Cómo funciona OnionShare¶

Mediante servidores web iniciados localmente en tu computadora, y hechos accesibles a otras personas como servicios onion <https://community.torproject.org/onion-services/>`_`Tor .

Por defecto, las direcciones web OnionShare están protegidas con una contraseña aleatoria. Una dirección OnionShare típica podría parecerse a algo como esto:

http://onionshare:constrict-purity@by4im3ir5nsvygprmjq74xwplrkdgt44qmeapxawwikxacmr3dqzyjad.onion

Tu eres responsable por compartir en forma segura ese URL, usando un canal de comunicación de tu elección, como un mensaje cifrado en una charla, o usando algo menos seguro, como un correo electrónico no cifrado, dependiendo de tu modelo de amenaza.

Las personas a quienes les envías el URL deben copiarlo y pegarlo dentro del Navegador Tor para acceder al servicio OnionShare.

Si ejecutas OnionShare en tu portátil para enviarle archivos a alguien, y antes de que sean enviados es suspendida, el servicio no estará disponible hasta que tu portátil deje de estarlo, y se conecte de nuevo a Internet. OnionShare funciona mejor cuando se trabaja con personas en tiempo real.

Como tu propia computadora es el servidor web, ningún tercero puede acceder a nada de lo que pasa en OnionShare, ni siquiera sus desarrolladores. Es completamente privado. Y como OnionShare también está basado en los servicios onion de Tor, también protege tu anonimato. Mira el diseño de seguridad para más información.

Recibe archivos y mensajes¶

Puedes utilizar OnionShare para permitir que las personas envíen archivos y mensajes de forma anónima directamente a tu computadora, convirtiéndola esencialmente en un dropbox anónimo. Abre una pestaña de recibir y elige la configuración que quieras.

Puedes buscar una carpeta donde guardar los mensajes y archivos que son enviados.

Puedes seleccionar «Deshabilitar el envío de texto» si solo quieres permitir la subida de archivos, y puedes seleccionar «Deshabilitar la subida de archivos» si solo quieres permitir el envío de mensajes de texto, como en un formulario de contacto anónimo.

Puedes seleccionar «Usar webhook de notificaciones» y luego escoger una URL de webhook si quieres ser notificado cuando alguien envíe archivos o mensajes a tu servicio de OnionShare. Si usas esta característica, OnionShare hará una solicitud HTTP POST a la URL cuando alguien envíe archivos o mensajes. Por ejemplo, si quieres recibir un mensaje de texto encriptado en la aplicación de mensajería Keybase, puedes comenzar una conversación con @webhookbot, escribiendo !webhook create onionshare-alerts, y responderá con una URL. Úsala como la URL para el webhook de notificaciones. Si alguien sube un archivo a tu servicio en modo de recepción, @webhookbot te enviará un mensaje en Keybase haciéndote saber tan pronto como suceda.

Cuando estés listo, presiona «Iniciar modo de recepción». Esto iniciará el servicio de OnionShare. Cualquiera que cargue está dirección en su navegador Tor podrá enviar archivos y mensajes que serán enviados a tu computadora.

También puedes hacer clic en el ícono «↓» en la esquina superior derecha para mostrar el historial y el progreso de las personas enviándote archivos.

Así es como se ve para alguien que esté enviándote archivos.

Cuando alguien envía archivos o mensajes a tu servicio de recepción, son guardados de forma predeterminada en una carpeta llamada OnionShare en la carpeta home de tu computador, y son organizados de forma automática en subcarpetas basadas en el momento en el que los archivos fueron subidos.

Establecer un servicio de recepción OnionShare es útil para periodistas y otros que necesiten aceptar documentos en forma segura desde fuentes anónimas. Cuando es usado de esta manera, OnionShare es una especie de versión liviana, más simple y no tan segura de SecureDrop, el sistema de envíos para informantes.

Úsalo a tu propio riesgo¶

De la misma manera que con adjuntos maliciosos en correos electrónicos, es posible que alguien pudiera intentar atacar tu computadora subiendo un archivo malicioso a tu servicio OnionShare, el cual no añade ningún mecanismo de seguridad para proteger tu sistema contra archivos maliciosos.

Si recibes un documento de Office o un PDF a través de OnionShare, puedes convertirlos en PDFs que son seguros para abrir usando Dangerzone. También puedes protegerte al abrir documentos no confiables haciéndolo en Tails, o en una máquina virtual descartable`Qubes <https://qubes-os.org/>`_.

Sin embargo, siempre es seguro abrir mensajes de texto enviados mediante OnionShare.

Consejos para correr un servicio de recepción¶

Si quieres alojar tu propio buzón anónimo usando OnionShare, es recomendado que lo hagas en una computadora dedicada y separada, que siempre esté encendida y conectada a Internet, y no en la que usas regularmente.

Si tu intención es publicitar la dirección OnionShare en tu sitio web o tus perfiles de redes sociales, guarda la pestaña (ver Guardar pestañas) y córrela como un servicio público (ver Deshabilitar contraseñas). También es una buena idea darle un título personalizado (ver Títulos Personalizados).

Aloja un Sitio Web¶

Para alojar un sitio web con HTML estático con OnionShare, abre una pestaña de sitio web, arrastra los archivos y carpetas que constituyen el sitio web estático, y haz clic cuando estés listo en «Iniciar compartición».

