Todennettavia väitteitä.

Salasanaa tarvitaan vain ensimmäisen SSH-yhteyden avaamiseen ja palvelukäyttäjän asentamiseen. Se välitetään SSH-todennuksena yhteyttämme varten — ei komentosarjan argumenttina eikä ympäristömuuttujana. Tietokannassamme ei ole sille kenttää; se ei päädy komentosarjojen suoritusympäristöihin eikä sitä kirjoiteta lokeihin (yhteysvirheet sisältävät vain osoitteen ja portin, eivät koskaan salasanaa). Muistista se pyyhitään (parhaan kyvyn mukaan) käytön jälkeen — se on syvyyssuuntaista puolustusta, ei takuu: Go voi säilyttää arvon kopioita keossa roskienkeruuseen asti.

Rehellinen varaus: tämä pysyy palvelimesi root-salasanana. Asennuksen jälkeen poistamme käytöstä salasana- ja root-kirjautumisen SSH:n kautta, mutta emme muuta itse salasanaa — vaihda se itse, jos haluat. 'Emme tallenna sitä' pitää paikkansa; 'se lakkasi olemasta salaisuus' ei.

PasswordAuthentication no, PermitRootLogin no, SSH siirretty epästandardiin porttiin (oletuksena 12011), fail2ban käytössä (tunnin esto 5 epäonnistumisen jälkeen), kirjautuminen vain avaimella. Julkinen avain validoidaan tiukasti ennen käyttöä: rivinvaihdot (suoja ylimääräisten avainten livauttamiselta authorized_keys-tiedostoon) ja syntaktisesti virheelliset avaimet hylätään.

Lukituksenesto: porttia 22 ei suljeta ennen kuin ydin vahvistaa (ss-komennolla), että uusi SSH-portti todella kuuntelee; kokoonpano tarkistetaan komennolla sshd -t ja sudo-sääntö komennolla visudo -cf, molemmat perutaan virhetilanteessa.

Paneeli ei toimi salasanallasi vaan erillisellä avaimella (ed25519), jonka se generoi itse. Yksityinen osa sijaitsee tietokannassa salattuna AES-256-GCM:llä. Salausavain (KEK) säilytetään erillään tietokannasta — palvelimen ympäristömuuttujassa — ja tuotannossa se on pakollinen (turvatonta oletusarvoa ei ole: ilman KEK:iä salausalijärjestelmä ei yksinkertaisesti käynnisty). Sama salaus suojaa tietokannan raskaat salaisuudet — Marzbanin ylläpitäjän salasanan/tokenin/JWT:n, Reality-avaimet, maksupalveluntarjoajien avaimet, välityspalvelun tunnusten välimuistin, varmuuskopiokokoonpanon.

Salaus ei vain piilota vaan myös todentaa tiedot (GCM auth tag): salatun kentän peukalointi havaitaan salauksen purussa ja hylätään. Jokainen kenttä salataan uudella satunnaisella noncella; KEK:n arvo ei koskaan päädy lokeihin — vain sen lyhyt id.

Kyvykkyystokeneista: /sub-tilaustoken on bearer-salaisuus. Hakua varten säilytämme vain sen SHA-256:n, kun taas jo myönnetyn linkin uudelleen näyttämiseen tarvittava kopio säilytetään AES-GCM-salakielenä. Vanhemmat selkokieliset tietueet migratoidaan uuteen muotoon, fail-closed-periaatteella, ennen HTTP-palvelimen käynnistymistä. Maksun webhookin URL-tunniste säilytetään selkokielisenä, mutta se ei yksin todenna tapahtumaa: aitous varmennetaan erikseen HMAC-allekirjoituksella.

Partner API -avainten salaisuudet ovat palautumattomia: koko avain näytetään vain kerran sen myöntämisen yhteydessä, ja tietokantaan jää vain sen salaisen osan SHA-256. Myöskään yhdistettyjen tekoälyjen access- ja refresh-tokeneita ei säilytetä selkokielisinä; yhteys on rajattu valittuun käyttöoikeustasoon, ja tilin omistaja voi perua sen.

Avain puretaan vain palvelimella, muistissa; tavalliset rajapinnat eivät koskaan palauta sitä. Ainoa tapa saada se on tarkoituksellinen vientitoiminto ('ota avaimesi'), joka on suojattu kirjautumisella sekä kertakäyttöisellä sähköpostikoodilla (koodi säilytetään vain HMAC-tiivisteenä, verrataan vakioaikaisesti, TTL 10 minuuttia, 5 yritystä). Avain voidaan siis noutaa tarkoituksella, mutta se ei voi 'vuotaa' tavallisen pyynnön kautta.

