Onion-palvelu vastaan VPN-palvelu: erilaiset käyttömallit

Ihmiset kuvaavat Onion-palvelua ja vain VPN:n kautta saavutettavaa palvelua saman idean kahtena muunnelmana: piilota portti, jaa salainen osoite. Ne eroavat siinä, mihin osoite on sidottu, kuka voi saavuttaa sen ja mitä täytyy tapahtua ennen kuin pyyntö saapuu. Toinen on kohtaamispaikka Torin sisällä, toinen reitti yksityisessä verkossa. Niiden kohteleminen vaihdettavina tuottaa ratkaisuja, jotka eivät ole yksityisiä eivätkä ylläpidettäviä.

Myytti: molemmat mallit ovat vain piilotettu ovi

Yhteinen ominaisuus on todellinen mutta ohut: kumpikaan malli ei aseta hallintakäyttöliittymää suoraan saavutettavaan julkiseen porttiin. Kaikki muu erkanee. Onion-osoite johdetaan palvelun omasta avaimesta, joten nimi on sidottu identiteettiin; VPN-osoite on vain osoite verkossa, johon sinut hyväksyttiin. Toinen piilottaa palvelun päällekkäisverkkoon, toinen päästää sinut yksityiseen topologiaan. Toisen pitäminen ensimmäisen synonyymina on sekoituksen alku.

Kumpikaan ominaisuus ei ole turvakontrolli itse sovellukselle. Piilotettu sijainti ei paikkaa sen takana olevaa ohjelmistoa, eikä yksityinen reitti lisää todennusta kirjautumissivulle. Molemmat mallit tarvitsevat edelleen sovelluksen omat käyttöoikeudet ja molemmat tarvitsevat edelleen jonkun vastaamaan päivityksistä ja palauttamisesta.

Mihin Onion-osoite oikeastaan osoittaa

Jokainen v3 Onion-osoite koodaa palvelun julkisen avaimen, minkä vuoksi kukaan ei voi valita osoitetta palvelulle, jota ei hallitse. Asiakas yhdistää Torin kautta kohtaamispaikkaan ja palvelu saavuttaa saman pisteen omalta puoleltaan; mikään tavallinen lähtösolmu ei kanna tätä yhteyttä palveluun. Nimi on identiteetti, ei DNS-tietue.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Siksi reitin tai hosts-tietueen lisääminen onion-nimelle ei auta mitään. Haku ei ole mekanismi; Tor-asiakasohjelma ja sen piirit ovat. Jos palvelu on tarkoitettu pienelle joukolle ihmisiä, onion-asiakkaan valtuutus voi vaatia avaimen ennen yhteyden hyväksymistä, mutta se ei ole silti sovelluksen kirjautuminen. Osoitteen julkaiseminen on myös tietoinen teko, sillä kuka tahansa sen oppinut voi yrittää yhteyttä, ellet ole rajoittanut sitä.

Pysähdy, jos ainoa syy onion-malliin on todennuksen määrittämisen välttäminen. Päällekkäisverkko ei tarjoa sitä, ja rakennat sen joka tapauksessa myöhemmin.

Mitä VPN-reitti oikeastaan antaa

VPN hyväksyy laitteen verkkoon ja antaa sille reitin yhdyskäytävään tai aliverkkoon. Yhdyskäytävän takana oleva palvelu näkee osoitteen tunnelialtaasta ja soveltaa sitä valtuutusta, joka sillä on. Reitti ei kerro mitään siitä, kuka käyttäjä on; se kertoo, minne paketit saavat mennä.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Malli sopii tunnetulle ryhmälle, jolla on hallitut laitteet, koska yhdyskäytävä voi pakottaa laitteen tilan ja verkko voidaan auditoida. Se sopii huonosti anonyymeille tai satunnaisille vierailijoille, jotka pitäisi ensin rekisteröidä. Sovelluksen oma kirjautuminen ratkaisee edelleen, mitä yhdistetty käyttäjä saa lukea. Saavutettavuuden sekoittaminen lupaan on tapa, jolla VPN lopulta antaa koko aliverkon kaikille, jotka voivat yhdistää.

Pysähdy, jos yleisö on tuntematon tai muuttuu jatkuvasti. Vieraiden rekisteröiminen yksityiseen verkkoon yhden sivun näyttämiseksi on suuri sitoumus verrattuna palvelun julkaisemiseen.

Valinta niiden välillä ja mikä pysyy samana

Valitse onion-malli, kun yleisö on tekninen, palvelulla ei saa olla lainkaan julkista osoitetta ja voit hyväksyä Torin asiakasvaatimukset. Valitse VPN-malli, kun yleisö on määritelty ryhmä, jonka laitteita hallitset ja jonka pääsyn haluat kirjata verkkokerroksessa. Kumpikaan valinta ei poista tarvetta sovelluksen todennukselle, paikkauksille tai palautuspolulle. Kumpikaan ei ole automaattisesti yksityisempi siinä merkityksessä, joka on käyttäjillesi tärkeä.

Kirjoita molemmissa malleissa muistiin, kuka voi saavuttaa palvelun, miten heidät tunnistetaan ja mitä tapahtuu, kun tunniste katoaa. Onion-palvelun vastaus sisältää sen asiakasvaltuutusavaimet ja itse osoitteen; VPN:n vastaus sisältää tilin, laitteen ja yhdyskäytävän käytännön. Ne ovat eri luetteloita, ja vain yksi niistä on ilmeinen seuraavalle ylläpitäjälle.

Vertailu päättyy siihen, missä sovellus alkaa. Piilotettu osoite ja yksityinen reitti ovat kuljetusvalintoja, ja sovelluksen on yhä päätettävä, mitä pyyntö saa tehdä. Pidä nuo päätökset erillisissä asiakirjoissa, niin kumpikaan malli ei hiljaa ota toisen työtä.