对一些vps提供商安全问题的疑问

[tomandjerry27]

写本篇文章是为了做一些理论上的探讨。
首先，我抛出自己的观点，一些vps服务提供商（后文简称vps提供商）习惯性地使用邮箱验证，而邮箱验证是完全不够安全的。

---

翻墙悖论

这里先讲翻墙悖论，是为了说明为何我们会选择使用不安全的邮箱服务商。
若我们想要开始翻墙，就需要先从网络上获取翻墙的工具和翻墙的参数。比如我们去github上下载了v2ray软件，然后去vultr上购买服务器。
如果github和vultr被封锁了呢？我们这会儿还没有翻墙的能力，如果github和vultr被封锁了，那么我们连建立翻墙线路都做不到。
这样的情况不止有可能会发生在我们想要开始翻墙时。如果我们已有的翻墙线路被封锁掉了，在我们想要重建线路时，这种糟糕的情况也有可能发生。
我称这个状况为翻墙悖论。我画了个简单的示意图来说明这一困境：

↓ 想要翻墙
↓ 需要获取翻墙的工具和参数  <--------------
↓ 获取翻墙工具和参数的网站被墙了     ↑
↓ 需要翻墙      ------------------------->

所谓翻墙悖论，并非我一时兴起在此信口雌黄。事实上，现实里有少数机场的网站就是长期处在被封锁的状态的。如果张三去这类机场购买线路，他往往会被圈子里的人打趣道：“你手头明明已经有可用的机场了，为什么要去买第二个？”还有的人可能这么对张三说：“将来你充的钱用完了，线路被机场断了，你要怎么去交钱续费呢？”

---

存在的安全问题

翻墙悖论的阴霾随时都有可能降临到我们头上。为了避免在将来受到翻墙悖论的折磨，我们会更倾向使用国内的邮箱服务商（如QQ邮箱、网易邮箱）来注册vps提供商网站的账号。而不会去使用如Gmail这种需要翻墙才能收发信息的邮箱。
有的vps提供商不仅仅要求用户使用邮箱当作账号的用户名，还每次都把用户的账单（发送账单常见于月付/季付/年付的模式中）发送到用户的邮箱。
那么安全问题存在于何处呢？
我们知道，国内的互联网企业留有给条子准备的后门。条子可以通过vps提供商发送来的账单邮件锁定你所使用的vps提供商。然后在账号用户名一栏填入你的邮箱，点击忘记密码，重置密码的验证码就被发送到了邮箱。条子用验证码重置你的密码就可以进入你的vps页面了。
在你的vps页面中，有你的服务器ip地址，ssh信息，root密码（Linux内核）。条子用这些信息就可以完全掌握你服务器上的数据，也就掌握了你翻墙的确凿证据。
而你会察觉吗？很难，当你有一天无法登录vps提供商的网站时，你或许真的以为是自己记错了密码呢。更遑论神秘人可以把那个验证码邮件移入垃圾邮件/已读邮件 分类，或者干脆删掉，那样你就没有可能察觉了。
 
不论我们使用多么安全的翻墙技术，由于木桶效应（水总从木桶最短的木板处溢出），不安全的邮箱验证会成为条子最好的突破口。

---

我所设想的一些改进

先说我们自己能做到的事，请自己用工具（不应该使用你的vps提供商网站上的key生成工具）生成公钥和私钥，将你的服务器ssh登录方式更改为公钥认证，然后禁用ssh密码登录。
如此一来，即便条子侵入了你的vps账户页面，他也只能清空你的服务器内容，而不能窃取你的服务器数据。
当然，即便是服务器被人清空，也足够让人难受了。我们大抵也是不想这种情况发生的。我认为，既然vps提供商为他的用户们选择了用邮件做用户名，那他便无处推卸地应该为用户的安全负责。
我想vps提供商可以采用一些手段来保证他用户们账户的安全：
1 要求用户在创建账户时设置一对验证问题和答案，在重置密码时，不止依靠邮箱验证，用户还必须答对验证问题才能成功重置密码。
2 如果非要向用户发送账单，请使用匿名发送人和加密邮件，用户得用自己手中的密码（非对称加密会更好）解密邮件才能看到邮件内容。这样条子便无从知晓用户在哪些vps提供商网站注册过账号，针对账户的攻击也就难以展开。

---

伙计，你怎么看呢？
 

[nominalbear]

这个悖论挺有意思的，因为我之前就遇到过，解决方法也很有意思，但是没什么实用价值。VPN提供商有很多啊，手机上多下几个不就行了，自己VPS被墙了可以暂时使用其他提供商的VPN翻墙

[tomandjerry27]

@nominalbear 我知道很多人就是这么做的。你提到了用现成的vpn/机场（为了省力，后面我都简称机场了），说起来这个，我想到了翻墙悖论可以引申出的另一个探讨，我觉得也很有意思，分享给你。
先说结论，就是机场的安全性不可知。
我们可以将机场分为两类，一种商业性的，其余的归于其他类（比如出于政治目的）。
这里只讨论商业性的机场，既然是商业性的，就得要盈利嘛。做一个商业性的机场并不容易，又要技术又要资金，还得做宣传。
但我们都知道条子是可以随时让我们访问不了一个网站的。像是黄色网站就经常换域名，就是为了应对条子的打击。
但是机场主可以经常换域名吗？这么做很亏的，假如他们的域名变了，他们的很多用户就丢掉了。
有的用户像你这般机智，懂得狡兔三窟的道理，知道多找几个机场备用。可老的机场网站被墙了，你又交钱买了另一个机场的产品，那你此时为什么又要找到你之前用的机场的网站去给他们交钱呢？你感觉这两个产品用着一样的话，那你就用这个新的机场就好了嘛，反正你也已经交过钱了。
所以我们可以知道，不论用户们是怎么样的画像，一旦机场主的用户们陷入了翻墙悖论的处境，对于机场主来说都是很大的损失。他们之前很多花在宣传上的投入都打了水漂。
说到宣传呢，那就是双刃剑了。条子怎么知道要打掉哪个机场的网站？很显然，机场主宣传做的越好，他们的用户越多，他们被条子盯上的概率也就越大。
如果你是机场主，你投入了很多钱做线路，又投入了很多钱做宣传。这时候条子在网上联系你，先表明身份，告诉你，我们会在什么时间墙掉你的网站一会儿。然后你发现条子说得都应验了，知道他们是真的条子无疑。条子说：要么以后一直墙掉你的网站，让你挣钱难度+++++++；要么你把用户的数据交给我们（比如留个后门），这样你的网站不仅不会被墙，而且遇上哪天严打了，别的机场都被打掉，别人的用户都会来你这（这套说辞可以对所有机场主用，因为这将所有机场主们置入了囚徒困境中，即便有的机场主识破了，也无好的处理方法）。
你本身就在做着风险很大的生意（指做机场），还会顾虑区区卖信息给条子吗？怎么选，不需要别人教吧。
还算有良心的机场用的技术不涉及安装证书，那么能交给条子的信息就只有某人在某个时间访问了某个网站（但其实如果用户经常有发帖等行为，还是有可能通过长期追踪来逐步缩小目标账号的）。而无良的机场甚至有可能会使用app注入证书，进行中间人攻击，那么用户的底裤都会被条子给看光光了。
虽然说，小的、不知名的机场被条子盯上的概率较小。但依然无法排除小机场被条子买通的可能。
所以，我们完全无法知道一个机场的背后是不是站着条子在盯着你的翻墙数据。