Что такое скрытый сервис Tor
Скрытый сервис Tor — также называемый onion-сервисом — это веб-сайт или приложение, доступное исключительно через сеть Tor по адресу, оканчивающемуся на .onion. В отличие от обычного сайта, у него нет публичного IP-адреса и нет записи в DNS. Посетители заходят через Tor, и соединение между посетителем и сервером маршрутизируется так, что ни одна из сторон не узнаёт местоположение или IP-адрес другой.
Это принципиально иная и более надёжная модель, чем размещение обычного сайта за средствами защиты конфиденциальности. В случае onion-сервиса анонимность встроена в сам протокол: местоположение сервера скрыто конструктивно, а не настройками, в которых можно допустить ошибку. Нет IP-адреса, который мог бы утечь, нет DNS-записи, которую можно получить по судебному запросу, нет IP-адреса хостинга для сканирования или атак. Адрес формируется из криптографического ключа, поэтому его невозможно подделать. Это, по существу, наиболее надёжная из доступных форм анонимного хостинга.
Зачем запускать скрытый сервис
Onion-сервисы используют самые разные законопослушные операторы: новостные организации, ведущие защищённые линии для источников, системы приёма материалов SecureDrop, на которые полагаются журналисты, проекты в сфере конфиденциальности с зеркалами, устойчивыми к цензуре, инструменты для обмена сообщениями и файлами, а также частные лица, которым нужен сайт с неустановимым местоположением сервера. Крупные организации — от ведущих газет до известных программных проектов — запускают onion-сервисы именно потому, что они надёжны.
Причины сводятся к трём свойствам. Конфиденциальность местоположения: сервер невозможно обнаружить по IP, а значит, его нельзя геолоцировать, просканировать или атаковать напрямую. Устойчивость к цензуре: нет ни IP, ни домена, которые можно заблокировать, поэтому сервис остаётся доступным там, где обычные сайты фильтруются. Сквозное шифрование: протокол Tor шифрует соединение по умолчанию, без участия центров сертификации. Если хотя бы одно из этих свойств важно для вашего проекта — скрытый сервис стоит запустить. Это руководство поможет его создать.
Что потребуется
Требования невысоки:
- VPS. Onion-сервис нетребователен к ресурсам; достаточно небольшого тарифа. Выбор VPS без KYC и в офшорной юрисдикции здесь принципиален по конкретной причине, объяснённой ниже, — анонимность сервиса частично зависит от анонимности самого сервера.
- Чистая установка Linux — Debian или Ubuntu для команд из этого руководства.
- Tor Browser на вашем компьютере, чтобы обращаться к готовому сервису и тестировать его.
Доменное имя не нужно — адрес .onion генерируется автоматически, — как и TLS-сертификат: шифрование обеспечивает сам Tor.
Шаг 1 — Настройка сервера и веб-службы
Разверните VPS и подключитесь по SSH. Установите то, что будет отдавать контент, — для простого сайта идеально подойдёт лёгкий веб-сервер, например nginx, устанавливаемый командой apt install -y nginx.
Важная деталь конфигурации: привяжите веб-сервер только к localhost. Веб-служба должна слушать на [redacted-ip], а не на публичном IP сервера. Tor будет подключаться к ней локально; ничто не должно обращаться к ней напрямую из интернета. Привязка к localhost означает, что, несмотря на наличие публичного IP, сам сайт через него недоступен — добраться до контента может только Tor. Убедитесь, что сайт работает локально, выполнив быструю проверку curl [redacted-ip], прежде чем продолжить.
Шаг 2 — Установка Tor и настройка onion-сервиса
Установите Tor командой apt install -y tor. Затем отредактируйте конфигурационный файл Tor — /etc/tor/torrc — чтобы описать скрытый сервис. Достаточно двух строк: HiddenServiceDir, указывающий на каталог, где Tor будет хранить ключи сервиса, и HiddenServicePort, пробрасывающий виртуальный порт 80 на ваш локальный веб-сервер — например HiddenServicePort 80 [redacted-ip].