Ennen kuin palvelimen tila muuttuu ja ennen mitään taustan verkkotoimintoja hallinta-avaimen sisältävät kentät nollataan synkronisesti. Jos tietokanta ei vahvista tyhjennystä, toiminto palauttaa virheen ja se voidaan yrittää uudelleen. Poisto pysyy 'pehmeänä': rivi ja ei-salaiset palvelutiedot säilytetään. Tämä ei tarkoita jo luotujen varmuuskopioiden fyysistä poistoa — niiden elinkaarta ohjaa varmuuskopioiden säilytyskäytäntö.

Paneelin reiteillä partner_id johdetaan allekirjoitetusta istunnosta, Partner API:ssa varmennetusta API-avaimesta tai tekoälyn OAuth-yhteydestä. Omistajan tunnistetta ei oteta polusta, kyselyparametreista eikä pyynnön rungosta. API-avaimia rajaavat lisäksi scope, voimassaoloaika ja tilaustaso; yhdistetyn tekoälyn oikeudet lasketaan jokaisen pyynnön yhteydessä omistajan valitseman tason perusteella.

Ennen kuin mitään palautetaan tai muutetaan, järjestelmä tarkistaa uudelleen, että palvelin, klusteri, inbound, reitti, VPN-käyttäjä tai maksu kuuluu tälle tilille. Tietokantakyselyt on rajattu partner_id:llä, ja yhdistelmäuniikkiavaimet sekä yhdistelmäviiteavaimet hylkäävät virheelliset kumppanien väliset linkitykset. Testien valtuutusmatriisi edellyttää nimenomaista IDOR-skenaariota jokaiselle päätepisteelle, joka käsittelee resurssin tunnistetta.

Rehellinen varaus: tämä on todennettu koodiauditoinnilla koko pyyntöpolun matkalta, ei julkisella tunkeutumistestillä — joten SR-16 on, kuten muutkin, avoin kumottavaksi bug bountyssa.

Jotta kaikki voidaan määrittää automaattisesti (asentaa Xray+Reality, ottaa käyttöön kokoonpano, lukea mittareita), paneelilla on täydet ylläpito-oikeudet palvelimella (root-vastaava, salasanattoman sudon omaavan palvelukäyttäjän kautta). Tämä on hallinnan kannalta välttämätöntä, emmekä kutsu sitä 'rajoitetuksi'.

Mikä pienentää riskiä: salaisuudet välitetään palvelimelle vain prosessin stdin:n kautta (ei komentoargumentteina — ne eivät näy prosessiluettelossa); ensimmäisen asennuksen jälkeen jokainen hallintayhteys varmentaa palvelimen kiinnitetyn isäntäavaimen — palvelimen vaihto 'välissä' hylätään. Mitä sinä hallitset: pääsy perustuu avaimeen, jonka voit peruuttaa milloin tahansa — poistamalla palvelimen (avain nollataan) tai yksinkertaisesti poistamalla VPS:n palveluntarjoajaltasi (silloin kaikki katoaa).

Itse VPN-tilit (VLESS/Reality) luodaan ja ne asuvat Marzbanissa master-palvelimellasi. Keskitetysti säilytämme vain sen, mitä tilauslinkin myöntämiseen tarvitaan: satunnaisen tilaustokenin ja salatun tilannekuvan välityspalvelun tunnuksista (välimuisti; totuuden lähde on sinun Marzbanisi). Meillä ei ole liikenne-, IP- tai käyttäjän vierailuhistoriaa.

Loppukäyttäjän sähköpostiosoitetta ei säilytetä meillä: hänen tilinsä nimi johdetaan peruuttamattomasti eikä se sisällä osoitetta. Kirjautumiskoodin sisältävän viestin lähetämme me, joten osoite kulkee lähetysjonomme kautta ja poistetaan siitä heti lähetyksen jälkeen — palaavan käyttäjän tunnistamiseen jää vain peruuttamaton tiiviste, josta osoitetta ei voi palauttaa. Sen yhden tapauksen, jossa osoite kuitenkin jää talteen, nimeämme suoraan: maksun yhteydessä se saapuu maksuwebhookissa ja päätyy maksulokiin rajatulla säilytysajalla.

