VPS'te bir .onion sitesi barındırın, sunucuyu ele vermeden

Gerçekte neyin farklı olduğuyla başlayalım, çünkü bu tuhaf görünümlü bir hostname'den fazlasıdır. Sıradan bir site, dışarıdan bir zincir taraflara bağımlıdır; bir onion servisinde ise bu zincir basitçe yoktur.

• Kayıt şirketi de sicil de yoktur. Bir v3 onion adresi, bir ed25519 genel anahtarının artı bir sağlama toplamı ve bir sürüm baytının base32 kodlamasıdır — kendi makinenizde saniyenin bir kesrinde üretilen elli altı karakter. Kimse onu size satmadı, dolayısıyla kimse onu geri alamaz ve bir yenileme tarihi yoktur. Bu, alan adını gizlilikle kaydetme rehberimizdeki risk modelinin tam tersidir.
• DNS yoktur. Hiçbir şey bir .onion adını çözümlemez. İstemci, Tor ağından o anahtar altında yayımlanmış imzalı bir tanımlayıcı ister; bu yüzden zehirlenecek bir çözümleyici, sızacak bir bölge ya da devre dışı bırakılacak bir ad sunucusu yoktur.
• Sertifika otoritesi yoktur. Adres genel anahtarın kendisidir, bu yüzden istemci servisi yazdığı ada karşı doğrular. “Kendi kendini doğrulama” tam olarak bunu ifade eder: kimlik için kefil olan üçüncü bir taraf yoktur, çünkü kimlik ile adres aynı nesnedir.
• Gelen port yoktur. Servis, bir avuç tanıtım noktasına giden devreler açar ve orada bekler. Güvenlik duvarınız gelen her paketi düşürebilir ve site yine de çalışır. Herkese açık bir adreste dinleyen hiçbir şey olmadığından, taranacak, parmak izi çıkarılacak ya da doğrudan sel saldırısına uğratılacak hiçbir şey yoktur.

Hâlâ kafa karışıklığına yol açan bir tarihsel not: eski on altı karakterli adresler artık yok. Sürüm 2 onion servisleri desteği Tor'dan Ekim 2021'de kaldırıldı, bu adresler artık hiçbir yerde çalışmıyor ve onları anlatan her şey güncelliğini yitirmiş durumda. Aşağıdaki her şey v3 ile ilgilidir, çünkü mevcut olan tek tür budur.

Ve bütün bunların neyi ortadan kaldırmadığı konusunda net olun. Hâlâ bir veri merkezinde fiziksel bir makine, onun var olduğunu bilen bir sağlayıcı, birinin ödediği bir fatura ve içine sızılabilecek bir uygulama vardır. Onion servisleri adres katmanını erişilemez hâle getirir. Sunucuyu değil.

İnsanlar Tor'a dört oldukça farklı şeyden birini yapmak isteyerek gelir ve risk profilleri birbiriyle uzaktan yakından kıyaslanamaz. Hangisine imza attığınızı bilmekte fayda var.

• Bir orta röle şifreli trafiği diğer röleler arasında aktarır. Başkalarının verisini taşır, ama onlar adına asla açık internete dokunmaz; bu yüzden hiçbir şikâyet çekmez.
• Bir köprü, Tor erişimi engellenmiş kişiler için listelenmemiş bir giriş noktasıdır. Trafik profili bir orta röleyle aynıdır, tek fark adresinin herkese açık dizinin dışında tutulmasıdır.
• Bir çıkış rölesi, başkalarının trafiğinin Tor'dan çıkıp sizin IP adresiniz altında sıradan internete ulaştığı yerdir. Kötüye kullanım postası ve hukuki yazışma üreten budur ve bilinçli bir ele alış gerektirir — Tor rölesi rehberimiz bunu düzgünce ele alıyor.
• Bir onion servisi yayımlar. Kendisininki dışında hiçbir trafik taşımaz, hiç kimse adına clearweb'e temas etmez ve bu yüzden IP'nize karşı hiçbir kötüye kullanım bildirimi doğurmaz. Bir çıkış yoktur, dolayısıyla çıkılacak hiçbir şey de yoktur.

