Como o OnionShare funciona¶

Os Web servers são iniciados localmente no seu computador e são acessíveis para outras pessoas como`Tor <https://www.torproject.org/>`_ onion services.

By default, OnionShare web addresses are protected with a private key.

OnionShare addresses look something like this:

http://oy5oaslxxzwib7fsjaiz5mjeyg3ziwdmiyeotpjw6etxi722pn7pqsyd.onion

And private keys might look something like this:

K3N3N3U3BURJW46HZEZV2LZHBPKEFAGVN6DPC7TY6FHWXT7RLRAQ

You’re responsible for securely sharing that URL and private key using a communication channel of your choice like in an encrypted chat message, or using something less secure like unencrypted email, depending on your threat model.

The people you send the URL to then copy and paste it into their Tor Browser to access the OnionShare service. Tor Browser will then prompt for the private key, which the people can also then copy and paste in.

If you run OnionShare on your laptop to send someone files, and then suspend it before the files are sent, the service will not be available until your laptop is unsuspended and on the internet again. OnionShare works best when working with people in real-time.

Porque seu próprio computador é o servidor web, *nenhum terceiro pode acessar o que acontece no OnionShare *, nem mesmo os desenvolvedores do OnionShare. É completamente privado. E porque OnionShare é baseado em serviços Tor onion também, ele também protege seu anonimato. Veja security design para mais informações.

Receive Files and Messages¶

You can use OnionShare to let people anonymously submit files and messages directly to your computer, essentially turning it into an anonymous dropbox. Open a receive tab and choose the settings that you want.

You can browse for a folder to save messages and files that get submitted.

You can check “Disable submitting text” if want to only allow file uploads, and you can check “Disable uploading files” if you want to only allow submitting text messages, like for an anonymous contact form.

You can check “Use notification webhook” and then choose a webhook URL if you want to be notified when someone submits files or messages to your OnionShare service. If you use this feature, OnionShare will make an HTTP POST request to this URL whenever someone submits files or messages. For example, if you want to get an encrypted text messaging on the messaging app Keybase, you can start a conversation with @webhookbot, type !webhook create onionshare-alerts, and it will respond with a URL. Use that as the notification webhook URL. If someone uploads a file to your receive mode service, @webhookbot will send you a message on Keybase letting you know as soon as it happens.

When you are ready, click “Start Receive Mode”. This starts the OnionShare service. Anyone loading this address in their Tor Browser will be able to submit files and messages which get uploaded to your computer.

Você também pode clicar no ícone “↓” no canto superior direito para mostrar o histórico e o progresso das pessoas que enviam arquivos para você.

Here is what it looks like for someone sending you files and messages.

When someone submits files or messages to your receive service, by default they get saved to a folder called OnionShare in the home folder on your computer, automatically organized into separate subfolders based on the time that the files get uploaded.

Configurar um serviço de recebimento OnionShare é útil para jornalistas e outras pessoas que precisam aceitar documentos de fontes anônimas com segurança. Quando usado desta forma, o OnionShare é como uma versão leve, mais simples e não tão segura do SecureDrop <https://securedrop.org/> _, o sistema de envio de denúncias.

Use por sua conta e risco¶

Just like with malicious email attachments, it’s possible someone could try to attack your computer by uploading a malicious file to your OnionShare service. OnionShare does not add any safety mechanisms to protect your system from malicious files.

Se você receber um documento do Office ou PDF por meio do OnionShare, poderá converter esses documentos em PDFs que podem ser abertos com segurança usando Dangerzone <https://dangerzone.rocks/> _. Você também pode se proteger ao abrir documentos não confiáveis abrindo-os no Tails <https://tails.boum.org/> _ ou no Qubes <https://qubes-os.org/> _ disposableVM.

However, it is always safe to open text messages sent through OnionShare.

Dicas para executar um serviço de recebimento¶

If you want to host your own anonymous dropbox using OnionShare, it’s recommended you do so on a separate, dedicated computer always powered on and connected to the internet, and not on the one you use on a regular basis.

If you intend to put the OnionShare address on your website or social media profiles, save the tab (see Salvar Abas) and run it as a public service (see Turn Off Private Key). It’s also a good idea to give it a custom title (see Custom Titles).

Hospedar um site¶

Para hospedar um site HTML estático com o OnionShare, abra uma guia do site, arraste os arquivos e pastas que compõem o conteúdo estático e clique em “Iniciar compartilhamento” quando estiver pronto.

