Trennen Sie die Onion-Identität vom Clearnet
Schützen Sie die privaten Onion-Schlüssel des Dienstes und sichern Sie sie, falls die Adresse einen Neuaufbau überstehen soll. Vermeiden Sie versehentliche Verknüpfungen zwischen Identitäten durch wiederverwendete Zugangsdaten, Inhalte oder externe Ressourcen.
Binden Sie die Anwendung bewusst
Binden Sie das Backend an eine lokale oder private Schnittstelle und stellen Sie nur den vorgesehenen Dienst über Tor bereit. Prüfen Sie den Reverse-Proxy und die Anwendung auf Weiterleitungen, absolute URLs und Ressourcen, die externe Hosts kontaktieren.
Informationslecks reduzieren
Prüfen Sie Fehlerseiten, Header, Debug-Ausgaben und Metadaten hochgeladener Dateien. Gehen Sie nicht davon aus, dass die Onion-Route identifizierende Anwendungsinhalte verbirgt. Schützen Sie die Administratoranmeldung und vermeiden Sie es, mehr Besucherinformationen zu protokollieren als nötig.
Betreiben Sie ihn rechtmäßig und zuverlässig
Halten Sie Tor und die Anwendung aktuell, überwachen Sie die Ressourcennutzung und pflegen Sie Sicherungen. Hosting- und rechtliche Richtlinien gelten weiterhin. KoalaVPS hat noch keine betriebliche Onion-Service-Genehmigung oder Traffic-Zusage veröffentlicht.
Prüfen Sie die externen Anfragen der Seite
Laden Sie den Dienst über den vorgesehenen Weg und prüfen Sie jedes Bild, jede Schriftart, jedes Skript, jedes Stylesheet und jede Weiterleitung. Eine externe Ressource kann eine identifizierende Anfrage außerhalb der vorgesehenen Grenze des Dienstes erzeugen. Lokale Ressourcen verringern zudem vermeidbare Abhängigkeiten von Dritten.
Bewahren Sie die Adresse bewusst auf
Sichern Sie die Onion-Identitätsschlüssel privat, wenn die Kontinuität der Adresse wichtig ist. Eine saubere Neuinstallation ohne diese Schlüssel kann eine andere Adresse erzeugen. Binden Sie das Backend privat und bestätigen Sie, dass kein unbeabsichtigter Clearnet-Listener dieselbe Anwendung offenlegt.
Ein privates Backend zum Laufen bringen, bevor Tor-Routing erfolgt
Installieren Sie Tor aus einer unterstützten vertrauenswürdigen Quelle für das gewählte Betriebssystem und bestätigen Sie, dass der Dienst läuft. Richten Sie einen separaten lokalen Web-Listener ein und testen Sie ihn, bevor Sie eine Onion-Route hinzufügen. Binden Sie ihn an Loopback oder einen entsprechend berechtigten Unix-Socket, statt anzunehmen, eine Firewall verberge einen an alle Schnittstellen gebundenen Listener. Dieses Design beschreibt die rechtmäßige Veröffentlichung; KoalaVPS muss dennoch eine etwaige Betriebsrichtlinie für den tatsächlichen Workload bestätigen.
- Verwenden Sie lokale Assets und bewusste Anwendungs-URLs.
- Halten Sie die Administration vom öffentlichen Veröffentlichungspfad getrennt.
- Dokumentieren Sie eine Wiederherstellungsmethode, die nicht ausschließlich vom Onion-Dienst abhängt.
Offizielle Dokumentation: Einrichtung eines Onion-Dienstes des Tor Project
Einen Onion-virtuellen Port auf die lokale Anwendung abbilden
Das folgende torrc-Fragment veranschaulicht ein dediziertes Identitätsverzeichnis und ein Loopback-Backend auf Port 8080. Passen Sie Eigentümerschaft und Pfade an den Tor-Dienstbenutzer der Distribution an. Das private Verzeichnis muss für diesen Benutzer lesbar/schreibbar und für unbeteiligte Benutzer unzugänglich sein. Validieren Sie die installierte Konfiguration, bevor Sie deren Neustartverfahren des Dienstmanagers verwenden. Tor erstellt Identitätsdateien für ein neues Verzeichnis; veröffentlichen Sie diese privaten Dateien nicht zusammen mit Website-Inhalten.
# Example torrc fragment; backend already listens on loopback:
HiddenServiceDir /var/lib/tor/koala-publication/
HiddenServicePort 80 127.0.0.1:8080
# Verify the backend independently:
curl --fail http://127.0.0.1:8080/Offizielle Dokumentation: Tor-Konfiguration und Identitätsverzeichnis
Testen Sie den Onion-Pfad und den unerwünschten Clearnet-Pfad
Lesen Sie nur die generierte Hostnamendatei, um die öffentliche Adresse zu erhalten, und öffnen Sie sie mit Tor Browser. Prüfen Sie Weiterleitungen, Formulare, Fehlerseiten und Asset-Anfragen. Bestätigen Sie von einem anderen Netzwerk aus, dass dasselbe Backend nicht versehentlich über einen öffentlichen Listener erreichbar ist. Eine Onion-Adresse hebt keine Anmeldeanforderung der Anwendung auf; verwenden Sie Client-Autorisierung oder Anwendungsauthentifizierung, wo der Zugriff privat sein soll. Prüfen Sie Kontaktdaten und veröffentlichte Inhalte auf unbeabsichtigte Identitätsverknüpfungen.
Offizielle Dokumentation: Betriebssicherheit des Tor-Projekts
Berechtigungen reparieren, ohne die Identität zu ersetzen
Wenn der Dienst nicht erscheint, prüfen Sie Tor-Startfehler, Verzeichnis-Eigentümerschaft und das lokale Backend, bevor Sie etwas löschen. Das Ersetzen des Identitätsverzeichnisses erzeugt eine neue Adresse; die Wiederherstellung der korrekten privaten Schlüssel bewahrt die Kontinuität. Bewahren Sie eine verschlüsselte Offline-Wiederherstellungskopie mit eingeschränktem Zugriff auf und testen Sie den Prozess mit einer separaten Wegwerf-Identität. Protokolle und Debug-Seiten können Informationen preisgeben, selbst wenn das Transport-Routing korrekt ist; prüfen Sie sie nach Konfigurationsänderungen.