным диском, а также выделенной областью физической оперативной памяти; процессор блокирует любой доступ за пределами этой области. Общая файловая система между гостевыми машинами отсутствует, поэтому права доступа к файлам на сервере соседа не имеют значения для вашей системы. Контейнерные решения, такие как OpenVZ и LXC, используют общее ядро хоста и обеспечивают более слабый уровень изоляции, поэтому уточняйте тип приобретаемого продукта.

Безопаснее ли VPS, чем виртуальный хостинг?

С точки зрения изоляции — да. На виртуальном хостинге множество сайтов работают в рамках одной операционной системы, и единственным барьером являются права доступа к файлам, поэтому ошибка в другой учетной записи иногда может привести к раскрытию ваших данных. На VPS границей является виртуальная машина. Обратная сторона заключается в том, что на виртуальном хостинге обновления устанавливает провайдер, тогда как на неуправляемом VPS это ваша задача. VPS безопаснее только в том случае, если вы действительно устанавливаете обновления и закрываете лишние порты.

Может ли мой хостинг-провайдер прочитать мои данные?

В принципе — да, и ни один продукт VPS этого не меняет. Образ диска хранится на оборудовании провайдера, консоль предоставляет доступ к экрану работающей машины, а режим восстановления позволяет загрузить другую систему с подключенным вашим диском. Если какие-то данные должны оставаться недоступными для хоста, шифруйте их на уровне приложения перед записью. Шифрование диска внутри гостевой системы все равно оставляет ключ в оперативной памяти во время работы сервера, поэтому оно не исключает провайдера из модели доверия.

Каков самый распространенный способ взлома VPS?

С большим отрывом это уязвимый сервис или слабые учетные данные для SSH. Автоматизированные сканеры непрерывно проверяют каждый публичный IPv4-адрес, поэтому база данных, привязанная к 0.0.0.0 без пароля, или панель администратора с учетными данными по умолчанию будут обнаружены за минуты, а не месяцы. Лог SSH на любом сервере с публичным IPv4-адресом (/var/log/auth.log в Ubuntu, /var/log/secure в Rocky Linux) демонстрирует одну сторону проблемы: повторяющиеся строки Failed password for root с адресов по всему миру. Уязвимости типа hypervisor escape существуют, но это уровень исследовательских работ, направленных на высокоценные цели, а не причина обычных взломов.