Onion услуга наспрам VPN услуге: различити модели приступа

Onion адреса је повезана са кључем услуге и достиже се унутар Tor; VPN даје руту до пролаза. Упоредите публику, откривање и аутентикацију апликације.

Људи описују Onion услугу и услугу доступну само преко VPN као две варијанте исте идеје: сакриј порт и подели тајну адресу. Разликују се по томе за шта је адреса везана, ко може да је достигне и шта мора да се догоди пре него што стигне захтев. Једна је место сусрета унутар Tor, друга је рута у приватној мрежи. Третирање њих као заменљивих даје пројекте који нису ни приватни ни одрживи.

Мит: оба решења су само скривена врата

Заједничка особина је стварна, али танка: ниједно решење не ставља административни интерфејс на директно доступан јавни порт. Све остало се разилази. Onion адреса се изводи из сопственог кључа услуге, зато је име везано за идентитет; VPN адреса је само адреса у мрежи у коју су вас пустили. Једно скрива услугу у слоју прекривача, друго вас пушта у приватну топологију. Управо третирање другог као синонима првог је почетак забуне.

Ниједна од тих особина није безбедносна контрола за саму апликацију. Скривено место не крпи софтвер иза себе, а приватна рута не додаје аутентикацију страници за пријаву. Оба решења и даље захтевају сопствене дозволе апликације, и оба и даље захтевају некога одговорног за ажурирања и опоравак.

На шта Onion адреса заправо указује

Onion адреса верзије v3 кодира јавни кључ услуге, зато нико не може да изабере адресу за услугу коју не контролише. Клијент се повезује преко Tor са местом сусрета, а услуга достиже ту исту тачку са своје стране; ниједан обичан излазни чвор не носи ту везу до услуге. Име је идентитет, а не DNS запис.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Зато додавање руте или hosts записа за onion име ништа не помаже. Претрага није механизам; механизам је Tor клијент и његова кола. Ако је услуга намењена малој групи људи, onion ауторизација клијента може да захтева кључ пре него што веза буде прихваћена, али то и даље није пријава у апликацију. Објављивање адресе је такође намерна радња, јер свако ко је сазна може да покуша везу ако је нисте ограничили.

Зауставите се ако је једини разлог за onion решење избегавање подешавања аутентикације. Слој прекривача то не даје, а ви ћете га касније ипак изградити.

Шта VPN рута заправо даје

VPN пушта уређај у мрежу и даје му руту до пролаза или подмреже. Услуга иза тог пролаза види адресу из базена тунела и примењује ауторизацију коју има. Рута не говори ништа о томе ко је корисник; говори куда пакети смеју да иду.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Тај модел одговара познатој групи са управљаним уређајима, јер пролаз може да наметне стање уређаја, а мрежа може да се ревидира. Лоше одговара анонимним или случајним посетиоцима, који би прво морали да буду уписани. Пријава саме апликације и даље одлучује шта повезани корисник сме да чита. Мешање доступности са дозволом је начин на који VPN на крају даје целу подмрежу свакоме ко може да се повеже.

Зауставите се ако је публика непозната или се стално мења. Уписивање странаца у приватну мрежу да би им се показала једна страница је велика обавеза у поређењу са објављивањем услуге.

Избор између њих и шта остаје исто

Изаберите onion модел када је публика техничка, услуга не сме да има никакву јавну адресу и можете да прихватите захтеве Tor клијента. Изаберите VPN модел када је публика одређена група чијим уређајима управљате и чији приступ желите да бележите на мрежном нивоу. Ниједан избор не уклања потребу за аутентикацијом апликације, закрпама или путањом опоравка. Ниједан није аутоматски приватнији у смислу који је важан вашим корисницима.

У оба решења запишите ко може да достигне услугу, како се идентификује и шта се дешава када се изгубе приступни подаци. Одговор за onion услугу укључује њене кључеве ауторизације клијента и саму адресу; одговор за VPN укључује налог, уређај и политику пролаза. То су различити спискови, и само један од њих ће бити очигледан следећем администратору.

Поређење се завршава тамо где почиње апликација. Скривена адреса и приватна рута су избори транспорта, а апликација и даље мора да одлучи шта је захтеву дозвољено. Држите те одлуке у одвојеним документима и ниједно решење неће тихо преузети посао другог.

Повезани чланци