Host situs .onion di VPS tanpa membongkar server Anda

Mulai dari apa yang sebenarnya berbeda, karena ini lebih dari sekadar hostname yang terlihat aneh. Situs biasa bergantung pada serangkaian pihak eksternal, dan sebuah layanan onion sama sekali tidak punya rangkaian itu.

• Tidak ada registrar dan tidak ada registry. Alamat onion v3 adalah hasil encoding base32 dari kunci publik ed25519, ditambah checksum dan satu byte versi — lima puluh enam karakter, dihasilkan di mesin Anda sendiri dalam sepersekian detik. Tidak ada yang menjualnya kepada Anda, jadi tidak ada yang bisa mengambilnya kembali, dan tidak ada tanggal perpanjangan. Itu kebalikan persis dari model risiko dalam panduan kami tentang mendaftarkan domain secara privat.
• Tidak ada DNS. Tidak ada yang me-resolve nama .onion. Klien meminta ke jaringan Tor sebuah descriptor bertanda tangan yang dipublikasikan di bawah kunci itu, jadi tidak ada resolver yang bisa diracuni, tidak ada zone yang bisa bocor, dan tidak ada nameserver yang bisa dijatuhkan.
• Tidak ada certificate authority. Alamatnya adalah kunci publik itu sendiri, jadi klien memverifikasi layanan itu terhadap nama yang ia ketik. Inilah yang dimaksud dengan “self-authenticating” (autentikasi mandiri): tidak ada pihak ketiga yang menjamin identitas, karena identitas dan alamat adalah objek yang sama.
• Tidak ada port masuk. Layanan ini membuka circuit keluar ke segelintir introduction point dan menunggu di sana. Firewall Anda boleh menolak setiap paket masuk dan situsnya tetap berfungsi. Tidak ada apa pun yang listen di alamat publik, jadi tidak ada yang bisa dipindai, tidak ada yang bisa diambil sidik jarinya, dan tidak ada yang bisa langsung di-flood.

Satu catatan historis yang masih sering membingungkan: alamat lama enam belas karakter itu sudah tidak ada lagi. Dukungan untuk layanan onion versi 2 dihapus dari Tor pada Oktober 2021, alamat-alamat itu tidak berfungsi lagi di mana pun, dan apa pun yang Anda temukan yang menjelaskannya sudah usang. Semua yang dibahas di bawah ini adalah v3, satu-satunya jenis yang tersisa.

Dan perlu jelas soal apa yang tidak dihilangkan oleh semua ini. Tetap ada mesin fisik di sebuah datacentre, sebuah host yang tahu mesin itu ada, sebuah tagihan yang dibayar seseorang, dan sebuah aplikasi yang bisa dibobol. Layanan onion memindahkan lapisan alamat itu ke luar jangkauan. Ia tidak memindahkan servernya.

Orang-orang datang ke Tor untuk melakukan salah satu dari empat hal yang cukup berbeda, dan profil risikonya sama sekali tidak sebanding. Ada baiknya Anda tahu persis yang mana yang sedang Anda jalani.

• Relay tengah meneruskan traffic terenkripsi antar-relay lain. Ia membawa data milik orang lain, tapi tidak pernah menyentuh internet terbuka atas nama mereka, sehingga tidak memicu komplain apa pun.
• Bridge adalah titik masuk tak terdaftar bagi orang-orang yang akses Tor-nya diblokir. Profil traffic-nya sama seperti relay tengah, hanya saja alamatnya tidak dimasukkan ke direktori publik.
• Exit relay adalah tempat traffic milik orang lain keluar dari Tor dan mencapai internet biasa, di bawah alamat IP Anda. Inilah yang memicu email abuse dan korespondensi hukum, dan ini butuh penanganan yang disengaja — panduan relay Tor kami membahasnya dengan benar.
• Layanan onion mempublikasikan. Ia cuma membawa traffic-nya sendiri, tidak pernah menghubungi clearweb atas nama siapa pun, dan karena itu sama sekali tidak menghasilkan laporan abuse terhadap IP Anda. Tidak ada exit, jadi tidak ada yang keluar.

Poin terakhir itu layak direnungkan, karena ini yang paling sering disalahpahami. Menjalankan layanan onion secara operasional adalah hal paling senyap yang bisa Anda lakukan di jaringan Tor. Server Anda membuat koneksi keluar yang terlihat seperti traffic klien Tor biasa; server itu tidak pernah muncul sebagai sumber koneksi ke server siapa pun; dan hal yang paling dikhawatirkan kebanyakan orang — perilaku orang lain yang mendarat di IP Anda — secara struktural mustahil terjadi.