Bu son nokta üzerinde durmaya değer, çünkü rutin olarak yanlış anlaşılır. Bir onion servisi çalıştırmak, Tor ağında yapabileceğiniz operasyonel olarak en sessiz şeydir. Sunucunuz, sıradan bir Tor istemci trafiğine benzeyen giden bağlantılar kurar; hiçbir zaman başka birinin sunucusuna yapılan bir bağlantının kaynağı olarak görünmez; ve çoğu insanın endişelendiği şey — başkasının davranışının sizin IP'nizin üzerine yıkılması — yapısal olarak imkânsızdır.

Bir onion servisi çalıştırmak için bir röle çalıştırmanıza da gerek yoktur ve ikisini ayrı tutmak daha iyidir. Bir röle bant genişliği, herkese açık bir ORPort ve yayımlanmış bir ContactInfo ister. Bir servis bunların hiçbirini istemez. İkisini de yapmak istiyorsanız, bunları iki ayrı sunucuda yapın.

İşte resmi belgelerin üzerinde pek durmadığı kısım, ve bu işi yapmaya değip değmediğini gerçekten belirleyen kısım. Aşağıdaki gibi yapılandırılmış Tor'un, sunucunuzu ele veren şey olması son derece düşük bir ihtimaldir. Arkasındaki yazılım ise tam tersidir, çünkü o yazılım bir web sunucusunun bulunmak isteyeceği varsayımıyla yazılmıştır.

İşte kanallar, insanları yakaladıkları sıraya kabaca göre:

• Herkese açık IP'de aynı içerik. Web sunucunuz 0.0.0.0 üzerinde de dinliyorsa, interneti tarayan herkes hem bir IP adresinde hem de bir onion adresinde birebir aynı sayfayı görür. Tüm interneti tarayan araçlar her açık portu sürekli olarak indeksler ve sonuçları gövde hash'ine ve favicon hash'ine göre aranabilir. Tek bir sorgu ikisini birbirine bağlar. Bir onion servisinin maskesinin düşürülmesinin en yaygın tek yolu budur ve bu, tek satırlık bir yapılandırma hatasıdır.
• Sunucu banner'ları ve varsayılan sayfalar. Standart bir nginx ya da apache2 kurulumu, bilinmeyen hostname'lere varsayılan bir sayfayla yanıt verir, sürümünü Server başlığında yazdırır ve hata çıktısında sıklıkla makinenin gerçek hostname'ini ele verir. Bunların her biri bir ilişkilendirme tutamacıdır.
• Mutlak URL'ler. Yönlendirmeler, canonical etiketleri, site haritaları, RSS beslemeleri, Open Graph etiketleri ve parola sıfırlama e-postalarının hepsi tam nitelikli bir clearweb URL'si yaymayı sever. Bir sayfanın onion sürümünün içinde bunlardan bir tanesi bile yeterlidir.
• Uygulamanın yaptığı giden istekler. Analitik, web fontları, CDN varlıkları, avatar servisleri, harita karoları, webhook'lar ve güncelleme kontrollerinin hepsi sunucunun gerçek IP'sinden kaynaklanır ve birçoğu üçüncü bir tarafa o anda hangi sayfanın render edildiğini söyler. Başkasının alan adından bir font yükleyen kendi kendine barındırılan bir site, amaçlamadığı bir denetim izine sahiptir.
• Posta. Makinenin gönderdiği her şey gerçek IP'sini Received başlıklarına damgalar. Servisin posta göndermesi gerekiyorsa, bu bilinçli olarak çözülmesi gereken bir tasarım sorunudur — posta sunucusu rehberimizden başlayın ve varsayılan olarak hiçbir şey göndermemesi gerektiğini varsayın.
• Yeniden kullanılan anahtarlar ve parmak izleri. Hem herkese açık IP'de hem de bir onion adresinde yanıt veren aynı SSH host anahtarı ikisini kalıcı olarak birbirine bağlar. Aynı TLS sertifikası, aynı favicon, aynı analitik kimliği ya da iki proje arasında aynı belirgin hata sayfası da öyle.
• Sertifika Şeffaflığı (Certificate Transparency). Aynı makine bir gün bile HTTPS üzerinden bir clearweb alan adına hizmet verirse, o alan adı için sertifika sonsuza dek herkese açık, yalnızca ekleme yapılabilen loglara yazılır. Bu, onion'ı değil makineyi adlandırır, ama makineyi adlandırır.

