OnionJuggler

UNIXライクなOS向けの高機能オニオンサービス管理ツール（POSIX準拠のシェルスクリプト）

OnionJugglerは、最小要件で動作するポータブルなスクリプトとドキュメントのコレクションで、サービス運用者が自身のオニオン（隠しサービス）を管理（ジャグリング）するのに役立ちます。

警告：このリポジトリはまだ信頼しないでください、hsキーは別の場所にバックアップしてください。このプロジェクトはまだリリースされておらず、開発専用と見なすべきです。

このリポジトリへのクイックリンク：git.io/onionjuggler

目次

• はじめに
  • 画像
  • 経緯
  • 目標
  • 機能
• 必要条件
• 互換性
• 使用方法
  • リポジトリのクローン
  • カスタム変数の設定
  • 環境のセットアップ
  • 使い方
• 掲載された場所
• コントリビューター

はじめに

画像

経緯

このプロジェクトは、OnionShare CLI Pythonスクリプトを見たことから始まりました。これにより、ディスクに触れず、TailsやWhonixで簡単に実行できる一時的なオニオンサービスが可能になります。その後、RaspiBlitzのRaspberry Pi用オニオンサービスBashスクリプトを見て、Debianディストリビューションに移植するアイデアが浮かびました。アイデアが発展するにつれ、GNU BashとLinuxだけに依存することは単一障害点となるため1 2、スクリプトをPOSIX準拠にして、あらゆるUnix系システムと互換性を持たせることが決定的な目標となりました。

目標

このプロジェクトの目標は以下のとおりです：

• オニオンサービスの管理を容易にすること。サービスの有効化からクライアント認証の追加まで、手動でファイルを編集した場合のすべての機能を、より少ないタイピングで実現します。
• オニオンサービスの管理は、単にウェブサーバーとページを使うだけではないことを示すこと。
• ソースコードレベル（FOSS）から、誰でも任意のオペレーティングシステム、シェル、サービス管理ツールでコードを実行できるようにする効果までの配布。単一障害点の回避。

単一障害点の回避：

• カーネル：主流のLinuxからBSDやその他Unix系システムにも対応。
• シェル：主流のBashから、ksh、(y,d)ash、Zsh（shエミュレート）などのPOSIXシェルにも対応。
• サービス管理ツール：主流のSystemdからRC、OpenRC、SysVinit、Runitにも対応。

tor設定ファイル（torrc）の編集は難しくありませんが、自動化により設定ミスの問題を解決し、以下の利点があります：

• 単一コマンドの実行で時間の節約
• 無効な設定を適用する前に拒否することでダウンタイムなし
• 完全な統一性
• 初心者向けのグラフィカルインターフェース

機能

• サービスの有効化 - ディレクトリが存在しない場合は作成（HiddenServiceDir）、オニオンバージョンの選択（HiddenServiceVersion）、カスタムソケットタイプ（unixまたはtcp）、必要な数の仮想ポートとターゲット（HiddenServicePort）。
• サービスの無効化 - torrcからサービス設定を削除。サービスはアクセスできなくなりますが、いつでも再度有効化できます。オプションでサービスのパージ（設定とディレクトリの削除）を行い、キーを完全に削除します。
• サービスアドレスの更新 - プライベートオニオンサービス向け。アドレスが漏洩した場合、ホスト名を変更できます。すべての承認済みクライアントが切断され、サービスキーは完全に削除されることに注意。
• 認証情報 - ホスト名、クライアント、torrcブロック、QRコード化されたホスト名を表示。
• オニオン認証 - v3オニオンサービスのみ。クライアント側とサーバー側の両方の設定に依存し、鍵ペアで動作します。クライアントは秘密鍵の部分を自分で生成するか（より安全）、サービス運用者から提供されたものを持ち、オニオンサービス運用者は公開鍵の部分を持ちます。以下の機能があります：
  • サーバー - 鍵ペアの生成または公開鍵の追加、<HiddenServiceDir>/authorized_clients/<client>.authからのクライアント名と公開鍵の一覧表示。クライアントが設定されている場合、認証なしではサービスにアクセスできません。
  • クライアント - 鍵ペアの生成または公開鍵の追加、<ClientOnionAuthDir>/<SOME_ONION>.auth_privateの一覧表示。
• Onion-Location - 公開オニオンサービス向け。プレーンネットのユーザーをオニオンサービスにリダイレクトするためのnginx、apache2、HTMLヘッダー属性のガイド。
• OpSec - 運用セキュリティ
  • Unixソケット - ローカルホストバイパスを避けるため、Unixソケット経由でオニオンサービスを有効化するサポート。
• ウェブサーバー - NginxまたはApache2ウェブサーバーを使用して隠しサービスでファイルを提供。
• 操作性 - dialogとwhiptailの2つのダイアログボックスに対応。
• 一括処理 - 一部のコマンドは引数@allで一括処理可能（すべてのサービスまたはクライアントを含む）。またはオプションに応じて、有効な引数やを指定すると、コマンドは変数をループして組み合わせを適用します。

