راه‌اندازی Hidden Service — سایت .onion خود

Hidden Services (با آدرس .onion) سایت‌هایی هستند که فقط از طریق شبکه Tor قابل دسترسی هستند. تفاوت آن‌ها با سایت‌های معمولی:

• IP سرور مخفی است: هیچ کس — نه ISP شما، نه بازدیدکنندگان — IP سرور را نمی‌داند.
• آدرس .onion از کلید رمزنگاری تولید می‌شود: یک کلید عمومی cryptographic تولید می‌کنید که آدرس .onion شما می‌شود. این آدرس‌ها فقط ۵۶ کاراکتر طولانی و تصادفی هستند (در نسخه ۳).
• رمزنگاری end-to-end ذاتی: تمام ارتباطات با hidden service به طور خودکار رمزنگاری می‌شوند (حتی بدون TLS/HTTPS)
• Network-level authentication: فقط کسی که آدرس .onion را می‌داند می‌تواند وصل شود. می‌توانید با client authentication لایه امنیتی اضافی اضافه کنید.

نمونه‌های معروف hidden services: Facebook (facebookwkhpilnemxj7asaniu7vnjjbiltxjqhye3mhbshg7kx5tfyd.onion)، BBC News، ProtonMail، DuckDuckGo، SecureDrop instances.

Tor Project دو نسخه از hidden services داشته است:

نسخه ۲ (deprecated 2021):

• آدرس‌های ۱۶ کاراکتری (مثل expyuzz4wqqyqhjn.onion)
• رمزنگاری قدیمی (SHA1، RSA-1024)
• متوقف شده در اکتبر ۲۰۲۱ — دیگر کار نمی‌کند

نسخه ۳ (فعلی):

• آدرس‌های ۵۶ کاراکتری
• رمزنگاری مدرن (SHA3-256، ed25519، curve25519)
• مقاوم در برابر brute force
• deep بحث‌های امنیتی در برابر traffic analysis
• پشتیبانی از client authentication

تمام hidden services جدید باید نسخه ۳ باشند. اگر شما به یک آدرس .onion قدیمی (۱۶ کاراکتری) برخورد کردید، آن کار نمی‌کند و احتمالاً scam است.

این راهنما فقط روی نسخه ۳ تمرکز می‌کند.

برای راه‌اندازی hidden service نیاز دارید:

• یک VPS یا سرور اختصاصی: می‌توانید در خانه روی کامپیوتر خود اجرا کنید، اما برای uptime ۲۴/۷ یک VPS بهتر است. توصیه: AnubizHost offshore VPS (ایسلند/رومانی).
• سیستم عامل لینوکس: Debian، Ubuntu، یا CentOS. این راهنما از Ubuntu/Debian استفاده می‌کند.
• دسترسی root: برای نصب packages.
• یک web server: Nginx یا Apache. Nginx توصیه می‌شود.

بسیار مهم — hardening سرور:

1. Firewall را تنظیم کنید (ufw): فقط SSH از IP خود، بلاک کردن بقیه
   • ufw default deny incoming
   • ufw allow from YOUR_IP to any port 22
   • ufw enable
2. SSH را سخت کنید: غیرفعال کردن password login، فعال کردن key-only، تغییر port پیش‌فرض
3. fail2ban را نصب کنید
4. automatic updates را فعال کنید
5. هیچ سرویسی را به‌عنوان root اجرا نکنید

چون IP سرور شما محرمانه است، یک هک موفق می‌تواند IP را فاش کند و تمام ناشناسی را نابود کند.

مراحل نصب:

1. نصب Tor:
   • روی Debian/Ubuntu: apt update && apt install tor
   • بهتر است نسخه جدید از repo رسمی Tor استفاده کنید (روی ubuntu): راهنمای torproject.org را دنبال کنید
2. پیکربندی Tor: فایل /etc/tor/torrc را باز کنید:
   HiddenServiceDir /var/lib/tor/my_hidden_service/
HiddenServicePort 80 127.0.0.1:8080
HiddenServiceVersion 3
3. توضیح خط‌ها:
   • HiddenServiceDir: مسیری که Tor کلیدهای hidden service را ذخیره می‌کند
   • HiddenServicePort 80 127.0.0.1:8080: از port ۸۰ روی .onion به port ۸۰۸۰ محلی forward می‌شود
   • HiddenServiceVersion 3: نسخه ۳ را استفاده کن
4. Tor را راه‌اندازی کنید: systemctl restart tor
5. آدرس .onion خود را پیدا کنید: cat /var/lib/tor/my_hidden_service/hostname

در چند ثانیه، یک فایل hostname با آدرس .onion شما ظاهر می‌شود. این آدرس را یادداشت کنید — این سایت شما روی شبکه Tor است.

