Konfiguracja usług ukrytych Tora

Tor umożliwia klientom i przekaźnikom sieci Tor oferowanie usług ukrytych. To znaczy, że możesz mieć serwer WWW, SSH etc. bez podawania swojego IP użytkownikom. Ponieważ nie używasz żadnego adresu publicznego, możesz prowadzić usługę ukrytą zza zapory ogniowej.

Jeśli masz zainstalowanego Tora, możesz zobaczyć usługi ukryte w działaniu, odwiedzając naszą przykładową usługę ukrytą.

Ten dokument opisuje kroki potrzebne do uruchomienia własnej ukrytej usługi WWW. By poznać szczegóły techniczne tego, jak działa protokół usług ukrytych, przeczytaj naszą stronę protokołu usług ukrytych.

Krok 0: Uruchomienie Tora

Zanim zaczniesz sprawdź, czy:

Tor jest uruchomiony i działa,
Rzeczywiście wszystko dobrze ustawiłeś/aś.

Użytkownicy Windows powinni przeczytać instrukcje dla Windows, użytkownicy OS X powinni przeczytać instrukcje dla OS X, a użytkownicy Linux/BSD/Unix powinni przeczytać instrukcje dla systemów Unix.

Po instalacji i konfiguracji Tora możesz zobaczyć ukryte usługi w działaniu, wchodząc na naszą przykładową usługę ukrytą lub usługę ukrytą Wikileaks. Zwykle trzeba poczekać 10-60 na załadowanie strony (lub stwierdzenie, że w danej chwili jest niedostępna). Jeśli próba od razu kończy się błędem mówiącym, że "nie można znaleźć serwera www.duskgytldkxiuqc6.onion, sprawdź nazwę i spróbuj ponownie", to znaczy, że nie skonfigurowałeś/aś Tora poprawnie; zajrzyj do wpisu "to nie działa" w FAQ po pomoc.

Krok 1: Zainstaluj lokalnie serwer WWW

Po pierwsze, musisz uruchomić lokalnie serwer WWW. Uruchamianie serwera WWW może być skomplikowane, więc podamy tu tylko trochę podstawowych informacji. Jeśli utkniesz lub będziesz chciał/a zrobić coś więcej, znajdź znajomego, który Ci pomoże. Zalecamy instalację nowego, oddzielnego serwera do usługi ukrytej, gdyż nawet jeśli już masz jeden zainstalowany, możesz już go używać (lub później będziesz chciał/a go używać) do normalnego serwisu WWW.

Jeśli jesteś na systemie Unix lub OS X i nie przeszkadza Ci używanie linii poleceń, najlepszym sposobem jest instalacja thttpd. Po prostu pobierz archiwum tar, rozpakuj je (utworzy się osobny katalog) i uruchom ./configure && make. Potem wykonaj mkdir hidserv; cd hidserv, i uruchom ../thttpd -p 5222 -h localhost. Powrócisz do wiersza poleceń, a od tej pory masz uruchomiony serwer WWW na porcie 5222. Możesz umieścić pliki dla serwera w katalogu hidserv.

Jeśli używasz systemu Windows, możesz wybrać serwer WWW Savant lub Apache, konfigurując go tak, by podłączał się tylko do komputera, na którym jest zainstalowany (localhost). Powinieneś też jakoś sprawdzić na jakim porcie nasłuchuje, gdyż ta informacja przyda się potem.

(Powodem, dla którego serwer powinien działać tylko lokalnie jest upewnienie się, że nie jest on dostępny z zewnątrz. Jeśli ktoś mógłby się do niego połączyć bezpośrednio, mógłby potwierdzić, że to Twój komputer oferuje tę ukrytą usługę.)

Po ustawieniu serwera WWW, sprawdź, czy działa: otwórz przeglądarkę i przejdź pod adres http://localhost:5222/, gdzie 5222 jest numerem portu wybranym wcześniej. Potem spróbuj umieścić jakiś plik w głównym katalogu HTML serwera i sprawdź, czy pokazuje się on, gdy łączysz się ze swoim serwerem WWW.

Krok 2: Konfiguracja Twojej usługi ukrytej

Teraz musisz skonfigurować swoją usługę ukrytą, by wskazywała na twój lokalny serwer WWW.

Najpierw otwórz swój plik torrc swoim ulubionym edytorem. (Przeczytaj wpis o torrc w FAQ, by dowiedzieć się, co to znaczy.) Przejdź do środkowej sekcji i szukaj linii

############### This section is just for location-hidden services ###

Ta sekcja pliku składa się z grup linii, z których każda reprezentuje jedną usługę ukrytą. W tej chwili wszystkie są zakomentowane (linie zaczynają się od krzyżyka #), więc usługi ukryte są wyłączone. Każda grupa linii składa się z jednej linii HiddenServiceDir i jednej lub więcej linii HiddenServicePort:

HiddenServiceDir jest katalogiem, w którym Tor będzie przechowywał informacje o tej usłudze ukrytej. W szczególności, Tor utworzy w tym katalogu plik o nazwie hostname, z którego odczytasz "adres cebulowy" (onion URL). Nie musisz dodawać żadnych plików do tego katalogu. Upewnij się, że nie jest to ten sam katalog hidserv, stworzony w czasie uruchamiania thttpd, gdyż Twój HiddenServiceDir zawiera tajne informacje!
HiddenServicePort pozwala określić port wirtualny (tzn. użytkownikom łączącym się z usługą ukrytą będzie się zdawało, że używają tego właśnie portu) i adres IP wraz z portem do przekierowywania połączeń na ten wirtualny port.

