How do Onion Services work(洋蔥服務如何運作)?

洋蔥服務是只能通過 Tor 訪問的服務。運行 Onion 服務可為您的用戶提供 HTTPS 的所有安全性以及 Tor 瀏覽器的附加隱私優勢。

為什麼選擇洋蔥服務?

洋蔥服務為其用戶提供各種隱私和安全優勢。

位置隱藏

洋蔥服務的 IP 地址受到保護。洋蔥服務是 TCP/IP 之上的覆蓋網絡,因此從某種意義上說,IP 地址對洋蔥服務甚至沒有意義:它們甚至不在協議中使用。

端到端身份驗證

當用戶訪問特定洋蔥時,他們知道他們所看到的內容只能來自該特定洋蔥。不可能進行冒充,但通常情況並非如此。通常,到達網站並不意味著中間人沒有重新路由到其他位置(例如 DNS 攻擊)。

端到端加密

洋蔥服務流量從客戶端到洋蔥主機是加密的。這就像免費獲得強大的 SSL/HTTPS 一樣。

NAT punching(NAT打孔)

您的網絡是否被過濾並且您無法在防火牆上打開端口?如果您在大學校園、辦公室、機場或幾乎任何地方,這種情況都可能發生。洋蔥服務不需要開放端口,因為它們可以穿透 NAT。他們只建立傳出連接。

洋蔥服務協議:概述

現在的問題是需要什麼樣的協議來實現所有這些屬性?通常,人們連接到一個 IP 地址就完成了,但是如何連接到沒有 IP 地址的東西呢?

特別是,洋蔥服務的地址如下所示:vww6ybal4bd7szmgncyruucpgfkqahzddi37ktceo3ah7ngmcopnpyyd.onion

這看起來很奇怪而且隨機,因為它是洋蔥服務的身份公鑰。這就是我們能夠實現上述安全特性的原因之一。

Onion 服務協議使用 Tor 網絡,以便客戶端可以將自己介紹給服務,然後通過 Tor 網絡與服務建立會合點。以下是這種情況如何發生的詳細分析:

第 1 幕:洋蔥服務中心設立介紹點的地方

讓我們想像一下,您當地的報紙決定建立洋蔥服務(使用SecureDrop)來接收匿名提示。作為協議的第一步,洋蔥服務將聯繫一組 Tor 中繼,並要求它們通過建立長期電路來充當其引入點。這些線路是匿名線路,因此服務器不會向引入點透露服務位置。

洋蔥服務將隱藏並保護自己在 Tor 網絡後面,只允許通過兩跳 Tor 電路連接的三個引入點進行訪問。

Onion Services: Step 1

第 2 步:洋蔥服務發布其描述符的位置

現在介紹點已經設置好了,我們需要創建一種讓客戶能夠找到它們的方法。

因此,洋蔥服務組裝一個洋蔥服務描述符,其中包含其引入點(和“身份驗證密鑰”)的列表,並使用洋蔥服務的身份私鑰對該描述符進行簽名。這裡使用的身份*私鑰是*在洋蔥服務地址中編碼的公鑰的私有部分。

洋蔥服務將該簽名描述符上傳到分佈式哈希表(Tor 網絡的一部分),以便客戶端也可以獲取它。它使用匿名 Tor 電路來進行上傳,這樣就不會洩露其位置。

Onion Services: Step 2

第 3 步:客戶想要訪問 Onion Service 的地方

假設您想通過 SecureDrop 匿名向當地報紙發送一些稅務欺詐數據。您可以從公共網站或朋友那裡找到報紙 SecureDrop 的洋蔥地址。

Onion Services: Step 3

第 4 步:客戶向 Onion Service 自我介紹

前面的所有步驟都是為洋蔥服務設置的,以便客戶端可以訪問它。現在讓我們快進到實際客戶想要訪問該服務的情況。

在這種情況下,客戶端擁有 SecureDrop 的洋蔥地址並想要訪問它,因此他們使用 Tor 瀏覽器連接到該服務。現在接下來需要發生的事情是客戶端轉到步驟 2中的分佈式哈希表並請求 SecureDrop 洋蔥服務的簽名描述符。

Onion Services: Step 4

第五步:客戶端驗證洋蔥地址簽名

當客戶端收到簽名的描述符時,他們使用洋蔥地址中編碼的公鑰來驗證描述符的簽名。這提供了端到端身份驗證安全屬性,因為我們現在確信該描述符只能由該洋蔥服務生成,而不能由其他人生成。

在描述符內部,有一些介紹點,允許客戶端向 SecureDrop 的洋蔥服務介紹自己。

Onion Services: Step 5

第六幕:客戶建立集合點

在介紹之前,客戶端(在本例中為您)選擇一個 Tor 中繼並建立一個到它的電路。客戶要求中繼器成為他們的會合點,並為其提供一個“一次性秘密”,該秘密將用作會合過程的一部分。

Onion Services: Step 6

第 7 步:洋蔥服務與客戶端會合的地方

引入點將您的詳細信息(秘密字符串和集合地址)傳遞給洋蔥服務,該服務運行多個驗證過程來確定您是否值得信任。

Onion Services: Step 7

第 8 步:集合點驗證客戶端的秘密

洋蔥服務連接到集合點(通過匿名電路)並向其發送“一次性秘密”。集合點進行一次最終驗證,以匹配來自您和服務的秘密字符串(後者也來自您,但已通過服務轉發)。

集合點只是將消息(端到端加密)從客戶端中繼到服務,反之亦然。

Onion Services: Step 8

第 9 步:洋蔥服務與客戶端會合的地方

一般來說,客戶端和洋蔥服務之間的完整連接由 6 個中繼組成:其中 3 個由客戶端選擇,第三個是集合點,另外 3 個由洋蔥服務選擇。這為該連接提供了位置隱藏。

最後,使用集合點,在您和報紙的 SecureDrop Onion Service 之間形成 Tor 電路。

Onion Services: Step 9

更多資源

這只是 Tor 洋蔥服務協議的高級概述。如果您想了解更多信息,這裡還有一些更多資源:

jangowdkHDKJKn20230703843bm6

Edit

Pub: 03 Jul 2023 03:31 UTC

Edit: 03 Jul 2023 03:32 UTC

Views: 35