Privacy e niente KYC

L'hosting senza KYC è un servizio di hosting che non richiede verifica dell'identità. Niente passaporto, niente documento d'identità, niente indirizzo di fatturazione e niente carta di pagamento. Un indirizzo email che controlli e un pagamento in criptovaluta sono l'intera registrazione. Il provider quindi non possiede alcuna informazione di identità che potrebbe essere violata, venduta o richiesta.

Sì. Non esiste un requisito legale generale per identificare i clienti di server nelle giurisdizioni in cui opera OnionVPS. Gli obblighi di identificazione anti-riciclaggio vincolano banche, istituti di pagamento e alcuni intermediari regolamentati — non i fornitori di servizi di calcolo. Scegliere di non raccogliere documenti d'identità è una decisione aziendale legittima, non una scappatoia.

Usa un provider che non richiede verifica dell'identità, registrati da una rete che non sia la tua connessione domestica, usa un alias email creato per lo scopo e paga in Monero. Questi quattro passaggi eliminano i punti di correlazione che normalmente collegano un server a una persona: documenti d'identità, IP sorgente, riutilizzo email e traccia di pagamento.

La maggior parte dei provider raccoglie nome, indirizzo di fatturazione, carta di pagamento, numero di telefono, documento d'identità, indirizzo IP di registrazione e registri completi di accesso e connessione. OnionVPS raccoglie un indirizzo email, un riferimento di pagamento dal processore e lo stato tecnico necessario per eseguire la tua istanza. Niente nome, niente indirizzo, niente documento, niente carta, niente registri di connessione.

La maggior parte lo fa. I registri netflow, i registri di connessione e i registri di accesso al pannello sono standard, conservati da 30 a 365 giorni, e nell'UE e nel Regno Unito una certa conservazione è obbligatoria per legge. OnionVPS opera in giurisdizioni senza tale obbligo e non genera affatto registri netflow o di connessione, quindi non c'è nulla da conservare o divulgare.

Dipende interamente dai collegamenti che crei tu, non dall'hosting stesso. Un server senza KYC pagato in Monero e amministrato via Tor non ha alcun collegamento lato provider con te. Un server pagato con una carta, o a cui si accede dal tuo IP di casa, o che esegue un account a tuo nome, è banalmente riconducibile a te indipendentemente dal provider.

L'hosting offshore significa posizionare un server in una giurisdizione diversa dalla propria — di solito una al di fuori delle alleanze di intelligence dei Quattordici Occhi e al di fuori delle norme UE sulla conservazione dei dati. Lo scopo è legale, non tecnico: ottenere dati da quel server richiede di passare attraverso i trattati di mutua assistenza giudiziaria piuttosto che emettere un ordine domestico.

Non esiste un unico paese migliore: dipende dalla minaccia che stai affrontando. Per protezione legale con latenza europea, Svizzera o Islanda. Per statuto applicabile minimo e latenza americana, Panama. Per massima separazione societaria, Seychelles. Per peering UE senza giurisdizione Fourteen Eyes, Bulgaria, Romania o Moldavia.

Five Eyes: Stati Uniti, Regno Unito, Canada, Australia e Nuova Zelanda. Nine Eyes aggiunge Danimarca, Francia, Paesi Bassi e Norvegia. Fourteen Eyes aggiunge Belgio, Germania, Italia, Spagna e Svezia. Queste alleanze condividono intelligence sui segnali, motivo per cui l'hosting orientato alla privacy tende a evitarle tutte e quattordici.

Panama, Seychelles, Belize, Costa Rica, Curaçao, Moldavia e Georgia non impongono alcun obbligo generale di conservazione dei dati ai provider di hosting. Gli obblighi della Svizzera sono ristretti e orientati alle telecomunicazioni. La Romania ha annullato due volte la sua legge sulla conservazione per motivi costituzionali, e la direttiva originale dell'UE sulla conservazione dei dati è stata invalidata dalla Corte di Giustizia nel 2014.

Un warrant canary è una dichiarazione aggiornata regolarmente che un provider non ha ricevuto una richiesta legale segreta. Se la dichiarazione smette di essere aggiornata, il lettore deduce che è stata ricevuta. Funziona perché molte giurisdizioni possono imporre il silenzio ma non possono obbligare a fare una dichiarazione falsa, anche se il meccanismo è non testato nella maggior parte dei tribunali.

Contro il sequestro fisico di un disco spento, decisamente sì: il volume è testo cifrato senza la tua passphrase. Contro un attaccante con accesso all'hypervisor in esecuzione, no — la chiave è in memoria che l'host può leggere. Qualsiasi provider che afferma il contrario sta sopravvalutando, e la distinzione è il punto fondamentale.

Tecnicamente sì: qualsiasi provider con accesso all'hypervisor può leggere un disco guest non crittografato e la sua memoria. Questo è vero per ogni piattaforma di virtualizzazione. Ciò che varia è se lo fanno, se la politica lo vieta e se la crittografia dell'intero disco con chiave gestita da te rende i dati memorizzati illeggibili quando l'istanza è spenta.

Combina quattro cose: un host senza KYC pagato in Monero, un dominio registrato con protezione della privacy o un registrar anonimo, un CDN o reverse proxy così che l'IP di origine non sia mai pubblico, e l'amministrazione solo tramite Tor o una VPN. Rimuovere uno di questi di solito annulla gli altri tre.

Utilizza un registrar che accetti criptovalute e offra la privacy WHOIS, e scegli un TLD il cui registro non imponga la pubblicazione dei dati del registrante. Dato che con il GDPR la maggior parte dei record WHOIS è già oscurata, il registrar detiene comunque i dati sottostanti — quindi pagare in crypto conta più dell'aggiunta della privacy.

L'hosting bulletproof è un provider che afferma di ignorare tutti i reclami per abuso e le forze dell'ordine, inclusi quelli per attività criminali. OnionVPS non lo è. Non deteniamo dati di identità e non agiamo su reclami speculativi — ma non ospitiamo malware command-and-control, phishing o materiale di abuso sessuale minorile, e rispondiamo a procedimenti legali validi.

Aiuta per una cosa specifica: impedisce al tuo indirizzo IP di casa di comparire nei log di autenticazione del server e in eventuali registri lato provider. Non fa nulla per ciò che il server stesso fa, per ciò che invia o per come è stato pagato. Utile come uno strato, inutile come unico.