Come funziona OnionShare¶

I web server sono avviati localmente sul tuo computer e resi accessibili ad altre persone come Tor onion services.

By default, OnionShare web addresses are protected with a private key.

OnionShare addresses look something like this:

http://oy5oaslxxzwib7fsjaiz5mjeyg3ziwdmiyeotpjw6etxi722pn7pqsyd.onion

And private keys might look something like this:

K3N3N3U3BURJW46HZEZV2LZHBPKEFAGVN6DPC7TY6FHWXT7RLRAQ

You’re responsible for securely sharing that URL and private key using a communication channel of your choice like in an encrypted chat message, or using something less secure like unencrypted email, depending on your threat model.

The people you send the URL to then copy and paste it into their Tor Browser to access the OnionShare service. Tor Browser will then prompt for the private key, which the people can also then copy and paste in.

If you run OnionShare on your laptop to send someone files, and then suspend it before the files are sent, the service will not be available until your laptop is unsuspended and on the internet again. OnionShare works best when working with people in real-time.

Dal momento che il tuo computer è il tuo web server, nessuna terza parte può avere accesso a quello che avviene dentro OnionShare, nemmeno gli sviluppatori di OnionShare. Tutto è completamente privato. E dal momento che OnionShare sfrutta anche i Tor onion services, garantisce anche il tuo anonimato. Guarda il security design per maggiori informazioni.

Receive Files and Messages¶

You can use OnionShare to let people anonymously submit files and messages directly to your computer, essentially turning it into an anonymous dropbox. Open a receive tab and choose the settings that you want.

You can browse for a folder to save messages and files that get submitted.

You can check «Disable submitting text» if want to only allow file uploads, and you can check «Disable uploading files» if you want to only allow submitting text messages, like for an anonymous contact form.

You can check «Use notification webhook» and then choose a webhook URL if you want to be notified when someone submits files or messages to your OnionShare service. If you use this feature, OnionShare will make an HTTP POST request to this URL whenever someone submits files or messages. For example, if you want to get an encrypted text messaging on the messaging app Keybase, you can start a conversation with @webhookbot, type !webhook create onionshare-alerts, and it will respond with a URL. Use that as the notification webhook URL. If someone uploads a file to your receive mode service, @webhookbot will send you a message on Keybase letting you know as soon as it happens.

When you are ready, click «Start Receive Mode». This starts the OnionShare service. Anyone loading this address in their Tor Browser will be able to submit files and messages which get uploaded to your computer.

Puoi anche cliccare l’icona della freccia in basso «↓» nell’angolo in alto a destra per mostrare la cronologia e lo stato di avanzamento dei file che ti sono stati inviati dalle persone.

Here is what it looks like for someone sending you files and messages.

When someone submits files or messages to your receive service, by default they get saved to a folder called OnionShare in the home folder on your computer, automatically organized into separate subfolders based on the time that the files get uploaded.

L’impostazione di un servizio di ricezione di OnionShare è utile per i giornalisti e altri che devono accettare in modo sicuro documenti da fonti anonime. Quando viene utilizzato in questo modo, OnionShare è una sorta di versione leggera, più semplice, non altrettanto sicura di SecureDrop, il sistema di segnalazione degli informatori.

Utilizzare a proprio rischio e pericolo¶

Just like with malicious email attachments, it’s possible someone could try to attack your computer by uploading a malicious file to your OnionShare service. OnionShare does not add any safety mechanisms to protect your system from malicious files.

Se si riceve un documento Office o un PDF tramite OnionShare, è possibile convertire questi documenti in PDF che possono essere aperti in sicurezza utilizzando Dangerzone. Puoi anche proteggerti quando apri documenti non attendibili aprendoli in Tails o in una macchina virtuale usa e getta con`Qubes <https://qubes-os.org/>`_.

However, it is always safe to open text messages sent through OnionShare.

Consigli per la gestione di un servizio di ricezione¶

If you want to host your own anonymous dropbox using OnionShare, it’s recommended you do so on a separate, dedicated computer always powered on and connected to the internet, and not on the one you use on a regular basis.

If you intend to put the OnionShare address on your website or social media profiles, save the tab (see Salva le tab) and run it as a public service (see Turn Off Private Key). It’s also a good idea to give it a custom title (see Custom Titles).

Ospita un sito Web¶

Per ospitare un sito web HTML statico con OnionShare, apri una scheda del sito Web, trascina i file e le cartelle che compongono il contenuto statico e fai clic su «Avvia condivisione» quando sei pronto.

