# Publikujte onion službu, aniž byste přehlédli aplikaci | SwissOctet Insights https://swissoctet.com/cs/insights/publish-onion-service-safely/ SwissOctet / Přehledy / Web a onion Web a onion Aplikované · 4 min čtení Publikujte onion službu bez přehlédnutí aplikace Naplánujte legitimní onion publikaci s řízeným vystavením backendu, pečlivou kontrolou obsahu, obnovou klíčů služby a výslovným modelem přístupu publika. Od SwissOctet Editorial Uložit průvodce Kopírovat odkaz NA TÉTO STRÁNCE 01 Definujte publikaci a její publikum 02 Udržujte backendový naslouchající proces záměrný 03 Zkontrolujte, co aplikace publikuje 04 Považujte identitu služby za chráněný materiál 05 Výslovně zvolte veřejný nebo omezený přístup 06 Testujte prostřednictvím připojení čtenáře 07 Čtěte možnosti hostingu jako součásti návrhu Váš praktický kontrolní seznam Zdroje a další čtení Zpět do knihovny PŘÍMÁ ODPOVĚĎ Zabezpečte aplikaci a její administrativní přístup, omezte backendový naslouchající proces, chraňte klíče onion služby a publikaci otestujte prostřednictvím kompatibilního klienta. Onion směrování je jednou vrstvou návrhu. Neodstraňuje zranitelnosti aplikace, chyby v publikovaném obsahu ani potřebu definovat, kdo má mít přístup. 01 Definujte publikaci a její publikum Začněte zákonným účelem publikování a popisem publika. Veřejná výzkumná publikace a omezený projektový portál mají různé požadavky na přístup. Rozhodněte, který obsah má být veřejný, který vyžaduje ověření aplikace a který by se nikdy neměl dostat do webového kořene. Tato rozhodnutí oddělte od přenosové cesty použité k přístupu na web. Před nasazením sepište malý datový inventář: stránky, nahrávané soubory, obsah databáze, účty správců a konfiguraci služeb. Přiřaďte vlastníka pro aktualizace a řešení incidentů. Skutečnost, že web používá adresu onion, neřeší uchovávání dat, práva k obsahu ani bezpečnostní odpovědnosti. Ty zůstávají praktickými rozhodnutími aplikace, která vyžadují výslovný provozní plán. 02 Udržujte backendový naslouchající proces záměrný Služba onion mapuje připojení na koncový bod lokální aplikace. Prověřte, kde tento koncový bod naslouchá a které další sítě se k němu mohou dostat. Průvodce nastavením Tor Projectu popisuje unixové sockety jako užitečný způsob, jak se vyhnout vystavení backendu do lokální sítě. Zvolte přístup podporovaný vaším serverem a ověřte jeho skutečnou dosažitelnost. Připojení, které funguje přes Tor, může koexistovat s neúmyslným veřejným naslouchajícím portem. Otestujte zamýšlenou přístupovou cestu i hranice kolem backendu. Vyhněte se obecným předpokladům o konfiguraci; přečtěte si nastavení naslouchání aplikace a směrování virtuálních hostitelů webového serveru. Rozhraní pro správu udržujte oddělená od veřejně zamýšlené služby a omezte, kdo může tato nastavení měnit. 03 Zkontrolujte, co aplikace publikuje Prohlédněte stránky, nahrané soubory, chybový výstup a vložené zdroje tak, jak by se s nimi setkal čtenář. Aplikace může odhalit provozní podrobnosti prostřednictvím ladicích zpráv nebo odkazovat na externí zdroje, aniž by to bylo v jejím hlavním návrhu zřejmé. Zkontrolujte generované adresy URL a metadata obsahu. Poskytujte pouze zdroje, které publikace vyžaduje, a porozumějte každému požadavku třetí strany, který spouští. U ilustrativního výzkumného webu před spuštěním zkontrolujte ukázkový článek, přílohu a kontaktní stránku. Ověřte, že soukromý redakční dokument a konfigurační soubor prostředí jsou mimo veřejný adresář. Při kontrole nahrávání používejte necitlivý testovací materiál. Úspěšné připojení onion prokazuje dosažitelnost; tato kontrola obsahu ověřuje, co služba skutečně zveřejňuje svému publiku. 04 Považujte identitu služby za chráněný materiál Konfigurace služby onion zahrnuje klíčový materiál, který musí zůstat soukromý. Uchovávejte jej mimo soubory veřejného webu a omezte přístup na operátory, kteří jej potřebují. Naplánujte, jak legitimní obnova zachová zamýšlenou identitu služby a jak by bylo řešeno kompromitování. Klíče služby neukládejte do veřejného archivu, zprávy podpory ani sdíleného projektového repozitáře. Do návrhu obnovy zahrňte aplikaci, data a požadovanou konfiguraci služeb s odpovídající ochranou pro každou z nich. Záloha samotného obsahu webu nemusí obnovit zamýšlenou adresu, zatímco kopie obsahující soukromé klíče vytváří citlivou zálohu. Zdokumentujte, kdo ji může dešifrovat a obnovit, a tento přístup otestujte, aniž byste klíče vystavili ve zprávách z cvičení. 