# Публикуйте onion-сервис, не упуская из виду приложение | SwissOctet Insights https://swissoctet.com/ru/insights/publish-onion-service-safely/ SwissOctet / Аналитика / Веб и onion Веб и onion Прикладное · 4 мин чтения Опубликуйте onion-сервис, не упуская из виду приложение Спланируйте законную onion-публикацию с контролируемым раскрытием бэкенда, тщательной проверкой содержимого, восстановлением ключей сервиса и явной моделью доступа аудитории. От редакции SwissOctet Сохранить руководство Скопировать ссылку НА ЭТОЙ СТРАНИЦЕ 01 Определите публикацию и её аудиторию 02 Настройте прослушивание бэкенда осознанно 03 Проверьте, что публикует приложение 04 Относитесь к идентичности службы как к защищённому материалу 05 Явно выберите публичный или ограниченный доступ 06 Тестируйте через соединение читателя 07 Рассматривайте варианты хостинга как части архитектуры Ваш практический чек-лист Источники и дополнительное чтение Назад в библиотеку ПРЯМОЙ ОТВЕТ Защитите приложение и его административный доступ, ограничьте прослушивание бэкенда, защитите ключи onion-службы и протестируйте публикацию через совместимый клиент. Onion-маршрутизация — это один слой архитектуры. Она не устраняет уязвимости приложений, ошибки в опубликованном контенте или необходимость определить, у кого должен быть доступ. 01 Определите публикацию и её аудиторию Начните с законной цели публикации и описания аудитории. Публичная исследовательская публикация и портал проекта с ограниченным доступом имеют разные требования к доступу. Решите, какой контент предназначен для публичного доступа, какой требует аутентификации в приложении и какой вообще не должен попадать в веб-корень. Держите эти решения отдельно от транспорта, используемого для доступа к сайту. Составьте небольшой реестр данных перед развёртыванием: страницы, загрузки, содержимое базы данных, учётные записи администраторов и конфигурацию службы. Назначьте ответственного за обновления и обработку инцидентов. Тот факт, что сайт использует onion-адрес, не решает вопросы хранения, прав на контент или обязанностей по безопасности. Это остаётся практическими решениями приложения, требующими явного операционного плана. 02 Настройте прослушивание бэкенда осознанно Onion-служба сопоставляет соединение с локальной конечной точкой приложения. Проверьте, где прослушивает эта конечная точка и какие другие сети могут до неё добраться. В руководстве по настройке Tor Project описывает Unix-сокеты как полезный способ избежать раскрытия бэкенда в локальной сети. Выберите подход, поддерживаемый вашим сервером, и проверьте его фактическую доступность. Соединение, работающее через Tor, может сосуществовать с непреднамеренным публичным прослушиванием. Проверьте как предполагаемый путь доступа, так и границы вокруг бэкенда. Избегайте общих предположений о конфигурации; изучите настройки прослушивания приложения и маршрутизацию виртуальных хостов веб-сервера. Держите интерфейсы управления отдельно от публично предназначенной службы и ограничьте, кто может менять эти настройки. 03 Проверьте, что публикует приложение Изучите страницы, загруженные файлы, вывод ошибок и встроенные ресурсы так, как их увидит читатель. Приложение может раскрыть операционные детали через отладочные сообщения или ссылаться на внешние ресурсы, что неочевидно в его основном дизайне. Проверьте генерируемые URL и метаданные контента. Предоставляйте только те ресурсы, которые требуются публикации, и понимайте, какие сторонние запросы она инициирует. Для иллюстративного исследовательского сайта проверьте образец статьи, вложение и страницу контактов перед запуском. Убедитесь, что приватный редакционный документ и файл окружения находятся вне публичного каталога. Используйте неконфиденциальный тестовый материал при проверке загрузок. Успешное onion-соединение доказывает доступность; эта проверка контента показывает, что служба фактически раскрывает своей аудитории. 04 Относитесь к идентичности службы как к защищённому материалу Конфигурация onion-службы включает ключевой материал, который должен оставаться приватным. Держите его вне публичных файлов сайта и ограничьте доступ операторами, которым он необходим. Спланируйте, как законное восстановление сохранит предполагаемую идентичность службы и как будет обрабатываться компрометация. Не помещайте ключи службы в публичный архив, сообщение поддержки или общий репозиторий проекта. Включите приложение, данные и необходимую конфигурацию службы в план восстановления с соответствующей защитой для каждого. Резервная копия только содержимого сайта может не восстановить нужный адрес, а копия, содержащая приватные ключи, создаёт конфиденциальную резервную копию. Задокументируйте, кто может расшифровать и восстановить её, и проверьте этот доступ, не раскрывая ключи в отчётах об учениях. 