Dodaj następujące linie do swojego pliku torrc:

HiddenServiceDir /Library/Tor/var/lib/tor/hidden_service/
HiddenServicePort 80 127.0.0.1:5222

Powinieneś/aś zmienić linię HiddenServiceDir tak, by wskazywała na istniejący katalog, który jest odczytywalny/zapisywalny przez użytkownika, który uruchamia Tora. Powyższa linia powinna działać, gdy używasz paczki z Torem dla OS X. Pod systemem Unix, sprobuj "/home/użytkownik/hidden_service/", podając własną nazwę użytkownika w miejsce "użytkownik". Pod systemem Windows można wpisać:

HiddenServiceDir C:\Documents and Settings\username\Application Data\hidden_service\
HiddenServicePort 80 127.0.0.1:5222

Teraz zapisz zmiany w pliku torrc, zamknij Tora i uruchom go ponownie.

Jeśli Tor ponownie się uruchomi, to świetnie. W innym przypadku coś musi być źle. Najpierw przejrzyj plik z logami, by poszukać przyczyn. Będą w nim ostrzeżenia i błędy. Powinny one wskazać, co poszło nie tak. Zazwyczaj chodzi o literówki w pliku torrc lub złe uprawnienia do katalogów. (Przeczytaj wpis o logach w FAQ, jeśli nie wiesz jak włączyć lub znaleźć plik z logami.)

Gdy Tor się uruchomi, automatycznie utworzy podany katalog HiddenServiceDir (jeśli trzeba), a w nim utworzy dwa pliki.

private_key: Po pierwsze, Tor wygeneruje nową parę kluczy publiczny/prywatny do Twojej usługi ukrytej. Zostaje ona zapisana w pliku o nazwie "private_key". Nie dawaj tego klucza nikomu -- jeśli to zrobisz, inni będą mogli podszyć się pod Twoją usługę ukrytą.
hostname: Drugim plikiem, który zostanie utworzony, jest plik o nazwie "hostname". Zawiera on krótkie podsumowanie twojego klucza publicznego -- będzie wyglądać podobnie do tego: duskgytldkxiuqc6.onion. To jest publiczna nazwa Twojej usługi i możesz podawać ją innym, rozgłaszać na stronach internetowych, umieszczać na wizytówkach etc.

Jeśli Tor jest uruchomiony z prawami innego użytkownika niż ty, np. na systemach OS X, Debian, Red Hat, możesz potrzebować uprawnień roota, by zobaczyć te pliki.

Po ponownym uruchomieniu, Tor zajmuje się pobieraniem punktów wstępu w sieci Tora i generowaniem deskryptora usługi ukrytej. Jest to podpisana lista punktów wstępnych razem z pełnym publicznym kluczem usługi. Tor anonimowo umieszcza ten deskryptor na serwerach katalogowych, a inni ludzie anonimowo go pobierają z serwerów katalogowych, gdy próbują połączyć się z Twoją usługą.

Wypróbuj to: wklej zawartość pliku hostname do swojej przeglądarki WWW. Jeśli działa, zobaczysz stronę HTML, którą umieściłeś/aś w kroku pierwszym. Jeśli nie działa, poszukaj wskazówek w logach i zajmuj się tym do chwili, w której zadziała.

Krok 3: Bardziej zaawansowane wskazówki

Jeśli planujesz udostępniać swoją usługę przez dłuższy czas, zrób gdzieś kopię zapasową pliku private_key.

Powyżej unikaliśmy polecania serwera Apache, a) gdyż wielu ludzi może już go używać jako publicznego serwera na ich komputerach, i b) gdyż jest duży i ma wiele miejsc, w których mógłby podać twój adres IP lub inne informacje identyfikujące, np. na stronach 404. Jednak dla ludzi, którzy chcą więcej funkcjonalności, Apache może być dobrym rozwiązaniem. Czy ktoś mógłby napisać nam listę sposobów na zabezpieczenie Apache, gdy jest używany jako usługa ukryta? Savant prawdopodobnie też ma takie problemy.

Jeśli chcesz przekierować wiele portów wirtualnych w ramach pojedynczej usługi ukrytej, po prostu dodaj więcej linii HiddenServicePort. Jeśli chcesz uruchomić wiele usług ukrytych z tego samego klienta Tora, po prostu dodaj kolejną linię HiddenServiceDir. Wszystkie następujące po niej linie HiddenServicePort odnoszą się do aktualnej linii HiddenServiceDir, dopóki nie dodasz kolejnej linii HiddenServiceDir:

HiddenServiceDir /usr/local/etc/tor/hidden_service/
HiddenServicePort 80 127.0.0.1:8080

HiddenServiceDir /usr/local/etc/tor/other_hidden_service/
HiddenServicePort 6667 127.0.0.1:6667
HiddenServicePort 22 127.0.0.1:22

Są też pewne sprawy dotyczące anonimowości, o których trzeba pamiętać:

Jak wspomniano wyżej, uważaj z pozwoleniem dla serwera na podawanie informacji identyfikujących Ciebie, Twój komputer lub położenie. Na przykład, czytelnicy mogą prawdopodobnie dowiedzieć się, czy używasz thttpd czy Apache i dowiedzieć się czegoś o Twoim systemie operacyjnym.
Jeśli Twój komputer nie jest cały czas on-line, Twoja usługa ukryta też nie będzie. Jest to wyciek informacji dla obserwującego przeciwnika.

Jeśli masz pomysły na ulepszenie tej strony, prosimy je do nas wysłać. Dziękujemy!