Connect SSH over Tor. Como configurar autenticação hidden service onion v3.
Neste artigo explicarei como conectar ao seu Raspberry Pi remotamente via SSH através da rede Tor, mantendo assim uma conexão segura e anônima com seu Raspberry Pi. Antes, recomendo ler nosso artigo sobre como habilitar e si conectar-se via SSH localmente clicando aqui.
Abra o terminal do seu Raspbian e execute o seguinte comando:
sudo apt-get update
sudo apt-get install tor
Depois edite o arquivo "torrc" presente no caminho /etc/tor/torrc adicionando as seguintes linhas abaixo ao final do arquivo: sudo nano /etc/tor/torrc
HiddenServiceDir /var/lib/tor/hidden_ssh/
HiddenServicePort 22 127.0.0.1:22
Para salvar aperte ctrl+o , aperte enter e depois ctrl+x para sair .
Agora reinicie o Tor com o comando a seguir, será solicitado sua senha:
systemctl restart tor
Descubra seu endereço .onion com o comando:
sudo cat /var/lib/tor/hidden_service/hostname
Vai aparecer algo semelhante a vxbdqtv2ber7js5y.onion (este endereço é de exemplo, o normal para um serviço onion v3 é de 56 caracteres antes de .onion), use o endereço que aparecer para conectar-se ao seu Raspberry Pi pelo seu método favorito após estiver conectado a rede Tor. Por exemplo, no Windows baixe, instale e execute o Tor Browser. Baixe e instale também o programa Putty.
Com o Tor Browser aberto e a conexão com a rede Tor funcionando (tente acessar check.torproject.org para conferir), abra o Putty e configure sua conexão SSH como na imagem abaixo:
Primeiramente adicione "pi@seu_endereço.onion" e a porta 22 (1), pode ser que seu usuário não seja "pi" caso tenha modificado ele. Em seguida clique em "Proxy" (2) e marque a opção "SOCKS 5" (3) para em seguida informar o proxy como "localhost" (sem aspas) e a porta 9150 (4). Por fim aperte "Open" (5) para conectar-se pela rede Tor ao seu Raspberry Pi.
Você pode deixar sua conexão mais segura caso tenha sido gerado um endereço .onion de 56 caracteres, ou seja, onion v3. Assim somente pessoas autorizadas previamente conseguirão conectar-se ao seu endereço .onion . Confira o passo a passo abaixo:
Primeiramente com o OpenSSL 1.1 ou posterior instalado, caso esteja utilizando Raspbian ele já vem instalado por padrão, vamos gerar um par de chaves X25519. Primeiramente utilize o comando abaixo para gerar uma chave privada:
openssl genpkey -algorithm x25519 -out private-key.pem
Com a chave privada gerada, gere a chave pública correspondente com o comando abaixo:
openssl pkey -in private-key.pem -pubout -outform PEM -out public-key.pem
Agora converta sua chave privada para o formato Base32, será necessário ter o pacote basez instalado, use o comando a seguir para instalar o pacote: apt install basez
Para converter para o formato Base32 use o comando abaixo, lembrando que todo o comando deve estar na mesma linha, você pode substituir "clientA" por qualquer nome:
cat private-key.pem | grep -v " PRIVATE KEY" | basez --base64pem --decode | tail --bytes 32 | basez --base32 | tr -d '=' > clientA.auth_private
Agora vamos gerar a chave pública no formato Base32, você pode substituir "clientA" por qualquer nome, confira o comando:
cat public-key.pem | grep -v " PUBLIC KEY" | basez --base64pem --decode | tail --bytes 32 | basez --base32 | tr -d '=' > clientA.auth
No diretório aonde você digitou os comando, você verá que foi criado dois arquivos, o "clientA.auth" e "clientA.auth_private", o arquivo ".auth_private" é o arquivo que deverá estar em posse de quem for se conectar ao seu serviço .onion e o arquivo ".auth" deve ficar em um diretório específico do seu serviço .onion .