Anda juga tidak perlu menjalankan relay untuk bisa menjalankan layanan onion, dan sebaiknya keduanya dipisah. Sebuah relay butuh bandwidth, ORPort publik, dan ContactInfo yang dipublikasikan. Sebuah layanan tidak butuh satu pun dari itu. Kalau Anda ingin menjalankan keduanya, jalankan di dua server terpisah.

Inilah bagian yang jarang dibahas tuntas oleh dokumentasi resmi, dan bagian yang sebenarnya menentukan apakah semua usaha ini sepadan. Tor, yang dikonfigurasi seperti di bawah ini, sangat kecil kemungkinannya menjadi hal yang membongkar server Anda. Perangkat lunak di baliknyalah yang jadi masalah, karena perangkat lunak itu ditulis dengan asumsi bahwa sebuah web server ingin ditemukan.

Berikut kanal-kanalnya, kurang lebih diurutkan sesuai seberapa sering itu menjebak orang:

• Konten yang sama di IP publik. Kalau web server Anda juga listen di 0.0.0.0, siapa pun yang memindai internet akan melihat halaman yang identik baik di alamat IP maupun di alamat onion. Scanner seluruh-internet mengindeks setiap port terbuka secara terus-menerus dan hasilnya bisa dicari berdasarkan body hash maupun favicon hash. Satu query saja menghubungkan keduanya. Ini adalah cara paling umum sebuah layanan onion terbongkar, dan itu cuma kesalahan konfigurasi satu baris.
• Banner server dan halaman default. Instalasi nginx atau apache2 standar akan menjawab hostname yang tidak dikenal dengan halaman default, mencetak versinya di header Server, dan sering kali membocorkan hostname asli mesin itu di output error. Setiap satu dari itu adalah titik korelasi.
• URL absolut. Redirect, canonical tag, sitemap, feed RSS, tag Open Graph, dan email reset password semuanya senang menerbitkan URL clearweb yang lengkap. Cukup satu saja muncul di dalam versi onion sebuah halaman.
• Request keluar yang dibuat aplikasinya. Analytics, web font, aset CDN, layanan avatar, map tile, webhook, dan pengecekan update semuanya berasal dari IP asli server, dan beberapa di antaranya memberi tahu pihak ketiga halaman mana yang sedang dirender saat itu. Situs self-hosted dengan font yang dimuat dari domain milik orang lain punya jejak audit yang tidak ia maksudkan.
• Mail. Apa pun yang dikirim oleh mesin itu mencap IP aslinya ke header Received. Kalau layanan itu perlu mengirim mail, itu adalah masalah desain yang harus dipecahkan secara sengaja — mulai dari panduan mail server kami, dan anggap secara default bahwa layanan itu seharusnya tidak mengirim apa pun sama sekali.
• Kunci dan sidik jari yang dipakai ulang. SSH host key yang sama yang menjawab baik di IP publik maupun di alamat onion menghubungkan keduanya secara permanen. Begitu juga sertifikat TLS yang sama, favicon yang sama, identifier analytics yang sama, atau halaman error khas yang sama di dua proyek berbeda.
• Certificate Transparency. Kalau mesin yang sama pernah melayani domain clearweb lewat HTTPS, sertifikat untuk domain itu ditulis ke log publik append-only selamanya. Itu menyebut nama mesinnya, bukan alamat onion-nya, tapi tetap menyebut nama mesinnya.

Bentuk umum dari semua ini sama: Tor menyembunyikan alamatnya, dan sesuatu yang lain di server itu mempublikasikannya. Langkah delapan di bawah ini adalah checklist untuk menemukan semua itu sebelum orang lain menemukannya lebih dulu.

Sebelum menginstal apa pun, jawab satu pertanyaan, karena semua hal berikutnya bergantung padanya: apakah lokasi fisik server ini adalah rahasia yang ingin Anda jaga?

Ada tiga jawaban jujur dan masing-masing mengarah ke build yang benar-benar berbeda.