Bunların hepsinin ortak şekli aynıdır: Tor adresi gizledi, sunucudaki başka bir şeyse onu yayımladı. Aşağıdaki sekizinci adım, başkası bulmadan önce bunları bulmak için bir kontrol listesidir.

Herhangi bir şey kurmadan önce tek bir soruyu yanıtlayın, çünkü sonrasındaki her şey buna bağlıdır: bu sunucunun fiziksel konumu, korumaya çalıştığınız bir sır mı?

Üç dürüst cevap vardır ve bunlar gerçekten farklı kurulumlara götürür.

• Evet, konum tam olarak mesele budur. O zaman bu makine tam olarak tek bir iş yapar. Clearweb sitesi yok, IP'sine işaret eden herkese açık bir DNS kaydı yok, posta yok, hiçbir yerde dinleyen başka bir servis yok. Bunun için adınızı ona iliştirmeyen bir şekilde ödeme yaparsınız — Monero kılavuzumuz mekaniği anlatır ve KYC'siz hesaplar, bir teslimat adresi dışında elden çıkaracak hiçbir şey olmadığı anlamına gelir. Tam üç atlamalı yapılandırmayı korursunuz. Aşağıdaki, anonimliği hız karşılığında satan her kısayol sizin için kapalıdır ve bu sorun değildir, çünkü hız için optimize etmiyorsunuz.
• Hayır, sunucu zaten herkese açık. Sıradan bir site çalıştırıyorsunuz ve bir onion adresi de istiyorsunuz — sansür arkasındaki okuyucular için, alan adınızı çözümlemeyi tercih etmeyen kişiler için ya da bunu sunmak istediğiniz için. Kimse bir şey gizlemiyor, bu yüzden tekli bir onion servisi kullanabilir, devreyi altı atlamadan üçe indirebilir ve adresi clearweb sitesinden bir Onion-Location başlığıyla duyurabilirsiniz. Bu bir erişilebilirlik özelliğidir ve burada olmak için tamamen meşru bir nedendir.
• Arada bir yerde. Aslında çoğu insanın bulunduğu yer burasıdır ve tehlikeli olan da budur, çünkü “biraz gizli” bir sunucunun sahip olabileceği bir özellik değildir. Bir taraf seçin. Konum gerçekten önemliyse, önemliymiş gibi kurun. Önemli değilse, sürdürmediğiniz bir anonimlik özelliği için gecikme bedeli ödemeyi bırakın.

Devam etmeden önce cevabı yazıya dökün. Bu rehberin konusundaki hataların neredeyse tamamı, ilk duruma göre kurup ikinci durummuş gibi işletmekten kaynaklanır.

Sunucunun konumu bir sır değilse, ikisini birden çalıştırmak basit ve gerçekten faydalıdır — büyük haber kuruluşları, Debian ve birkaç arama motoru sitelerini bu şekilde sunar. Anlaşılması gereken iki mekanizma ve bir takas vardır.