Portanto, primeiramente copie o arquivo ".auth" que contém a chave pública de quem quer se conectar ao seu serviço onion para o diretório "/var/lib/tor/ssh/authorized_clients", ou seja, dentro da pasta "authorized_clients" você coloca todas as chaves públicas de clientes que deseja se conectar ao seu serviço .onion . Você pode usar o comando abaixo para copiar o arquivo ".auth" para o diretório citado:
sudo cp clientA.auth /var/lib/tor/ssh/authorized_clients
Note que apenas a chave presente no arquivo não funciona, é necessário adaptar o conteúdo. Portanto edite o arquivo copiado e insira o seguinte conteúdo:
descriptor:x25519:chave_publica
Substitua chave_publica pela a chave pública que está presente no arquivo, exemplo:
descriptor:x25519:MEE25GRMPHS7NKNV3B7MHB6Y46FVGBALIC2OZUOD4
Comando para abrir o arquivo:
sudo nano /var/lib/tor/hidden_ssh/authorized_clients/pc.auth
Para salvar aperte ctrl+o , aperte enter e depois ctrl+x para sair .
Reinicie o Tor com o comando abaixo, será solicitado sua senha:
systemctl restart tor
Agora na máquina na qual vamos acessar por SSH o Raspberry Pi remotamente pela rede Tor, precisamos configurar a chave privada que geramos. O procedimentos que demonstraremos abaixo é para quem está rodando a rede Tor no cliente através do Tor Browser no Windows 10, caso use Tor daemon ou outro sistema consulte as fontes ao final deste tutorial.
Primeiramente crie uma pasta em um diretório qualquer, por exemplo na sua pasta Documentos com o nome de "Onion" (sem aspas), dentro desta pasta crie um arquivo com o final .auth_private com a chave privada presente no arquivo "clientA.auth_private" que geramos anteriormente no Raspberry Pi, exemplo:
Nome do arquivo: clientA.auth_private
Conteúdo:
endereço:descriptor:x25519:chave_privada
Exemplo:
vxbdqtv2ber7js5y:descriptor:x25519:NQ2IJRNRZWPKVJNGWV7N6KJFUS235N27
Como pode notar na parte do endereço não coloque o final .onion lá. Salve o arquivo, certifique de ter salvado a extensão do arquivo como .auth_private se não não funcionará, use um editor de texto como Notepad++ para salvar corretamente no formato .auth_private .
Agora navegue até o arquivo "torrc" presente dentro do diretório do seu navegador Tor Browser, o caminho é "...\Tor Browser\Browser\TorBrowser\Data\Tor" . No Windows você pode descobrir o local da pasta do Tor Browser clicando com o botão direito sobre o ícone do navegador em sua área de trabalho, depois clique em "Propriedades" e então em "Destino" você verá o caminho "...\Tor Browser\Browser\firefox.exe", substitua "firefox.exe" pelo caminho "\TorBrowser\Data\Tor" e copie e cole no explorador de arquivos do Windows para acessar a pasta "Tor" que possui o arquivo "torrc".
Utilizando de um editor de arquivos como Notepad++ , abra o arquivo "torrc" e adicione ao final a seguinte linha:
ClientOnionAuthDir C:\My_PC\Documents\Onion
Substitua "C:\My_PC\Documents\Onion" pelo caminho para sua pasta "Onion" criada e salve o arquivo.
Agora feche se tiver aberto e abra o navegador Tor Browser. Com o Tor Browser aberto, abra o Putty e conecte-se via SSH. A configuração do Putty é a mesma que tínhamos feito anteriormente, depois de configurado clique em "Open" para iniciar a conexão.
Suponha que você deseja dar acesso ao seu endereço .onion para outra pessoa conectar-se via ssh. Para isso gere uma nova chave pública e privada, adicione a chave pública a um novo arquivo exemplo "clientB.auth" ou "maria.auth" e dê a chave privada para a pessoa que for se conectar via ssh configurar na máquina dela a conexão. Note que o correto é a pessoa ter\gerar suas próprias chaves e te fornecer somente a chave pública para você autorizar a conexão dela ao seu serviço .onion .
COMENTÁRIOS