How do Onion Services work(洋蔥服務如何運作)?
洋蔥服務是只能通過 Tor 訪問的服務。運行 Onion 服務可為您的用戶提供 HTTPS 的所有安全性以及 Tor 瀏覽器的附加隱私優勢。
為什麼選擇洋蔥服務?
洋蔥服務為其用戶提供各種隱私和安全優勢。
位置隱藏
洋蔥服務的 IP 地址受到保護。洋蔥服務是 TCP/IP 之上的覆蓋網絡,因此從某種意義上說,IP 地址對洋蔥服務甚至沒有意義:它們甚至不在協議中使用。
端到端身份驗證
當用戶訪問特定洋蔥時,他們知道他們所看到的內容只能來自該特定洋蔥。不可能進行冒充,但通常情況並非如此。通常,到達網站並不意味著中間人沒有重新路由到其他位置(例如 DNS 攻擊)。
端到端加密
洋蔥服務流量從客戶端到洋蔥主機是加密的。這就像免費獲得強大的 SSL/HTTPS 一樣。
NAT punching(NAT打孔)
您的網絡是否被過濾並且您無法在防火牆上打開端口?如果您在大學校園、辦公室、機場或幾乎任何地方,這種情況都可能發生。洋蔥服務不需要開放端口,因為它們可以穿透 NAT。他們只建立傳出連接。
洋蔥服務協議:概述
現在的問題是需要什麼樣的協議來實現所有這些屬性?通常,人們連接到一個 IP 地址就完成了,但是如何連接到沒有 IP 地址的東西呢?
特別是,洋蔥服務的地址如下所示:vww6ybal4bd7szmgncyruucpgfkqahzddi37ktceo3ah7ngmcopnpyyd.onion
這看起來很奇怪而且隨機,因為它是洋蔥服務的身份公鑰。這就是我們能夠實現上述安全特性的原因之一。
Onion 服務協議使用 Tor 網絡,以便客戶端可以將自己介紹給服務,然後通過 Tor 網絡與服務建立會合點。以下是這種情況如何發生的詳細分析:
第 1 幕:洋蔥服務中心設立介紹點的地方
讓我們想像一下,您當地的報紙決定建立洋蔥服務(使用SecureDrop)來接收匿名提示。作為協議的第一步,洋蔥服務將聯繫一組 Tor 中繼,並要求它們通過建立長期電路來充當其引入點。這些線路是匿名線路,因此服務器不會向引入點透露服務位置。
洋蔥服務將隱藏並保護自己在 Tor 網絡後面,只允許通過兩跳 Tor 電路連接的三個引入點進行訪問。
第 2 步:洋蔥服務發布其描述符的位置
現在介紹點已經設置好了,我們需要創建一種讓客戶能夠找到它們的方法。
因此,洋蔥服務組裝一個洋蔥服務描述符,其中包含其引入點(和“身份驗證密鑰”)的列表,並使用洋蔥服務的身份私鑰對該描述符進行簽名。這裡使用的身份*私鑰是*在洋蔥服務地址中編碼的公鑰的私有部分。
洋蔥服務將該簽名描述符上傳到分佈式哈希表(Tor 網絡的一部分),以便客戶端也可以獲取它。它使用匿名 Tor 電路來進行上傳,這樣就不會洩露其位置。
第 3 步:客戶想要訪問 Onion Service 的地方
假設您想通過 SecureDrop 匿名向當地報紙發送一些稅務欺詐數據。您可以從公共網站或朋友那裡找到報紙 SecureDrop 的洋蔥地址。
第 4 步:客戶向 Onion Service 自我介紹
前面的所有步驟都是為洋蔥服務設置的,以便客戶端可以訪問它。現在讓我們快進到實際客戶想要訪問該服務的情況。
在這種情況下,客戶端擁有 SecureDrop 的洋蔥地址並想要訪問它,因此他們使用 Tor 瀏覽器連接到該服務。現在接下來需要發生的事情是客戶端轉到步驟 2中的分佈式哈希表並請求 SecureDrop 洋蔥服務的簽名描述符。
第五步:客戶端驗證洋蔥地址簽名
當客戶端收到簽名的描述符時,他們使用洋蔥地址中編碼的公鑰來驗證描述符的簽名。這提供了端到端身份驗證安全屬性,因為我們現在確信該描述符只能由該洋蔥服務生成,而不能由其他人生成。
在描述符內部,有一些介紹點,允許客戶端向 SecureDrop 的洋蔥服務介紹自己。
第六幕:客戶建立集合點
在介紹之前,客戶端(在本例中為您)選擇一個 Tor 中繼並建立一個到它的電路。客戶要求中繼器成為他們的會合點,並為其提供一個“一次性秘密”,該秘密將用作會合過程的一部分。
第 7 步:洋蔥服務與客戶端會合的地方
引入點將您的詳細信息(秘密字符串和集合地址)傳遞給洋蔥服務,該服務運行多個驗證過程來確定您是否值得信任。
第 8 步:集合點驗證客戶端的秘密
洋蔥服務連接到集合點(通過匿名電路)並向其發送“一次性秘密”。集合點進行一次最終驗證,以匹配來自您和服務的秘密字符串(後者也來自您,但已通過服務轉發)。
集合點只是將消息(端到端加密)從客戶端中繼到服務,反之亦然。
第 9 步:洋蔥服務與客戶端會合的地方
一般來說,客戶端和洋蔥服務之間的完整連接由 6 個中繼組成:其中 3 個由客戶端選擇,第三個是集合點,另外 3 個由洋蔥服務選擇。這為該連接提供了位置隱藏。
最後,使用集合點,在您和報紙的 SecureDrop Onion Service 之間形成 Tor 電路。
更多資源
這只是 Tor 洋蔥服務協議的高級概述。如果您想了解更多信息,這裡還有一些更多資源:
- Tor設計論文描述了原始設計。
- Tor v3 洋蔥服務協議規範。
- 有關洋蔥服務的演示:了解 Tor 洋蔥服務及其用例 - HOPE XI 2016、DEF CON 25 - Roger Dingledine - 下一代 Tor 洋蔥服務。
jangowdkHDKJKn20230703843bm6