05 Явно выберите публичный или ограниченный доступ Вход в приложение и авторизация клиента Tor — это разные слои. Tor Project документирует авторизацию клиентов, позволяющую сделать доступ к onion-службе v3 зависимым от учётных данных клиента. Решите, подходит ли эта модель аудитории и операционному процессу. Она не требуется автоматически для публичной публикации и не заменяет разрешения приложения после подключения клиента. Рассмотрите портал проекта с небольшой одобренной группой. Вам нужен способ приватно распространять, заменять и отзывать доступ, а также управлять учётными записями приложения. Проверьте отдельно удаление авторизованного клиента и пользователя приложения. Следующая таблица разграничивает эти средства контроля, а не обещает, что одна настройка решит все проблемы доступа. Средство контроля На какой вопрос отвечает Разделение ответственности Прослушивание бэкенда Кто может достичь локальной конечной точки приложения? Конфигурация веб-сервера и сети Авторизация клиента Какие клиенты могут подключаться к onion-службе? Приватное распространение и отзыв учётных данных Разрешения приложения Что может делать подключённый пользователь? Роли учётных записей и доступ к данным Проверка публикации Что раскрывает сайт? Контент, загрузки и обработка ошибок 06 Тестируйте через соединение читателя Используйте совместимый клиент для проверки страниц, навигации, форм и загрузок через предполагаемый путь onion-доступа. Наблюдайте за ошибками и использованием ресурсов приложения с помощью безвредного тестового трафика. Не ограничивайтесь измерением только локального запроса к бэкенду, поскольку это не задействует полное соединение читателя. Держите тестовые учётные записи и любые учётные данные ограниченного доступа в тайне. Проверьте также процедуры восстановления и обслуживания. Обновление приложения должно иметь точку отката и способ проверки onion-маршрута после него. Определите полезные операционные журналы и сроки их хранения, не предполагая, что метка о распределении или транспорте создаёт политику нулевого логирования. Сохраняйте достаточно доказательств для диагностики сбоев, избегая ненужного сбора. 07 Рассматривайте варианты хостинга как части архитектуры SwissOctet Veil перечисляет варианты стека приложений, onion-адреса и резервного копирования. Выберите стек, который ожидает ваше программное обеспечение, и достаточно CPU, памяти и хранилища для рабочей нагрузки. Убедитесь, как фактическая служба обрабатывает развёртывание, идентичность службы и восстановление, прежде чем полагаться на неё. Швейцарское расположение каталога не связано с поведением вашего приложения в отношении приватности. Используйте службу для законной публикации и авторизованных пользователей. Планируйте обновления администратора, проверки доступа и реагирование на компрометацию учётных данных приложения. Onion-публикация работает лучше всего, когда контент, раскрытие бэкенда и восстановление понятны; транспорт должен поддерживать этот план, а не становиться оправданием для отказа от обычной безопасности программного обеспечения. ПРЕВРАТИТЕ ЭТО В ДЕЙСТВИЕ Ваш практический чек-лист. ✓ Определите публичный и ограниченный контент перед развёртыванием. ✓ Проверьте фактическое раскрытие прослушивания бэкенда. ✓ Проверьте страницы, загрузки и запросы внешних ресурсов. ✓ Защитите и проверьте восстановление ключевого материала службы. ✓ Разделите авторизацию клиента и роли приложения. ✓ Проверьте обслуживание и пути читателя через onion-маршрут. Скачать чек-лист ЧАСТЫЕ ВОПРОСЫ Детали, которые важны. Делает ли onion-хостинг приложение анонимным сам по себе? + Нет. Опубликованный контент, конфигурация, учётные записи и операционные практики могут раскрывать информацию. Проверяйте всю службу, а не полагайтесь на метод соединения. Должен ли каждый onion-сайт использовать авторизацию клиентов? + Нет. Решайте исходя из предполагаемой аудитории. Авторизация клиентов ограничивает доступ к соединению и добавляет жизненный цикл учётных данных; разрешения приложения остаются отдельными. Что я должен защищать в копии для восстановления? + Данные сайта и конфигурация требуют соответствующих средств контроля доступа. Любой включённый ключевой материал службы особенно конфиденциален и должен оставаться приватным при хранении и восстановлении. ОСНОВНЫЕ ИСТОЧНИКИ Перейдите к источнику. Эти источники поддерживают технические концепции в этом руководстве. Следуйте актуальной документации, прежде чем менять производственную систему. Tor Project: Настройка вашей onion-службы community.torproject.org Tor Project: Расширенные настройки onion-службы community.torproject.org Tor Project: Авторизация клиентов community.torproject.org Редакционное руководство от SwissOctet. Примеры иллюстративны. Спецификации услуг, доступные опции и договорные условия необходимо проверять отдельно. СВЯЖИТЕ ЗНАНИЯ Связанная инфраструктура. Veil Onion Швейцария Vector VPS Швейцария Vault Storage Швейцария СОХРАНЯЙТЕ НИТЬ Ваши следующие заметки. Изучите все руководства ЗАМЕТКА / 01 + Облако и VPS Основа Как выбрать VPS, не гадая Превратите идею приложения в полезный бюджет ресурсов, затем сравните CPU, память, хранилище и передачу вместе. 4 мин чтения Читать руководство ЗАМЕТКА / 02 + Веб и onion Основа Веб-хостинг или VPS: выберите работу, которую хотите взять на себя Сравнивайте требования приложения, контроль и обязанности по обслуживанию, а не считайте VPS автоматическим следующим шагом для любого веб-сайта. 6 мин чтения Читать руководство ЗАМЕТКА / 03 + Веб и onion Прикладное Runbook переключения домена, DNS и TLS для нового сервера Подготовьте маршрутизацию по имени хоста, сертификаты и откат вместе, чтобы миграция меняла сервер, не нарушая идентичность сайта или защищённые соединения. 4 мин чтения Читать руководство