Tách biệt danh tính onion khỏi clearnet
Giữ khóa onion riêng của dịch vụ được bảo vệ và sao lưu chúng nếu bạn cần địa chỉ tồn tại qua một lần xây dựng lại. Tránh các liên kết vô tình giữa các danh tính thông qua thông tin đăng nhập, nội dung hoặc tài nguyên bên ngoài được tái sử dụng.
Ràng buộc ứng dụng một cách có chủ đích
Liên kết backend với một giao diện cục bộ hoặc riêng tư và chỉ mở dịch vụ dự định qua Tor. Kiểm tra proxy ngược và ứng dụng để tìm chuyển hướng, URL tuyệt đối và các tài nguyên liên hệ với máy chủ bên ngoài.
Giảm rò rỉ thông tin
Xem lại các trang lỗi, tiêu đề, đầu ra gỡ lỗi và siêu dữ liệu tệp đã tải lên. Đừng cho rằng tuyến onion che giấu nội dung ứng dụng nhận dạng được. Bảo vệ đăng nhập quản trị viên và tránh ghi nhật ký nhiều thông tin khách truy cập hơn mức cần thiết.
Vận hành hợp pháp và đáng tin cậy
Giữ Tor và ứng dụng được cập nhật, theo dõi việc sử dụng tài nguyên và duy trì sao lưu. Các chính sách lưu trữ và pháp lý vẫn áp dụng. KoalaVPS chưa công bố phê duyệt dịch vụ onion hoạt động hay cam kết lưu lượng.
Kiểm tra các yêu cầu bên ngoài của trang
Tải dịch vụ qua tuyến đường dự định và kiểm tra mọi hình ảnh, phông chữ, script, stylesheet và chuyển hướng. Một tài nguyên bên ngoài có thể tạo yêu cầu nhận dạng ngoài ranh giới dự định của dịch vụ. Tài nguyên cục bộ cũng giảm bớt phụ thuộc bên thứ ba không cần thiết.
Bảo toàn địa chỉ một cách có chủ đích
Sao lưu riêng tư các khóa danh tính onion nếu tính liên tục của địa chỉ quan trọng. Cài đặt lại sạch mà không có các khóa đó có thể tạo ra địa chỉ khác. Giữ phần phụ trợ được liên kết riêng tư và xác nhận rằng một trình lắng nghe clearnet ngoài ý muốn không phơi bày cùng ứng dụng.
Thiết lập một backend riêng hoạt động trước khi định tuyến qua Tor
Cài đặt Tor từ một nguồn đáng tin cậy được hỗ trợ cho hệ điều hành đã chọn và xác nhận dịch vụ đang chạy. Chuẩn bị một trình lắng nghe web cục bộ riêng và kiểm thử trước khi thêm tuyến onion. Liên kết nó với loopback hoặc một Unix socket có quyền phù hợp, thay vì giả định tường lửa che giấu một trình lắng nghe liên kết với mọi giao diện. Thiết kế này mô tả việc công bố hợp pháp; KoalaVPS vẫn cần xác nhận mọi chính sách dịch vụ vận hành cho khối lượng công việc thực tế.
- Sử dụng tài nguyên cục bộ và URL ứng dụng có chủ đích.
- Giữ quản trị tách biệt khỏi đường dẫn công bố công khai.
- Ghi lại một phương thức khôi phục không chỉ phụ thuộc vào dịch vụ onion.
Tài liệu chính thức: Thiết lập dịch vụ onion của Tor Project
Ánh xạ cổng ảo onion tới ứng dụng cục bộ
Đoạn torrc sau minh họa một thư mục nhận dạng chuyên dụng và backend loopback trên cổng 8080. Điều chỉnh quyền sở hữu và đường dẫn cho người dùng dịch vụ Tor của bản phân phối. Thư mục riêng tư phải có thể đọc/ghi bởi người dùng đó và không thể truy cập bởi người dùng không liên quan. Xác thực cấu hình đã cài đặt trước khi dùng quy trình khởi động lại của trình quản lý dịch vụ. Tor tạo tệp nhận dạng cho thư mục mới; không công bố các tệp riêng tư đó cùng với nội dung trang web.
# Example torrc fragment; backend already listens on loopback:
HiddenServiceDir /var/lib/tor/koala-publication/
HiddenServicePort 80 127.0.0.1:8080
# Verify the backend independently:
curl --fail http://127.0.0.1:8080/Tài liệu chính thức: Cấu hình Tor và thư mục danh tính
Kiểm tra đường dẫn onion và đường dẫn clearnet không mong muốn
Chỉ đọc tệp tên máy chủ được tạo để lấy địa chỉ công khai và mở địa chỉ đó bằng Tor Browser. Kiểm tra các chuyển hướng, biểu mẫu, trang lỗi và yêu cầu tài nguyên. Từ một mạng khác, xác nhận rằng cùng phần phụ trợ đó không vô tình truy cập được qua một cổng lắng nghe công khai. Địa chỉ onion không loại bỏ yêu cầu đăng nhập ứng dụng; hãy dùng ủy quyền máy khách hoặc xác thực ứng dụng khi quyền truy cập cần được giữ riêng tư. Kiểm tra thông tin liên hệ và nội dung đã công bố để tìm các liên kết danh tính ngoài ý muốn.
Tài liệu chính thức: Bảo mật vận hành của Tor Project
Sửa quyền mà không thay thế danh tính
Nếu dịch vụ không xuất hiện, hãy kiểm tra lỗi khởi động Tor, quyền sở hữu thư mục và backend cục bộ trước khi xóa bất cứ thứ gì. Thay thế thư mục danh tính sẽ tạo địa chỉ mới; khôi phục đúng khóa riêng tư là điều duy trì tính liên tục. Giữ một bản sao khôi phục ngoại tuyến được mã hóa với quyền truy cập hạn chế và kiểm thử quy trình bằng một danh tính dùng một lần riêng biệt. Nhật ký và trang gỡ lỗi có thể làm lộ thông tin ngay cả khi định tuyến truyền tải đúng; hãy xem lại chúng sau khi thay đổi cấu hình.