Cómo funciona OnionShare

Mediante servidores web iniciados localmente en tu computadora, y hechos accesibles a otras personas como servicios onion <https://community.torproject.org/es/onion-services/>`_`Tor .

Por defecto, las direcciones web de OnionShare se protegen con una llave privada.

Los enlaces de OnionShare son algo así:

http://oy5oaslxxzwib7fsjaiz5mjeyg3ziwdmiyeotpjw6etxi722pn7pqsyd.onion

Y las claves privadas son así:

K3N3N3U3BURJW46HZEZV2LZHBPKEFAGVN6DPC7TY6FHWXT7RLRAQ

Eres responsable de compartir de forma segura la URL y la clave privada mediante un canal de comunicación de tu elección, como mensajes de chat cifrados, o usando algo menos seguro como un email sin cifrar, dependiendo de tu modelo de amenaza.

Las personas a quienes envíe la URL para copiarla y pegarla dentro de su Navegador Tor para acceder al servicio OnionShare. El Navegador Tor les pedirá la clave privada, que en ese momento también pueden copiar y pegar.

Si ejecuta OnionShare en su portátil para enviar archivos a alguien, y antes de que sean enviados la suspende, el servicio no estará disponible hasta que su portátil deje de estar suspendida, y se conecte de nuevo a Internet. OnionShare funciona mejor cuando trabaja con personas en tiempo real.

Como su propia computadora es el servidor web, ningún tercero puede acceder a nada de lo que pasa en OnionShare, ni siquiera sus desarrolladores. Es completamente privado. Y como OnionShare también está basado en los servicios onion de Tor, también protege tu anonimato. Mira el diseño de seguridad para más información.

Recibe archivos y mensajes

Puedes utilizar OnionShare para permitir que las personas envíen archivos y mensajes de forma anónima directamente a tu computadora, convirtiéndola esencialmente en un dropbox anónimo. Abre una pestaña de recibir y elige la configuración que quieras.

Puedes buscar una carpeta donde guardar los mensajes y archivos que son enviados.

Puedes seleccionar «Deshabilitar el envío de texto» si solo quieres permitir la subida de archivos, y puedes seleccionar «Deshabilitar la subida de archivos» si solo quieres permitir el envío de mensajes de texto, como en un formulario de contacto anónimo.

Puedes seleccionar «Usar webhook de notificaciones» y luego escoger una URL de webhook si quieres ser notificado cuando alguien envíe archivos o mensajes a tu servicio de OnionShare. Si usas esta característica, OnionShare hará una solicitud HTTP POST a la URL cuando alguien envíe archivos o mensajes. Por ejemplo, si quieres recibir un mensaje de texto encriptado en la aplicación de mensajería Keybase, puedes comenzar una conversación con @webhookbot, escribiendo !webhook create onionshare-alerts, y responderá con una URL. Úsala como la URL para el webhook de notificaciones. Si alguien sube un archivo a tu servicio en modo de recepción, @webhookbot te enviará un mensaje en Keybase haciéndote saber tan pronto como suceda.

Cuando estés listo, presiona «Iniciar modo de recepción». Esto iniciará el servicio de OnionShare. Cualquiera que cargue está dirección en su navegador Tor podrá enviar archivos y mensajes que serán enviados a tu computadora.

También puedes hacer clic en el ícono «↓» en la esquina superior derecha para mostrar el historial y el progreso de las personas enviándote archivos.

Así es como se ve para alguien que esté enviándote archivos.

Cuando alguien envía archivos o mensajes a tu servicio de recepción, son guardados de forma predeterminada en una carpeta llamada OnionShare en la carpeta home de tu computador, y son organizados de forma automática en subcarpetas basadas en el momento en el que los archivos fueron subidos.

Establecer un servicio de recepción OnionShare es útil para periodistas y otros que necesiten aceptar documentos en forma segura desde fuentes anónimas. Cuando es usado de esta manera, OnionShare es una especie de versión liviana, más simple y no tan segura de SecureDrop, el sistema de envíos para informantes.

Úsalo a tu propio riesgo

De la misma manera que con adjuntos maliciosos en correos electrónicos, es posible que alguien pudiera intentar atacar tu computadora subiendo a tu servicio OnionShare un archivo malicioso. OnionShare no añade ningún mecanismo de seguridad para proteger tu sistema contra archivos maliciosos.

Si recibes un documento de Office o un PDF a través de OnionShare, puedes convertirlos en PDFs que son seguros para abrir usando Dangerzone. También puedes protegerte al abrir documentos no confiables haciéndolo en Tails, o en una máquina virtual descartable`Qubes <https://qubes-os.org/>`_.

Sin embargo, siempre es seguro abrir mensajes de texto enviados mediante OnionShare.

Consejos para correr un servicio de recepción

Si quieres alojar tu propio buzón anónimo usando OnionShare, es recomendado que lo hagas en una computadora dedicada y separada, que siempre esté encendida y conectada a Internet, y no en la que usas regularmente.

Si tu intención es publicitar la dirección OnionShare en tu sitio web o tus perfiles de redes sociales, guarda la pestaña (ver Guardar pestañas) y ejecútala como un servicio público (ver Desactivar la Clave Privada). También es una buena idea darle un título personalizado (ver Títulos Personalizados).

Aloja un Sitio Web

Para alojar un sitio web con HTML estático con OnionShare, abre una pestaña de sitio web, arrastra los archivos y carpetas que constituyen el sitio web estático, y haz clic cuando estés listo en «Iniciar compartición».

