# Veröffentlichen Sie einen Onion-Dienst, ohne die Anwendung zu übersehen | SwissOctet Insights https://swissoctet.com/de/insights/publish-onion-service-safely/ SwissOctet / Einblicke / Web & Onion Web & Onion Angewandt · 4 Min. Lesezeit Einen Onion-Dienst veröffentlichen, ohne die Anwendung zu übersehen Planen Sie eine legitime Onion-Veröffentlichung mit kontrollierter Backend-Exposition, sorgfältiger Inhaltsprüfung, Wiederherstellung der Dienstschlüssel und einem ausdrücklichen Modell für den Publikumszugang. Von SwissOctet Editorial Leitfaden speichern Link kopieren AUF DIESER SEITE 01 Definieren Sie die Veröffentlichung und ihr Publikum 02 Halten Sie den Backend-Listener bewusst 03 Überprüfen Sie, was die Anwendung veröffentlicht 04 Behandeln Sie die Dienstidentität als geschütztes Material 05 Wählen Sie öffentlichen oder eingeschränkten Zugriff explizit 06 Testen Sie über die Verbindung des Lesers 07 Lesen Sie Hosting-Optionen als Teile des Designs Ihre praktische Checkliste Quellen & weiterführende Literatur Zurück zur Bibliothek DIE DIREKTE ANTWORT Sichern Sie die Anwendung und ihren administrativen Zugriff, beschränken Sie den Backend-Listener, schützen Sie Onion-Dienstschlüssel und testen Sie die Veröffentlichung über einen kompatiblen Client. Onion-Routing ist eine Ebene des Designs. Es beseitigt keine Anwendungsschwachstellen, Fehler in veröffentlichten Inhalten oder die Notwendigkeit zu definieren, wer Zugriff haben sollte. 01 Definieren Sie die Veröffentlichung und ihr Publikum Beginnen Sie mit einem rechtmäßigen Veröffentlichungszweck und einer Beschreibung der Zielgruppe. Eine öffentliche Forschungsveröffentlichung und ein eingeschränktes Projektportal haben unterschiedliche Zugriffsanforderungen. Legen Sie fest, welche Inhalte öffentlich sein sollen, welche eine Anwendungsauthentifizierung erfordern und welche niemals ins Web-Root gelangen dürfen. Halten Sie diese Entscheidungen getrennt vom Transportweg, über den die Website erreicht wird. Erstellen Sie vor dem Deployment ein kleines Dateninventar: Seiten, Uploads, Datenbankinhalte, Administratorkonten und Dienstkonfiguration. Weisen Sie einen Verantwortlichen für Aktualisierungen und Incident-Behandlung zu. Die Tatsache, dass eine Website eine Onion-Adresse verwendet, klärt weder Aufbewahrung, Inhaltsrechte noch Sicherheitsverantwortlichkeiten. Diese bleiben praktische Anwendungsentscheidungen, die einen expliziten Betriebsplan erfordern. 02 Halten Sie den Backend-Listener bewusst Ein Onion-Dienst ordnet eine Verbindung einem lokalen Anwendungsendpunkt zu. Prüfen Sie, wo dieser Endpunkt lauscht und welche anderen Netzwerke ihn erreichen können. Der Einrichtungsleitfaden des Tor Project beschreibt Unix-Sockets als nützliche Möglichkeit, das Backend nicht in einem lokalen Netzwerk offenzulegen. Wählen Sie einen Ansatz, den Ihr Server unterstützt, und überprüfen Sie dessen tatsächliche Erreichbarkeit. Eine Verbindung, die über Tor funktioniert, kann mit einem unbeabsichtigten öffentlichen Listener koexistieren. Testen Sie sowohl den vorgesehenen Zugriffspfad als auch die Grenzen um das Backend. Vermeiden Sie allgemeine Konfigurationsannahmen; lesen Sie die Lauscheinstellungen der Anwendung und das Virtual-Host-Routing des Webservers. Halten Sie Verwaltungsschnittstellen getrennt vom öffentlich vorgesehenen Dienst und beschränken Sie, wer diese Einstellungen ändern darf. 03 Überprüfen Sie, was die Anwendung veröffentlicht Prüfen Sie Seiten, hochgeladene Dateien, Fehlerausgaben und eingebettete Ressourcen so, wie ein Leser ihnen begegnen würde. Eine Anwendung kann Betriebsdetails durch Debug-Meldungen preisgeben oder auf externe Ressourcen verlinken, ohne dass dies im Hauptdesign offensichtlich ist. Überprüfen Sie generierte URLs und Inhaltsmetadaten. Stellen Sie nur die Ressourcen bereit, die die Veröffentlichung erfordert, und verstehen Sie jede Drittanbieter-Anfrage, die sie auslöst. Prüfen Sie für eine beispielhafte Forschungswebsite vor dem Start einen Beispielartikel, einen Anhang und eine Kontaktseite. Vergewissern Sie sich, dass ein privates Redaktionsdokument und eine Umgebungsdatei außerhalb des öffentlichen Verzeichnisses liegen. Verwenden Sie beim Prüfen von Uploads unkritische Testmaterialien. Eine erfolgreiche Onion-Verbindung beweist die Erreichbarkeit; diese Inhaltsprüfung kontrolliert, was der Dienst seinem Publikum tatsächlich offenlegt. 