# Публікуйте onion-службу, не забуваючи про застосунок | SwissOctet Insights https://swissoctet.com/uk/insights/publish-onion-service-safely/ SwissOctet / Аналітика / Веб і onion Веб і onion Прикладний · 4 хв читання Публікуйте onion-сервіс, не забуваючи про застосунок Сплануйте законну onion-публікацію з контрольованим відкриттям бекенду, ретельним переглядом вмісту, відновленням ключів сервісу та явною моделлю доступу аудиторії. Автор: SwissOctet Editorial Зберегти посібник Копіювати посилання НА ЦІЙ СТОРІНЦІ 01 Визначте публікацію та її аудиторію 02 Зробіть прослуховування бекенду навмисним 03 Перевірте, що публікує застосунок 04 Ставтеся до ідентичності сервісу як до захищеного матеріалу 05 Виберіть публічний або обмежений доступ явно 06 Перевіряйте через з'єднання читача 07 Розглядайте варіанти хостингу як частини дизайну Ваш практичний контрольний список Джерела та додаткове читання Назад до бібліотеки ПРЯМА ВІДПОВІДЬ Захистіть застосунок і його адміністративний доступ, обмежте прослуховування бекенду, захистіть ключі onion-сервісу та перевірте публікацію через сумісний клієнт. Onion-маршрутизація — це один шар дизайну. Вона не усуває вразливості застосунку, помилки в опублікованому вмісті чи потребу визначити, хто повинен мати доступ. 01 Визначте публікацію та її аудиторію Почніть із законної мети публікації та опису аудиторії. Публічна дослідницька публікація та обмежений портал проєкту мають різні вимоги до доступу. Вирішіть, який вміст призначений для публічного доступу, який потребує автентифікації застосунку, а який ніколи не повинен потрапляти до веб-кореня. Тримайте ці рішення окремо від транспорту, який використовується для доступу до сайту. Перед розгортанням складіть невеликий перелік даних: сторінки, завантаження, вміст бази даних, облікові записи адміністраторів і конфігурацію сервісу. Призначте відповідального за оновлення та реагування на інциденти. Те, що сайт використовує onion-адресу, не вирішує питання зберігання, прав на вміст чи безпекових обов'язків. Вони залишаються практичними рішеннями застосунку, які потребують явного операційного плану. 02 Зробіть прослуховування бекенду навмисним Onion-сервіс зіставляє з'єднання з локальною кінцевою точкою застосунку. Перевірте, де ця кінцева точка прослуховує та які інші мережі можуть до неї дістатися. Посібник із налаштування Tor Project описує Unix-сокети як корисний спосіб уникнути відкриття бекенду до локальної мережі. Виберіть підхід, який підтримує ваш сервер, і перевірте його фактичну доступність. З'єднання, яке працює через Tor, може співіснувати з ненавмисним публічним прослуховуванням. Перевірте як призначений шлях доступу, так і межі навколо бекенду. Уникайте загальних припущень щодо конфігурації; читайте налаштування прослуховування застосунку та маршрутизацію віртуальних хостів веб-сервера. Тримайте інтерфейси керування окремо від публічно призначеного сервісу та обмежте, хто може змінювати ці налаштування. 03 Перевірте, що публікує застосунок Перегляньте сторінки, завантажені файли, вивід помилок і вбудовані ресурси так, як їх побачить читач. Застосунок може розкривати операційні деталі через повідомлення налагодження або посилатися на зовнішні ресурси, що не є очевидним у його основному дизайні. Перевірте згенеровані URL-адреси та метадані вмісту. Надавайте лише ті ресурси, які потрібні публікації, і розумійте будь-який сторонній запит, який вона ініціює. Для ілюстративного дослідницького сайту перегляньте зразок статті, вкладення та сторінку контактів перед запуском. Переконайтеся, що приватний редакційний документ і файл середовища знаходяться поза публічним каталогом. Використовуйте нечутливий тестовий матеріал під час перевірки завантажень. Успішне onion-з'єднання доводить доступність; ця перевірка вмісту показує, що сервіс насправді розкриває своїй аудиторії. 04 Ставтеся до ідентичності сервісу як до захищеного матеріалу Конфігурація onion-сервісу містить ключовий матеріал, який повинен залишатися приватним. Тримайте його поза публічними файлами вебсайту та обмежте доступ до операторів, яким він потрібен. Сплануйте, як законне відновлення збереже призначену ідентичність сервісу та як буде оброблено компрометацію. Не розміщуйте ключі сервісу в публічному архіві, повідомленні підтримки чи спільному репозиторії проєкту. Включіть застосунок, дані та необхідну конфігурацію сервісу до плану відновлення з відповідним захистом для кожного. Резервна копія лише вмісту сайту може не відновити призначену адресу, тоді як копія, що містить приватні ключі, створює чутливу резервну копію. Задокументуйте, хто може розшифрувати та відновити її, і перевірте цей доступ, не розкриваючи ключі у звітах про навчання. 