Onu Onion-Location ile duyurun. Clearweb sitesindeki tek bir başlık, Tor Browser'ın adres çubuğunda bir “.onion mevcut” düğmesi göstermesini ve geçiş önermesini sağlar. Başlık yalnızca HTTPS üzerinden sunulan sayfalarda dikkate alınır ve değerin geçerli bir onion URL'si olması gerekir:

add_header Onion-Location "http://<your-address>.onion$request_uri" always;

Başlık ayarlayamadığınız barındırma ortamları için, aynı HTTPS gereksinimine sahip bir HTML eşdeğeri de vardır:

<meta http-equiv="onion-location" content="http://<your-address>.onion">

Ayrıca adresi bir insanın okuyabileceği bir yere, alt bilgiye ya da hakkımızda sayfasına da koyun. Başlık yalnızca zaten Tor Browser kullananlara ulaşır; alt bilgi ise geri kalan herkese ulaşır.

Tekli bir onion servisi düşünün. Normal bir onion bağlantısı altı atlamadır — üçü istemciden, üçü servisten — ve servisin üç atlaması yalnızca nerede olduğunu gizlemek için vardır. Bu bir sır değilse, onları kaldırabilirsiniz. Gecikmedeki iyileşme büyük ve hemen fark edilir. Yapılandırma kasıtlı olarak keskindir:

# /etc/tor/torrc — these are INSTANCE-WIDE, not per service
HiddenServiceNonAnonymousMode 1
HiddenServiceSingleHopMode 1
SOCKSPort 0

İki seçenek de birlikte gereklidir, SOCKS portu devre dışı bırakılmalıdır ve bunlar o Tor örneğindeki her onion servisi için geçerlidir — hizmet başına devre dışı bırakma seçeneği yoktur. Birini diğerleri olmadan ayarlarsanız Tor başlamayı reddeder; bu, yazılımın size yaptığı bir iyiliktir. Tek bir örnek, biri herkese açık konumlu diğeri olmayan iki servise ev sahipliği yapıyorsa, iki örnek çalıştırın, ya da daha iyisi, iki sunucu kullanın.

Ve takası kabul edin. Her iki adresi de yayımlamak, aynı işletmecinin ikisini de çalıştırdığını ilan eder ve ikisinden de aynı içeriği sunmak, ne olursa olsun bunları önemsizce birbirine bağlanabilir hâle getirir. Anlaşma budur ve herkese açık bir site için hiçbir bedeli yoktur. Yine de hijyeni koruyun: onion sürümünün içinde mutlak clearweb URL'leri olmasın, bir oturumun ikisi arasında dolaşmaması için çerezler host başına kapsanmış olsun ve varlıkları çapraz çekmeyen bir içerik güvenlik politikası kullanın.

Varsayılan olarak, adresinizi bilen herkes servise ulaşabilir. İstemci yetkilendirmesi bunu uygulama katmanında değil ağ katmanında değiştirir ve aradaki fark kulağa geldiğinden daha önemlidir.

Yetkilendirme etkinken, servisinizin yayımladığı tanımlayıcı bir dizi istemci anahtarına karşı şifrelenir. Bu anahtarlardan birine sahip olmayan bir ziyaretçi onu çözemez, tanıtım noktalarını öğrenemez ve bu yüzden hiç bağlanamaz — bir giriş sayfasına ulaşmaz, bir ret yanıtı almaz, hiçbir şey almaz. Servis listelenmemiş değildir; görünmezdir.

İstemci başına bir x25519 anahtar çifti üretin. Buradaki tüm araçlar zaten bir Debian makinesinde mevcuttur:

openssl genpkey -algorithm x25519 -out alice.prv.pem

# private key — goes to the client, never to the server
grep -v 'PRIVATE KEY' alice.prv.pem | base64 -d | tail -c 32 | base32 | tr -d '='

# public key — goes on the server
openssl pkey -in alice.prv.pem -pubout | grep -v 'PUBLIC KEY' \
  | base64 -d | tail -c 32 | base32 | tr -d '='