04 Behandeln Sie die Dienstidentität als geschütztes Material Die Onion-Dienstkonfiguration enthält Schlüsselmaterial, das privat bleiben muss. Halten Sie es außerhalb öffentlicher Website-Dateien und beschränken Sie den Zugriff auf die Betreiber, die es benötigen. Planen Sie, wie eine legitime Wiederherstellung die vorgesehene Dienstidentität bewahrt und wie eine Kompromittierung behandelt würde. Legen Sie Dienstschlüssel nicht in einem öffentlichen Archiv, einer Supportnachricht oder einem gemeinsam genutzten Projekt-Repository ab. Beziehen Sie die Anwendung, die Daten und die erforderliche Dienstkonfiguration in das Wiederherstellungsdesign ein, jeweils mit angemessenem Schutz. Eine Sicherung nur der Website-Inhalte stellt möglicherweise nicht die vorgesehene Adresse wieder her, während eine Kopie mit privaten Schlüsseln eine sensible Sicherung darstellt. Dokumentieren Sie, wer sie entschlüsseln und wiederherstellen darf, und testen Sie diesen Zugriff, ohne die Schlüssel in Übungsberichten offenzulegen. 05 Wählen Sie öffentlichen oder eingeschränkten Zugriff explizit Anmeldung an der Anwendung und Tor-Client-Autorisierung sind unterschiedliche Schichten. Das Tor Project dokumentiert die Client-Autorisierung, um den Zugang zu einem v3-Onion-Dienst von einem Client-Anmeldeinformationsnachweis abhängig zu machen. Entscheiden Sie, ob dieses Modell zur Zielgruppe und zum Betriebsprozess passt. Für eine öffentliche Veröffentlichung ist es nicht automatisch erforderlich und ersetzt nicht die Berechtigungen der Anwendung, sobald ein Client verbunden ist. Betrachten Sie ein Projektportal mit einer kleinen genehmigten Gruppe. Sie benötigen eine Möglichkeit, Zugriffsmaterial privat zu verteilen, zu ersetzen und zu widerrufen sowie Anwendungskonten zu verwalten. Testen Sie die Entfernung eines autorisierten Clients und eines Anwendungsbenutzers getrennt. Die folgende Tabelle hält diese Kontrollen getrennt, statt zu versprechen, dass eine Einstellung jedes Zugriffsproblem löst. Kontrolle Beantwortete Frage Getrennte Verantwortlichkeit Backend-Listener Wer kann den lokalen Anwendungsendpunkt erreichen? Webserver- und Netzwerkkonfiguration Client-Autorisierung Welche Clients dürfen sich mit dem Onion-Dienst verbinden? Private Verteilung und Widerrufung von Anmeldeinformationen Anwendungsberechtigungen Was darf ein verbundener Benutzer tun? Kontorollen und Datenzugriff Veröffentlichungsprüfung Was legt die Website offen? Inhalte, Uploads und Fehlerbehandlung 06 Testen Sie über die Verbindung des Lesers Testen Sie mit einem kompatiblen Client Seiten, Navigation, Formulare und Downloads über den vorgesehenen Onion-Zugriffspfad. Beobachten Sie Fehler und Anwendungsressourcenverbrauch mit harmlosem Testverkehr. Messen Sie nicht nur eine lokale Backend-Anfrage, denn diese bildet nicht die vollständige Verbindung des Lesers ab. Halten Sie Testkonten und alle Anmeldeinformationen für eingeschränkten Zugriff privat. Prüfen Sie auch Wiederherstellungs- und Wartungsverfahren. Eine Anwendungsaktualisierung sollte einen Rollback-Punkt und eine Möglichkeit haben, die Onion-Route danach zu validieren. Definieren Sie nützliche Betriebsprotokolle und Aufbewahrung, ohne anzunehmen, dass ein Distributions- oder Transportlabel eine Null-Protokoll-Richtlinie erzeugt. Bewahren Sie genügend Nachweise auf, um Fehler zu diagnostizieren, und vermeiden Sie unnötige Erfassung. 