Onion usluga nasuprot VPN usluzi: različiti modeli pristupa

Ljudi opisuju Onion uslugu i uslugu dostupnu samo preko VPN-a kao dvije varijante iste ideje: sakrij port, podijeli tajnu adresu. Razlikuju se po tome za šta je adresa vezana, ko može do nje doći i šta se mora dogoditi prije nego zahtjev stigne. Jedna je mjesto susreta unutar Tor-a, druga je ruta unutar privatne mreže. Tretiranje njih kao zamjenjivih stvara dizajne koji nisu ni privatni ni održivi.

Mit: oba dizajna su samo skrivena vrata

Zajednička osobina je stvarna, ali tanka: nijedan dizajn ne stavlja administrativno sučelje na izravno dostupan javni port. Sve ostalo se razilazi. Onion adresa se izvodi iz vlastitog ključa usluge, pa je ime vezano za identitet; VPN adresa je samo adresa unutar mreže u koju ste primljeni. Jedna skriva uslugu unutar nadređene mreže, druga vas prima u privatnu topologiju. Tretiranje druge kao sinonima za prvu je početak zabune.

Nijedna od tih osobina nije sigurnosna kontrola za samu aplikaciju. Skrivena lokacija ne zakrplja softver iza nje, a privatna ruta ne dodaje provjeru identiteta na stranicu za prijavu. Oba dizajna i dalje trebaju vlastite dozvole aplikacije i i dalje trebaju nekoga odgovornog za ažuriranja i oporavak.

Na šta Onion adresa zapravo pokazuje

Adresa Onion verzije v3 kodira javni ključ usluge, zbog čega niko ne može odabrati adresu za uslugu kojom ne upravlja. Klijent se povezuje preko Tor-a s mjestom susreta, a usluga doseže istu točku sa svoje strane; nijedan obični izlazni čvor ne nosi tu vezu do usluge. Ime je identitet, a ne DNS zapis.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Zato dodavanje rute ili unosa u hosts za onion ime ne pomaže ništa. Pretraga nije mehanizam; mehanizam je Tor klijent i njegovi krugovi. Ako je usluga namijenjena maloj grupi ljudi, onion autorizacija klijenta može zahtijevati ključ prije nego veza bude prihvaćena, ali to i dalje nije prijava u aplikaciju. Objavljivanje adrese je također namjeran čin, jer svako ko je sazna može pokušati vezu osim ako ste je ograničili.

Zaustavite se ako je jedini razlog onion dizajna izbjegavanje podešavanja provjere identiteta. Nadređena mreža to ne pruža, a vi ćete je svejedno graditi kasnije.

Šta VPN ruta zapravo daje

VPN prima uređaj u mrežu i daje mu rutu do pristupnika ili podmreže. Usluga iza tog pristupnika vidi adresu iz bazena tunela i primjenjuje ono za šta ima ovlaštenje. Ruta ne govori ništa o tome ko je korisnik; govori kuda paketi smiju ići.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Taj model odgovara poznatoj grupi s upravljanim uređajima, jer pristupnik može nametnuti stanje uređaja, a mreža se može revidirati. Loše odgovara anonimnim ili ad hoc posjetiocima, koje bi prvo trebalo upisati. Prijava u samu aplikaciju i dalje odlučuje šta povezani korisnik smije čitati. Miješanje dostupnosti s dozvolom je način na koji VPN na kraju daje cijelu podmrežu svima koji se mogu povezati.

Zaustavite se ako je publika nepoznata ili se stalno mijenja. Upisivanje stranaca u privatnu mrežu da bi im se pokazala jedna stranica velika je obaveza u poređenju s objavljivanjem usluge.

Izbor između njih i šta ostaje isto

Odaberite onion model kada je publika tehnička, usluga ne smije imati javnu adresu uopće i možete prihvatiti zahtjeve Tor klijenta. Odaberite VPN model kada je publika određena grupa čijim uređajima upravljate i čiji pristup želite bilježiti na mrežnom sloju. Nijedan izbor ne uklanja potrebu za provjerom identiteta u aplikaciji, zakrpama ili putem oporavka. Nijedan nije automatski privatniji u smislu koji je važan vašim korisnicima.

U oba dizajna zapišite ko može doći do usluge, kako se identificiraju i šta se događa kad se izgubi akreditiv. Odgovor za onion uslugu uključuje njezine ključeve za autorizaciju klijenta i samu adresu; odgovor za VPN uključuje račun, uređaj i politiku pristupnika. To su različiti inventari i samo će jedan od njih biti očigledan sljedećem administratoru.

Poređenje prestaje gdje počinje aplikacija. Skrivena adresa i privatna ruta su transportni izbori, a aplikacija i dalje mora odlučiti šta zahtjev smije činiti. Držite te odluke u odvojenim dokumentima i nijedan dizajn neće tiho preuzeti posao onog drugog.