• Ya, lokasinya adalah intinya. Maka mesin ini mengerjakan tepat satu pekerjaan. Tidak ada situs clearweb, tidak ada record DNS publik yang menunjuk ke IP-nya, tidak ada mail, tidak ada layanan lain yang listen di mana pun. Bayar dengan cara yang tidak mengaitkan nama Anda — panduan Monero kami membahas mekanismenya dan akun no-KYC berarti tidak ada yang perlu diserahkan selain alamat pengiriman. Pertahankan konfigurasi tiga-hop penuh. Setiap jalan pintas di bawah ini yang menukar anonimitas dengan kecepatan tertutup untuk Anda, dan itu tidak masalah, karena Anda tidak sedang mengoptimalkan kecepatan.
• Tidak, server ini sudah publik. Anda menjalankan situs biasa dan ingin punya alamat onion juga — untuk pembaca di balik sensor, untuk orang yang lebih suka tidak me-resolve domain Anda, atau karena Anda ingin menawarkannya. Tidak ada yang disembunyikan di sini, jadi Anda bisa memakai layanan onion tunggal, memotong circuit dari enam hop menjadi tiga, dan mengumumkan alamatnya dari situs clearweb dengan header Onion-Location. Ini adalah fitur jangkauan, dan ini alasan yang sepenuhnya sah untuk ada di sini.
• Di suatu tempat di antara keduanya. Di sinilah kebanyakan orang sebenarnya berada, dan inilah yang berbahaya, karena “agak tersembunyi” bukan properti yang bisa dimiliki sebuah server. Pilih satu sisi. Kalau lokasinya benar-benar penting, bangunlah seolah itu penting. Kalau tidak, berhenti membayar ongkos latensi untuk properti anonimitas yang tidak sedang Anda jaga.

Tulis jawabannya sebelum Anda melanjutkan. Hampir semua kesalahan dalam topik panduan ini berasal dari membangun untuk kasus pertama tapi mengoperasikannya seolah-olah itu kasus kedua.

Kalau lokasi server itu bukan rahasia, menjalankan keduanya itu mudah dan benar-benar berguna — begitulah cara organisasi berita besar, Debian, dan beberapa mesin pencari menawarkan situs mereka. Ada dua mekanisme dan satu trade-off yang perlu dipahami.

Umumkan dengan Onion-Location. Satu header saja di situs clearweb membuat Tor Browser menampilkan tombol “.onion available” di address bar, dan menawarkan untuk beralih. Header ini cuma dihormati di halaman yang disajikan lewat HTTPS, dan nilainya harus berupa URL onion yang valid:

add_header Onion-Location "http://<your-address>.onion$request_uri" always;

Ada padanan HTML-nya untuk host yang tidak bisa mengatur header, dengan syarat HTTPS yang sama:

<meta http-equiv="onion-location" content="http://<your-address>.onion">

Taruh juga alamatnya di suatu tempat yang bisa dibaca manusia, di footer atau di halaman about. Header itu cuma menjangkau orang yang sudah memakai Tor Browser; footer menjangkau semua orang lainnya.

Pertimbangkan layanan onion tunggal. Koneksi onion normal itu enam hop — tiga dari klien, tiga dari layanannya — dan tiga hop milik layanan itu semata-mata ada untuk menyembunyikan di mana ia berada. Kalau itu bukan rahasia, Anda bisa menghilangkannya. Peningkatan latensinya besar dan langsung terasa. Konfigurasinya sengaja dibuat blak-blakan:

# /etc/tor/torrc — these are INSTANCE-WIDE, not per service
HiddenServiceNonAnonymousMode 1
HiddenServiceSingleHopMode 1
SOCKSPort 0

Kedua opsi itu wajib diaktifkan bersamaan, port SOCKS harus dinonaktifkan, dan keduanya berlaku untuk setiap layanan onion di instance Tor itu — tidak ada opt-out per layanan. Tor akan menolak untuk start kalau Anda mengatur salah satu tanpa yang lain, dan itu adalah perangkat lunak yang sedang membantu Anda. Kalau satu instance meng-host satu layanan yang lokasinya publik dan satu lagi yang lokasinya tidak, jalankan dua instance, atau lebih baik lagi, dua server.

Dan terima trade-off-nya. Mempublikasikan kedua alamat itu menyatakan bahwa operator yang sama menjalankan keduanya, dan menyajikan konten yang identik dari keduanya membuat keduanya jadi sangat mudah dihubungkan, apa pun yang terjadi. Itulah kesepakatannya, dan untuk situs publik itu tidak berbiaya apa pun. Tetap jaga kebersihannya: tidak ada URL clearweb absolut di dalam versi onion-nya, cookie yang di-scope per host supaya sesi tidak berpindah di antara keduanya, dan content security policy yang tidak menarik aset lintas keduanya.