Si añades un archivo index.html, tu sitio web será presentado cuando alguien lo cargue. También deberías incluir cualesquiera otros archivos HTML, CSS, JavaScript e imágenes que constituyan el sitio web. (Ten en cuenta que OnionShare solamente soporta el alojamiento de sitios web estáticos, y no puede hacerlo con aquellos que ejecutan código o usan bases de datos. Por lo que, por ejemplo, no puedes usar WordPress.)

Si no tienes un archivo index.html, entonces mostrará un listado de directorio, y las personas que lo carguen podrán mirar a través de los archivos y descargarlos.

Después de que agregas archivos, verás algunas configuraciones. Asegúrate de elegir primero los ajustes en los que estás interesado antes de empezar a compartir.

Política de Seguridad de Contenido

Por defecto, OnionShare te ayuda a asegurar tu sitio web estableciendo un encabezado de Política de Seguridad de Contenido estricto. Sin embargo, esto evitará que el contenido de terceros sea cargado dentro de la página web.

Si quieres cargar contenido desde sitios web de terceros, como bibliotecas JavaScript o recursos desde CDNs, tienes dos opciones:

Puedes deshabilitar el envío de un encabezado de Política de Seguridad de Contenido marcando la casilla «No enviar encabezado de Política de Seguridad de Contenido (le permite a tu sitio web usar recursos de terceros)» antes de iniciar el servicio.
Puedes enviar un encabezado personalizado de Política de Seguridad de Contenido.

Consejos para correr un servicio de sitio web

Si quieres alojar un sitio web a largo plazo usando OnionShare (que no sea solo para mostrarle algo a alguien rápidamente), es recomendado que lo hagas en una computadora separada y dedicada, que siempre esté encendida y conectada a Internet, y no en la que usas regularmente. Guarda la pestaña (mira Guardar pestañas) con el fin de que puedas reanudar al sitio web con la misma dirección, si cierras OnionShare y lo vuelves a iniciar más tarde.

Si planeas que tu sitio web sea visto por el público, deberías ejecutarlo como servicio público (see Desactivar la Clave Privada).

Chat Anónimo

Puedes usar OnionShare para establecer un cuarto de chat completamente anónimo y seguro, que no registra nada. Solo abre una pestaña de chat y haz clic en «Iniciar servidor de chat».

Después de iniciar el servidor, copia la dirección de OnionShare y la clave privada y envíaselas a las personas que deseas en la sala de charla anónima. Si es importante limitar exactamente quién puede unirse, usa una aplicación de mensajería cifrada para enviar la dirección de OnionShare y la clave privada.

Las personas pueden unirse al cuarto de chat cargando su dirección OnionShare en el Navegador Tor. El cuarto de chat requiere JavasScript, por lo que todo aquel que quiera participar debe ajustar su nivel de seguridad a “Estándar” o “Más Seguro” en vez de a “El Más Seguro”.

Cuando alguien se une al cuarto de chat, se le asigna un nombre aleatorio. Puede cambiarlo tipeando un nombre nuevo en la casilla en el panel izquierdo y presionando ↵. Ningún historial de chat será mostrado en absoluto, aún si otros ya estaban chateando en el cuarto, porque ese historial no es guardado en ningún lado.

En un cuarto de chat OnionShare, todos son anónimos. Cualquiera puede cambiar su nombre a cualquier cosa, y no hay manera de confirmar la identidad de nadie.

Sin embargo, si creas un cuarto de chat OnionShare, y envías la dirección en forma segura solamente a un grupo pequeño de amigos confiables usando mensajes cifrados, entonces puedes estar razonablemente seguro que las personas que se unan a él son tus amigos.

¿Cómo es que esto es útil?

Si para empezar ya necesitas estar usando una aplicación de mensajería cifrada, ¿cuál es el punto de un cuarto de chat OnionShare? Deja menos rastros.

Si por ejemplo envías un mensaje a un grupo de Signal, una copia de tu mensaje termina en cada dispositivo (los teléfonos inteligentes y computadoras, si usan Signal para escritorio) de cada miembro del grupo. Incluso si la opción desaparición de mensajes está activada, es difícil confirmar si todas las copias de los mensajes han sido eliminadas de todos los dispositivos, y cualesquiera otros lugares (como bases de datos de notificaciones) donde puedan haber sido guardados. Las salas de charla de OnionShare no guardan los mensajes en ningún lado, de forma que este problema se reduce al mínimo.

Las salas de charla de OnionShare también pueden ser útiles para personas anónimas que quieran charlar en forma segura con alguien sin necesitar crear alguna cuenta. Por ejemplo, una fuente puede enviar una dirección OnionShare a un periodista usando una dirección de correo electrónico descartable, y luego esperar a que el periodista se una a la sala de charla, todo eso sin comprometer su anonimato.

¿Cómo funciona el cifrado?

Como OnionShare se respalda en los servicios onion de Tor, todas las conexiones entre el Navegador Tor y OnionShare son cifradas de extremo a extremo (E2EE). Cuando alguien publica un mensaje a un cuarto de chat OnionShare, lo envía al servidor a través de la conexión onion E2EE, la cual lo envía luego a todos los otros miembros del cuarto de chat usando WebSockets, a través de sus conexiones onion E2EE.

OnionShare no implementa ningún cifrado de chat por sí mismo. En vez, cuenta con el cifrado del servicio onion de Tor.