Sunucuda, genel anahtarı servis dizininin içindeki bir authorized_clients dizinine bırakın. Dosya adı .auth ile bittiği sürece keyfidir, bu da iptali tek bir dosyayı silme meselesi hâline getirir:

mkdir -p /var/lib/tor/onion-site/authorized_clients
echo "descriptor:x25519:<ALICE-PUBLIC-KEY>" \
  > /var/lib/tor/onion-site/authorized_clients/alice.auth
chown -R debian-tor:debian-tor /var/lib/tor/onion-site
systemctl reload tor@default

İstemcide özel anahtar, ClientOnionAuthDir ile adlandırılan dizine, içinde adresin tekrarlandığı, .auth_private ile biten bir dosyaya konur. Tor Browser bunlar için veri klasörünün altında kendi dizinine sahiptir ve buna ihtiyaç duyan bir servise rastladığında bir anahtar isteyecektir:

# /var/lib/tor/onion-auth/mysite.auth_private
<address-without-the-.onion>:descriptor:x25519:<ALICE-PRIVATE-KEY>

Bu; bir hazırlık sitesi, bir yönetici paneli, özel bir dosya bırakma noktası ya da yalnızca sizin kullandığınız kendi barındırdığınız bir Nextcloud için doğru araçtır — “bunun var olduğunu kim görebilmeli?” sorusunun dürüst cevabının “bizden başka kimse” olduğu her şey için. Bedeli gerçektir ve idaridir: anahtarları insanlara güvendiğiniz bir kanal üzerinden ulaştırmanız ve sonrasında onları kaldırmayı hatırlamanız gerekir.

Onion servisleri kendilerine özgü şekillerde başarısız olur ve bunların hiçbiri sıradan bir kesintiye benzemez. İhtiyaç duymadan önce kurmaya değer dört şey vardır.

Gerçek operasyonel sorun hizmet reddidir (DoS). Filtrelenecek bir IP adresi olmadığından olağan savunmalar işe yaramaz ve kararlı bir tanıtım isteği seli göndermek ucuzdur. Tor'un ikisi de servis başına torrc içinde ayarlanan iki cevabı vardır: HiddenServiceEnableIntroDoSDefense 1 tanıtım noktalarındaki istekleri hız sınırlar, HiddenServicePoWDefensesEnabled 1 ise istemcilerin, yük arttıkça zorlaşan küçük bir iş kanıtı (proof-of-work) bulmacasını çözmesini sağlar; böylece meşru ziyaretçiler bir an bekler ama bir sel saldırısı pahalı hâle gelir. İkisini de en baştan açın; sizi saldıran hiçbir şey yokken bunun bedeli önemsizdir.

Saati doğru tutun. Tanımlayıcılar, paylaşılan bir ağ değerinden türetilen zaman dilimlerine göre yayımlanır ve aranır. Saati ciddi şekilde kaymış bir sunucu yanlış yere yayımlar ve kendi loglarında tamamen sağlıklı görünürken erişilemez hâle gelir. Bir NTP istemcisinin çalıştığından emin olun, makineyi UTC'de tutun ve bir servis esrarengiz bir şekilde çözümlenmeyi durdurduğunda bunu kontrol edin.

İzleme, Tor üzerinden geçmek zorundadır. Hiçbir ticari çalışma süresi servisi bir .onion adresini yoklayamaz, bu da olağan cevabın sizin için mevcut olmadığı anlamına gelir. Kontrolü, servise ev sahipliği yapan makine olmayan ikinci bir makineden kendiniz çalıştırın — bilinen bir URL'ye karşı torsocks curl -s --max-time 60 çalıştıran ve çıktıyı bilinen bir dizeyle karşılaştıran bir cron görevi yeterlidir ve hiçbir bedeli yoktur.

