# Publikuj usługę onion bez pomijania aplikacji | SwissOctet Insights https://swissoctet.com/pl/insights/publish-onion-service-safely/ SwissOctet / Spostrzeżenia / Web i onion Web i onion Praktyczne · 4 min czytania Opublikuj usługę onion bez pomijania aplikacji Zaplanuj legalną publikację onion z kontrolowanym eksponowaniem backendu, starannym przeglądem treści, odzyskiwaniem kluczy usługi i wyraźnym modelem dostępu odbiorców. Autor: SwissOctet Editorial Zapisz przewodnik Kopiuj link NA TEJ STRONIE 01 Zdefiniuj publikację i jej odbiorców 02 Zachowaj celowy nasłuch backendu 03 Przejrzyj, co publikuje aplikacja 04 Traktuj tożsamość usługi jako materiał chroniony 05 Wyraźnie wybierz dostęp publiczny lub ograniczony 06 Testuj przez połączenie czytelnika 07 Czytaj opcje hostingu jako części projektu Twoja praktyczna lista kontrolna Źródła i dalsza lektura Powrót do biblioteki BEZPOŚREDNIA ODPOWIEDŹ Zabezpiecz aplikację i jej dostęp administracyjny, ogranicz nasłuch backendu, chroń klucze usługi onion i testuj publikację przez zgodnego klienta. Routing onion to jedna warstwa projektu. Nie usuwa luk w aplikacji, błędów w publikowanych treściach ani potrzeby zdefiniowania, kto powinien mieć dostęp. 01 Zdefiniuj publikację i jej odbiorców Zacznij od zgodnego z prawem celu publikacji i opisu odbiorców. Publiczna publikacja badawcza i ograniczony portal projektowy mają różne wymagania dostępu. Zdecyduj, które treści mają być publiczne, które wymagają uwierzytelnienia w aplikacji, a które nigdy nie powinny trafić do katalogu głównego witryny. Trzymaj te decyzje osobno od transportu używanego do dotarcia do witryny. Przed wdrożeniem napisz niewielki inwentarz danych: strony, przesłane pliki, zawartość bazy danych, konta administratorów i konfigurację usługi. Przypisz właściciela aktualizacji i obsługi incydentów. Fakt, że witryna używa adresu onion, nie rozstrzyga o retencji, prawach do treści ani obowiązkach bezpieczeństwa. Pozostają one praktycznymi decyzjami aplikacji wymagającymi wyraźnego planu operacyjnego. 02 Zachowaj celowy nasłuch backendu Usługa onion mapuje połączenie na lokalny punkt końcowy aplikacji. Przejrzyj, gdzie ten punkt końcowy nasłuchuje i jakie inne sieci mogą do niego dotrzeć. Przewodnik konfiguracji Tor Project opisuje gniazda Unix jako przydatny sposób uniknięcia ujawniania backendu w sieci lokalnej. Wybierz podejście obsługiwane przez twój serwer i zweryfikuj jego rzeczywistą osiągalność. Połączenie działające przez Tor może współistnieć z niezamierzonym publicznym nasłuchem. Testuj zarówno zamierzoną ścieżkę dostępu, jak i granice wokół backendu. Unikaj ogólnych założeń konfiguracyjnych; przeczytaj ustawienia nasłuchu aplikacji i routing wirtualnych hostów serwera WWW. Trzymaj interfejsy zarządzania oddzielnie od publicznie zamierzonej usługi i ogranicz, kto może zmieniać te ustawienia. 03 Przejrzyj, co publikuje aplikacja Sprawdź strony, przesłane pliki, dane wyjściowe błędów i zasoby osadzone tak, jak napotkałby je czytelnik. Aplikacja może ujawniać szczegóły operacyjne w komunikatach debugowania lub linkować do zasobów zewnętrznych, co nie jest oczywiste w jej głównym projekcie. Przejrzyj generowane adresy URL i metadane treści. Udostępniaj tylko zasoby wymagane przez publikację i rozumiej wszelkie inicjowane przez nią żądania stron trzecich. W przypadku przykładowej witryny badawczej przed uruchomieniem przejrzyj przykładowy artykuł, załącznik i stronę kontaktową. Zweryfikuj, że prywatny dokument redakcyjny i plik środowiskowy znajdują się poza katalogiem publicznym. Do sprawdzania przesłanych plików używaj niepoufnych materiałów testowych. Udane połączenie onion dowodzi osiągalności; ten przegląd treści sprawdza, co usługa faktycznie ujawnia swoim odbiorcom. 