Se você adicionar um arquivo `` index.html``, ele irá renderizar quando alguém carregar o seu site. Você também deve incluir quaisquer outros arquivos HTML, arquivos CSS, arquivos JavaScript e imagens que compõem o site. (Observe que o OnionShare só oferece suporte à hospedagem de sites * estáticos *. Ele não pode hospedar sites que executam códigos ou usam bancos de dados. Portanto, você não pode, por exemplo, usar o WordPress.)

Se você não tiver um arquivo `` index.html``, ele mostrará uma lista de diretórios ao invés, e as pessoas que o carregarem podem olhar os arquivos e baixá-los.

Depois de adicionar arquivos, você verá algumas configurações. Certifique-se de escolher a configuração na qual está interessado antes de começar a compartilhar.

Política de Segurança de Conteúdo¶

By default OnionShare helps secure your website by setting a strict Content Security Policy header. However, this prevents third-party content from loading inside the web page.

Se você deseja carregar conteúdo de sites de terceiros, como ativos ou bibliotecas JavaScript de CDNs, marque a caixa “Não enviar o cabeçalho da Política de Segurança de Conteúdo (permite que seu site use recursos de terceiros)” antes de iniciar o serviço.

Dicas para executar um serviço de website¶

If you want to host a long-term website using OnionShare (meaning not just to quickly show someone something), it’s recommended you do it on a separate, dedicated computer that is always powered on and connected to the internet, and not on the one you use on a regular basis. Save the tab (see Salvar Abas) so you can resume the website with the same address if you close OnionShare and re-open it later.

If your website is intended for the public, you should run it as a public service (see Turn Off Private Key).

Converse anonimamente¶

Você pode usar o OnionShare para configurar uma sala de bate-papo privada e segura que não registra nada. Basta abrir uma guia de bate-papo e clicar em “Iniciar servidor de bate-papo”.

After you start the server, copy the OnionShare address and private key and send them to the people you want in the anonymous chat room. If it’s important to limit exactly who can join, use an encrypted messaging app to send out the OnionShare address and private key.

As pessoas podem entrar na sala de bate-papo carregando seu endereço OnionShare no navegador Tor. A sala de chat requer JavasScript, então todos que desejam participar devem ter seu nível de segurança do navegador Tor definido como “Padrão” ou “Mais seguro”, em vez de ” O Mais seguro”.

Quando alguém entra na sala de chat, recebe um nome aleatório. Eles podem alterar seus nomes digitando um novo nome na caixa no painel esquerdo e pressionando ↵. Como o histórico do bate-papo não é salvo em nenhum lugar, ele não é exibido de forma alguma, mesmo se outras pessoas já estivessem conversando na sala.

Em uma sala de chat OnionShare, todos são anônimos. Qualquer pessoa pode alterar seu nome para qualquer coisa e não há como confirmar a identidade de ninguém.

No entanto, se você criar uma sala de bate-papo OnionShare e enviar com segurança o endereço apenas para um pequeno grupo de amigos confiáveis usando mensagens criptografadas, você pode ter uma certeza razoável de que as pessoas que entram na sala de bate-papo são seus amigos.

Como isso é útil?¶

Se você já precisa estar usando um aplicativo de mensagens criptografadas, para começar, qual é o ponto de uma sala de bate-papo OnionShare? Deixa menos vestígios.

If you for example send a message to a Signal group, a copy of your message ends up on each device (the smartphones, and computers if they set up Signal Desktop) of each member of the group. Even if disappearing messages is turned on, it’s hard to confirm all copies of the messages are actually deleted from all devices, and from any other places (like notifications databases) they may have been saved to. OnionShare chat rooms don’t store any messages anywhere, so the problem is reduced to a minimum.

OnionShare chat rooms can also be useful for people wanting to chat anonymously and securely with someone without needing to create any accounts. For example, a source can send an OnionShare address to a journalist using a disposable email address, and then wait for the journalist to join the chat room, all without compromosing their anonymity.

Como funciona a criptografia?¶

Como o OnionShare depende dos serviços Tor onion, as conexões entre o Tor Browser e o OnionShare são criptografadas de ponta a ponta (E2EE). Quando alguém posta uma mensagem em uma sala de bate-papo OnionShare, eles a enviam para o servidor por meio da conexão onion E2EE, que a envia para todos os outros membros da sala de bate-papo usando WebSockets, por meio de suas conexões onion E2EE.

OnionShare não implementa nenhuma criptografia de bate-papo por conta própria. Ele depende da criptografia do serviço Tor onion.