Näitä palvelutietoja säilytämme vain tarvittavan ajan ja tyhjennämme ne automaattisesti: sähköposti poistetaan lähetysjonosta heti lähetyksen jälkeen, maksutapahtuman sisältö käsittelyn jälkeen, ja uudelleenyritystä odottavat tapahtumat 90 päivän ikkunan sisällä. Voit poistaa tilisi ja kaikki sen tiedot itse osiossa ”Lisäasetukset” vahvistamalla poiston sähköpostiisi tulevalla koodilla (katso lisätiedot riskistä 7). Kerromme tämän avoimesti sen sijaan, että piilottaisimme sen epämääräisten sanamuotojen taakse.

CreateYourVPN-alusta ei vastaanota eikä tallenna tietoa siitä, millä sivustoilla sinä tai käyttäjäsi vierailette. Mittareiden vastaanottoskeema on suljettu: siinä ei fyysisesti ole kenttiä IP-osoitteille, verkkotunnuksille tai vierailuille — vain koosteita (uniikkien verkossa olevien määrä, tavut yhteensä, CPU/RAM/kuormitus). Jokainen node todentautuu HMAC-tokenilla, joka on sidottu sen omaan id:hen, ja voi kirjoittaa mittareita vain itselleen. Noden kuormantasaaja (HAProxy) toimii TCP-reitittimenä SNI:n perusteella eikä pura liikennettä. Itse palvelimella järjestelmälokeja säilytetään enintään noin tunti eikä niitä välitetä syslogiin.

Alustatason lisäksi palvelimet eivät myöskään pidä vierailupäiväkirjaa: Xrayn käyttölokitus pakotetaan pois päältä jokaisella kokoonpanon päivityksellä (alusta asettaa log.access-arvoksi none), joten reunaproxy ei tallenna, mihin osoitteisiin käyttäjät ottavat yhteyden. Tämä on pakotettu koodissa ja otettu käyttöön koko palvelinjoukossa.

Ymmärtääksemme, miten sivustoa ja paneelia käytetään, hyödynnämme Google Analyticsia (evästebanneri varoittaa evästeiden ja tilastojen keräämisestä; yksityiskohdat ovat tietosuojakäytännössä). OAuth-suostumussivuilla analytiikan lataus on pakotetusti estetty: URL sisältää tekoälyn yhdistämispyynnön lyhytikäisen tunnisteen, jota ei saa välittää kolmannelle osapuolelle. Muita kolmannen osapuolen seuraimia ei ole: ei Sentryä, PostHogia, Mixpanelia eikä mainospikseleitä. Backendissä ei ole kolmannen osapuolen telemetriaa, eivätkä loppukäyttäjien storefrontit kuulu analytiikan piiriin.

Varaus: GA vastaanottaa IP-osoitteesi (Googlen puolella) ja katsottujen paneelisivujen osoitteet; paneelin URL-osoitteet sisältävät vain klusteritunnisteen, eivät sähköpostiosoitetta.

Maksu ja kaikki korttitiedot käsitellään yhdistetyn palveluntarjoajan puolella (lava.top). Vastaanotamme vain varmennetun webhook-tapahtuman: sen aitous todetaan kyseisen palveluntarjoajan tukemalla tavalla ennen kuin saldoa tai pääsyä muutetaan. Emme vastaanota täyttä korttinumeroa (PAN) emmekä CVV:tä. Saman tapahtuman uudelleentoimitus ei aiheuta kaksinkertaista myöntämistä: tapahtumat deduplikoidaan.

Varaus: palveluntarjoaja voi sisällyttää webhookin runkoon korttien metatietoja (kortin tyyppi ja 4 viimeistä numeroa) sekä maksajan nimen ja sähköpostin. Työprosessi tarvitsee alkuperäistä runkoa, kunnes käsittely on valmis; onnistuneen käsittelyn jälkeen se poistetaan yhdessä sähköpostivihjeen kanssa. Uudelleenyritystä tai manuaalista tarkistusta odottavat tapahtumat säilyttävät alkuperäisen rungon vain säilytysikkunan loppuun asti (90 päivää ilman toimintaa), minkä jälkeen kortin metatiedot ja maksajan sähköposti poistetaan automaattisesti. 'Täyttä korttinumeroa ei ole' pitää paikkansa, mutta se on palveluntarjoajien ominaisuus (emme suodata runkoa itse); 'emme näe kortista mitään lainkaan' ei.