Secara default, siapa pun yang tahu alamat Anda bisa menjangkau layanan itu. Otorisasi klien mengubah itu di lapisan jaringan, bukan di lapisan aplikasi, dan perbedaannya lebih penting daripada kedengarannya.

Dengan otorisasi diaktifkan, descriptor yang dipublikasikan layanan Anda dienkripsi ke sekumpulan kunci klien. Pengunjung yang tidak punya salah satu kunci itu tidak bisa mendekripsinya, tidak bisa mempelajari introduction point-nya, dan karena itu sama sekali tidak bisa terhubung — mereka tidak sampai ke halaman login, tidak mendapat penolakan, mereka tidak mendapat apa-apa. Layanan itu bukan sekadar tak terdaftar; ia benar-benar tak terlihat.

Hasilkan sepasang keypair x25519 per klien. Semua alat yang dibutuhkan di sini sudah ada di mesin Debian:

openssl genpkey -algorithm x25519 -out alice.prv.pem

# private key — goes to the client, never to the server
grep -v 'PRIVATE KEY' alice.prv.pem | base64 -d | tail -c 32 | base32 | tr -d '='

# public key — goes on the server
openssl pkey -in alice.prv.pem -pubout | grep -v 'PUBLIC KEY' \
  | base64 -d | tail -c 32 | base32 | tr -d '='

Di server, taruh kunci publiknya ke dalam direktori authorized_clients di dalam direktori layanan itu. Nama filenya bebas asal berakhiran .auth, yang membuat pencabutan akses semudah menghapus satu file:

mkdir -p /var/lib/tor/onion-site/authorized_clients
echo "descriptor:x25519:<ALICE-PUBLIC-KEY>" \
  > /var/lib/tor/onion-site/authorized_clients/alice.auth
chown -R debian-tor:debian-tor /var/lib/tor/onion-site
systemctl reload tor@default

Di klien, kunci privatnya ditaruh di direktori yang ditentukan oleh ClientOnionAuthDir, dalam sebuah file berakhiran .auth_private, dengan alamatnya diulang di dalamnya. Tor Browser punya direktorinya sendiri untuk ini di dalam folder datanya, dan akan meminta sebuah kunci kalau ia menemui layanan yang membutuhkannya:

# /var/lib/tor/onion-auth/mysite.auth_private
<address-without-the-.onion>:descriptor:x25519:<ALICE-PRIVATE-KEY>

Ini adalah alat yang tepat untuk situs staging, panel admin, tempat berbagi file privat, atau Nextcloud yang di-hosting sendiri yang cuma dipakai Anda sendiri — apa pun yang jawaban jujurnya atas pertanyaan “siapa yang seharusnya bisa tahu ini ada?” adalah “tidak ada siapa-siapa selain kami”. Biayanya nyata dan bersifat administratif: Anda harus menyampaikan kunci ke orang-orang lewat kanal yang Anda percaya, dan Anda harus ingat untuk mencabutnya kembali setelahnya.

Layanan onion gagal dengan caranya sendiri yang khas, dan tidak satu pun dari itu terlihat seperti outage biasa. Ada empat hal yang layak disiapkan sebelum Anda benar-benar membutuhkannya.

Denial of service adalah masalah operasional yang sesungguhnya. Karena tidak ada alamat IP yang bisa difilter, pertahanan biasa tidak berlaku, dan flood permintaan introduction yang gencar itu murah untuk dikirim. Tor punya dua jawaban, keduanya diatur per layanan di torrc: HiddenServiceEnableIntroDoSDefense 1 membatasi laju permintaan di introduction point, dan HiddenServicePoWDefensesEnabled 1 membuat klien harus memecahkan teka-teki proof-of-work kecil yang makin sulit saat beban naik, sehingga pengunjung yang sah cuma menunggu sebentar sementara sebuah flood jadi mahal untuk dilakukan. Aktifkan keduanya sejak awal; biayanya nyaris nol kalau tidak ada yang sedang menyerang Anda.

Jaga jam sistemnya tetap benar. Descriptor dipublikasikan dan dicari berdasarkan periode waktu yang diturunkan dari sebuah nilai jaringan bersama. Server yang jamnya melenceng parah akan mempublikasikan ke tempat yang salah dan jadi tidak bisa dijangkau, padahal terlihat sempurna sehat di lognya sendiri. Pastikan klien NTP berjalan, jaga mesin itu tetap di UTC, dan cek ini kalau sebuah layanan tiba-tiba berhenti ter-resolve tanpa sebab yang jelas.

