# Publique um serviço onion sem descurar a aplicação | SwissOctet Insights https://swissoctet.com/pt/insights/publish-onion-service-safely/ SwissOctet / Informações / Web e onion Web e onion Aplicado · 4 min de leitura Publicar um serviço onion sem descurar a aplicação Planeie uma publicação onion legítima com exposição controlada do backend, revisão cuidadosa de conteúdo, recuperação de chaves de serviço e um modelo explícito de acesso do público. Por SwissOctet Editorial Guardar guia Copiar ligação NESTA PÁGINA 01 Defina a publicação e o seu público 02 Mantenha o serviço de escuta do backend deliberado 03 Reveja o que a aplicação publica 04 Trate a identidade do serviço como material protegido 05 Escolha explicitamente entre acesso público ou restrito 06 Teste através da ligação do leitor 07 Leia as opções de alojamento como partes do design A sua lista de verificação prática Fontes e leitura adicional Voltar à biblioteca A RESPOSTA DIRETA Proteja a aplicação e o seu acesso administrativo, limite o serviço de escuta do backend, proteja as chaves do serviço onion e teste a publicação através de um cliente compatível. O encaminhamento onion é uma camada do design. Não elimina vulnerabilidades da aplicação, erros no conteúdo publicado nem a necessidade de definir quem deve ter acesso. 01 Defina a publicação e o seu público Comece com um propósito de publicação lícito e uma descrição do público. Uma publicação de investigação pública e um portal de projeto restrito têm requisitos de acesso diferentes. Decida que conteúdo se destina a ser público, que conteúdo necessita de autenticação da aplicação e que conteúdo nunca deve chegar à raiz web. Mantenha essas decisões separadas do transporte utilizado para chegar ao site. Escreva um pequeno inventário de dados antes da implementação: páginas, carregamentos, conteúdo da base de dados, contas de administrador e configuração do serviço. Atribua um responsável pelas atualizações e pelo tratamento de incidentes. O facto de um site utilizar um endereço onion não resolve a retenção, os direitos sobre o conteúdo nem as responsabilidades de segurança. Essas continuam a ser decisões práticas da aplicação que exigem um plano operacional explícito. 02 Mantenha o serviço de escuta do backend deliberado Um serviço onion mapeia uma ligação para um endpoint local da aplicação. Reveja onde esse endpoint escuta e que outras redes o conseguem alcançar. O guia de configuração do Tor Project descreve os sockets Unix como uma forma útil de evitar expor o backend a uma rede local. Escolha uma abordagem suportada pelo seu servidor e verifique a sua acessibilidade real. Uma ligação que funciona através do Tor pode coexistir com um serviço de escuta público não intencional. Teste tanto o caminho de acesso pretendido como os limites em torno do backend. Evite pressupostos genéricos de configuração; leia as definições de escuta da aplicação e o encaminhamento de virtual hosts do servidor web. Mantenha as interfaces de gestão distintas do serviço destinado ao público e restrinja quem pode alterar essas definições. 03 Reveja o que a aplicação publica Inspecione páginas, ficheiros carregados, saída de erros e recursos incorporados tal como um leitor os encontraria. Uma aplicação pode revelar detalhes operacionais através de mensagens de depuração ou ligar a recursos externos sem que isso seja óbvio no seu design principal. Reveja os URLs gerados e os metadados do conteúdo. Sirva apenas os recursos de que a publicação necessita e compreenda qualquer pedido a terceiros que inicie. Para um site de investigação ilustrativo, reveja um artigo de exemplo, um anexo e uma página de contacto antes do lançamento. Verifique que um documento editorial privado e um ficheiro de ambiente estão fora do diretório público. Utilize material de teste não sensível ao verificar carregamentos. Uma ligação onion bem-sucedida prova a acessibilidade; esta revisão de conteúdo verifica o que o serviço realmente divulga ao seu público. 04 Trate a identidade do serviço como material protegido A configuração do serviço onion inclui material de chave que deve permanecer privado. Mantenha-o fora dos ficheiros públicos do site e limite o acesso aos operadores que dele necessitam. Planeie como uma recuperação legítima preserva a identidade pretendida do serviço e como seria tratado um comprometimento. Não coloque chaves de serviço num arquivo público, numa mensagem de suporte ou num repositório de projeto partilhado. Inclua a aplicação, os dados e a configuração de serviço necessária no design de recuperação, com proteção adequada para cada um. Uma cópia de segurança apenas do conteúdo do site pode não restaurar o endereço pretendido, enquanto uma cópia que contenha chaves privadas cria uma cópia de segurança sensível. Documente quem pode desencriptá-la e restaurá-la e teste esse acesso sem expor as chaves em relatórios de exercícios. 