Come funziona OnionShare

I web server sono avviati localmente sul tuo computer e resi accessibili ad altre persone come Tor onion services.

Di default, gli indirizzi web di OnionShare sono protetti con una chiave privata.

Gli indirizzi OnionShare possono somigliare a questo:

http://oy5oaslxxzwib7fsjaiz5mjeyg3ziwdmiyeotpjw6etxi722pn7pqsyd.onion

E le chiave private possono essere simili a questa:

K3N3N3U3BURJW46HZEZV2LZHBPKEFAGVN6DPC7TY6FHWXT7RLRAQ

You’re responsible for securely sharing that URL and private key using a communication channel of your choice like in an encrypted chat message, or using something less secure like unencrypted email, depending on your threat model.

The people you send the URL to then copy and paste it into their Tor Browser to access the OnionShare service. Tor Browser will then prompt for the private key, which the people can also then copy and paste in.

If you run OnionShare on your laptop to send someone files, and then suspend it before the files are sent, the service will not be available until your laptop is unsuspended and on the internet again. OnionShare works best when working with people in real-time.

Dal momento che il tuo computer è il tuo web server, nessuna terza parte può avere accesso a quello che avviene dentro OnionShare, nemmeno gli sviluppatori di OnionShare. Tutto è completamente privato. E dal momento che OnionShare sfrutta anche i Tor onion services, garantisce anche il tuo anonimato. Guarda il security design per maggiori informazioni.

Ricevi file e messaggi

È possibile utilizzare OnionShare per consentire alle persone di inviare in modo anonimo file e messaggi direttamente al vostro computer, trasformandolo essenzialmente in un dropbox anonimo. Aprire una scheda di ricezione e scegliere le impostazioni desiderate.

Puoi sfogliare una cartella per salvare messaggi e file che vengono inviati.

Si può selezionare “Disabilita l’invio di testo” se si vuole consentire solo il caricamento di file e si può selezionare “Disabilita il caricamento di file” se si vuole consentire solo l’invio di messaggi di testo, come per un modulo di contatto anonimo.

È possibile selezionare “Usa webhook di notifica” e quindi scegliere un URL webhook se si desidera ricevere una notifica quando qualcuno invia file o messaggi al servizio OnionShare. Se si utilizza questa funzione, OnionShare effettuerà una richiesta HTTP POST a questo URL ogni volta che qualcuno invia file o messaggi. Ad esempio, se si desidera ricevere un messaggio di testo crittografato sull’app di messaggistica Keybase, è possibile avviare una conversazione con @webhookbot, digitare !webhook create onionshare-alerts e questo risponderà con un URL. Utilizzatelo come URL del webhook di notifica. Se qualcuno carica un file sul vostro servizio in modalità di ricezione, @webhookbot vi invierà un messaggio su Keybase per informarvi non appena ciò accade.

Quando si è pronti, fare clic su “Avvia modalità di ricezione”. In questo modo si avvia il servizio OnionShare. Chiunque carichi questo indirizzo nel proprio browser Tor potrà inviare file e messaggi che verranno caricati sul vostro computer.

Puoi anche cliccare l’icona della freccia in basso «↓» nell’angolo in alto a destra per mostrare la cronologia e lo stato di avanzamento dei file che ti sono stati inviati dalle persone.

Here is what it looks like for someone sending you files and messages.

Quando qualcuno invia file o messaggi al vostro servizio di ricezione, per impostazione predefinita vengono salvati in una cartella chiamata OnionShare nella cartella iniziale del vostro computer, organizzata automaticamente in sottocartelle separate in base al momento in cui i file vengono caricati.

L’impostazione di un servizio di ricezione di OnionShare è utile per i giornalisti e altri che devono accettare in modo sicuro documenti da fonti anonime. Quando viene utilizzato in questo modo, OnionShare è una sorta di versione leggera, più semplice, non altrettanto sicura di SecureDrop, il sistema di segnalazione degli informatori.

Utilizzare a proprio rischio e pericolo

Just like with malicious email attachments, it’s possible someone could try to attack your computer by uploading a malicious file to your OnionShare service. OnionShare does not add any safety mechanisms to protect your system from malicious files.

Se si riceve un documento Office o un PDF tramite OnionShare, è possibile convertire questi documenti in PDF che possono essere aperti in sicurezza utilizzando Dangerzone. Puoi anche proteggerti quando apri documenti non attendibili aprendoli in Tails o in una macchina virtuale usa e getta con`Qubes <https://qubes-os.org/>`_.

Tuttavia, è sempre sicuro aprire i messaggi di testo inviati tramite OnionShare.

Consigli per la gestione di un servizio di ricezione

If you want to host your own anonymous dropbox using OnionShare, it’s recommended you do so on a separate, dedicated computer always powered on and connected to the internet, and not on the one you use on a regular basis.

If you intend to put the OnionShare address on your website or social media profiles, save the tab (see Salva le tab) and run it as a public service (see Disattiva chiave privata). It’s also a good idea to give it a custom title (see Titoli personalizzati).

Altri avvertimenti da tenere presenti in modalità di ricezione

È stato segnalato che OnionBrowser su dispositivi iOS non è in grado di caricare file su un OnionShare in modalità di ricezione, quando opera in modalità di sicurezza “Silver”. Provare con Bronze o Gold per vedere se si riesce a caricare un messaggio o un file.

