Υπηρεσία Onion έναντι υπηρεσίας VPN: διαφορετικά μοντέλα πρόσβασης

Οι άνθρωποι περιγράφουν μια υπηρεσία Onion και μια υπηρεσία προσβάσιμη μόνο μέσω VPN ως δύο παραλλαγές της ίδιας ιδέας: απόκρυψε τη θύρα, μοιράσου τη μυστική διεύθυνση. Διαφέρουν ως προς το τι δεσμεύει η διεύθυνση, ποιος μπορεί να τη φτάσει και τι πρέπει να συμβεί πριν φτάσει ένα αίτημα. Η μία είναι σημείο συνάντησης μέσα στο Tor, η άλλη είναι διαδρομή μέσα σε ένα ιδιωτικό δίκτυο. Το να τις αντιμετωπίζουμε ως ανταλλάξιμες παράγει σχέδια που δεν είναι ούτε ιδιωτικά ούτε συντηρήσιμα.

Ο μύθος: και τα δύο σχέδια είναι απλώς μια κρυφή πόρτα

Η κοινή ιδιότητα είναι πραγματική αλλά λεπτή: κανένα από τα δύο σχέδια δεν τοποθετεί το διαχειριστικό περιβάλλον σε άμεσα προσβάσιμη δημόσια θύρα. Όλα τα υπόλοιπα αποκλίνουν. Μια διεύθυνση Onion παράγεται από το ίδιο το κλειδί της υπηρεσίας, άρα το όνομα δεσμεύεται σε μια ταυτότητα· μια διεύθυνση VPN είναι απλώς μια διεύθυνση μέσα σε δίκτυο στο οποίο σας δέχτηκαν. Το ένα κρύβει την υπηρεσία μέσα σε ένα επικαλυπτικό δίκτυο, το άλλο σας δέχεται σε μια ιδιωτική τοπολογία. Το να θεωρούμε το δεύτερο συνώνυμο του πρώτου είναι εκεί όπου αρχίζει η σύγχυση.

Καμία από τις δύο ιδιότητες δεν είναι έλεγχος ασφαλείας για την ίδια την εφαρμογή. Μια κρυφή τοποθεσία δεν διορθώνει το λογισμικό πίσω της, και μια ιδιωτική διαδρομή δεν προσθέτει έλεγχο ταυτότητας στη σελίδα σύνδεσης. Και τα δύο σχέδια εξακολουθούν να χρειάζονται τα δικά τους δικαιώματα της εφαρμογής και εξακολουθούν να χρειάζονται κάποιον υπεύθυνο για ενημερώσεις και ανάκτηση.

Σε τι δείχνει πραγματικά μια διεύθυνση Onion

Μια διεύθυνση Onion έκδοσης v3 κωδικοποιεί το δημόσιο κλειδί της υπηρεσίας, γιαυτό κανείς δεν μπορεί να επιλέξει διεύθυνση για υπηρεσία που δεν ελέγχει. Ο πελάτης συνδέεται μέσω Tor σε σημείο συνάντησης και η υπηρεσία φτάνει στο ίδιο σημείο από τη δική της πλευρά· κανένας συνηθισμένος κόμβος εξόδου δεν μεταφέρει αυτή τη σύνδεση στην υπηρεσία. Το όνομα είναι ταυτότητα, όχι εγγραφή DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Γι’ αυτό δεν ωφελεί να προσθέσετε διαδρομή ή καταχώριση hosts για όνομα onion. Η αναζήτηση δεν είναι ο μηχανισμός· ο πελάτης Tor και τα κυκλώματά του είναι. Αν η υπηρεσία προορίζεται για μικρή ομάδα ανθρώπων, η εξουσιοδότηση πελάτη onion μπορεί να απαιτεί κλειδί πριν γίνει δεκτή η σύνδεση, αλλά αυτό εξακολουθεί να μην είναι σύνδεση στην εφαρμογή. Η δημοσίευση της διεύθυνσης είναι επίσης σκόπιμη πράξη, αφού όποιος τη μάθει μπορεί να δοκιμάσει σύνδεση εκτός αν την έχετε περιορίσει.

