Einen Tor-v3-Hidden-Service selbst hosten.
Zwanzig Minuten bis zu Ihrem eigenen .onion.

Eine v3-Onion-Adresse ist eine 56-Zeichen-Base32-Zeichenfolge, die mit .onion endet und von einem Ed25519-Public-Key abgeleitet ist. v2 (seit 2021 von Tor veraltet und deaktiviert) verwendete ein 16-Zeichen-Base32 aus einem gekürzten RSA-1024-Schlüssel — kurz, aber kryptografisch viel schwächer. v3 hat einen stärkeren Schlüssel (Ed25519), bessere Verzeichnisdatenschutz (keine Aufzählung von Diensten), Unterstützung für Client-Autorisierung und ist die einzige noch operative Version. Wenn Sie eine 16-Zeichen-.onion-Adresse sehen, ist sie tot.

Ein korrekt konfigurierter tut das nicht. Tor verbindet sich von Ihrem VPS aus mit drei Tor-Relays (einem Guard, einem Middle, einem Rendezvous) und akzeptiert niemals direkte eingehende Verbindungen auf der VPS-IP. Der Hidden Service ist nur über den Tor-Schaltkreis erreichbar. Fehlkonfigurationen, die die IP DURCHSICKERN lassen: Betrieb des Dienstes auf einem öffentlichen Port (er sollte an 127.0.0.1 gebunden sein), DNS-Leaks aus der gehosteten Web-App, Server-Software-Banner, die die IP in ausgehende Antworten stempeln. Die untenstehende Standard-Checkliste behandelt jeden Punkt.

Ihr VPS-Anbieter sieht ausgehenden Tor-Traffic von Ihrem VPS — er weiß „dieser Server betreibt Tor”, aber nicht, welche Inhalte erreicht werden. Er kann nicht sehen, was auf dem Hidden Service von außen ist; er kann sehen, was auf der Festplatte von innen ist, wie jeder VPS-Anbieter. NordBastion greift nicht auf Kundenfestplatten zu, aber ein Server, den Sie nicht mit Vollverschlüsselung kontrollieren, ist ein Server, den ein Betreiber theoretisch lesen kann. Für absolute Hidden-Service-Privatsphäre LUKS mit einer Passphrase betreiben, die nur Sie haben — Servury packt das auf eigener Hardware von Haus aus, andere (NordBastion eingeschlossen) lassen es als kundenseitig installierbar.

mkp224o verwenden — ein Open-Source-Tool, das Ed25519-Schlüsselpaare brute-forciert, bis die resultierende v3-Adresse mit einem gewählten Präfix beginnt. Ein 4-Zeichen-Präfix wird auf einem modernen Laptop in Minuten gefunden; ein 7-Zeichen-Präfix dauert einige Stunden; 10+ Zeichen dauert Wochen bis Monate auf dedizierter Hardware. Die resultierende Onion-Adresse ist kryptographisch gültig — der Brute-Force findet nur den Schlüssel, dessen gehashter öffentlicher Teil zufällig mit den gewünschten Zeichen beginnt.

Langsamer als Clearnet. Tor routet durch drei Relays, sodass jede Hin- und Rückfahrt ~300–800 ms Latenz hinzufügt. Der Durchsatz ist durch das langsamste Relay im gewählten Circuit begrenzt; erwarten Sie 1–5 MB/s durchschnittlich für statische Inhalte, weniger für interaktive Workloads. Tor hat „HSDir bandwidth”-Optimierungen und HiddenServiceSingleHopMode für Fälle eingeführt, in denen dienstseitige Anonymität nicht erforderlich ist.

Nur wenn Ihr Bedrohungsmodell akzeptiert, dass die DIENST-Seite öffentlich bekannt ist (z. B. haben Sie bereits veröffentlicht „diese Onion läuft auf meinem Server in Island”). Der Einzelsprung-Modus überspringt die Guard+Middle-Relays auf der Dienst-Seite und verbindet direkt mit dem Rendezvous, was schneller ist (200–400 ms weniger Latenz), aber die IP der Dienst-Seite nicht schützt. Clients erhalten auf ihrer Seite immer noch volle Drei-Sprung-Privatsphäre. Für einen Hidden Service, der serverseitige Anonymität benötigt, lassen Sie es deaktiviert (der Standard).

Ja, und viele Seiten tun es. Der Clearnet-Webserver lauscht auf der öffentlichen IP an Port 80/443; der Tor-Hidden-Service zeigt auf denselben Webserver bei 127.0.0.1 auf denselben Ports. Beide erreichen denselben Inhalt. Zwei betriebliche Hinweise: (1) sicherstellen, dass der Webserver die öffentliche IP nicht in Header stempelt (Server, X-Real-IP, Hostname-Banner), und (2) den Onion-Location-HTTP-Header auf der Clearnet-Seite setzen, damit Tor-Browser-Nutzer automatisch zur Onion-Adresse weitergeleitet werden.

Ein Tor-Add-on (Vanguards), das den Guard-Relay auf der Dienstseite fixiert und eine Klasse von Angriffen mindert, bei denen ein Angreifer beobachtet, durch welche Guards der Dienst rotiert, und das zur Deanonymisierung nutzt. Vanguards-lite ist seit 0.4.7 in den Tor-Daemon eingebaut und standardmäßig für Hidden Services in aktuellen Tor-Versionen aktiviert — Sie müssen in der Regel nichts tun, um davon zu profitieren. Das vollständige Vanguards-Add-on ist für die meisten persönlichen Hidden Services überdimensioniert und hauptsächlich für hochwertige Ziele nützlich.