Отделите onion-идентичность от clearnet
Храните приватные onion-ключи сервиса в защищённом виде и создавайте их резервные копии, если адрес должен пережить пересборку. Избегайте случайных связей между идентичностями через повторно используемые учётные данные, контент или внешние ресурсы.
Осознанно привязывайте приложение
Привяжите бэкенд к локальному или приватному интерфейсу и открывайте только нужный сервис через Tor. Проверьте обратный прокси и приложение на наличие перенаправлений, абсолютных URL и ресурсов, обращающихся к внешним хостам.
Сократите утечки информации
Проверьте страницы ошибок, заголовки, отладочный вывод и метаданные загруженных файлов. Не предполагайте, что onion-маршрут скрывает идентифицирующее содержимое приложения. Защитите вход администратора и не журналируйте больше информации о посетителях, чем необходимо.
Эксплуатируйте законно и надёжно
Поддерживайте Tor и приложение в актуальном состоянии, отслеживайте использование ресурсов и сохраняйте резервные копии. Политики хостинга и законодательства по-прежнему применяются. KoalaVPS пока не опубликовал одобрение эксплуатации onion-сервиса или обязательства по трафику.
Проверьте внешние запросы страницы
Загрузите сервис через предполагаемый маршрут и проверьте каждое изображение, шрифт, скрипт, таблицу стилей и перенаправление. Внешний ресурс может создать идентифицирующий запрос за пределами предполагаемой границы сервиса. Локальные ресурсы также снижают излишние зависимости от третьих сторон.
Сохраните адрес осознанно
Храните ключи идентичности onion в приватном резервном месте, если важна непрерывность адреса. Чистая переустановка без этих ключей может дать другой адрес. Держите бэкенд привязанным приватно и убедитесь, что непреднамеренный слушатель в clearnet не раскрывает то же приложение.
Сначала настройте работу частного бэкенда, затем маршрутизацию через Tor
Установите Tor из поддерживаемого доверенного источника для выбранной ОС и убедитесь, что служба запущена. Подготовьте отдельный локальный веб-слушатель и протестируйте его, прежде чем добавлять onion-маршрут. Привяжите его к loopback или к Unix-сокету с надлежащими правами доступа, а не полагайтесь на то, что брандмауэр скроет слушатель, привязанный ко всем интерфейсам. Эта схема описывает законную публикацию; KoalaVPS всё ещё должен подтвердить любую операционную политику обслуживания для фактической нагрузки.
- Используйте локальные ресурсы и продуманные URL приложения.
- Держите администрирование отдельно от публичного пути публикации.
- Запишите метод восстановления, который не зависит только от onion-сервиса.
Официальная документация: Настройка onion-сервиса Tor Project
Сопоставьте виртуальный порт onion с локальным приложением
Следующий фрагмент torrc иллюстрирует выделенный каталог идентичности и локальный бэкенд на порту 8080. Адаптируйте владельца и пути к пользователю службы Tor вашего дистрибутива. Приватный каталог должен быть доступен для чтения/записи этому пользователю и недоступен посторонним. Проверьте установленную конфигурацию перед использованием процедуры перезапуска через менеджер служб. Tor создаёт файлы идентичности для нового каталога; не публикуйте эти приватные файлы вместе с содержимым сайта.
# Example torrc fragment; backend already listens on loopback:
HiddenServiceDir /var/lib/tor/koala-publication/
HiddenServicePort 80 127.0.0.1:8080
# Verify the backend independently:
curl --fail http://127.0.0.1:8080/Официальная документация: Конфигурация Tor и каталог идентичности
Проверьте путь через onion и нежелательный путь через clearnet
Прочитайте только сгенерированный файл имени хоста, чтобы получить публичный адрес, и откройте его в Tor Browser. Проверьте перенаправления, формы, страницы ошибок и запросы ресурсов. Из другой сети убедитесь, что тот же бэкенд случайно не доступен через публичный слушатель. Адрес onion не отменяет требование входа в приложение; используйте авторизацию клиентов или аутентификацию приложения там, где доступ должен быть приватным. Проверьте контактные данные и опубликованное содержимое на непреднамеренные связи с личностью.
Официальная документация: Операционная безопасность Tor Project
Исправьте разрешения, не заменяя идентичность
Если сервис не появляется, проверьте ошибки запуска Tor, права владельца каталога и локальный бэкенд, прежде чем что-либо удалять. Замена каталога идентификации создаёт новый адрес; непрерывность сохраняет восстановление правильных приватных ключей. Держите зашифрованную офлайн-копию для восстановления с ограниченным доступом и проверяйте процесс на отдельной одноразовой идентификации. Журналы и отладочные страницы могут раскрывать информацию, даже когда маршрутизация транспорта настроена правильно; просматривайте их после изменений конфигурации.