Редактирование Участник:Xlikam/Даркнеты

Тут будет различная информация о сабжах

== I2P + Tor ==
Сеть I2P очень удобна для обеспечения анонимности обмена данными между участниками сети, но только при условии, что все они находятся в ней самой, а не во внешнем интернете. Да, имеются шлюзы для доступа во внешний интернет из I2P, но они имеют множество ограничений и, как правило, работают очень медленно, делая работу во внешнем интернете крайне неудобной. Исправить ситуацию можно посредством связки I2P + Tor. Тогда при выходе за пределы I2P вашу анонимность будет обеспечивать Tor, что гораздо быстрее и удобнее outproxy.

Что для этого необходимо:
# Зайти в [http://127.0.0.1:7657/i2ptunnel менеджер туннелей].
# В появившемся окне менеджера нажать кнопку создать новый серверный туннель.
# Точка доступа: 127.0.0.1. Порт: 8118 (Для HTTP-proxy) или 9050 (прямое обращение к Tor через SOCKS).
# Программа connect (пакет connect-proxy в Дебиане и Убунте)
# Сохраняем изменения.
# ????
# PROFIT!
''Скриншоты потом вставлю.''

== Утилиты командной строки через TOR ==
Зайти по ssh на обычный сервер:
  ssh -o ProxyCommand='connect -4 -S localhost:9050 %h %p' user@server.com

Зайти по ssh на скрытый сайт:
  ssh -o ProxyCommand='connect -R remote -5 -S localhost:9050 %h %p' user@serverfxnnckztbn.onion

Скачать через TOR:
  curl --socks5 localhost:9050 http://www.fbi.gov/logo.png

Скачать через TOR (с подделкой user agent):
  curl --socks5 localhost:9050 -A "Opera/9.25 (Windows NT 6.0; U; en)" http://www.fbi.gov/logo.png

Зайти на сайт (осторожно, возможна [http://www.dnsleaktest.com/ течка DNS], так как там SOCKS4):
  links2 -socks-proxy localhost:9050 http://www.fbi.gov/

== Создаём защищённый eepsite ==
В первую очередь нам понадобится веб-сервер.
''Я выбрал nginx, так как считаю его наиболее безопасным.''
Итак, понеслась:
* Скачиваем исходник последней стабильной версии [http://nginx.org/download], редактируем файл '''src/http/ngx_http_header_filter_module.c'''
Находим строчки:
  static char ngx_http_server_string[] = «Server: nginx» CRLF;
  static char ngx_http_server_full_string[] = "Server: " NGINX_VER CRLF;
и меняем их, к примеру, на:
  static char ngx_http_server_string[] = «Secured webserver» CRLF;
  static char ngx_http_server_full_string[] = «Server: Secured webserver 0.3» CRLF;
Это осложнит определение настоящей версии сервера, взломщики потратят время на проверку сервера на наличие уязвимостей, которых у него может не быть.

* Собираем сервер, отключив ненужные модули (список всех модулей можно получить, запустив configure c флагом --help):
  # ./configure --without-http_autoindex_module --without-http_ssi_module
  # make
  # make install
* Конфигурируем сервер
* Открываем файл /etc/nginx/nginx.conf и добавляем в него строчку «server_tokens off» Это скроет информацию о версии и типе сервера на страницах, отображаемых при ошибочный запросах клиента, что дополнительно повысит его безопасность.

Теперь изменим таймаут для повышения производительности:
  client_body_timeout 10;
  client_header_timeout 10;
  keepalive_timeout 5 5;
  send_timeout 10;

Защитимся от <s>переполнения буфера</s> (ЩИТО?):
  client_body_buffer_size 1K;
  client_header_buffer_size 1k; # увеличить, если сервер будет поддерживать загрузку файлов
  client_max_body_size 1k;
  large_client_header_buffers 2 1k;

Увеличим количество соединений с одного ip-адреса, так как обращаться к серверу будем только с адреса 127.0.0.1
limit_conn slimits 40;
На всякий случай оставим только 3 метода обращения к серверу
  if ($request_method !~ ^(GET|HEAD|POST)$) {
    return 444;
  }
Устанавливаем пароль на нужные нам папки:
  # mkdir /etc/nginx/.htpasswd
  # htpasswd -c /etc/nginx/.htpasswd/passwd user1 # создаём файл паролей для пользователя user1
Добавляем в nginx.conf
  location /private/ {
    auth_basic «Restricted»;
    auth_basic_user_file /etc/nginx/.htpasswd/passwd;
  }

Перезагружаем сервер:
  /etc/init.d/nginx reload
Для ещё большей паранойи разместим каталог сервера на отдельном разделе диска или даже флешке, шифрованном truecrypt-ом.
Скачиваем установщик truecrypta [http://www.truecrypt.org/downloads отсюда].
Устанавливаем, запускаем, шифруем флешку (Create Volume — Create a volume within a partition/drive — Hidden truecrypt volume — ???(подробнее завтра допилю)).
Монтируем её через Select drive — Mount, правим /etc/fstab, предварительно переместив файлы сервера
* /dev/mapper/truecrypt1 /nginx ext4 defaults, nosuid, noexec, nodev 1 2
* Тут про запуск сервера из под KVM, допилю завтра.
* [http://sf.net/projects/selinuxnginx/ Дополнительная защита из под selinux-a]

  # tar -zxvf se-ngix_1_0_10.tar.gz
  # cd se-ngix_1_0_10/nginx
  # make
  # /usr/sbin/semodule -i nginx.pp
* PHP
Если вы всё-таки решили использовать на вашем сайте язык PHP, что довольно опасно, то стоит настроить его должным образом.
Редактируем файл /etc/php/php.ini
  disable_functions = phpinfo, system, mail, exec # отключение опасных функций
  max_execution_time = 10
  max_input_time = 60
  memory_limit = 8M
  post_max_size = 8M
  upload_max_filesize = 2M
  display_errors = Off
  safe_mode = On
  sql.safe_mode = On
  safe_mode_exec_dir = /secured/ # путь к каталогу, из которого можно выполнять внешние команды
  expose_php = Off
  log_errors = On # логи
  allow_url_fopen = Off
* Скрываем сервер от внешнего интернета
  iptables -A INPUT -m state --state NEW -p tcp -s 127.0.0.1 --dport 80 -j ACCEPT
  iptables -A INPUT --dport 80 -j REJECT
Этим мы скроем наш сервер от всех подключений, кроме тех, что из I2P.
Теперь, когда наш сервер достаточно защищён, создаём [http://127.0.0.1:7657/i2ptunnel/ серверные туннели] к http и https.
Там же отключаем неиспользуемые туннели, если таковые имеются.
* Регистрация в DNS.
Заходим на сайт [stats.i2p] и регистрируемся там.

== SSL ==
Для пущей паранойи можно использовать SSL (в принципе, данные так надежно шифруются, что на пути между клиентом и скрытым сайтом их невозможно прочитать или подменить). Но SSL не повредит, от греха подальше.

Создаём сертификат:
  # cd /etc/nginx
  # openssl genrsa -des3 -out server.key 1024
  # openssl req -new -key server.key -out server.csr
  # cp server.key server.key.org
  # openssl rsa -in server.key.org -out server.key
  # openssl x509 -req -days 365 -in server.csr -signkey server.key -out server.crt
Пишем в nginx.conf:
  server {
    server_name localhost;
    listen 443;
    ssl on;
    ssl_certificate /etc/nginx/server.crt;
    ssl_certificate_key /etc/nginx/server.key;
    access_log /etc/nginx/logs/ssl.access.log;
    error_log /etc/nginx/logs/ssl.error.log;
  }