Cómo funciona OnionShare

Mediante servidores web iniciados localmente en tu computadora, y hechos accesibles a otras personas como servicios onion <https://community.torproject.org/onion-services/>`_`Tor .

Por defecto, las direcciones web OnionShare están protegidas con una contraseña aleatoria. Una dirección OnionShare típica podría parecerse a algo como esto:

http://onionshare:constrict-purity@by4im3ir5nsvygprmjq74xwplrkdgt44qmeapxawwikxacmr3dqzyjad.onion

Tu eres responsable por compartir en forma segura ese URL, usando un canal de comunicación de tu elección, como un mensaje cifrado en una charla, o usando algo menos seguro, como un correo electrónico no cifrado, dependiendo de tu modelo de amenaza.

Las personas a quienes les envías el URL deben copiarlo y pegarlo dentro del Navegador Tor para acceder al servicio OnionShare.

Si ejecutas OnionShare en tu portátil para enviarle archivos a alguien, y antes de que sean enviados es suspendida, el servicio no estará disponible hasta que tu portátil deje de estarlo, y se conecte de nuevo a Internet. OnionShare funciona mejor cuando se trabaja con personas en tiempo real.

Como tu propia computadora es el servidor web, ningún tercero puede acceder a nada de lo que pasa en OnionShare, ni siquiera sus desarrolladores. Es completamente privado. Y como OnionShare también está basado en los servicios onion de Tor, también protege tu anonimato. Mira el diseño de seguridad para más información.

Comparte archivos

Puedes usar OnionShare para enviar archivos y carpetas a las personas en forma segura y anónima. Solo abre una pestaña de compartición, arrastra hacia ella los archivos y carpetas que deseas compartir, y haz clic en «Iniciar compartición».

_images/share.png

Después de que agregas archivos, verás algunas configuraciones. Asegúrate de elegir primero los ajustes en los que estás interesado antes de empezar a compartir.

_images/share-files.png

Tan pronto como alguien termine de descargar tus archivos, OnionShare detendrá automáticamente al servidor, removiendo al sitio web de Internet. Para permitirle descargarlos a múltiples personas, desmarca la casilla «Detener compartición después de que los archivos han sido enviados (desmarca para permitir la descarga de archivos individuales)».

Además, si desmarcas esta casilla, las personas serán capaces de descargar los archivos individuales que compartas, en vez de una única versión comprimida de todos ellos.

Cuando estés listo para compartir, haz clic en el botón «Iniciar compartición». Siempre puedes hacer clic en «Detener compartición», o salir de OnionShare, para hacer caer al sitio web inmediatamente. También puedes hacer clic en el ícono «↑» en la esquina superior derecha para mostrar el historial y el progreso de las personas que están descargando archivos.

_images/share-sharing.png

Ahora que tienes un OnionShare, copia la dirección y envíasela a la persona que quieres que reciba los archivos. Si necesitan permanecer seguros, o si la persona está expuesta a cualquier otro peligro, usa una aplicación de mensajería cifrada.

Esa persona debe cargar luego la dirección en el Navegador Tor. Después de iniciar sesión con la contraseña aleatoria incluída en la dirección web, serán capaces de descargar los archivos directamente desde tu computadora haciendo clic en el vínculo «Descargar Archivos» en la esquina.

_images/share-torbrowser.png

Recibe archivos y mensajes

Puedes utilizar OnionShare para permitir que las personas envíen archivos y mensajes de forma anónima directamente a tu computadora, convirtiéndola esencialmente en un dropbox anónimo. Abre una pestaña de recibir y elige la configuración que quieras.

_images/receive.png

Puedes buscar una carpeta donde guardar los mensajes y archivos que son enviados.

Puedes seleccionar «Deshabilitar el envío de texto» si solo quieres permitir la subida de archivos, y puedes seleccionar «Deshabilitar la subida de archivos» si solo quieres permitir el envío de mensajes de texto, como en un formulario de contacto anónimo.

