Storitev Onion proti storitvi VPN: različni modeli dostopa

Ljudje opisujejo storitev Onion in storitev, dostopno samo prek VPN, kot dve različici iste zamisli: skrij vrata in deli skrivni naslov. Razlikujeta se po tem, na kaj je naslov vezan, kdo ga lahko doseže in kaj se mora zgoditi pred prihodom zahteve. Ena je zbirno mesto znotraj Tor, druga je pot v zasebnem omrežju. Če ju obravnavamo kot zamenljivi, nastanejo zasnove, ki niso niti zasebne niti vzdržljive.

Mit: obe zasnovi sta le skrita vrata

Skupna lastnost je resnična, a tanka: nobena zasnova ne postavi skrbniškega vmesnika na neposredno dostopna javna vrata. Vse ostalo se razhaja. Naslov Onion se izpelje iz lastnega ključa storitve, zato je ime vezano na identiteto; naslov VPN je le naslov v omrežju, v katero so vas spustili. Ena skrije storitev v prekrivnem sloju, druga vas spusti v zasebno topologijo. Prav enačenje druge s prvo je začetek zmede.

Nobena od teh lastnosti ni varnostni nadzor za samo aplikacijo. Skrito mesto ne popravi programske opreme za seboj, zasebna pot pa prijavni strani ne doda preverjanja pristnosti. Obe zasnovi še vedno potrebujeta lastna dovoljenja aplikacije in obe še vedno potrebujeta nekoga, odgovornega za posodobitve in obnovitev.

Na kaj naslov Onion dejansko kaže

Naslov Onion različice v3 kodira javni ključ storitve, zato si nihče ne more izbrati naslova za storitev, ki je ne nadzoruje. Odjemalec se prek Tor poveže z zbirnim mestom, storitev pa doseže isto točko s svoje strani; nobeno običajno izhodno vozlišče ne nosi te povezave do storitve. Ime je identiteta, ne zapis DNS.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Zato dodajanje poti ali vnosa hosts za ime onion nič ne pomaga. Iskanje ni mehanizem; mehanizem je odjemalec Tor in njegova vezja. Če je storitev namenjena majhni skupini ljudi, lahko avtorizacija odjemalca onion zahteva ključ, preden je povezava sprejeta, a to še vedno ni prijava v aplikacijo. Objava naslova je tudi namerno dejanje, saj lahko vsak, ki ga izve, poskusi povezavo, če je niste omejili.

Ustavite se, če je edini razlog za zasnovo onion izogniti se nastavitvi preverjanja pristnosti. Prekrivni sloj tega ne ponuja, zato pa ga boste pozneje vseeno zgradili.

Kaj pot VPN dejansko daje

VPN spusti napravo v omrežje in ji da pot do prehoda ali podomrežja. Storitev za tem prehodom vidi naslov iz bazena tunela in uporabi avtorizacijo, ki jo ima. Pot ne pove ničesar o tem, kdo je uporabnik; pove, kam lahko gredo paketi.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Ta model ustreza znani skupini z upravljanimi napravami, ker lahko prehod vsili stanje naprave in omrežje je mogoče revidirati. Slabo ustreza anonimnim ali priložnostnim obiskovalcem, ki bi jih bilo treba najprej vpisati. Prijava same aplikacije še vedno odloča, kaj lahko povezani uporabnik bere. Mešanje dosegljivosti z dovoljenjem je pot, po kateri VPN na koncu podeli celotno podomrežje vsakomur, ki se lahko poveže.

Ustavite se, če je občinstvo neznano ali se nenehno spreminja. Vpisovanje tujcev v zasebno omrežje, da bi jim pokazali eno stran, je velika zaveza v primerjavi z objavo storitve.

Izbira med njima in kaj ostane enako

Izberite model onion, ko je občinstvo tehnično, storitev ne sme imeti nobenega javnega naslova in lahko sprejmete zahteve odjemalca Tor. Izberite model VPN, ko je občinstvo določena skupina, katere naprave upravljate in katere dostop želite beležiti na omrežni ravni. Nobena izbira ne odpravi potrebe po preverjanju pristnosti aplikacije, popravkih ali poti za obnovitev. Nobena ni samodejno bolj zasebna v smislu, ki je pomemben za vaše uporabnike.

V obeh zasnovah zapišite, kdo lahko doseže storitev, kako se identificira in kaj se zgodi, ko se poverilnica izgubi. Odgovor za storitev onion vključuje njene ključe za avtorizacijo odjemalca in sam naslov; odgovor za VPN vključuje račun, napravo in pravila prehoda. To sta različna seznama in le eden bo očiten naslednjemu skrbniku.

Primerjava se konča tam, kjer se začne aplikacija. Skriti naslov in zasebna pot sta izbiri prevoza, aplikacija pa mora še vedno odločiti, kaj zahtevi dovoli. Te odločitve hranite v ločenih dokumentih in nobena zasnova ne bo tiho prevzela dela druge.