Onion Services: So funktionieren .onion-Seiten

Ein Onion Service ist ein Dienst – meist eine Website –, der nur über das Tor-Netzwerk erreichbar ist und dessen Server verborgen bleibt. Weder Besucher noch Relays erfahren, wo er steht. Seine Adresse endet auf .onion und ist zugleich sein kryptografischer Schlüssel. Früher nannte man solche Dienste „Hidden Services“.

Was Onion Services leisten#

Diese Eigenschaften machen Onion Services nicht nur für anonyme Websites interessant. Medien nutzen sie gegen Zensur, Redaktionen für anonyme Hinweise (SecureDrop), und Programme wie OnionShare für den sicheren Austausch von Dateien.

Der Verbindungsaufbau im Detail#

Damit sich Besucher und Dienst finden, ohne ihre Standorte preiszugeben, gibt es vier Rollen: Einführungspunkte, ein verteiltes Verzeichnis, einen Treffpunkt und die beiden Endpunkte.

1. Einführungspunkte wählen: Der Dienst baut über Tor Schaltkreise zu einigen Relays auf und bittet sie, als Einführungspunkte zu dienen. Weil die Verbindungen anonymisiert sind, wissen diese Relays nicht, wo der Dienst steht.
2. Beschreibung veröffentlichen: Der Dienst erstellt eine Beschreibung (Descriptor) mit seinen Einführungspunkten, signiert sie mit seinem privaten Schlüssel und lädt sie anonym in ein verteiltes Verzeichnis im Tor-Netzwerk hoch.
3. Beschreibung abrufen und prüfen: Ein Besucher kennt die Onion-Adresse, ruft damit die Beschreibung ab und prüft die Signatur gegen den öffentlichen Schlüssel, der in der Adresse steckt.
4. Treffpunkt festlegen: Der Besucher wählt ein Relay als Treffpunkt (Rendezvous-Punkt), baut einen Schaltkreis dorthin auf und hinterlegt ein einmaliges Geheimnis.
5. Anfrage stellen: Über einen Einführungspunkt teilt der Besucher dem Dienst den Treffpunkt und das Geheimnis mit. Der Dienst entscheidet, ob er die Anfrage annimmt.
6. Treffen: Der Dienst baut seinerseits einen Schaltkreis zum Treffpunkt auf und legt das Geheimnis vor. Stimmen beide überein, verbindet der Treffpunkt die beiden Schaltkreise.

Die fertige Verbindung läuft über sechs Relays: drei, die der Besucher wählt (mit dem Treffpunkt als drittem), und drei, die der Dienst wählt. Der Treffpunkt leitet nur verschlüsselte Daten weiter.

Adressen der Version 3#

Seit Oktober 2021 funktionieren nur noch Onion-Adressen der Version 3. Sie bestehen aus 56 Zeichen, die aus dem 32 Byte langen öffentlichen Schlüssel, einer Prüfsumme und einer Versionsnummer berechnet werden. Die alten v2-Adressen mit 16 Zeichen wurden abgeschaltet, weil ihre Kryptografie veraltet war.

Ein weiterer Vorteil von v3: Die Einträge im verteilten Verzeichnis sind so verschlüsselt, dass die Verzeichnis-Relays die Onion-Adressen nicht erfahren. Wer eine Adresse nicht kennt, kann sie auch nicht aus dem Netzwerk heraus sammeln. Mehr zum Aufbau der Adressen: Onion-Adressen erklärt.

Schutzmechanismen für Betreiber#

Client-Autorisierung: private Onion Services#

Ein Betreiber kann festlegen, dass nur bestimmte Besucher seinen Dienst nutzen dürfen. Dazu erhält jeder berechtigte Besucher einen eigenen privaten Schlüssel (x25519), der Dienst speichert den passenden öffentlichen Schlüssel. Wer nur die Adresse kennt, kommt nicht hinein. So lassen sich zum Beispiel ein privater Fernzugang zum eigenen Server oder ein internes Redaktionssystem absichern.

Proof-of-Work gegen Überlastung#

Weil Onion Services keine IP-Adressen ihrer Besucher kennen, lassen sich klassische Abwehrmaßnahmen gegen Überlastungsangriffe kaum nutzen. Seit Tor 0.4.8 (August 2023) gibt es deshalb einen Proof-of-Work-Schutz: Steht ein Dienst unter Last, müssen Besucher eine kleine Rechenaufgabe lösen. Der Dienst bearbeitet Anfragen nach dem gezeigten Aufwand. Normale Besucher merken davon kaum etwas – laut Tor Project dauert das Lösen typischerweise 5 bis 30 Millisekunden –, für Angreifer mit Massenanfragen wird es dagegen teuer. Im Normalbetrieb ist der Schutz inaktiv.

Onion-Location: der Weg von der normalen Website#

Betreiber einer normalen Website können ihren Besuchern über einen HTTP-Header namens Onion-Location mitteilen, dass es eine Onion-Version gibt. Der Tor Browser zeigt dann in der Adressleiste „.onion available“ an. Das ist der sicherste Weg für Besucher, die echte Adresse zu finden.

Einen eigenen Onion Service einrichten#

Für eine bestehende Website auf dem eigenen Server reichen im Prinzip zwei Zeilen in der Tor-Konfigurationsdatei torrc:

HiddenServiceDir /var/lib/tor/meine_seite/
HiddenServicePort 80 127.0.0.1:8080

Tor erzeugt beim Neustart im angegebenen Ordner die Schlüssel und die Datei hostname mit der neuen Onion-Adresse. Der Webserver sollte dabei nur auf 127.0.0.1 lauschen, damit er nicht zusätzlich über seine normale IP-Adresse erreichbar ist.

Für einfache Fälle gibt es fertige Werkzeuge: Mit OnionShare lassen sich Dateien teilen oder eine statische Website veröffentlichen, ohne die Konfiguration selbst zu schreiben.

Wer Onion Services nutzt#

Neben kriminellen Marktplätzen, die das Bild prägen, betreiben viele seriöse Organisationen Onion Services: Medien wie die BBC, die New York Times und die Deutsche Welle, Redaktionen mit SecureDrop, Suchmaschinen und das Tor Project selbst. Eine Übersicht geben Seriöse Onion-Seiten von Medien und Organisationen und das Verzeichnis der eigenen Dienste des Tor Project unter onion.torproject.org.