05 Escolha explicitamente entre acesso público ou restrito O início de sessão na aplicação e a autorização do cliente Tor são camadas diferentes. O Tor Project documenta a autorização de clientes para tornar o acesso a um serviço onion v3 dependente de uma credencial de cliente. Decida se esse modelo se adequa ao público e ao processo operacional. Não é automaticamente necessário para uma publicação pública e não substitui as permissões da aplicação depois de um cliente se ligar. Considere um portal de projeto com um pequeno grupo aprovado. Necessita de uma forma de distribuir, substituir e revogar material de acesso de forma privada, bem como de gerir contas da aplicação. Teste a remoção de um cliente autorizado e de um utilizador da aplicação separadamente. A tabela seguinte mantém estes controlos distintos em vez de prometer que uma única definição resolve todos os problemas de acesso. Controlo Pergunta a que responde Responsabilidade separada Serviço de escuta do backend Quem pode alcançar o endpoint local da aplicação? Configuração do servidor web e da rede Autorização de clientes Que clientes podem ligar-se ao serviço onion? Distribuição e revogação de credenciais privadas Permissões da aplicação O que pode fazer um utilizador ligado? Funções de conta e acesso a dados Revisão da publicação O que divulga o site? Conteúdo, carregamentos e tratamento de erros 06 Teste através da ligação do leitor Utilize um cliente compatível para testar páginas, navegação, formulários e transferências através do caminho de acesso onion pretendido. Observe erros e utilização de recursos da aplicação com tráfego de teste inofensivo. Evite medir apenas um pedido local ao backend, porque isso não exercita a ligação completa do leitor. Mantenha privadas as contas de teste e quaisquer credenciais de acesso restrito. Verifique também os procedimentos de recuperação e manutenção. Uma atualização da aplicação deve ter um ponto de reversão e uma forma de validar a rota onion posteriormente. Defina registos operacionais úteis e a respetiva retenção sem assumir que uma etiqueta de distribuição ou transporte cria uma política de zero registos. Preserve evidência suficiente para diagnosticar falhas, evitando a recolha desnecessária. 07 Leia as opções de alojamento como partes do design SwissOctet Veil lista opções de stack de aplicação, endereço onion e cópia de segurança. Selecione a stack que o seu software espera e CPU, memória e armazenamento suficientes para a carga de trabalho. Confirme como o serviço real trata a implementação, a identidade do serviço e o restauro antes de depender dele. A localização suíça do catálogo é separada do comportamento de privacidade da sua aplicação. Mantenha o serviço destinado a publicação legítima e a utilizadores autorizados. Planeie atualizações de administrador, revisões de acesso e uma resposta a credenciais de aplicação comprometidas. Uma publicação onion funciona melhor quando o conteúdo, a exposição do backend e a recuperação são compreensíveis; o transporte deve apoiar esse plano em vez de se tornar uma desculpa para ignorar a segurança de software comum. TRANSFORME ISTO EM AÇÃO A sua lista de verificação prática. ✓ Defina o conteúdo público e restrito antes da implementação. ✓ Verifique a exposição real do serviço de escuta do backend. ✓ Reveja páginas, carregamentos e pedidos a recursos externos. ✓ Proteja e teste a recuperação do material de chaves do serviço. ✓ Separe a autorização de clientes das funções da aplicação. ✓ Teste a manutenção e os percursos do leitor através do caminho onion. Descarregar lista de verificação PERGUNTAS FREQUENTES Os detalhes que importam. O alojamento onion torna uma aplicação anónima por si só? + Não. O conteúdo publicado, a configuração, as contas e as práticas operacionais podem revelar informações. Reveja todo o serviço em vez de confiar no método de ligação. Todos os sites onion devem utilizar autorização de clientes? + Não. Decida com base no público pretendido. A autorização de clientes restringe o acesso à ligação e acrescenta um ciclo de vida de credenciais; as permissões da aplicação permanecem separadas. O que devo proteger numa cópia de recuperação? + Os dados do site e a configuração necessitam de controlos de acesso adequados. Qualquer material de chaves de serviço incluído é especialmente sensível e deve permanecer privado durante o armazenamento e o restauro. REFERÊNCIAS PRIMÁRIAS Vá à fonte. Estas referências sustentam os conceitos técnicos deste guia. Siga a documentação atual antes de alterar um sistema de produção. Tor Project: Configure o seu serviço onion community.torproject.org Tor Project: Definições avançadas do serviço onion community.torproject.org Tor Project: Autorização de clientes community.torproject.org Orientação editorial da SwissOctet. Os exemplos são ilustrativos. As especificações de serviço, as opções disponíveis e as condições contratuais devem ser verificadas separadamente. LIGUE O CONHECIMENTO Infraestrutura relacionada. Veil Onion Suíça Vector VPS Suíça Vault Storage Suíça MANTENHA O FIO As suas próximas notas de campo. Explore todos os guias NOTA DE CAMPO / 01 + Cloud e VPS Fundação Como escolher um VPS sem adivinhar Transforme uma ideia de aplicação num orçamento de recursos útil e compare depois CPU, memória, armazenamento e transferência em conjunto. 4 min de leitura Leia o guia NOTA DE CAMPO / 02 + Web e onion Fundação Alojamento web ou um VPS: escolha o trabalho que quer assumir Compare os requisitos da aplicação, o controlo e as responsabilidades de manutenção, em vez de tratar um VPS como o passo seguinte automático para todos os sites. 6 min de leitura Leia o guia NOTA DE CAMPO / 03 + Web e onion Aplicado Um manual de transição de domínio, DNS e TLS para um novo servidor Prepare o encaminhamento de nomes de anfitrião, certificados e reversão em conjunto, para que uma migração mude o servidor sem quebrar a identidade do site nem as ligações seguras. 4 min de leitura Leia o guia