حالا Nginx را نصب و پیکربندی کنید:

1. نصب Nginx: apt install nginx
2. پیکربندی virtual host: فایل /etc/nginx/sites-available/onion را ایجاد کنید:
   server {
listen 127.0.0.1:8080;
server_name localhost;
root /var/www/onion;
index index.html;
server_tokens off;
add_header Onion-Location http://YOUR_ONION_ADDRESS.onion$request_uri;
}
3. فعال کردن site: ln -s /etc/nginx/sites-available/onion /etc/nginx/sites-enabled/
4. ایجاد محتوا: mkdir /var/www/onion && echo '<h1>Hello Tor!</h1>' > /var/www/onion/index.html
5. Restart Nginx: systemctl restart nginx

نکات امنیتی Nginx:

• server_tokens off: Nginx نسخه خود را در headers فاش نکند
• listen 127.0.0.1:8080: فقط روی localhost گوش کن — نه روی IP عمومی
• هیچ ماژولی که نیاز ندارید نصب نکنید
• error logs را غیرفعال یا محدود کنید (می‌توانند IP ها را log کنند)

در Tor Browser، آدرس .onion خود را وارد کنید — اگر سایت شما بار شد، hidden service کار می‌کند!

آدرس‌های .onion نسخه ۳ تصادفی هستند. اما می‌توانید «آدرس vanity» تولید کنید — آدرسی که با کلمه خاصی شروع می‌شود (مانند «news»، «iran»، «proton»).

ابزار: mkp224o

1. نصب: git clone https://github.com/cathugger/mkp224o.git && cd mkp224o && ./autogen.sh && ./configure && make
2. اجرا: ./mkp224o -d /tmp/keys news
3. mkp224o شروع به تولید آدرس‌ها می‌کند تا یکی پیدا کند که با «news» شروع می‌شود
4. زمان: ۴ کاراکتر = ثانیه‌ها، ۵ کاراکتر = دقیقه‌ها، ۶ کاراکتر = ساعت‌ها، ۷ کاراکتر = روزها، ۸ کاراکتر = هفته‌ها با کامپیوتر قوی

پس از تولید، فایل‌های کلید را به /var/lib/tor/my_hidden_service/ منتقل کنید و Tor را restart کنید.

توصیه: ۵-۶ کاراکتر vanity prefix متعادل است. بیش از ۸ کاراکتر نیازمند کامپیوتر قدرتمند یا اجاره GPU است.

مثال آدرس vanity: news4ie2ubdhr23dt5pqetyrjnpqkdlsa7h2czybevmmm4vghf3evwqd.onion (با «news» شروع می‌شود)

پس از راه‌اندازی، نگهداری مداوم حیاتی است:

• کلیدهای hidden service را پشتیبان‌گیری کنید: فایل‌های داخل /var/lib/tor/my_hidden_service/ را روی یک USB رمزنگاری شده پشتیبان بگیرید. اگر سرور خراب شود، بدون این کلیدها آدرس .onion خود را از دست می‌دهید.
• security updates: apt update && apt upgrade حداقل هفتگی
• نظارت log ها: Nginx logs را برای تلاش‌های exploit بررسی کنید. اما log ها را برای مدت طولانی نگه ندارید.
• غیرفعال کردن log ها: برای حداکثر حریم خصوصی، Nginx access logs را خاموش کنید: access_log off;
• Client Authentication: اگر می‌خواهید فقط کاربران خاص دسترسی داشته باشند، از onion service authentication استفاده کنید — این یک لایه رمز عبور در سطح Tor اضافه می‌کند.
• DDoS protection: Tor hidden services در برابر DDoS آسیب‌پذیر هستند. از PoW (proof of work) features جدید Tor استفاده کنید.

یک hidden service به خوبی نگهداری شده می‌تواند سال‌ها بدون مشکل کار کند.

اگر نمی‌خواهید خودتان تمام این پیکربندی‌ها را انجام دهید، AnubizHost بسته‌های hidden service آماده ارائه می‌دهد:

• VPS با Tor از پیش نصب‌شده: Tor، Nginx، firewall، همه قبلاً پیکربندی شده
• آدرس .onion نسخه ۳ از پیش تولیدشده یا vanity address سفارشی (با هزینه اضافه)
• سرورهای offshore در ایسلند، رومانی، فنلاند — حوزه‌های قضایی حامی حریم خصوصی
• پرداخت با Bitcoin و Monero — بدون KYC، بدون ردپا
• DDoS protection داخلی
• uptime ۹۹.۹٪ تضمین شده
• پشتیبانی ۲۴/۷ برای راه‌اندازی و عیب‌یابی

برای رسانه‌های مستقل، سازمان‌های حقوق بشری، یا هر کسی که به حضور .onion قابل اعتماد نیاز دارد، این سرعت در راه‌اندازی حیاتی است. همین امروز با AnubizHost شروع کنید — در کمتر از ۱۰ دقیقه، سایت .onion شما آنلاین است.