Puedes seleccionar «Usar webhook de notificaciones» y luego escoger una URL de webhook si quieres ser notificado cuando alguien envíe archivos o mensajes a tu servicio de OnionShare. Si usas esta característica, OnionShare hará una solicitud HTTP POST a la URL cuando alguien envíe archivos o mensajes. Por ejemplo, si quieres recibir un mensaje de texto encriptado en la aplicación de mensajería Keybase, puedes comenzar una conversación con @webhookbot, escribiendo !webhook create onionshare-alerts, y responderá con una URL. Úsala como la URL para el webhook de notificaciones. Si alguien sube un archivo a tu servicio en modo de recepción, @webhookbot te enviará un mensaje en Keybase haciéndote saber tan pronto como suceda.

Cuando estés listo, presiona «Iniciar modo de recepción». Esto iniciará el servicio de OnionShare. Cualquiera que cargue está dirección en su navegador Tor podrá enviar archivos y mensajes que serán enviados a tu computadora.

_images/receive-sharing.png

También puedes hacer clic en el ícono «↓» en la esquina superior derecha para mostrar el historial y el progreso de las personas enviándote archivos.

Así es como se ve para alguien que esté enviándote archivos.

_images/receive-torbrowser.png

Cuando alguien envía archivos o mensajes a tu servicio de recepción, son guardados de forma predeterminada en una carpeta llamada OnionShare en la carpeta home de tu computador, y son organizados de forma automática en subcarpetas basadas en el momento en el que los archivos fueron subidos.

Establecer un servicio de recepción OnionShare es útil para periodistas y otros que necesiten aceptar documentos en forma segura desde fuentes anónimas. Cuando es usado de esta manera, OnionShare es una especie de versión liviana, más simple y no tan segura de SecureDrop, el sistema de envíos para informantes.

Úsalo a tu propio riesgo

De la misma manera que con adjuntos maliciosos en correos electrónicos, es posible que alguien pudiera intentar atacar tu computadora subiendo un archivo malicioso a tu servicio OnionShare, el cual no añade ningún mecanismo de seguridad para proteger tu sistema contra archivos maliciosos.

Si recibes un documento de Office o un PDF a través de OnionShare, puedes convertirlos en PDFs que son seguros para abrir usando Dangerzone. También puedes protegerte al abrir documentos no confiables haciéndolo en Tails, o en una máquina virtual descartable`Qubes <https://qubes-os.org/>`_.

Sin embargo, siempre es seguro abrir mensajes de texto enviados mediante OnionShare.

Consejos para correr un servicio de recepción

Si quieres alojar tu propio buzón anónimo usando OnionShare, es recomendado que lo hagas en una computadora dedicada y separada, que siempre esté encendida y conectada a Internet, y no en la que usas regularmente.

Si tu intención es publicitar la dirección OnionShare en tu sitio web o tus perfiles de redes sociales, guarda la pestaña (ver Guardar pestañas) y córrela como un servicio público (ver Deshabilitar contraseñas). También es una buena idea darle un título personalizado (ver Títulos Personalizados).

Aloja un Sitio Web

Para alojar un sitio web con HTML estático con OnionShare, abre una pestaña de sitio web, arrastra los archivos y carpetas que constituyen el sitio web estático, y haz clic cuando estés listo en «Iniciar compartición».

_images/website.png

Si añades un archivo index.html, tu sitio web será presentado cuando alguien lo cargue. También deberías incluir cualesquiera otros archivos HTML, CSS, JavaScript e imágenes que constituyan el sitio web. (Ten en cuenta que OnionShare solamente soporta el alojamiento de sitios web estáticos, y no puede hacerlo con aquellos que ejecutan código o usan bases de datos. Por lo que, por ejemplo, no puedes usar WordPress.)

Si no tienes un archivo index.html, entonces mostrará un listado de directorio, y las personas que lo carguen podrán mirar a través de los archivos y descargarlos.

Después de que agregas archivos, verás algunas configuraciones. Asegúrate de elegir primero los ajustes en los que estás interesado antes de empezar a compartir.

_images/website-files.png

Política de Seguridad de Contenido

Por defecto, OnionShare te ayudará a asegurar tu sitio web estableciendo un encabezado de Política de Seguridad de Contenido estricto. Sin embargo, esto evitará que el contenido de terceros sea cargado dentro de la página web.

