Privacy-by-design: что наш edge не пишет на диск и почему это сложнее, чем кажется

В сфере искусственного интеллекта произошло заметное событие. cyberscoper 13 минут назад Privacy-by-design: что наш edge не пишет на диск и почему это сложнее, чем кажется Средний 8 мин 598 DNS * IT-инфраструктура * Криптография * Информационная безопасность * Мнение Привет, Хабр! Я пилю VantageDNS — рекурсивный DNS-резолвер с фильтрацией. NextDNS-clone, если коротко: юзер настраивает роутер на наш DoH endpoint, а мы рекурсивно резолвим и заодно режем рекламу, трекеры и malware.

Privacy-фокус для такого продукта это не маркетинговая фича, а архитектурное ограничение, которое надо тащить с первого дня. Privacy policy без архитектурных гарантий — это обещание не лезть в твою тумбочку, ключи от которой ты сам отдал. В этой статье конкретика: что edge-нода не пишет на диск, как устроен кольцевой буфер для query log, что делать с crash dumps, и как юзер может проверить, что мы не врём, через strace.

Технические детали

Что вообще можно слить в DNS-провайдереЕсли очень захотеть, то много чего. Перед тем как объяснять, что мы режем, перечислю, какие места обычно текут:Query log на самой edge-ноде. Файл с qname, timestamp, client IP.

Самый очевидный артефакт. config_id ↔ email mapping в той же базе, что и query log. Если они в одном Postgres и кто-то получил dump, то privacy всё.

HTTP access log перед DoH endpoint. Если перед твоим DNS стоит nginx или caddy с access_log on, у тебя на диске IP юзера и path с config_id. Процесс упал, Linux, если ему позволить, аккуратно сложит heap в файл рядом.

Отраслевые последствия

В heap живут активные DNS-сессии. Backups, snapshots, log aggregators. Datadog, Sentry, Grafana Loki.

Любой из них может незаметно засосать лишнего. TCP fingerprints, JA3, ALPN дампы. На anycast-резолверах при дебаге это иногда включают и забывают выключить.

Каждое из этого потенциальный leak. Privacy-by-design это когда ты по очереди обходишь весь список и для каждой строки отвечаешь: а у меня этого вообще нет на диске, или это лежит в EU-юрисдикции с TTL и шифрованием at rest, или я честно говорю в transparency report «лежит, доступ у меня одного, retention такой-то». Есть провайдеры, которые на лендинге пишут «privacy-focused», а в transparency-разделе «мы можем хранить логи до 30 дней для биллинга» и «у нас офис в Калифорнии».

Этот прогресс даёт важные сигналы о будущем отрасли, и технологический мир внимательно наблюдает.