Si añades un archivo index.html, tu sitio web será presentado cuando alguien lo cargue. También deberías incluir cualesquiera otros archivos HTML, CSS, JavaScript e imágenes que constituyan el sitio web. (Ten en cuenta que OnionShare solamente soporta el alojamiento de sitios web estáticos, y no puede hacerlo con aquellos que ejecutan código o usan bases de datos. Por lo que, por ejemplo, no puedes usar WordPress.)

Si no tienes un archivo index.html, entonces mostrará un listado de directorio, y las personas que lo carguen podrán mirar a través de los archivos y descargarlos.

Después de que agregas archivos, verás algunas configuraciones. Asegúrate de elegir primero los ajustes en los que estás interesado antes de empezar a compartir.

Política de Seguridad de Contenido¶

Por defecto, OnionShare te ayudará a asegurar tu sitio web estableciendo un encabezado de Política de Seguridad de Contenido estricto. Sin embargo, esto evitará que el contenido de terceros sea cargado dentro de la página web.

Si quieres cargar contenido desde sitios web de terceros, como recursoss o bibliotecas JavaScript desde CDNs, entonces debes marcar la casilla «Deshabilitar el encabezado de Política de Seguridad de Contenido (permite a tu sitio web usar recursos de terceros)» antes de iniciar el servicio.

Consejos para correr un servicio de sitio web¶

Si quieres alojar un sitio web a largo plazo usando OnionShare (que no sea solo para mostrarle algo a alguien rápidamente), es recomendado que lo hagas en una computadora separada y dedicada, que siempre esté encendida y conectada a Internet, y no en la que usas regularmente. Guarda la pestaña (mira Guardar pestañas) con el fin de que puedas reanudar al sitio web con la misma dirección, si cierras OnionShare y lo vuelves a iniciar más tarde.

Si planeas que tu sitio web sea visto por el público, deberías ejecutarlo como servicio público (see Deshabilitar contraseñas).

Chat Anónimo¶

Puedes usar OnionShare para establecer un cuarto de chat completamente anónimo y seguro, que no registra nada. Solo abre una pestaña de chat y haz clic en «Iniciar servidor de chat».

Después de iniciar el servidor, copie la dirección de OnionShare y envíela a las personas que desee en la sala de chat anónima. Si es importante limitar exactamente quién puede unirse, use una aplicación de mensajería encriptada para enviar la dirección de OnionShare.

Las personas pueden unirse al cuarto de chat cargando su dirección OnionShare en el Navegador Tor. El cuarto de chat requiere JavasScript, por lo que todo aquel que quiera participar debe ajustar su nivel de seguridad a “Estándar” o “Más Seguro” en vez de a “El Más Seguro”.

Cuando alguien se une al cuarto de chat, se le asigna un nombre aleatorio. Puede cambiarlo tipeando un nombre nuevo en la casilla en el panel izquierdo y presionando ↵. Ningún historial de chat será mostrado en absoluto, aún si otros ya estaban chateando en el cuarto, porque ese historial no es guardado en ningún lado.

En un cuarto de chat OnionShare, todos son anónimos. Cualquiera puede cambiar su nombre a cualquier cosa, y no hay manera de confirmar la identidad de nadie.

Sin embargo, si creas un cuarto de chat OnionShare, y envías la dirección en forma segura solamente a un grupo pequeño de amigos confiables usando mensajes cifrados, entonces puedes estar razonablemente seguro que las personas que se unan a él son tus amigos.

¿Cómo es que esto es útil?¶

Si para empezar ya necesitas estar usando una aplicación de mensajería cifrada, ¿cuál es el punto de un cuarto de chat OnionShare? Deja menos rastros.

Si, por ejemplo, envías un mensaje a un grupo de Signal, una copia del mismo termina en cada dispositivo (los dispositivos, y las computadoras si configuran Signal Desktop) de cada miembro del grupo. Incluso si los mensajes que desaparecen están activados, es difícil confirmar que todas las copias de los mismos se hayan eliminado de todos los dispositivos y de cualquier otro lugar (como las bases de datos de notificaciones) en los que se hayan guardado. Los cuartos de chat de OnionShare no almacenan ningún mensaje en ningún lugar, por lo que el problema se reduce al mínimo.

Los cuartos de chat OnionShare también pueden ser útiles para personas anónimas que quieran charlar en forma segura con alguien sin necesitar crear alguna cuenta. Por ejemplo, una fuente puede enviar una dirección OnionShare a un periodista usando una dirección de correo electrónico descartable, y luego esperar a que el periodista se una al cuarto de chat, todo eso sin comprometer su anonimato.

¿Cómo funciona el cifrado?¶

Como OnionShare se respalda en los servicios onion de Tor, todas las conexiones entre el Navegador Tor y OnionShare son cifradas de extremo a extremo (E2EE). Cuando alguien publica un mensaje a un cuarto de chat OnionShare, lo envía al servidor a través de la conexión onion E2EE, la cual lo envía luego a todos los otros miembros del cuarto de chat usando WebSockets, a través de sus conexiones onion E2EE.

OnionShare no implementa ningún cifrado de chat por sí mismo. En vez, cuenta con el cifrado del servicio onion de Tor.