Si quieres cargar contenido desde sitios web de terceros, como recursoss o bibliotecas JavaScript desde CDNs, entonces debes marcar la casilla «Deshabilitar el encabezado de Política de Seguridad de Contenido (permite a tu sitio web usar recursos de terceros)» antes de iniciar el servicio.

Consejos para correr un servicio de sitio web

Si quieres alojar un sitio web a largo plazo usando OnionShare (que no sea solo para mostrarle algo a alguien rápidamente), es recomendado que lo hagas en una computadora separada y dedicada, que siempre esté encendida y conectada a Internet, y no en la que usas regularmente. Guarda la pestaña (mira Guardar pestañas) con el fin de que puedas reanudar al sitio web con la misma dirección, si cierras OnionShare y lo vuelves a iniciar más tarde.

Si planeas que tu sitio web sea visto por el público, deberías ejecutarlo como servicio público (see Deshabilitar contraseñas).

Chat Anónimo

Puedes usar OnionShare para establecer un cuarto de chat completamente anónimo y seguro, que no registra nada. Solo abre una pestaña de chat y haz clic en «Iniciar servidor de chat».

_images/chat.png

Después de iniciar el servidor, copie la dirección de OnionShare y envíela a las personas que desee en la sala de chat anónima. Si es importante limitar exactamente quién puede unirse, use una aplicación de mensajería encriptada para enviar la dirección de OnionShare.

_images/chat-sharing.png

Las personas pueden unirse al cuarto de chat cargando su dirección OnionShare en el Navegador Tor. El cuarto de chat requiere JavasScript, por lo que todo aquel que quiera participar debe ajustar su nivel de seguridad a “Estándar” o “Más Seguro” en vez de a “El Más Seguro”.

Cuando alguien se une al cuarto de chat, se le asigna un nombre aleatorio. Puede cambiarlo tipeando un nombre nuevo en la casilla en el panel izquierdo y presionando ↵. Ningún historial de chat será mostrado en absoluto, aún si otros ya estaban chateando en el cuarto, porque ese historial no es guardado en ningún lado.

_images/chat-torbrowser.png

En un cuarto de chat OnionShare, todos son anónimos. Cualquiera puede cambiar su nombre a cualquier cosa, y no hay manera de confirmar la identidad de nadie.

Sin embargo, si creas un cuarto de chat OnionShare, y envías la dirección en forma segura solamente a un grupo pequeño de amigos confiables usando mensajes cifrados, entonces puedes estar razonablemente seguro que las personas que se unan a él son tus amigos.

¿Cómo es que esto es útil?

Si para empezar ya necesitas estar usando una aplicación de mensajería cifrada, ¿cuál es el punto de un cuarto de chat OnionShare? Deja menos rastros.

Si, por ejemplo, envías un mensaje a un grupo de Signal, una copia del mismo termina en cada dispositivo (los dispositivos, y las computadoras si configuran Signal Desktop) de cada miembro del grupo. Incluso si los mensajes que desaparecen están activados, es difícil confirmar que todas las copias de los mismos se hayan eliminado de todos los dispositivos y de cualquier otro lugar (como las bases de datos de notificaciones) en los que se hayan guardado. Los cuartos de chat de OnionShare no almacenan ningún mensaje en ningún lugar, por lo que el problema se reduce al mínimo.

Los cuartos de chat OnionShare también pueden ser útiles para personas anónimas que quieran charlar en forma segura con alguien sin necesitar crear alguna cuenta. Por ejemplo, una fuente puede enviar una dirección OnionShare a un periodista usando una dirección de correo electrónico descartable, y luego esperar a que el periodista se una al cuarto de chat, todo eso sin comprometer su anonimato.

¿Cómo funciona el cifrado?

Como OnionShare se respalda en los servicios onion de Tor, todas las conexiones entre el Navegador Tor y OnionShare son cifradas de extremo a extremo (E2EE). Cuando alguien publica un mensaje a un cuarto de chat OnionShare, lo envía al servidor a través de la conexión onion E2EE, la cual lo envía luego a todos los otros miembros del cuarto de chat usando WebSockets, a través de sus conexiones onion E2EE.

OnionShare no implementa ningún cifrado de chat por sí mismo. En vez, cuenta con el cifrado del servicio onion de Tor.