Autoaloje un servicio oculto Tor v3.
Veinte minutos hasta su propio .onion.

Una dirección onion v3 es una cadena base32 de 56 caracteres que termina en .onion, derivada de una clave pública Ed25519. La v2 (obsoleta y deshabilitada por Tor desde 2021) usaba una base32 de 16 caracteres de una clave RSA-1024 truncada — corta, pero criptográficamente mucho más débil. La v3 tiene una clave más sólida (Ed25519), mejor privacidad de directorio (sin enumeración de servicios), soporte de autorización de cliente, y es la única versión aún operativa. Si ve una dirección .onion de 16 caracteres, está inactiva.

Uno correctamente configurado no lo hace. Tor se conecta desde su VPS a tres relés de Tor (un guardia, un intermediario, un punto de encuentro) y nunca acepta conexiones entrantes directamente en la IP del VPS. El servicio oculto solo es accesible a través del circuito Tor. Configuraciones erróneas que SÍ filtran la IP: ejecutar el servicio en un puerto público (debe estar vinculado a 127.0.0.1), fugas de DNS desde la aplicación web alojada, el software del servidor que imprime la IP en las respuestas salientes. La lista de verificación estándar a continuación cubre cada caso.

Su proveedor de VPS ve tráfico Tor saliente desde su VPS — saben que «este servidor ejecuta Tor» pero no qué contenido se alcanza. No pueden ver lo que hay en el servicio oculto desde el exterior; sí pueden ver lo que hay en el disco desde el interior, como cualquier proveedor de VPS. NordBastion no accede a los discos de los clientes, pero un servidor que no controla con cifrado completo del disco es un servidor que un operador podría leer teóricamente. Para una privacidad absoluta del servicio oculto, ejecute LUKS con una frase de contraseña que solo usted tenga — Servury lo incluye de serie en hardware propio; otros (incluido NordBastion) lo dejan como instalable por el cliente.

Use mkp224o — una herramienta de código abierto que aplica fuerza bruta sobre pares de claves Ed25519 hasta que la dirección v3 resultante comienza con un prefijo elegido. Un prefijo de 4 caracteres se encuentra en minutos en un portátil moderno; uno de 7 caracteres tarda unas horas; 10 o más caracteres requieren semanas o meses con hardware dedicado. La dirección onion resultante es criptográficamente válida — la fuerza bruta solo encuentra la clave cuya parte pública hasheada comienza con los caracteres deseados.

Más lento que clearnet. Tor enruta a través de tres relés, por lo que cada ida y vuelta añade ~300-800 ms de latencia. El rendimiento está limitado por el relé más lento del circuito elegido; espere 1-5 MB/s de media para contenido estático, menos para cargas de trabajo interactivas. Tor introdujo optimizaciones de «ancho de banda HSDir» y HiddenServiceSingleHopMode para los casos en que no se requiere anonimato en el lado del servicio.

Solo si su modelo de amenaza acepta que el lado del SERVICIO es públicamente conocido (por ejemplo, ya ha publicado «este onion se ejecuta en mi servidor en Iceland»). El modo de un solo salto omite los relés de guardia+intermediario en el lado del servicio y se conecta directamente al punto de encuentro, lo que es más rápido (200-400 ms menos de latencia) pero no protege la IP del lado del servicio. Los clientes siguen obteniendo privacidad completa de tres saltos en su lado. Para un servicio oculto que necesita anonimato del lado del servidor, déjelo deshabilitado (el predeterminado).

Sí, y muchos sitios lo hacen. El servidor web en clearnet escucha en la IP pública en el puerto 80/443; el servicio oculto de Tor apunta al mismo servidor web en 127.0.0.1 en los mismos puertos. Ambos llegan al mismo contenido. Dos notas operacionales: (1) asegúrese de que el servidor web no estampe la IP pública en las cabeceras (Server, X-Real-IP, banners de hostname), y (2) establezca la cabecera HTTP Onion-Location en el sitio de clearnet para que los usuarios de Tor Browser sean redirigidos automáticamente a la dirección onion.

Un complemento de Tor (Vanguards) que fija el relé de guardia en el lado del servicio, mitigando una clase de ataques en los que un atacante observa qué guardias rota el servicio y lo usa para desanonimizar. Vanguards-lite está integrado en el demonio Tor desde la versión 0.4.7 y está habilitado por defecto para servicios ocultos en las versiones actuales de Tor — generalmente no necesita hacer nada para beneficiarse de él. El complemento Vanguards completo es excesivo para la mayoría de los servicios ocultos personales y resulta útil principalmente para objetivos de alto valor.