Vous louez un VPS, installez vos logiciels et obtenez les droits d’administrateur. Naturellement, vous l’appelez « mon serveur ». La facture est d’accord avec vous. L’ordinateur physique, lui, appartient toujours à quelqu’un d’autre. Un petit détail qui en dit bien plus sur votre vie privée que le mot « privé » dans la brochure.
Un serveur privé virtuel est un ordinateur créé par logiciel, qui fonctionne sur une machine contrôlée par l’hébergeur. Vous gérez ce qui se passe dans l’environnement que vous louez. L’hébergeur gère tout ce qui permet à cet environnement d’exister. Ce sont deux niveaux de contrôle différents.
Vous avez l’accès root. Il a la machine.
Root est le compte administrateur de votre serveur. Il permet d’installer des programmes, de gérer les utilisateurs et de modifier les réglages. Il ne vous donne pas le contrôle de la machine physique de l’hébergeur. Vous avez les clés de l’appartement. Vous n’avez pas acheté l’immeuble.
Sur une infrastructure VPS classique, une personne disposant d’un accès suffisant à la machine hôte peut copier le disque virtuel et examiner son contenu non chiffré sans se connecter à votre serveur. Votre mot de passe n’entre pas en jeu. Elle accède aux données depuis l’extérieur du système chargé de le vérifier.
Il s’agit de fonctions d’administration tout à fait ordinaires. Libguestfs, par exemple, fournit des outils pour examiner et modifier les images disque des machines virtuelles. Ils sont utiles pour la maintenance légitime. Ils illustrent aussi le point gênant : accéder au stockage sous-jacent n’a rien à voir avec utiliser l’identifiant de connexion que vous contrôlez.
« Nous n’irions pas regarder » : voilà qui repose sur la confiance
Un hébergeur peut avoir des règles strictes, limiter l’accès de ses employés et exercer un contrôle sérieux. Tout cela compte. Mais « nos employés n’ont pas le droit de lire vos fichiers » et « nos systèmes les empêchent de les lire » sont deux promesses différentes. Une politique de confidentialité rassurante ne suffit pas à empêcher la lecture d’un disque.
Le risque ne se limite pas à un employé curieux. Quelqu’un qui compromet les systèmes de gestion de l’hébergeur peut obtenir des pouvoirs que vous ne lui avez jamais accordés. Vous pouvez sécuriser tous les comptes de votre VPS et dépendre encore de la sécurité de comptes situés à l’extérieur.
Pas besoin de complot. Vous faites confiance aux personnes, aux procédures et à l’infrastructure de l’hébergeur. Très bien, si c’est le contrat que vous aviez en tête. Un peu moins satisfaisant si vous pensiez que « privé » voulait dire que personne d’autre ne pouvait regarder.
Votre serrure. Son double des clés.
Imaginez que vous louez un box dans un entrepôt. La porte est solide, la serrure aussi. Vous rangez vos cartons, fermez à clé et repartez avec le sentiment d’avoir tout sous contrôle. Le responsable de l’entrepôt a toutefois un double des clés. Quand vous lui posez la question, il explique que le règlement de l’entreprise lui interdit d’entrer sans votre autorisation.
Comme c’est rassurant. Vous demandiez qui pouvait ouvrir la porte. Il vous explique qui n’en a pas le droit.
Le responsable peut être parfaitement digne de confiance. Cela ne fait pas disparaître le double. Vous avez quand même besoin de savoir qui peut s’en servir, ce qui l’empêche de tomber entre de mauvaises mains et si vous seriez informé de son utilisation. « Faites-nous confiance » est une demande. Ça ne ferme aucune porte.
Le site fonctionne très bien. Quelqu’un lit peut-être la copie.
Copier des informations ne fait pas disparaître les originaux. Les logiciels de virtualisation peuvent créer un instantané du disque d’un serveur en cours d’exécution ; libvirt le documente comme une fonction standard. Cette copie peut ensuite être examinée à part. Un site qui fonctionne et un indicateur de disponibilité au vert ne vous disent pas qui a vu les données.
Il peut s’agir d’échanges avec des clients, de factures, de code source, de travaux non publiés ou d’une base de données. Ou encore des identifiants d’un robot de trading. Le problème dépasse la crypto et l’endroit où vous rangez un mot de passe : quelqu’un d’autre peut avoir accès à l’environnement dans lequel vous travaillez.
Excellente disponibilité. Pour la confidentialité, c’est une autre conversation.
Qu’est-ce qui empêche vraiment l’hébergeur de regarder ?
Voilà la question à poser avant de considérer un VPS comme votre propre machine privée. L’accès dépend-il du respect d’une règle par un employé, ou existe-t-il une barrière technique que l’hébergeur ne peut pas simplement contourner ? Et qui contrôle cette barrière ?
Certaines architectures visent à réduire la confiance nécessaire envers l’hôte. Les machines virtuelles confidentielles, par exemple, utilisent des protections matérielles pour isoler les traitements de la couche d’hébergement. Leur protection dépend de la configuration, notamment de la gestion des disques et des clés de chiffrement. Le sigle VPS ne garantit rien de tout cela.
Louer de la puissance de calcul est utile. L’erreur consiste à croire que les droits d’administrateur donnent le contrôle exclusif de l’ordinateur de quelqu’un d’autre. L’hébergeur garde la maîtrise de la machine. Savoir s’il peut regarder à l’intérieur mérite une réponse, pas un acte de foi.