Služba Onion verzus služba VPN: odlišné modely prístupu

Ľudia opisujú službu Onion a službu dostupnú iba cez VPN ako dva varianty tej istej myšlienky: skry port a zdieľaj tajnú adresu. Líšia sa tým, na čo je adresa viazaná, kto sa k nej dostane a čo sa musí stať pred príchodom požiadavky. Jedna je stretávacie miesto vnútri Tor, druhá je trasa v súkromnej sieti. Ak sa považujú za zameniteľné, vznikajú návrhy, ktoré nie sú ani súkromné, ani udržiavateľné.

Mýtus: oba návrhy sú len skryté dvere

Spoločná vlastnosť je reálna, ale tenká: ani jeden návrh neumiestňuje administračné rozhranie na priamo dostupný verejný port. Všetko ostatné sa rozchádza. Adresa Onion sa odvodzuje z vlastného kľúča služby, preto je meno viazané na identitu; adresa VPN je len adresa v sieti, do ktorej vás vpustili. Jedna skrýva službu v nadložnej vrstve, druhá vás vpúšťa do súkromnej topológie. Práve vnímanie druhej ako synonyma prvej je začiatok zmätku.

Ani jedna z týchto vlastností nie je bezpečnostnou kontrolou pre samotnú aplikáciu. Skryté miesto nezáplatuje softvér za sebou a súkromná trasa nepridáva autentifikáciu na prihlasovaciu stránku. Oba návrhy stále potrebujú vlastné povolenia aplikácie a oba stále potrebujú niekoho zodpovedného za aktualizácie a obnovu.

Na čo adresa Onion skutočne ukazuje

Adresa Onion vo verzii v3 kóduje verejný kľúč služby, preto si nikto nemôže vybrať adresu pre službu, ktorú nespravuje. Klient sa pripája cez Tor k stretávaciemu miestu a služba sa dostane k tomu istému bodu zo svojej strany; žiadny bežný výstupný uzol nenesie toto spojenie až k službe. Meno je identita, nie záznam DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Preto pridanie trasy alebo záznamu hosts pre meno onion nič neprinesie. Vyhľadávanie nie je mechanizmus; mechanizmom je klient Tor a jeho okruhy. Ak je služba určená malej skupine ľudí, autorizácia klienta onion môže vyžadovať kľúč pred prijatím spojenia, ale to stále nie je prihlásenie do aplikácie. Zverejnenie adresy je tiež zámerný úkon, keďže každý, kto ju zistí, môže skúsiť spojenie, ak ste ho neobmedzili.

Zastavte sa, ak jediným dôvodom návrhu onion je vyhnúť sa nastaveniu autentifikácie. Nadložná vrstva to neposkytuje a aj tak ju neskôr postavíte.

Čo trasa VPN skutočne dáva

VPN vpustí zariadenie do siete a dá mu trasu k bráne alebo podsieti. Služba za touto bránou vidí adresu z fondu tunela a uplatní autorizáciu, ktorú má. Trasa nehovorí nič o tom, kto je používateľ; hovorí, kam môžu pakety ísť.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Ten model sedí známej skupine so spravovanými zariadeniami, pretože brána môže vynútiť stav zariadenia a sieť sa dá auditovať. Slabo sedí anonymným alebo náhodným návštevníkom, ktorých by najprv museli zapísať. Prihlásenie samotnej aplikácie stále určuje, čo môže pripojený používateľ čítať. Zámena dostupnosti s povolením je spôsob, akým VPN napokon dá celú podsieť každému, kto sa dokáže pripojiť.

Zastavte sa, ak je publikum neznáme alebo sa neustále mení. Zapisovanie cudzincov do súkromnej siete, aby im ukázali jednu stránku, je veľký záväzok v porovnaní so zverejnením služby.

Voľba medzi nimi a to, čo zostáva rovnaké

Zvoľte model onion, keď je publikum technické, služba nesmie mať vôbec verejnú adresu a môžete prijať požiadavky klienta Tor. Zvoľte model VPN, keď je publikom určená skupina, ktorej zariadenia spravujete a ktorej prístup chcete zaznamenávať na sieťovej úrovni. Ani jedna voľba neodstraňuje potrebu autentifikácie aplikácie, opráv alebo cesty obnovy. Ani jedna nie je automaticky súkromnejšia v zmysle, ktorý je dôležitý pre vašich používateľov.

V oboch návrhoch zapíšte, kto sa k službe dostane, ako sa identifikuje a čo sa stane pri strate prihlasovacích údajov. Odpoveď pre službu onion zahŕňa jej kľúče autorizácie klienta a samotnú adresu; odpoveď pre VPN zahŕňa účet, zariadenie a politiku brány. Sú to rôzne zoznamy a iba jeden z nich bude pre ďalšieho správcu očivídny.

Porovnanie končí tam, kde sa začína aplikácia. Skrytá adresa a súkromná trasa sú voľby transportu a aplikácia musí stále rozhodnúť, čo požiadavke dovolí. Držte tieto rozhodnutia v samostatných dokumentoch a ani jeden návrh potichu neprevezme prácu toho druhého.