Onion hizmeti ve VPN hizmeti: farklı erişim modelleri

Bir Onion adresi hizmetin anahtarına bağlıdır ve Tor içinde ulaşılır; VPN ise bir ağ geçidine rota verir. Kitleyi, keşfi ve uygulama kimlik doğrulamasını karşılaştırın.

İnsanlar bir Onion hizmetini ve yalnızca VPN üzerinden erişilen bir hizmeti aynı fikrin iki çeşidi olarak anlatır: bağlantı noktasını sakla, gizli adresi paylaş. Adresin neye bağlı olduğu, kimin ona ulaşabildiği ve bir istek gelmeden önce ne olması gerektiği bakımından ayrılırlar. Biri Tor içinde bir buluşma noktası, diğeri özel bir ağ içinde bir rotadır. Onları birbirinin yerine geçebilir saymak, ne özel ne de sürdürülebilir tasarımlar üretir.

Mit: iki tasarım da yalnızca gizli bir kapıdır

Ortak özellik gerçektir ama incedir: hiçbir tasarım yönetim arayüzünü doğrudan erişilebilen genel bir bağlantı noktasına koymaz. Geri kalan her şey ayrışır. Onion adresi hizmetin kendi anahtarından türetilir, bu yüzden ad bir kimliğe bağlıdır; VPN adresi ise yalnızca içine alındığınız bir ağdaki adrestir. Biri hizmeti bir kaplama katmanında saklar, diğeri sizi özel bir topolojiye alır. İkincisini birincinin eşanlamlısı saymak, karışıklığın başladığı yerdir.

Bu özelliklerden hiçbiri uygulamanın kendisi için bir güvenlik denetimi değildir. Gizli bir konum arkasındaki yazılımı yamalamaz ve özel bir rota giriş sayfasına kimlik doğrulama eklemez. Her iki tasarım da hâlâ uygulamanın kendi izinlerine ihtiyaç duyar ve ikisi de hâlâ güncellemelerden ve kurtarmadan sorumlu birine ihtiyaç duyar.

Bir Onion adresi gerçekte neyi gösterir

Bir Onion adresi v3 sürümünde hizmetin açık anahtarını kodlar, bu yüzden kimse denetlemediği bir hizmet için adres seçemez. İstemci Tor üzerinden bir buluşma noktasına bağlanır ve hizmet kendi tarafından aynı noktaya ulaşır; sıradan bir çıkış düğümü bu bağlantıyı hizmete kadar taşımaz. Ad bir kimliktir, DNS kaydı değildir.

dig +short example.onion
curl --socks5-hostname 127.0.0.1:9050 http://example.onion/
systemctl status tor

Bu yüzden bir onion adı için rota ya da hosts girdisi eklemek hiçbir işe yaramaz. Arama mekanizma değildir; mekanizma Tor istemcisi ve devreleridir. Hizmet küçük bir grup içinse onion istemci yetkilendirmesi bağlantı kabul edilmeden önce bir anahtar isteyebilir, ancak bu hâlâ uygulama oturumu açmak değildir. Adresi yayımlamak da bilinçli bir eylemdir, çünkü onu öğrenen herkes kısıtlamadıysanız bağlanmayı deneyebilir.

Onion tasarımının tek nedeni kimlik doğrulamayı kurmaktan kaçınmaksa durun. Kaplama katmanı bunu sağlamaz ve onu yine de sonra kuracaksınız.

Bir VPN rotası gerçekte ne verir

VPN bir cihazı ağa alır ve ona bir ağ geçidine ya da alt ağa rota verir. O ağ geçidinin arkasındaki hizmet tünel havuzundan bir adres görür ve elindeki yetkilendirmeyi uygular. Rota kullanıcının kim olduğu hakkında hiçbir şey söylemez; paketlerin nereye gidebileceğini söyler.

ip route get 10.20.30.40
wg show
curl -sv https://files.internal.example/ -o /dev/null

Bu model, yönetilen cihazlara sahip bilinen bir grup için uygundur, çünkü ağ geçidi cihazın durumunu dayatabilir ve ağ denetlenebilir. Anonim ya da rastgele ziyaretçiler için uygun değildir, önce kaydedilmeleri gerekirdi. Bağlı kullanıcının neyi okuyabileceğine hâlâ uygulamanın kendi oturumu karar verir. Erişilebilirliği izinle karıştırmak, VPN'in sonunda bağlanabilen herkese bütün bir alt ağı vermesinin yoludur.

Kitle bilinmiyorsa ya da sürekli değişiyorsa durun. Tek bir sayfa göstermek için yabancıları özel bir ağa kaydetmek, bir hizmet yayımlamaya kıyasla büyük bir taahhüttür.

İkisi arasında seçim ve aynı kalan şey

Kitle teknikse, hizmetin hiçbir genel adresi olmaması gerekiyorsa ve Tor istemcisinin gereksinimlerini kabul edebiliyorsanız onion modelini seçin. Kitle, cihazlarını yönettiğiniz ve erişimini ağ düzeyinde kaydetmek istediğiniz belirli bir grupsa VPN modelini seçin. Hiçbir seçim uygulama kimlik doğrulaması, yamalar ya da kurtarma yolu ihtiyacını ortadan kaldırmaz. Hiçbiri, kullanıcılarınız için önemli olan anlamda otomatik olarak daha özel değildir.

Her iki tasarımda da hizmete kimin ulaşabileceğini, nasıl tanımlandığını ve bir kimlik bilgisi kaybolduğunda ne olacağını yazın. Onion hizmetinin yanıtı istemci yetkilendirme anahtarlarını ve adresin kendisini içerir; VPN'in yanıtı hesabı, cihazı ve ağ geçidi ilkesini içerir. Bunlar farklı envanterlerdir ve yalnızca biri bir sonraki yönetici için açık olacaktır.

Karşılaştırma uygulamanın başladığı yerde biter. Gizli adres ve özel rota taşıma seçimleridir ve uygulama bir isteğe neyin izinli olduğuna hâlâ karar vermelidir. Bu kararları ayrı belgelerde tutun, o zaman hiçbir tasarım diğerinin işini sessizce devralmaz.

İlgili makaleler