必要条件

• 一般要件：

  • Unix系システム。
  • rootおよびtorユーザーとしてコマンドを呼び出すためのスーパーユーザー権限。

• 必須プログラム：

  • sh - 任意のPOSIXシェル：dash 0.5.4+、bash 2.03+、ksh 88+、mksh R28+、yash 2.29+、busybox ash 1.1.3+、zsh 3.1.9+（zsh --emulate sh）など。
  • tor >= 0.3.5.7
  • grep >=0.9
  • sed
  • openssl >= 1.1（クライアント認証 - アルゴリズムx25519が必要なのでLibreSSLでは不可）
  • basez >= 1.6.2（クライアント認証）
  • git（ビルド）
  • dialog/whiptail（TUI）
  • nginx/apache2（ウェブサーバー）

• オプションプログラム：

  • (lib)qrencode >= 4.1.1（一覧表示）

• 開発プログラム：

  • pandoc（マニュアル）
  • shellcheck（レビュー）

互換性

主にDebian系システム（Whonixを含む）でテスト済み。

OpenBSDでも動作可能 -

• auth -> basezをソースからビルドすれば動作（ポートにはありません）。
• web -> nginxまたはapache。OpenBSDのhttpdではサーバーブロックのクリーンな削除が困難でした。

他のオペレーティングシステムについては、etc/onionjugglerを参照してください（OSに応じた定義済み設定）。すべてテストされているわけではありません。

使用方法

リポジトリのクローン

git clone https://github.com/nyxnor/onionjuggler.git
cd onionjuggler

環境のセットアップ

クローンしたリポジトリ内で以下を実行し、torディレクトリを作成、マニュアルページを生成、スクリプトをパスにコピーします：

./configure.sh --install

カスタム変数の設定

デフォルトの設定ファイル/etc/onionjuggler/onionjuggler.confは変更すべきではありません。更新のたびに変更されます。ローカル設定は/etc/onionjuggler/conf.d/*.confに配置し、このフォルダから辞書順に解析され、最後の値がデフォルトを上書きします。

使い方

各設定ファイルとスクリプトには独自のマニュアルページとヘルプメッセージがあり、onionjuggler全体を学ぶのに最適な方法です。

変更を加える前に、設定されているオプションを確認することをお勧めします。すべてのスクリプトには--getconfオプションがあり、onionjugglerが読み込んだ現在の設定を表示します：

onionjuggler-cli --getconf

また、変更を加えずにコマンドラインオプションを確認することも可能で、割り当てが正しいかどうかを確認するのに便利です：

onionjuggler-cli --getopt --service=example --hs-version=3

TUIを使用するには、以下を実行：

onionjuggler-tui

CLIでサービスを作成するには：

onionjuggler-cli --on --service=terminator --socket=tcp --hs-version=3 --port="80:127.0.0.1:80"

さらに多くのことが可能です。マニュアルページをお読みください。

掲載された場所

• TorBox v.0.5.0以降

コントリビューター