04 Traktuj tożsamość usługi jako materiał chroniony Konfiguracja usługi onion obejmuje materiał klucza, który musi pozostać prywatny. Trzymaj go poza publicznymi plikami witryny i ogranicz dostęp do operatorów, którzy go potrzebują. Zaplanuj, jak zgodne z prawem odzyskiwanie zachowa zamierzoną tożsamość usługi i jak zostanie obsłużone naruszenie. Nie umieszczaj kluczy usługi w publicznym archiwum, wiadomości pomocy technicznej ani współdzielonym repozytorium projektu. Uwzględnij w projekcie odzyskiwania aplikację, dane i wymaganą konfigurację usługi, z odpowiednią ochroną każdego elementu. Kopia zapasowa samych treści witryny może nie przywrócić zamierzonego adresu, a kopia zawierająca klucze prywatne tworzy wrażliwą kopię zapasową. Udokumentuj, kto może ją odszyfrować i przywrócić, oraz przetestuj ten dostęp bez ujawniania kluczy w raportach z ćwiczeń. 05 Wyraźnie wybierz dostęp publiczny lub ograniczony Logowanie do aplikacji i autoryzacja klienta Tor to różne warstwy. Tor Project dokumentuje autoryzację klientów, która uzależnia dostęp do usługi onion v3 od poświadczenia klienta. Zdecyduj, czy ten model pasuje do odbiorców i procesu operacyjnego. Nie jest on automatycznie potrzebny w przypadku publikacji publicznej i nie zastępuje uprawnień aplikacji po połączeniu klienta. Rozważ portal projektowy z niewielką zatwierdzoną grupą. Potrzebujesz sposobu na prywatne dystrybuowanie, wymianę i unieważnianie materiału dostępu, a także zarządzanie kontami aplikacji. Przetestuj osobno usunięcie autoryzowanego klienta i użytkownika aplikacji. Poniższa tabela utrzymuje te kontrole jako odrębne, zamiast obiecywać, że jedno ustawienie rozwiązuje każdy problem z dostępem. Kontrola Pytanie, na które odpowiada Odrębna odpowiedzialność Nasłuch backendu Kto może dotrzeć do lokalnego punktu końcowego aplikacji? Konfiguracja serwera WWW i sieci Autoryzacja klienta Którzy klienci mogą połączyć się z usługą onion? Prywatna dystrybucja i unieważnianie poświadczeń Uprawnienia aplikacji Co może zrobić połączony użytkownik? Role kont i dostęp do danych Przegląd publikacji Co ujawnia witryna? Treści, przesłane pliki i obsługa błędów 06 Testuj przez połączenie czytelnika Użyj zgodnego klienta, aby przetestować strony, nawigację, formularze i pobieranie przez zamierzoną ścieżkę dostępu onion. Obserwuj błędy i zużycie zasobów aplikacji przy nieszkodliwym ruchu testowym. Unikaj mierzenia wyłącznie lokalnego żądania backendu, ponieważ nie obejmuje ono pełnego połączenia czytelnika. Trzymaj konta testowe i wszelkie poświadczenia dostępu ograniczonego w poufności. Sprawdź także procedury odzyskiwania i konserwacji. Aktualizacja aplikacji powinna mieć punkt wycofania i sposób późniejszej walidacji trasy onion. Zdefiniuj przydatne dzienniki operacyjne i retencję, nie zakładając, że etykieta dystrybucji lub transportu tworzy politykę zerowych dzienników. Zachowaj wystarczające dowody do diagnozowania usterek, unikając niepotrzebnego zbierania danych. 