Monitoring harus lewat Tor. Tidak ada layanan uptime komersial yang bisa mem-probe alamat .onion, yang berarti jawaban biasa tidak tersedia untuk Anda. Jalankan sendiri pengecekannya dari mesin kedua yang bukan mesin yang meng-host layanan itu — sebuah cron job yang menjalankan torsocks curl -s --max-time 60 ke URL yang sudah diketahui, membandingkan outputnya dengan string yang sudah diketahui, itu sudah cukup dan tidak berbiaya apa pun.

Rencanakan lebih dari satu instance kalau uptime itu penting. OnionBalance memungkinkan beberapa server backend berbagi satu alamat onion: sebuah instance front-end memegang kunci yang memiliki alamat itu dan mempublikasikan descriptor yang menunjuk ke introduction point milik server-server backend, sehingga Anda dapat distribusi beban dan failover tanpa alamatnya pernah berubah. Ini lebih banyak bagian bergerak daripada yang dibutuhkan kebanyakan situs, tapi ini jawaban yang didukung secara resmi, dan ada baiknya Anda tahu ini ada sebelum Anda menjebak diri sendiri di satu mesin saja.

Satu kebiasaan operasional terakhir: me-restart Tor membuat layanan itu offline selama beberapa detik selagi ia mempublikasikan ulang, dan sebuah instal ulang yang menghapus /var/lib/tor membuatnya offline selamanya. Perlakukan direktori itu seperti Anda memperlakukan sebuah private key, karena memang itulah dia.

Alamat onion menghilangkan registrar, resolver, certificate authority, dan port terbuka. Ia tidak menghilangkan apa pun yang lain, dan bersikap presisi soal sisanya itulah yang membedakan alat yang berguna dari rasa aman yang palsu.

Ia tidak memperbaiki aplikasinya. Aplikasi web yang rentan di balik sebuah layanan onion tetaplah aplikasi web yang rentan; hal pertama yang dilakukan banyak penyerang setelah mendapatkan eksekusi kode adalah membuat request keluar yang membongkar alamat asli server itu. Beri mesin itu pemeriksaan sepuluh menit di panduan hardening Debian kami, jaga agar selalu ter-patch, dan perlakukan mesin itu sebagai terekspos meski tidak ada apa pun yang listen.

Ia tidak menyembunyikan server itu dari orang-orang yang menjalankannya. Kami tahu sebuah server itu ada, kapan server itu di-deploy, dan berapa alamat IP-nya, karena kamilah yang mengalokasikannya. Itu berlaku untuk setiap host, di mana pun, dan siapa pun yang bilang sebaliknya kepada Anda sedang menjual sesuatu. Yang bisa kami katakan secara presisi adalah apa yang kami lakukan dengan itu, yang dijelaskan di penjelasan jujur kami soal apa yang disembunyikan VPS yang dibayar dengan crypto.

Ia tidak mengalahkan musuh yang sabar dan berdaya besar dengan sendirinya. Volume dan waktu traffic terlihat di tepi jaringan, dan sebuah layanan yang tiba-tiba sepi setiap kali orang tertentu sedang tidur sudah memberi tahu Anda sesuatu. Ini juga tidak membantu kalau konten-nya sendiri yang mengidentifikasi Anda: gaya tulisan yang sama, PGP key yang sama, avatar yang sama, atau handle forum yang sama dengan identitas publik Anda menutup lingkaran itu, seberapa pun bagusnya transportnya.

Dari sisi kami sendiri, supaya Anda bisa mengalibrasi ekspektasi: layanan onion diterima di semua tingkatan dan tidak butuh apa pun yang khusus dari kami, karena layanan itu tidak membuka port dan tidak menghasilkan traffic abuse. Kami menjalankan akun no-KYC yang cuma butuh sebuah alamat untuk mengirim kredensial. Kami memperlakukan korespondensi hak cipta rutin sebagai urusan operasional, bukan takedown otomatis, kami bertindak berdasarkan perintah pengadilan yang sah di yurisdiksi tempat server itu berada, dan batas bawahnya mutlak serta berlaku di sini persis seperti di tempat lain: tidak ada CSAM, tidak ada konten terorisme, tidak ada pengecualian. Baca acceptable-use policy kami dan cara kami menangani laporan abuse sebelum Anda membangun sesuatu yang akan membuat Anda tidak nyaman untuk memindahkannya. Halaman VPS ramah-Tor kami punya panduan tingkatannya.