Σταματήστε αν ο μόνος λόγος για το σχέδιο onion είναι να αποφύγετε τη ρύθμιση ελέγχου ταυτότητας. Το επικαλυπτικό δίκτυο δεν το παρέχει, και θα το φτιάξετε αργότερα ούτως ή άλλως.

Τι παρέχει πραγματικά μια διαδρομή VPN

Ένα VPN δέχεται μια συσκευή σε ένα δίκτυο και της δίνει διαδρομή προς πύλη ή υποδίκτυο. Η υπηρεσία πίσω από αυτή την πύλη βλέπει διεύθυνση από τη δεξαμενή σήραγγας και εφαρμόζει όποια εξουσιοδότηση διαθέτει. Η διαδρομή δεν λέει τίποτα για το ποιος είναι ο χρήστης· λέει πού επιτρέπεται να πάνε τα πακέτα.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Αυτό το μοντέλο ταιριάζει σε γνωστή ομάδα με διαχειριζόμενες συσκευές, επειδή η πύλη μπορεί να επιβάλει την κατάσταση της συσκευής και το δίκτυο μπορεί να ελεγχθεί. Ταιριάζει άσχημα σε ανώνυμους ή περιστασιακούς επισκέπτες, που θα έπρεπε πρώτα να εγγραφούν. Η σύνδεση της ίδιας της εφαρμογής εξακολουθεί να καθορίζει τι επιτρέπεται να διαβάσει ένας συνδεδεμένος χρήστης. Το να συγχέουμε την προσβασιμότητα με την άδεια είναι ο τρόπος με τον οποίο ένα VPN καταλήγει να δίνει ολόκληρο υποδίκτυο σε όποιον μπορεί να συνδεθεί.

Σταματήστε αν το κοινό είναι άγνωστο ή αλλάζει συνεχώς. Η εγγραφή αγνώστων σε ιδιωτικό δίκτυο για να τους δείξετε μία σελίδα είναι μεγάλη δέσμευση σε σύγκριση με τη δημοσίευση μιας υπηρεσίας.

Επιλογή ανάμεσά τους και τι μένει ίδιο

Επιλέξτε το μοντέλο onion όταν το κοινό είναι τεχνικό, η υπηρεσία δεν πρέπει να έχει καθόλου δημόσια διεύθυνση και μπορείτε να δεχτείτε τις απαιτήσεις πελάτη του Tor. Επιλέξτε το μοντέλο VPN όταν το κοινό είναι καθορισμένη ομάδα της οποίας διαχειρίζεστε τις συσκευές και θέλετε να καταγράφετε την πρόσβασή της στο επίπεδο δικτύου. Καμία επιλογή δεν αφαιρεί την ανάγκη για έλεγχο ταυτότητας της εφαρμογής, ενημερώσεις ή διαδρομή ανάκτησης. Καμία δεν είναι αυτόματα πιο ιδιωτική με την έννοια που μετράει για τους χρήστες σας.

Και στα δύο σχέδια, γράψτε ποιος μπορεί να φτάσει την υπηρεσία, πώς αναγνωρίζονται και τι συμβαίνει όταν χαθεί ένα διαπιστευτήριο. Η απάντηση για υπηρεσία onion περιλαμβάνει τα κλειδιά εξουσιοδότησης πελάτη και την ίδια τη διεύθυνση· η απάντηση για VPN περιλαμβάνει τον λογαριασμό, τη συσκευή και την πολιτική της πύλης. Αυτά είναι διαφορετικά μητρώα και μόνο ένα από αυτά θα είναι προφανές στον επόμενο διαχειριστή.

Η σύγκριση τελειώνει εκεί όπου αρχίζει η εφαρμογή. Μια κρυφή διεύθυνση και μια ιδιωτική διαδρομή είναι επιλογές μεταφοράς, και η εφαρμογή πρέπει ακόμη να αποφασίσει τι επιτρέπεται να κάνει ένα αίτημα. Κρατήστε αυτές τις αποφάσεις σε ξεχωριστά έγγραφα και κανένα από τα δύο σχέδια δεν θα απορροφήσει σιωπηλά τη δουλειά του άλλου.