Tiliä varten säilytetään sähköpostiosoite, viimeisin kirjautumisaika, käyttöliittymätila ja asetukset; laskutusta varten saldo ja Telegram, jos se on annettu lataamista varten. Tilin suojaamiseksi aktiivinen istunto sisältää luontiajan ja viimeisimmän toiminnan ajan, IP-osoitteen ja user-agentin. Onnistuneiden ja epäonnistuneiden kirjautumisyritysten historia samoine teknisine tunnisteineen säilytetään 90 päivää.

Paneelissa ei ole yleistä klikkaushistoriaa. Erikseen on käyttötarkoitukseen rajattuja lokeja: Partner API -pyynnöt enintään 500 viimeisintä merkintää ja noin 25 tuntia, infrastruktuuritapahtumat ja diagnostiikan tulokset enintään 7 päivää, yhdistettyjen tekoälyjen toiminnot yhtä kauan kuin tili on olemassa. Ennen tekoälyn toimintojen kirjaamista salasanat, tokenit, avaimet ja tilauslinkit poistetaan, ja käyttäjien sähköpostiosoitteet peitetään osittain.

Palomuuri estää saapuvan liikenteen oletuksena. Ulospäin auki: 443 (VPN, Xray+Reality), SSH epästandardissa portissa (oletuksena 12011) ja — master-palvelimella — Marzbanin ylläpitopaneelin portti, vain control-plane-IP-osoitteille. Portti 80 avataan erikseen vain Let's Encrypt -tilassa HTTP-01:tä varten. Portti 22 suljetaan, kun SSH on siirretty.

Noden hallintaportit ovat auki vain master-palvelimen IP-osoitteelle, eivät ulospäin (tämän sidonnan epäonnistuminen keskeyttää asennuksen). Jos palomuuri ei aktivoidu, asennus epäonnistuu. ICMP echo on rajoitettu vain IPv4:lle; emme lupaa, että palvelin on 'näkymätön', ja IPv6:n ICMP säilytetään, jotta IPv6 toimii oikein.

Unattended upgrades asentaa tietoturvapakettien päivitykset automaattisesti. Varaus: automaattinen uudelleenkäynnistys on tarkoituksella poistettu käytöstä (jottei todentamaton ydin käynnisty itsestään uudelleen) — mikä tarkoittaa, että uudelleenkäynnistystä vaativat korjaukset (ydin, joskus OpenSSH) tulevat voimaan vasta manuaalisen tai ajastetun uudelleenkäynnistyksen jälkeen. 'Automaattinen paikkaus' pitää paikkansa userlandissa, ei siinä, mikä vaatii uudelleenkäynnistyksen.

Emme väitä, että palvelin on 'näkymätön' tai 'ei skannattavissa'. Portti 443 on auki ja vastaa TCP-yhteyteen kuten mikä tahansa verkkopalvelin. Ominaisuuden 'virheellisessä yhteydessä se näyttää tavalliselta, asiaankuulumattomalta verkkosivustolta' tarjoaa Xrayn sisällä oleva Reality-protokolla — erillinen komponentti, jota emme muuta absoluutiksi.

Kumppani kirjautuu kertakäyttöisellä 6-numeroisella koodilla, joka lähetetään sähköpostiin. Tilin salasanaa ei ole. Tämä ei koske hallinnoitujen komponenttien sisäisiä tunnuksia, kuten palvelimen generoitua ylläpitäjän salasanaa. Koodit generoi kryptografinen generaattori; vain niiden HMAC-tiiviste säilytetään, ja vertailu suoritetaan vakioajassa. Onnistuessa koodi poistetaan välittömästi, ja 5 väärän yrityksen jälkeen se sammutetaan ennenaikaisesti. Myöntämisen nopeusraja lasketaan sekä koko osoitteen että fyysisen postilaatikon mukaan: IP-osoitteen vaihtaminen, pisteet Gmail-osoitteessa ja plus-tunnisteet eivät anna erillistä rajaa.

Istuntotoken sijaitsee HttpOnly- ja Secure-evästeessä (JS ei voi lukea sitä), ja se todennetaan backendissä (ei vain reunalla). Käyttämättömyyden aikakatkaisu ja automaattinen uloskirjautuminen toimettomuuden vuoksi on toteutettu asiakaspäässä, ei palvelimella. Token on allekirjoitettu HS256:lla; todennuksessa hylkäämme tiukasti minkä tahansa muun algoritmin (mukaan lukien 'none') — klassinen algoritminvaihtohyökkäys ei mene läpi. Storefront-token ja kumppanipaneelin token on erotettu audiencen perusteella: loppukäyttäjän token ei teknisesti voi päästä kumppanirajapintaan (eikä päinvastoin). Poistettu kumppani hylätään, vaikka token olisikin voimassa.