Ospita un sito Web

Per ospitare un sito web HTML statico con OnionShare, apri una scheda del sito Web, trascina i file e le cartelle che compongono il contenuto statico e fai clic su «Avvia condivisione» quando sei pronto.

Se aggiungi un file index.html, verrà visualizzato quando qualcuno carica il tuo sito web. Dovresti anche includere qualsiasi altro file HTML, file CSS, file JavaScript e immagini che compongono il sito web. (Tieni presente che OnionShare supporta solo l’hosting di siti Web statici. Non può ospitare siti Web che eseguono codice o utilizzano database. Quindi, ad esempio, non puoi utilizzare WordPress.)

Se non hai un file index.html, mostrerà invece un elenco di directory e le persone che lo caricano possono esaminare i file e scaricarli.

Dopo che aggiungi i file vedrai alcune impostazioni. Assicurati di selezionare le impostazioni che ti interessano prima di iniziare la condivisione.

Politica sulla Sicurezza dei Contenuti

By default OnionShare helps secure your website by setting a strict Content Security Policy header. However, this prevents third-party content from loading inside the web page.

If you want to load content from third-party websites, like assets or JavaScript libraries from CDNs, you have two options:

È possibile disattivare l’invio dell’intestazione dei criteri di sicurezza dei contenuti selezionando la casella “Non inviare l’intestazione dei criteri di sicurezza dei contenuti (consente al sito web di utilizzare risorse di terzi)” prima di avviare il servizio.
È possibile inviare un’intestazione personalizzata dei criteri di sicurezza dei contenuti.

Suggerimenti per la gestione di un servizio di un sito web

If you want to host a long-term website using OnionShare (meaning not just to quickly show someone something), it’s recommended you do it on a separate, dedicated computer that is always powered on and connected to the internet, and not on the one you use on a regular basis. Save the tab (see Salva le tab) so you can resume the website with the same address if you close OnionShare and re-open it later.

If your website is intended for the public, you should run it as a public service (see Disattiva chiave privata).

Chatta in modo Anonimo

Puoi usare OnionShare per configurare una chat room privata e sicura che non registra nulla. Basta aprire una scheda di chat e fare clic su «Avvia server della chat».

After you start the server, copy the OnionShare address and private key and send them to the people you want in the anonymous chat room. If it’s important to limit exactly who can join, use an encrypted messaging app to send out the OnionShare address and private key.

Le persone possono unirsi alla chat room caricando il proprio indirizzo OnionShare nel Browser Tor. La chat room richiede JavasScript, quindi tutti coloro che vogliono partecipare devono avere il proprio livello di sicurezza Tor Browser impostato su «Standard» o «Sicuro», invece di «Molto sicuro».

Quando qualcuno si unisce alla chat room, gli viene assegnato un nome casuale. Possono cambiare il loro nome digitando un nuovo nome nella casella nel pannello di sinistra e premendo ↵. Poiché la cronologia della chat non viene salvata da nessuna parte, non viene visualizzata affatto, anche se altri stavano già chattando nella stanza.

In una chat room di OnionShare, tutti sono anonimi. Chiunque può cambiare il proprio nome in qualsiasi cosa e non c’è modo di confermare l’identità di nessuno.

Tuttavia, se crei una chat room di OnionShare e invii in modo sicuro l’indirizzo solo a un piccolo gruppo di amici fidati utilizzando messaggi crittografati, puoi essere ragionevolmente sicuro che le persone che si uniscono alla chat room siano i tuoi amici.

In che modo è utile?

Se devi già utilizzare un’app di messaggistica crittografata, qual è il punto di partenza di una chat room OnionShare? Lascia meno tracce.

Se, ad esempio, si invia un messaggio a un gruppo Signal, una copia del messaggio finisce su ogni dispositivo (smartphone e computer se hanno impostato Signal Desktop) di ogni membro del gruppo. Anche se la funzione di scomparsa dei messaggi è attivata, è difficile confermare che tutte le copie dei messaggi siano state effettivamente eliminate da tutti i dispositivi e da qualsiasi altro luogo (come i database delle notifiche) in cui potrebbero essere state salvate. Le chat room di OnionShare non memorizzano i messaggi da nessuna parte, quindi il problema è ridotto al minimo.

OnionShare chat rooms can also be useful for people wanting to chat anonymously and securely with someone without needing to create any accounts. For example, a source can send an OnionShare address to a journalist using a disposable email address, and then wait for the journalist to join the chat room, all without compromosing their anonymity.

Come funziona la crittografia?

Poiché OnionShare si basa sui servizi onion di Tor, le connessioni tra il Browser Tor e OnionShare sono tutte crittografate end-to-end (E2EE). Quando qualcuno pubblica un messaggio in una chat room OnionShare, lo invia al server tramite la connessione E2EE onion, che quindi lo invia a tutti gli altri membri della chat room utilizzando i WebSocket, attraverso le loro connessioni E2EE onion.

OnionShare non implementa alcuna crittografia della chat da solo. Si basa invece sulla crittografia del servizio onion di Tor.