05 Виберіть публічний або обмежений доступ явно Вхід до застосунку та авторизація клієнта Tor — це різні шари. Tor Project документує авторизацію клієнтів для того, щоб доступ до onion-сервісу v3 залежав від облікових даних клієнта. Вирішіть, чи ця модель підходить аудиторії та операційному процесу. Вона не потрібна автоматично для публічної публікації та не замінює дозволи застосунку після підключення клієнта. Розгляньте портал проєкту з невеликою затвердженою групою. Вам потрібен спосіб приватно розповсюджувати, замінювати та відкликати матеріали доступу, а також керувати обліковими записами застосунку. Перевірте окремо видалення авторизованого клієнта та користувача застосунку. Наведена таблиця розмежовує ці засоби контролю замість обіцянки, що одне налаштування вирішує всі проблеми доступу. Засіб контролю Питання, на яке він відповідає Окрема відповідальність Прослуховування бекенду Хто може дістатися локальної кінцевої точки застосунку? Конфігурація веб-сервера та мережі Авторизація клієнта Які клієнти можуть підключитися до onion-сервісу? Приватний розподіл і відкликання облікових даних Дозволи застосунку Що може робити підключений користувач? Ролі облікових записів і доступ до даних Перевірка публікації Що розкриває сайт? Вміст, завантаження та обробка помилок 06 Перевіряйте через з'єднання читача Використовуйте сумісний клієнт для перевірки сторінок, навігації, форм і завантажень через призначений шлях onion-доступу. Спостерігайте за помилками та використанням ресурсів застосунку з нешкідливим тестовим трафіком. Уникайте вимірювання лише локального запиту до бекенду, оскільки це не задіює повне з'єднання читача. Тримайте тестові облікові записи та будь-які облікові дані обмеженого доступу приватними. Перевірте також процедури відновлення та обслуговування. Оновлення застосунку повинно мати точку відкату та спосіб перевірити onion-маршрут після нього. Визначте корисні операційні журнали та терміни зберігання, не припускаючи, що ярлик дистрибуції чи транспорту створює політику нульових журналів. Зберігайте достатньо доказів для діагностики несправностей, уникаючи непотрібного збору. 07 Розглядайте варіанти хостингу як частини дизайну SwissOctet Veil перелічує варіанти стеку застосунку, onion-адреси та резервного копіювання. Виберіть стек, який очікує ваше програмне забезпечення, та достатньо CPU, пам'яті й сховища для робочого навантаження. Підтвердьте, як фактичний сервіс обробляє розгортання, ідентичність сервісу та відновлення, перш ніж покладатися на нього. Швейцарське розташування каталогу відокремлене від поведінки конфіденційності вашого застосунку. Використовуйте сервіс для законної публікації та авторизованих користувачів. Плануйте оновлення адміністраторів, перевірки доступу та реагування на скомпрометовані облікові дані застосунку. Onion-публікація працює найкраще, коли вміст, відкритість бекенду та відновлення зрозумілі; транспорт повинен підтримувати цей план, а не ставати виправданням для пропуску звичайної безпеки програмного забезпечення. ПЕРЕТВОРІТЬ ЦЕ НА ДІЮ Ваш практичний контрольний список. ✓ Визначте публічний і обмежений вміст перед розгортанням. ✓ Перевірте фактичну відкритість прослуховування бекенду. ✓ Перегляньте сторінки, завантаження та запити зовнішніх ресурсів. ✓ Захистіть і перевірте відновлення ключового матеріалу сервісу. ✓ Відокремте авторизацію клієнта від ролей застосунку. ✓ Перевірте обслуговування та шляхи читача через onion-маршрут. Завантажити контрольний список ПОШИРЕНІ ЗАПИТАННЯ Деталі, які мають значення. Чи робить onion-хостинг застосунок анонімним сам по собі? + Ні. Опублікований вміст, конфігурація, облікові записи та операційні практики можуть розкривати інформацію. Перевіряйте весь сервіс, а не покладайтеся на метод з'єднання. Чи повинен кожен onion-сайт використовувати авторизацію клієнтів? + Ні. Вирішуйте, виходячи з призначеної аудиторії. Авторизація клієнтів обмежує доступ до з'єднання та додає життєвий цикл облікових даних; дозволи застосунку залишаються окремими. Що я повинен захистити в копії для відновлення? + Дані сайту та конфігурація потребують відповідних засобів контролю доступу. Будь-який включений ключовий матеріал сервісу є особливо чутливим і повинен залишатися приватним під час зберігання та відновлення. ОСНОВНІ ДЖЕРЕЛА Перейдіть до джерела. Ці джерела підкріплюють технічні концепції в цьому посібнику. Дотримуйтеся поточної документації перед зміною робочої системи. Tor Project: Налаштуйте свій onion-сервіс community.torproject.org Tor Project: Розширені налаштування onion-сервісу community.torproject.org Tor Project: Авторизація клієнтів community.torproject.org Редакційне керівництво від SwissOctet. Приклади є ілюстративними. Специфікації послуг, доступні опції та договірні умови потрібно перевіряти окремо. ПОЄДНАЙТЕ ЗНАННЯ Пов'язана інфраструктура. Veil Onion Швейцарія Vector VPS Швейцарія Vault Storage Швейцарія ЗБЕРІГАЙТЕ НИТКУ Ваші наступні польові нотатки. Дослідити всі посібники ПОЛЬОВА НОТАТКА / 01 + Хмара та VPS Основа Як вибрати VPS, не вгадуючи Перетворіть ідею застосунку на корисний бюджет ресурсів, а потім порівняйте CPU, пам'ять, сховище та передачу разом. 4 хв читання Читати посібник ПОЛЬОВА НОТАТКА / 02 + Веб і onion Основа Вебхостинг або VPS: виберіть роботу, яку хочете взяти на себе Порівнюйте вимоги застосунку, контроль і обов'язки з обслуговування, а не вважайте VPS автоматичним наступним кроком для кожного вебсайту. 6 хв читання Читати посібник ПОЛЬОВА НОТАТКА / 03 + Веб і onion Прикладний Runbook перемикання домену, DNS і TLS для нового сервера Підготуйте маршрутизацію імен хостів, сертифікати та відкат разом, щоб міграція змінила сервер, не порушивши ідентичність сайту чи захищені з'єднання. 4 хв читання Читати посібник