07 Czytaj opcje hostingu jako części projektu SwissOctet Veil wymienia wybory stosu aplikacji, adresu onion i kopii zapasowych. Wybierz stos, którego oczekuje twoje oprogramowanie, oraz wystarczającą ilość CPU, pamięci i przestrzeni dyskowej dla obciążenia. Potwierdź, jak rzeczywista usługa obsługuje wdrożenie, tożsamość usługi i przywracanie, zanim zaczniesz na niej polegać. Szwajcarska lokalizacja w katalogu jest odrębna od zachowania prywatności twojej aplikacji. Utrzymuj usługę przeznaczoną do zgodnego z prawem publikowania i autoryzowanych użytkowników. Zaplanuj aktualizacje administratorów, przeglądy dostępu i reakcję na naruszone poświadczenia aplikacji. Publikacja onion działa najlepiej, gdy treści, ekspozycja backendu i odzyskiwanie są zrozumiałe; transport powinien wspierać ten plan, a nie stawać się wymówką do pomijania zwykłego bezpieczeństwa oprogramowania. ZAMIEŃ TO W DZIAŁANIE Twoja praktyczna lista kontrolna. ✓ Zdefiniuj treści publiczne i ograniczone przed wdrożeniem. ✓ Zweryfikuj rzeczywistą ekspozycję nasłuchu backendu. ✓ Przejrzyj strony, przesłane pliki i żądania zasobów zewnętrznych. ✓ Chroń i testuj odzyskiwanie materiału klucza usługi. ✓ Oddziel autoryzację klienta od ról aplikacji. ✓ Testuj konserwację i ścieżki czytelnika przez trasę onion. Pobierz listę kontrolną CZĘSTE PYTANIA Szczegóły, które mają znaczenie. Czy hosting onion sam w sobie czyni aplikację anonimową? + Nie. Publikowane treści, konfiguracja, konta i praktyki operacyjne mogą ujawniać informacje. Przejrzyj całą usługę, zamiast polegać na metodzie połączenia. Czy każda witryna onion powinna używać autoryzacji klienta? + Nie. Zdecyduj na podstawie docelowych odbiorców. Autoryzacja klienta ogranicza dostęp do połączenia i dodaje cykl życia poświadczeń; uprawnienia aplikacji pozostają odrębne. Co muszę chronić w kopii odzyskiwania? + Dane witryny i konfiguracja wymagają odpowiednich kontroli dostępu. Wszelkie zawarte materiały kluczy usług są szczególnie wrażliwe i muszą pozostać prywatne podczas przechowywania i przywracania. GŁÓWNE ŹRÓDŁA Przejdź do źródła. Te źródła wspierają koncepcje techniczne w tym przewodniku. Przed zmianą systemu produkcyjnego zapoznaj się z aktualną dokumentacją. Tor Project: Skonfiguruj swoją usługę onion community.torproject.org Tor Project: Zaawansowane ustawienia usługi onion community.torproject.org Tor Project: Autoryzacja klienta community.torproject.org Wskazówki redakcyjne SwissOctet. Przykłady są ilustracyjne. Specyfikacje usług, dostępne opcje i warunki umowne należy zweryfikować osobno. POŁĄCZ WIEDZĘ Powiązana infrastruktura. Veil Onion Szwajcaria Vector VPS Szwajcaria Vault Storage Szwajcaria ZACHOWAJ WĄTEK Twoje następne notatki z terenu. Poznaj wszystkie przewodniki NOTATKA Z TERENU / 01 + Chmura i VPS Podstawy Jak wybrać VPS bez zgadywania Zamień pomysł na aplikację w użyteczny budżet zasobów, a następnie porównaj CPU, pamięć, storage i transfer razem. 4 min czytania Przeczytaj przewodnik NOTATKA Z TERENU / 02 + Web i onion Podstawy Hosting webowy lub VPS: wybierz pracę, którą chcesz wziąć na siebie Porównaj wymagania aplikacji, kontrolę i obowiązki utrzymaniowe, zamiast traktować VPS jako automatyczny następny krok dla każdej witryny. 6 min czytania Przeczytaj przewodnik NOTATKA Z TERENU / 03 + Web i onion Praktyczne Runbook przełączenia domeny, DNS i TLS dla nowego serwera Przygotuj razem routing nazw hostów, certyfikaty i wycofanie, aby migracja zmieniła serwer bez psucia tożsamości witryny ani bezpiecznych połączeń. 4 min czytania Przeczytaj przewodnik