05 Výslovně zvolte veřejný nebo omezený přístup Přihlášení do aplikace a autorizace klienta Tor jsou různé vrstvy. Tor Project dokumentuje autorizaci klienta pro to, aby přístup ke službě onion v3 závisel na pověření klienta. Rozhodněte, zda tento model odpovídá publiku a provoznímu procesu. U veřejné publikace není automaticky nutný a nenahrazuje oprávnění aplikace poté, co se klient připojí. Zvažte projektový portál s malou schválenou skupinou. Potřebujete způsob, jak soukromě distribuovat, nahrazovat a odvolávat přístupový materiál, a také spravovat účty aplikace. Otestujte odebrání autorizovaného klienta a uživatele aplikace odděleně. Následující tabulka tato opatření udržuje oddělená, místo aby slibovala, že jedno nastavení vyřeší všechny problémy s přístupem. Opatření Na jakou otázku odpovídá Oddělená odpovědnost Naslouchající backend Kdo se může dostat ke koncovému bodu lokální aplikace? Konfigurace webového serveru a sítě Autorizace klienta Kteří klienti se mohou připojit ke službě onion? Soukromá distribuce a odvolání pověření Oprávnění aplikace Co může připojený uživatel dělat? Role účtu a přístup k datům Kontrola publikování Co web zveřejňuje? Obsah, nahrávané soubory a zpracování chyb 06 Testujte prostřednictvím připojení čtenáře Pomocí kompatibilního klienta otestujte stránky, navigaci, formuláře a stahování přes zamýšlenou přístupovou cestu onion. Sledujte chyby a využití prostředků aplikace pomocí neškodného testovacího provozu. Vyhněte se měření pouze lokálního požadavku na backend, protože netestuje úplné připojení čtenáře. Testovací účty a veškerá pověření pro omezený přístup uchovávejte v soukromí. Zkontrolujte také postupy obnovy a údržby. Aktualizace aplikace by měla mít bod pro vrácení změn a způsob, jak následně ověřit cestu onion. Definujte užitečné provozní protokoly a dobu uchovávání, aniž byste předpokládali, že označení distribuce nebo přenosu vytváří zásadu nulového protokolování. Zachovejte dostatek důkazů pro diagnostiku poruch a zároveň se vyhněte zbytečnému shromažďování. 07 Čtěte možnosti hostingu jako součásti návrhu SwissOctet Veil uvádí volby aplikačního stacku, adresy onion a zálohování. Vyberte stack, který vaše software očekává, a dostatek CPU, paměti a úložiště pro danou zátěž. Předtím, než na něm budete záviset, ověřte, jak skutečná služba zvládá nasazení, identitu služby a obnovu. Švýcarské umístění v katalogu je oddělené od chování vaší aplikace z hlediska soukromí. Službu udržujte určenou pro legitimní publikování a autorizované uživatele. Naplánujte aktualizace správců, kontroly přístupu a reakci na kompromitovaná pověření aplikace. Publikace onion funguje nejlépe, když jsou obsah, vystavení backendu a obnova srozumitelné; přenos by měl tento plán podporovat, nikoli se stát výmluvou pro vynechání běžné softwarové bezpečnosti. PŘEVEĎTE TO V AKCI Váš praktický kontrolní seznam. ✓ Před nasazením definujte veřejný a omezený obsah. ✓ Ověřte skutečné vystavení naslouchajícího backendu. ✓ Zkontrolujte stránky, nahrávané soubory a požadavky na externí zdroje. ✓ Chraňte a testujte obnovu materiálu klíčů služby. ✓ Oddělte autorizaci klienta od rolí aplikace. ✓ Otestujte údržbu a cesty čtenářů přes cestu onion. Stáhnout kontrolní seznam ČASTÉ OTÁZKY Podrobnosti, na kterých záleží. Zajišťuje hostování onion samo o sobě anonymitu aplikace? + Ne. Publikovaný obsah, konfigurace, účty a provozní postupy mohou odhalit informace. Zkontrolujte celou službu, místo abyste se spoléhali na způsob připojení. Měl by každý web onion používat autorizaci klienta? + Ne. Rozhodněte se podle zamýšleného publika. Autorizace klienta omezuje přístup k připojení a přidává životní cyklus pověření; oprávnění aplikace zůstávají oddělená. Co musím chránit v záložní kopii pro obnovu? + Data webu a konfigurace vyžadují odpovídající řízení přístupu. Jakýkoli zahrnutý materiál klíčů služby je obzvláště citlivý a musí zůstat soukromý během ukládání i obnovy. PRIMÁRNÍ ZDROJE Jděte ke zdroji. Tyto zdroje podporují technické koncepty v tomto průvodci. Před změnou produkčního systému se řiďte aktuální dokumentací. Tor Project: Nastavte si službu onion community.torproject.org Tor Project: Pokročilá nastavení služby onion community.torproject.org Tor Project: Autorizace klienta community.torproject.org Redakční vedení od SwissOctet. Příklady jsou ilustrativní. Specifikace služeb, dostupné možnosti a smluvní podmínky je nutné ověřit samostatně. PROPOJTE ZNALOSTI Související infrastruktura. Veil Onion Švýcarsko Vector VPS Švýcarsko Vault Storage Švýcarsko UDRŽTE NIT Vaše další terénní poznámky. Prozkoumat všechny průvodce TERÉNNÍ POZNÁMKA / 01 + Cloud a VPS Základ Jak vybrat VPS bez hádání Proměňte nápad na aplikaci v užitečný rozpočet prostředků a porovnejte společně CPU, paměť, úložiště a přenos. 4 min čtení Přečtěte si průvodce TERÉNNÍ POZNÁMKA / 02 + Web a onion Základ Webhosting nebo VPS: zvolte práci, kterou chcete vlastnit Porovnejte požadavky aplikace, kontrolu a odpovědnosti za údržbu, místo abyste VPS považovali za automatický další krok pro každý web. 6 min čtení Přečtěte si průvodce TERÉNNÍ POZNÁMKA / 03 + Web a onion Aplikované Runbook přepnutí domény, DNS a TLS na nový server Připravte společně směrování hostname, certifikáty a rollback, aby migrace změnila server, aniž by narušila identitu webu nebo zabezpečená připojení. 4 min čtení Přečtěte si průvodce