Розробник опублікував свій блог як прихований сервіс у мережі Tor

Розробник програмного забезпечення Девід Альварес Роса зробив свій особистий сайт доступним через анонімну мережу Tor і опублікував у блозі короткий технічний опис налаштування. Тепер сайт відкривається за адресою .onion, яка резолвиться лише всередині Tor, і працює паралельно зі звичайною копією у відкритому інтернеті.

Що таке прихований сервіс

За словами автора, прихованому сервісу не потрібні ні центр сертифікації, ні запис DNS, ні відкрита IP-адреса. Адреса виводиться безпосередньо з публічного ключа, а з'єднання Tor шифрує від краю до краю. Трафік проходить через тисячі релеїв, які запускають волонтери, тож жодна сторона не може пов'язати відвідувача з тим, що він читає. Анонімність поширюється і на сервер, а не лише на клієнта. Tor розробляє некомерційна організація Tor Project, яка створює вільне програмне забезпечення для приватності та проти цензури.

Два рядки в torrc

Налаштування мінімальне: у файлі /etc/tor/torrc параметр HiddenServiceDir вказує на окремий каталог, а HiddenServicePort переадресовує порт 80 прихованого сервісу на 127.0.0.1:8080. Автор наголошує, що цей каталог має належати Tor, а не файлам сайту: саме там зберігаються приватний ключ сервісу та файл hostname, і за неправильних прав Tor просто не запускається. Після перезапуску служби tor@default згенеровану адресу можна прочитати з файлу hostname.

Роздача сайту і друге складання

На боці вебсервера блок nginx слухає 127.0.0.1:8080 без TLS, HTTP/2 і QUIC, бо Tor передає звичайний TCP і сам забезпечує шифрування. Залишається одна проблема: статичний сайт вбудовує базову адресу в абсолютні посилання, тому збірка для відкритого інтернету повертала б відвідувача на звичайний домен навіть тоді, коли він прийшов через Tor. Рішення: збирати другу копію сайту з onion-адресою як базовою. Конвеєр розгортання робить це автоматично, збираючи сайт окремо для кожної цілі й синхронізуючи версії у власні каталоги, тож обидві копії не розходяться без ручної роботи.