07 Lesen Sie Hosting-Optionen als Teile des Designs SwissOctet Veil listet Anwendungs-Stack-, Onion-Adress- und Sicherungsoptionen auf. Wählen Sie den Stack, den Ihre Software erwartet, und genügend CPU, Arbeitsspeicher und Speicher für die Arbeitslast. Bestätigen Sie, wie der tatsächliche Dienst Deployment, Dienstidentität und Wiederherstellung handhabt, bevor Sie sich darauf verlassen. Der Schweizer Standort des Katalogs ist getrennt vom Datenschutzverhalten Ihrer Anwendung. Halten Sie den Dienst für legitime Veröffentlichungen und autorisierte Benutzer bestimmt. Planen Sie Administratoraktualisierungen, Zugriffsüberprüfungen und eine Reaktion auf kompromittierte Anwendungsanmeldeinformationen. Eine Onion-Veröffentlichung funktioniert am besten, wenn Inhalte, Backend-Exposition und Wiederherstellung verständlich sind; der Transport sollte diesen Plan unterstützen, statt als Ausrede zu dienen, gewöhnliche Software-Sicherheit zu überspringen. MACHEN SIE ES ZU HANDLUNG Ihre praktische Checkliste. ✓ Definieren Sie öffentliche und eingeschränkte Inhalte vor dem Deployment. ✓ Überprüfen Sie die tatsächliche Exposition des Backend-Listeners. ✓ Prüfen Sie Seiten, Uploads und externe Ressourcenanfragen. ✓ Schützen und testen Sie die Wiederherstellung von Dienstschlüsselmaterial. ✓ Trennen Sie Client-Autorisierung von Anwendungsrollen. ✓ Testen Sie Wartung und Leserreisen über den Onion-Pfad. Checkliste herunterladen HÄUFIGE FRAGEN Die Details, die zählen. Macht Onion-Hosting eine Anwendung von selbst anonym? + Nein. Veröffentlichte Inhalte, Konfiguration, Konten und Betriebspraktiken können Informationen preisgeben. Prüfen Sie den gesamten Dienst, statt sich auf die Verbindungsmethode zu verlassen. Sollte jede Onion-Website Client-Autorisierung verwenden? + Nein. Entscheiden Sie anhand der vorgesehenen Zielgruppe. Client-Autorisierung beschränkt den Verbindungszugriff und fügt einen Lebenszyklus für Anmeldeinformationen hinzu; Anwendungsberechtigungen bleiben getrennt. Was muss ich in einer Wiederherstellungskopie schützen? + Website-Daten und Konfiguration benötigen angemessene Zugriffskontrollen. Enthaltenes Dienstschlüsselmaterial ist besonders sensibel und muss während Speicherung und Wiederherstellung privat bleiben. PRIMÄRE REFERENZEN Gehen Sie zur Quelle. Diese Referenzen unterstützen die technischen Konzepte in diesem Leitfaden. Folgen Sie der aktuellen Dokumentation, bevor Sie ein Produktionssystem ändern. Tor Project: Ihren Onion-Dienst einrichten community.torproject.org Tor Project: Erweiterte Onion-Dienst-Einstellungen community.torproject.org Tor Project: Client-Autorisierung community.torproject.org Redaktionelle Beratung durch SwissOctet. Beispiele sind illustrativ. Servicespezifikationen, verfügbare Optionen und vertragliche Bedingungen müssen separat überprüft werden. VERBINDEN SIE DAS WISSEN Verwandte Infrastruktur. Veil Onion Schweiz Vector VPS Schweiz Vault Storage Schweiz HALTEN SIE DEN FADEN Ihre nächsten Feldnotizen. Alle Leitfäden entdecken FELDNOTIZ / 01 + Cloud & VPS Grundlagen Wie man einen VPS ohne Raten wählt Verwandeln Sie eine Anwendungsidee in ein nützliches Ressourcenbudget und vergleichen Sie dann CPU, Speicher, Storage und Transfer gemeinsam. 4 Min. Lesezeit Den Leitfaden lesen FELDNOTIZ / 02 + Web & Onion Grundlagen Webhosting oder eine VPS: Wählen Sie die Arbeit, die Sie übernehmen möchten Vergleichen Sie Anwendungsanforderungen, Kontrolle und Wartungsverantwortlichkeiten, statt eine VPS als automatischen nächsten Schritt für jede Website zu behandeln. 6 Min. Lesezeit Den Leitfaden lesen FELDNOTIZ / 03 + Web & Onion Angewandt Ein Cutover-Runbook für Domain, DNS und TLS für einen neuen Server Bereiten Sie Hostname-Routing, Zertifikate und Rollback gemeinsam vor, damit eine Migration den Server ändert, ohne die Identität der Website oder sichere Verbindungen zu beeinträchtigen. 4 Min. Lesezeit Den Leitfaden lesen