Se aggiungi un file index.html, verrà visualizzato quando qualcuno carica il tuo sito web. Dovresti anche includere qualsiasi altro file HTML, file CSS, file JavaScript e immagini che compongono il sito web. (Tieni presente che OnionShare supporta solo l’hosting di siti Web statici. Non può ospitare siti Web che eseguono codice o utilizzano database. Quindi, ad esempio, non puoi utilizzare WordPress.)

Se non hai un file index.html, mostrerà invece un elenco di directory e le persone che lo caricano possono esaminare i file e scaricarli.

Dopo che aggiungi i file vedrai alcune impostazioni. Assicurati di selezionare le impostazioni che ti interessano prima di iniziare la condivisione.

Politica sulla Sicurezza dei Contenuti¶

By default OnionShare helps secure your website by setting a strict Content Security Policy header. However, this prevents third-party content from loading inside the web page.

If you want to load content from third-party websites, like assets or JavaScript libraries from CDNs, you have two options:

You can disable sending a Content Security Policy header by checking the «Don’t send Content Security Policy header (allows your website to use third-party resources)» box before starting the service.
You can send a custom Content Security Policy header.

Suggerimenti per la gestione di un servizio di un sito web¶

If you want to host a long-term website using OnionShare (meaning not just to quickly show someone something), it’s recommended you do it on a separate, dedicated computer that is always powered on and connected to the internet, and not on the one you use on a regular basis. Save the tab (see Salva le tab) so you can resume the website with the same address if you close OnionShare and re-open it later.

If your website is intended for the public, you should run it as a public service (see Turn Off Private Key).

Chatta in modo Anonimo¶

Puoi usare OnionShare per configurare una chat room privata e sicura che non registra nulla. Basta aprire una scheda di chat e fare clic su «Avvia server della chat».

After you start the server, copy the OnionShare address and private key and send them to the people you want in the anonymous chat room. If it’s important to limit exactly who can join, use an encrypted messaging app to send out the OnionShare address and private key.

Le persone possono unirsi alla chat room caricando il proprio indirizzo OnionShare nel Browser Tor. La chat room richiede JavasScript, quindi tutti coloro che vogliono partecipare devono avere il proprio livello di sicurezza Tor Browser impostato su «Standard» o «Sicuro», invece di «Molto sicuro».

Quando qualcuno si unisce alla chat room, gli viene assegnato un nome casuale. Possono cambiare il loro nome digitando un nuovo nome nella casella nel pannello di sinistra e premendo ↵. Poiché la cronologia della chat non viene salvata da nessuna parte, non viene visualizzata affatto, anche se altri stavano già chattando nella stanza.

In una chat room di OnionShare, tutti sono anonimi. Chiunque può cambiare il proprio nome in qualsiasi cosa e non c’è modo di confermare l’identità di nessuno.

Tuttavia, se crei una chat room di OnionShare e invii in modo sicuro l’indirizzo solo a un piccolo gruppo di amici fidati utilizzando messaggi crittografati, puoi essere ragionevolmente sicuro che le persone che si uniscono alla chat room siano i tuoi amici.

In che modo è utile?¶

Se devi già utilizzare un’app di messaggistica crittografata, qual è il punto di partenza di una chat room OnionShare? Lascia meno tracce.

If you for example send a message to a Signal group, a copy of your message ends up on each device (the smartphones, and computers if they set up Signal Desktop) of each member of the group. Even if disappearing messages is turned on, it’s hard to confirm all copies of the messages are actually deleted from all devices, and from any other places (like notifications databases) they may have been saved to. OnionShare chat rooms don’t store any messages anywhere, so the problem is reduced to a minimum.

OnionShare chat rooms can also be useful for people wanting to chat anonymously and securely with someone without needing to create any accounts. For example, a source can send an OnionShare address to a journalist using a disposable email address, and then wait for the journalist to join the chat room, all without compromosing their anonymity.

Come funziona la crittografia?¶

Poiché OnionShare si basa sui servizi onion di Tor, le connessioni tra il Browser Tor e OnionShare sono tutte crittografate end-to-end (E2EE). Quando qualcuno pubblica un messaggio in una chat room OnionShare, lo invia al server tramite la connessione E2EE onion, che quindi lo invia a tutti gli altri membri della chat room utilizzando i WebSocket, attraverso le loro connessioni E2EE onion.

OnionShare non implementa alcuna crittografia della chat da solo. Si basa invece sulla crittografia del servizio onion di Tor.