Jokaisella kumppani-istunnolla on pysyvä palvelinpuolen tunniste, joka säilyy tokenin uusimisessa. Tavallinen uloskirjautuminen peruuttaa koko nykyisen istunnon eikä vain yhtä tokenin myöntökertaa. Osiossa ”Tilin istunnot” näkyvät laite, IP-osoite, kirjautumisaika ja viimeisin toiminta; minkä tahansa istunnon voi päättää erikseen. Toiminto ”Kirjaudu ulos kaikkialta” päättää kaikki istunnot ja katkaisee yhdistettyjen tekoälyjen yhteydet.

Kirjautumishistoria säilytetään 90 päivää, ja siinä näkyvät onnistuneet kirjautumiset, väärät ja vanhentuneet koodit sekä yritysten enimmäismäärän ylittyminen. Jos on merkkejä jo vaihdetun tokenin uudelleenkäytöstä, järjestelmä pitää istuntoa kopioituna, päättää kaikki istunnot ja tekoälyyhteydet ja lähettää omistajalle ilmoituksen.

Selaimen local storagessa ei ole istuntotokeneita, vain käyttöliittymäasetuksia. Next.js:n palvelinkerros sijoittaa tokenin HttpOnly-evästeeseen; selain ei saa backendin sisäistä osoitetta vaan käyttää sitä Server Actionsin kautta. CORS ei salli muiden alkuperien lukea valtuutettuja tietoja sisältäviä rajapinnan vastauksia.

On tarkoituksellisia poikkeuksia, joita omistaja hallitsee itse: yksityisen SSH-avaimen vienti sähköpostikoodin jälkeen (SR-4) ja uusi Partner API -avain, jonka koko salaisuus näytetään selaimessa kerran luonnin yhteydessä. Sen jälkeen sitä ei voi palauttaa tietokannasta — sinne jää vain tiiviste. Julkinen API-verkkotunnus on tarkoituksella tavoitettavissa internetistä, mutta ilman voimassa olevaa istuntoa, API-avainta tai OAuth-tokenia se ei palauta suojattuja tietoja.

CreateYourVPN:n julkiset isännät tarjoillaan HTTPS:llä ja HSTS:llä (max-age kaksi vuotta, includeSubDomains). Jokainen ylläpitämämme web-frontend — alustan sivusto, kumppanipaneeli ja kumppanien kaupat, niin meidän aliverkkotunnuksissamme kuin kumppanin omassa verkkotunnuksessa — sekä API-verkkotunnus lähettävät saman joukon tietoturvaotsakkeita: Content-Security-Policy (API:ssa default-src 'none'; frontendeissä se estää upottamisen iframeen ja lukitsee base-urin ja form-actionin), X-Content-Type-Options: nosniff, X-Frame-Options ja tiukka Referrer-Policy (API:ssa no-referrer; frontendeissä strict-origin-when-cross-origin, ja ne lähettävät myös rajoittavan Permissions-Policyn).

Tämä on tuotannossa kaikilla näillä isännillä ja on riippumattomasti tarkistettavissa — millä tahansa HTTP-otsaketarkastimella tai SSL Labsin kaltaisella palvelulla.

Tekoälysovellus yhdistetään OAuthin kautta, eikä se saa paneelisi evästettä. Suostumussivulla valitset yhden kolmesta tasosta: pelkkä katselu; katselu ja määritys; poisto ja pääsyn myöntäminen. Palvelin tarkistaa oikeudet jokaisen kutsun yhteydessä. Kriittiset poistot vaativat lisäksi kertakäyttöisen sähköpostikoodin, ja koko yhteyden voi perua osiossa ”Yhdistetyt tekoälyt”.

Jokainen työkalukutsu kirjataan omistajalle näkyvään lokiin tuloksineen ja argumenttien turvallisine kopioineen. Salasanat, tokenit, API-avaimet, yksityiset avaimet ja tilauslinkit poistetaan ennen kirjaamista; käyttäjien sähköpostiosoitteet peitetään osittain. Valittu tekoälysovellus on silti kolmannen osapuolen palvelu: tiedot, jotka olet tietoisesti antanut sen luettavaksi tai muutettavaksi, käsitellään myös sen toimittajan sääntöjen mukaisesti.