Privacy-by-design: что наш edge не пишет на диск и почему это сложнее, чем кажется
cyberscoper 13 минут назад Privacy-by-design: что наш edge не пишет на диск и почему это сложнее, чем кажется Средний 8 мин 598 DNS * IT-инфраструктура * Криптография * Информационная безопасность * Мнение Привет,...
В сфере искусственного интеллекта произошло заметное событие. cyberscoper 13 минут назад Privacy-by-design: что наш edge не пишет на диск и почему это сложнее, чем кажется Средний 8 мин 598 DNS * IT-инфраструктура * Криптография * Информационная безопасность * Мнение Привет, Хабр! Я пилю VantageDNS — рекурсивный DNS-резолвер с фильтрацией. NextDNS-clone, если коротко: юзер настраивает роутер на наш DoH endpoint, а мы рекурсивно резолвим и заодно режем рекламу, трекеры и malware.
Privacy-фокус для такого продукта это не маркетинговая фича, а архитектурное ограничение, которое надо тащить с первого дня. Privacy policy без архитектурных гарантий — это обещание не лезть в твою тумбочку, ключи от которой ты сам отдал. В этой статье конкретика: что edge-нода не пишет на диск, как устроен кольцевой буфер для query log, что делать с crash dumps, и как юзер может проверить, что мы не врём, через strace.
Технические детали
Что вообще можно слить в DNS-провайдереЕсли очень захотеть, то много чего. Перед тем как объяснять, что мы режем, перечислю, какие места обычно текут:Query log на самой edge-ноде. Файл с qname, timestamp, client IP.
Самый очевидный артефакт. config_id ↔ email mapping в той же базе, что и query log. Если они в одном Postgres и кто-то получил dump, то privacy всё.
HTTP access log перед DoH endpoint. Если перед твоим DNS стоит nginx или caddy с access_log on, у тебя на диске IP юзера и path с config_id. Процесс упал, Linux, если ему позволить, аккуратно сложит heap в файл рядом.
Отраслевые последствия
В heap живут активные DNS-сессии. Backups, snapshots, log aggregators. Datadog, Sentry, Grafana Loki.
Любой из них может незаметно засосать лишнего. TCP fingerprints, JA3, ALPN дампы. На anycast-резолверах при дебаге это иногда включают и забывают выключить.
Каждое из этого потенциальный leak. Privacy-by-design это когда ты по очереди обходишь весь список и для каждой строки отвечаешь: а у меня этого вообще нет на диске, или это лежит в EU-юрисдикции с TTL и шифрованием at rest, или я честно говорю в transparency report «лежит, доступ у меня одного, retention такой-то». Есть провайдеры, которые на лендинге пишут «privacy-focused», а в transparency-разделе «мы можем хранить логи до 30 дней для биллинга» и «у нас офис в Калифорнии».
Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.
