Serviços onion são serviços que só podem ser acessados pelo Tor.
Executar um Onion Service oferece aos seus usuários toda a segurança do HTTPS com os benefícios adicionais de privacidade do Tor Browser.
Por que a Onion Services?
Os serviços Onion oferecem vários benefícios de privacidade e segurança para seus usuários.
Esconderijo de localização
O endereço IP de um Onion Service é protegido.
Os serviços Onion são uma rede sobreposta ao TCP/IP, então, em certo sentido, os endereços IP nem são significativos para os serviços Onion: eles nem são usados no protocolo.
Autenticação ponta a ponta
Quando um usuário visita um Onion específico, ele sabe que o conteúdo que está vendo só pode vir desse Onion específico.
Nenhuma falsificação de identidade é possível, o que geralmente não é o caso.
Geralmente, o acesso a um site não significa que um interceptador não tenha redirecionado para outro local (por exemplo, ataques de DNS).
Criptografia de ponta a ponta
O tráfego do serviço Onion é criptografado do cliente para o host Onion.
Isso é com obter um forte SSL / HTTPS gratuitamente.
NAT punching
A sua rede está filtrada e você não consegue abrir portas no firewall?
Isso pode acontecer se você estiver em um campus universitário, um escritório, um aeroporto ou praticamente qualquer lugar.
Os serviços Onion não precisam de portas abertas porque eles perfuram o NAT. Eles apenas estabelecem conexões de saída.
O protocolo de serviço Onion: Visão geral
Agora a questão é que tipo de protocolo é necessário para alcançar todas essas propriedades?
Normalmente, as pessoas se conectam a um endereço IP e terminam, mas como você pode se conectar a algo que não tem um endereço IP?
Em particular, o endereço de um serviço Onion se parece com isto: vww6ybal4bd7szmgncyruucpgfkqahzddi37ktceo3ah7ngmcopnpyyd.onion
Isso parece estranho e aleatório porque é a chave pública de identidade do Onion Service.
Essa é uma das razões pelas quais podemos obter as propriedades de segurança acima.
O protocolo Onion Service usa a rede Tor para que o cliente possa se apresentar ao serviço e, então, configurar um ponto de encontro com o serviço pela rede Tor.
Aqui está uma análise detalhada de como isso acontece:
Ato 1: Onde o Onion Service estabelece seus pontos de introdução
Vamos imaginar que seu jornal local decide criar um Onion Service (usando SecureDrop) para receber dicas anônimas.
Como primeiro passo no protocolo, o Onion Service entrará em contato com vários relés Tor e pedirá que atuem como seus pontos de introdução, estabelecendo circuitos de longo prazo para eles.
Esses circuitos são anonimizados, de modo que o servidor não revela a localização do serviço aos pontos de introdução.
O Onion Service se esconderá e se protegerá atrás da rede Tor, permitindo acesso somente por meio de três pontos de introdução aos quais ele se conecta por meio de um circuito Tor de três saltos.
Ato 2: Onde o Onion Service publica seus descritores
Agora que os pontos de introdução estão configurados, precisamos criar uma maneira para que os clientes possam encontrá-los.
Por esse motivo, o Onion Service monta um descritor do Onion Service, contendo uma lista de seus pontos de introdução (e "chaves de autenticação"), e assina esse descritor com a chave privada de identidade do Onion Service.
A chave privada de identidade usada aqui é a parte privada da chave pública que está codificada no endereço do Onion Service.
O Onion Service carrega esse descritor assinado em uma tabela de hash distribuída, que faz parte da rede Tor, para que os clientes também possam obtê-lo.
Ele usa um circuito Tor anonimizado para fazer esse upload, de modo que não revele sua localização.
Ato 3: Quando um cliente deseja visitar o Onion Service
Digamos que você queira enviar anonimamente alguns dados sobre fraude fiscal para seu jornal local por meio do SecureDrop.
Você encontra o endereço onion do SecureDrop do jornal em um site público ou de um amigo.
Ato 4: Onde o cliente se apresenta ao Onion Service
Todas as etapas anteriores foram configuradas apenas para o Onion Service, para que ele possa ser acessado pelos clientes.
Agora vamos avançar para o ponto em que um cliente real deseja visitar o serviço.
Nesse caso, o cliente tem o endereço onion do SecureDrop e quer visitá-lo, então ele se conecta ao serviço com o Tor Browser.
Agora, a próxima coisa que precisa acontecer é que o cliente vá até a tabela de hash distribuída da Etapa 2 e peça o descritor assinado do Onion Service do SecureDrop.
Ato 5: Onde o cliente verifica a assinatura do endereço onion
Quando o cliente recebe o descritor assinado, ele verifica a assinatura do descritor usando a chave pública codificada no endereço onion.
Isso fornece a propriedade de segurança autenticação de ponta a ponta, pois agora temos certeza de que esse descritor só poderia ser produzido por esse Onion Service e ninguém mais.
E dentro do descritor, há os pontos de introdução que permitem ao cliente se apresentar ao Onion Service da SecureDrop.
Ato 6: Onde o cliente estabelece um ponto de encontro
Antes da introdução, o cliente (nesse caso, você) escolhe um relé Tor e estabelece um circuito com ele.
O cliente pede ao relé para se tornar seu ponto de encontro e fornece a ele um "segredo único" que será usado como parte do procedimento de encontro.
Ato 7: Onde o Onion Service se encontra com o cliente
O ponto de introdução passa seus dados (string secreta e endereço de encontro) para o Onion Service, que executa vários processos de verificação para decidir se você é confiável ou não.
Ato 8: Onde o ponto de encontro verifica o segredo do cliente
O Onion Service se conecta ao ponto de encontro (por meio de um circuito anonimizado) e envia o "segredo único" para ele.
O ponto de encontro faz uma verificação final para corresponder as sequências secretas de você e do serviço (esta última também vem de você, mas foi retransmitida pelo serviço).
O ponto de encontro simplesmente retransmite mensagens (criptografadas de ponta a ponta) do cliente para o serviço e vice-versa.
Ato 9: Onde o Onion Service se encontra com o cliente
Em geral, a conexão completa entre o cliente e o Onion Service consiste em 6 relés: 3 deles foram escolhidos pelo cliente, o terceiro sendo o ponto de encontro, e os outros 3 foram escolhidos pelo Onion Service.
Isso fornece ocultação de localização para esta conexão.
Por fim, usando o ponto de encontro, um circuito Tor é formado entre você e o SecureDrop Onion Service do seu jornal.
Recursos adicionais
Esta foi apenas uma visão geral de alto nível do protocolo Tor Onion Services.
Aqui estão mais alguns recursos se você quiser aprender mais: