Auto-hébergez un service caché Tor v3.
Vingt minutes pour votre propre .onion.

Une adresse onion v3 est une chaîne base32 de 56 caractères se terminant par .onion, dérivée d'une clé publique Ed25519. La v2 (dépréciée et désactivée par Tor depuis 2021) utilisait un base32 de 16 caractères issu d'une clé RSA-1024 tronquée — courte, mais cryptographiquement bien plus faible. La v3 possède une clé plus solide (Ed25519), une meilleure confidentialité de l'annuaire (pas d'énumération des services), une prise en charge de l'autorisation client, et est la seule version encore opérationnelle. Si vous voyez une adresse .onion de 16 caractères, elle est morte.

Un service correctement configuré ne le fait pas. Tor se connecte depuis votre VPS vers trois relais Tor (un garde, un intermédiaire, un rendez-vous) et n'accepte jamais de connexions entrantes directement sur l'IP du VPS. Le service caché n'est accessible que via le circuit Tor. Les mauvaises configurations qui FONT fuir l'IP : l'exécution du service sur un port public (il devrait être lié à 127.0.0.1), les fuites DNS de l'application web hébergée, les bannières du logiciel serveur estampillant l'IP dans les réponses sortantes. La liste de contrôle standard ci-dessous couvre chacun de ces cas.

Votre fournisseur VPS voit le trafic Tor sortant de votre VPS — il sait que « ce serveur fait tourner Tor » mais pas quel contenu est atteint. Il ne peut pas voir ce qui se trouve sur le service caché depuis l'extérieur ; il peut voir ce qui se trouve sur le disque depuis l'intérieur, comme tout fournisseur VPS. NordBastion n'accède pas aux disques des clients, mais un serveur que vous ne contrôlez pas avec chiffrement intégral du disque est un serveur qu'un opérateur peut théoriquement lire. Pour une confidentialité absolue du service caché, utilisez LUKS avec une phrase de passe que vous seul possédez — Servury l'intègre par défaut sur le matériel dédié, les autres (NordBastion inclus) le laissent en option à installer par le client.

Utilisez mkp224o — un outil open-source qui force en force brute des paires de clés Ed25519 jusqu'à ce que l'adresse v3 résultante commence par un préfixe choisi. Un préfixe de 4 caractères se trouve en quelques minutes sur un ordinateur portable moderne ; un préfixe de 7 caractères prend quelques heures ; 10+ caractères prend des semaines à des mois sur du matériel dédié. L'adresse onion résultante est cryptographiquement valide — la force brute ne fait que trouver la clé dont la partie publique hachée commence par les caractères souhaités.

Plus lent que le clearnet. Tor achemine via trois relais, chaque aller-retour ajoute ~300-800ms de latence. Le débit est limité par le relais le plus lent du circuit choisi ; comptez 1-5 MB/s en moyenne pour le contenu statique, moins pour les charges de travail interactives. Tor a introduit les optimisations « HSDir bandwidth » et HiddenServiceSingleHopMode pour les cas où l'anonymat côté service n'est pas requis.

Uniquement si votre modèle de menace accepte que le côté SERVICE soit publiquement connu (par exemple, vous avez déjà publié « cet onion tourne sur mon serveur en Islande »). Le mode à un seul saut saute les relais garde+intermédiaire côté service et se connecte directement au rendez-vous, ce qui est plus rapide (200 à 400 ms de latence en moins) mais ne protège pas l'IP côté service. Les clients obtiennent toujours une confidentialité complète à trois sauts de leur côté. Pour un service caché qui a besoin d'anonymat côté serveur, laissez-le désactivé (la valeur par défaut).

Oui, et de nombreux sites le font. Le serveur web clearnet écoute sur l'IP publique aux ports 80/443 ; le service caché Tor pointe vers le même serveur web sur 127.0.0.1 aux mêmes ports. Les deux atteignent le même contenu. Deux notes opérationnelles : (1) assurez-vous que le serveur web ne stamp pas l'IP publique dans les en-têtes (Server, X-Real-IP, banderoles de hostname), et (2) définissez l'en-tête HTTP Onion-Location sur le site clearnet pour que les utilisateurs de Tor Browser soient automatiquement redirigés vers l'adresse onion.

Un module complémentaire Tor (Vanguards) qui fixe le relais de garde côté service, atténuant une classe d'attaques où un attaquant observe quels gardes le service fait tourner et les utilise pour le désanonymiser. Vanguards-lite est intégré au démon Tor depuis la version 0.4.7 et est activé par défaut pour les services cachés dans les versions actuelles de Tor — vous n'avez généralement rien à faire pour en bénéficier. Le module complémentaire Vanguards complet est excessif pour la plupart des services cachés personnels et utile principalement pour les cibles de grande valeur.