Çalışma süresi önemliyse birden fazla örnek planlayın. OnionBalance, birkaç arka uç sunucusunun tek bir onion adresini paylaşmasını sağlar: bir ön uç örneği, adresin sahibi olan anahtarı tutar ve arka uçların tanıtım noktalarına işaret eden bir tanımlayıcı yayımlar; böylece adres hiç değişmeden yük dağıtımı ve yedekliliği elde edersiniz. Bu, çoğu sitenin ihtiyaç duyduğundan daha fazla hareketli parçadır, ama desteklenen cevap budur ve kendinizi tek bir makineye hapsetmeden önce var olduğunu bilmekte fayda vardır.

Son bir operasyonel alışkanlık: Tor'u yeniden başlatmak, yeniden yayımlarken servisi birkaç saniyeliğine çevrimdışı bırakır ve /var/lib/tor'u silen bir yeniden kurulum onu sonsuza dek çevrimdışı bırakır. O dizine bir özel anahtara davranacağınız gibi davranın, çünkü zaten öyledir.

Bir onion adresi; kayıt şirketini, çözümleyiciyi, sertifika otoritesini ve açık portu ortadan kaldırır. Başka hiçbir şeyi ortadan kaldırmaz ve geri kalanı konusunda kesin olmak, faydalı bir aracı sahte bir güvenlik hissinden ayıran şeydir.

Uygulamayı düzeltmez. Bir onion servisinin arkasındaki güvenlik açığı olan bir web uygulaması, yine güvenlik açığı olan bir web uygulamasıdır; birçok saldırganın kod çalıştırmayı başardıktan sonra yaptığı ilk şey, sunucunun gerçek adresini ele veren giden bir istek yapmaktır. Makineye Debian sertleştirme rehberimizdeki on dakikalık geçişi uygulayın, güncel tutun ve hiçbir şey dinlemiyor olsa bile onu açıkta kabul edin.

Sunucuyu, onu işletenlerden gizlemez. Bir sunucunun var olduğunu, ne zaman kurulduğunu ve IP adresinin ne olduğunu biliriz, çünkü onu tahsis eden biziz. Bu, her yerdeki her sağlayıcı için geçerlidir ve size aksini söyleyen biri size bir şey satmaya çalışıyordur. Kesin olarak söyleyebileceğimiz şey, onunla ne yaptığımızdır; bu da kripto ile ödenen bir VPS'in neyi gizlediğine dair dürüst açıklamamızda anlatılır.

Tek başına sabırlı, iyi kaynaklara sahip bir düşmanı alt etmez. Trafik hacmi ve zamanlaması ağın kenarlarında görünürdür ve belirli bir kişi uyurken sessizleşen bir servis size bir şey anlatıyordur. İçerik sizi ele veriyorsa bu da yardımcı olmaz: herkese açık bir kimlikle aynı yazım tarzı, aynı PGP anahtarı, aynı avatar ya da aynı forum takma adı, taşıma katmanı ne kadar iyi olursa olsun döngüyü kapatır.

Kıyaslama yapabilmeniz için kendi tarafımızdan da söyleyelim: onion servisleri her katmanda memnuniyetle karşılanır ve bizden özel hiçbir şeye ihtiyaç duymaz, çünkü hiçbir port açmazlar ve hiçbir kötüye kullanım trafiği üretmezler. Kimlik bilgilerini teslim etmek için yalnızca bir adrese ihtiyaç duyan KYC'siz hesaplar işletiyoruz. Rutin telif hakkı yazışmalarını otomatik bir kaldırma değil operasyonel bir mesele olarak ele alıyoruz, sunucunun bulunduğu yargı bölgesindeki geçerli mahkeme kararları üzerine harekete geçiyoruz ve alt sınır mutlaktır, tıpkı her yerde olduğu gibi burada da geçerlidir: CSAM yok, terörizm içeriği yok, istisna yok. Taşımaktan mutlu olmayacağınız bir şey kurmadan önce kabul edilebilir kullanım politikasını ve kötüye kullanım bildirimlerini nasıl ele aldığımızı okuyun. Tor dostu VPS sayfamızda katman rehberliği bulunuyor.