Перезапустите Tor командой systemctl restart tor. При первом запуске Tor генерирует криптографическую пару ключей сервиса в указанном каталоге и выводит из неё адрес .onion. Этот каталог теперь хранит идентичность вашего сервиса — сделайте надёжную резервную копию и обеспечьте доступ к нему только для пользователя Tor. Кто угодно, завладевший этими ключами, сможет выдать себя за ваш сервис; потеряв их, вы навсегда лишитесь адреса.
Шаг 3 — Получение .onion-адреса и тестирование
Tor записывает адрес в файл hostname внутри HiddenServiceDir. Прочитайте его с помощью cat, и вы увидите 56-символьный адрес, оканчивающийся на .onion, — это публичный адрес вашего сервиса.
Откройте Tor Browser на своём компьютере, вставьте адрес и загрузите страницу. Ваша веб-служба, слушающая только на localhost, должна открыться — полностью через Tor. Первое подключение может занять несколько секунд, пока Tor строит цепочку. Готово — сервис работает, он доступен любому пользователю Tor, а его местоположение скрыто от каждого посетителя.
Шаг 4 — Укрепление анонимности
Работающий onion-сервис не является автоматически анонимным. Протокол скрывает местоположение сервера от посетителей — но ряд ошибок способен это свести на нет. Дисциплина, которая сохраняет анонимность:
- Привязывайте всё к localhost. Ещё раз проверьте, что веб-сервер, а также любая база данных или бэкенд слушают только на
[redacted-ip]. Служба, случайно открытая на публичном IP, может быть сопоставлена с onion-сайтом и деанонимизировать его. - Удалите идентифицирующий контент. Заголовки сервера, стандартные страницы ошибок, аналитические скрипты и метаданные файлов — всё это может раскрыть реальный сервер или связать его с другими сайтами. Проверьте, что именно отдаёт ваш сервис.
- Администрируйте его анонимно. Для администрирования также подключайтесь к серверу через Tor — никогда не выходите на него по SSH напрямую с домашнего IP. Onion-сервис скрывает сервер; не перечёркивайте это собственным соединением.
- Держите сам сервер анонимным. Именно поэтому важен VPS без KYC в офшоре: если сервис когда-либо будет сопоставлен с хостом вопреки всем мерам предосторожности, этот хост должен быть провайдером, который не хранит никаких данных об аккаунте и не ведёт логов. Скрытый сервис и анонимный сервер усиливают друг друга.
- Отключите всё, что обращается домой. Программное обеспечение, устанавливающее исходящие соединения, — обратные вызовы обновлений, внешние шрифты, сторонние API — может раскрыть сервер. Держите сервис изолированным.
Скрытый сервис, открытая сеть или оба варианта
Выбирать только одно необязательно. Есть три разумных варианта. Сайт только в скрытом сервисе — наиболее приватный: никакого присутствия в открытой сети, идеален для линии приёма источников или службы, которую нельзя обнаружить. Сайт в открытой сети с onion-зеркалом обслуживает обычную аудиторию в штатном режиме, предоставляя при этом устойчивый к цензуре приватный маршрут для тех, кто в нём нуждается, — именно так поступают крупные новостные организации. Наконец, сайт только в открытой сети, описанный в нашем руководстве по анонимному размещению сайтов, проще, когда конфиденциальность местоположения на уровне протокола не требуется.
Для максимальной анонимности ответ один: только скрытый сервис на VPS без KYC в офшоре. У сервера нет привязанной идентичности, у сервиса нет IP-адреса, который можно отследить, а весь комплекс доступен любому пользователю Tor и не может быть локализован никем. При соблюдении описанной выше дисциплины это подлинно анонимный хостинг — не маркетинговое заявление, а свойство самого протокола.