מפתח העלה את הבלוג האישי שלו כשירות חבוי ברשת Tor

מפתח התוכנה דייוויד אלברס רוסה הפך את אתרו האישי לזמין דרך רשת האנונימיות Tor ופרסם בבלוג שלו תיאור טכני קצר של ההגדרה. האתר מוגש כעת מכתובת .onion שנפתרת רק בתוך Tor, לצד העותק הרגיל באינטרנט הפתוח.

מהו שירות חבוי

לדברי המחבר, שירות חבוי אינו זקוק לרשות אישורים, לרשומת DNS או לכתובת IP חשופה. הכתובת נגזרת ישירות ממפתח ציבורי, ו-Tor מצפין את החיבור מקצה לקצה. התעבורה עוברת דרך אלפי ממסרים שמפעילים מתנדבים, כך שאף גורם בודד אינו יכול לקשר בין המבקר לבין מה שהוא קורא. האנונימיות חלה גם על השרת, לא רק על הלקוח. את Tor מפתח ארגון ללא מטרות רווח Tor Project, שמייצר תוכנה חופשית למען פרטיות וזכויות אדם ונגד צנזורה.

שתי שורות ב-torrc

ההגדרה עצמה מינימלית: בקובץ /etc/tor/torrc הפרמטר HiddenServiceDir מצביע על תיקייה ייעודית, ו-HiddenServicePort מעביר את פורט 80 של השירות לכתובת 127.0.0.1:8080. המחבר מדגיש שהתיקייה חייבת להיות בבעלות Tor ולא של קבצי האתר, משום ששם נשמרים המפתח הפרטי וקובץ ה-hostname של השירות, ואם ההרשאות שגויות Tor פשוט לא יעלה. לאחר הפעלה מחדש של שירות tor@default אפשר לקרוא את הכתובת שנוצרה מקובץ ה-hostname.

הגשת האתר ובנייה כפולה

בצד שרת האינטרנט, בלוק nginx מאזין בכתובת 127.0.0.1:8080 ללא TLS, HTTP/2 או QUIC, כיוון ש-Tor מעביר TCP רגיל ומספק בעצמו את ההצפנה. נשארת בעיה אחת: אתר סטטי מטביע את כתובת הבסיס בקישורים מוחלטים, ולכן גרסה רגילה תחזיר את המבקר לדומיין הרגיל גם אם הגיע דרך Tor. הפתרון הוא לבנות עותק שני של האתר עם כתובת ה-onion ככתובת בסיס. תהליך הפריסה שלו עושה זאת אוטומטית, בונה את האתר בנפרד לכל יעד ומסנכרן כל גרסה לתיקייה שלה, כך שהעותקים נשארים זהים בלי עבודה ידנית.