Відокремте ідентичність onion від clearnet
Захищайте приватні onion-ключі сервісу та створюйте їхні резервні копії, якщо адреса має пережити перезбирання. Уникайте випадкових зв’язків між ідентичностями через повторно використані облікові дані, вміст або зовнішні ресурси.
Прив'язуйте застосунок свідомо
Прив’яжіть бекенд до локального або приватного інтерфейсу та відкривайте лише призначений сервіс через Tor. Перевірте зворотний проксі та застосунок на наявність перенаправлень, абсолютних URL і ресурсів, що звертаються до зовнішніх хостів.
Зменште витік інформації
Перегляньте сторінки помилок, заголовки, налагоджувальний вивід і метадані завантажених файлів. Не припускайте, що маршрут onion приховує ідентифікаційний вміст застосунку. Захищайте вхід адміністратора й уникайте журналювання більшої кількості відомостей про відвідувачів, ніж потрібно.
Керуйте ним законно та надійно
Оновлюйте Tor і застосунок, відстежуйте використання ресурсів і підтримуйте резервні копії. Політики хостингу та законодавства все ще застосовуються. KoalaVPS ще не опублікував схвалення експлуатації onion-сервісу чи зобов'язання щодо трафіку.
Перевірте зовнішні запити сторінки
Завантажте сервіс через призначений маршрут і огляньте кожне зображення, шрифт, скрипт, таблицю стилів і перенаправлення. Зовнішній ресурс може створити ідентифікуючий запит поза призначеною межею сервісу. Локальні ресурси також зменшують уникненні залежності від третіх сторін.
Свідомо збережіть адресу
Збережіть ключі ідентичності onion у приватному резерві, якщо важлива безперервність адреси. Чисте перевстановлення без цих ключів може дати іншу адресу. Прив'яжіть бекенд приватно та переконайтеся, що ненавмисний слухач у відкритому інтернеті не відкриває доступ до того самого застосунку.
Спочатку налаштуйте приватний бекенд, а потім маршрутизацію через Tor
Встановіть Tor із підтримуваного надійного джерела для обраної ОС і переконайтеся, що служба працює. Підготуйте окремий локальний веб-прослуховувач і протестуйте його, перш ніж додавати onion-маршрут. Прив'яжіть його до loopback або належним чином захищеного Unix-сокета, а не покладайтеся на те, що брандмауер приховає прослуховувач, прив'язаний до всіх інтерфейсів. Цей дизайн описує законну публікацію; KoalaVPS усе ще потрібно підтвердити будь-яку операційну політику служби для фактичного навантаження.
- Використовуйте локальні ресурси та продумані URL застосунку.
- Тримайте адміністрування окремо від публічного шляху публікації.
- Запишіть метод відновлення, який не залежить лише від onion-сервісу.
Офіційна документація: Налаштування onion-сервісу Tor Project
Зіставте віртуальний порт onion з локальним застосунком
Наведений фрагмент torrc ілюструє виділений каталог ідентичності та бекенд на loopback на порту 8080. Адаптуйте власника та шляхи до користувача служби Tor дистрибутива. Приватний каталог має бути доступним для читання/запису цьому користувачеві та недоступним для сторонніх користувачів. Перевірте встановлену конфігурацію перед використанням процедури перезапуску через менеджер служб. Tor створює файли ідентичності для нового каталогу; не публікуйте ці приватні файли разом із вмістом вебсайту.
# Example torrc fragment; backend already listens on loopback:
HiddenServiceDir /var/lib/tor/koala-publication/
HiddenServicePort 80 127.0.0.1:8080
# Verify the backend independently:
curl --fail http://127.0.0.1:8080/Офіційна документація: Конфігурація Tor і каталог ідентичності
Перевірте шлях через onion та небажаний шлях через clearnet
Прочитайте лише згенерований файл імені хоста, щоб отримати публічну адресу, і відкрийте його в Tor Browser. Перевірте переспрямування, форми, сторінки помилок і запити ресурсів. З іншої мережі переконайтеся, що той самий бекенд випадково не доступний через публічний слухач. Адреса onion не усуває вимогу входу в застосунок; використовуйте авторизацію клієнтів або автентифікацію застосунку там, де доступ має бути приватним. Перевірте контактні дані та опублікований вміст на ненавмисні зв’язки з особою.
Офіційна документація: Операційна безпека Tor Project
Виправте дозволи, не замінюючи ідентичність
Якщо сервіс не з'являється, перевірте помилки запуску Tor, власника каталогу та локальний бекенд, перш ніж щось видаляти. Заміна каталогу ідентичності створює нову адресу; відновлення правильних приватних ключів зберігає безперервність. Зберігайте зашифровану офлайн-копію для відновлення з обмеженим доступом і перевіряйте процес за допомогою окремої одноразової ідентичності. Журнали та сторінки налагодження можуть розкривати інформацію, навіть коли маршрутизація транспорту правильна; перегляньте їх після змін конфігурації.