.cebolla

.onion es un dominio de nivel superior de uso especial que designa un servicio onion anónimo , anteriormente conocido como "servicio oculto" ^{[ 1 ]} , accesible a través de la red Tor . Estas direcciones no son nombres DNS reales , y el TLD .onion no se encuentra en la raíz DNS de Internet , pero con el software proxy adecuado instalado, los programas de Internet, como los navegadores web, pueden acceder a sitios con direcciones .onion enviando la solicitud a través de la red Tor.

El nombre "cebolla" hace referencia al enrutamiento cebolla , la técnica utilizada por Tor para lograr cierto grado de anonimato .

El propósito de usar un sistema de este tipo es dificultar el rastreo tanto del proveedor de información como de la persona que accede a ella, ya sea entre ellos, por un host de red intermedio o por un tercero. Los sitios que ofrecen direcciones .onion dedicadas pueden proporcionar una capa adicional de garantía de identidad mediante certificados HTTPS EV o certificados HTTPS validados por dominio . ^{[ 2 ]} La provisión de un sitio onion también ayuda a mitigar los ataques de eliminación de SSL por parte de nodos de salida maliciosos en la red Tor contra usuarios que de otro modo accederían a sitios tradicionales HTTPS clearnet a través de Tor. ^{[ 3 ]} Debido a que las conexiones a los servicios onion no utilizan relés de salida, no están sujetas a la manipulación de nodos de salida. ^{[ 4 ]}

Las direcciones en el TLD onion son generalmente cadenas alfanuméricas opacas, no mnemotécnicas , que se generan automáticamente a partir de una clave pública cuando se configura un servicio onion . Estas cadenas pueden estar compuestas por cualquier letra del alfabeto y dígitos decimales del 2 al 7, que representan en base32 un hash de 80 bits ("versión 2" o 16 caracteres) o una clave pública ed25519 de 256 bits junto con un número de versión y una suma de verificación de la clave y el número de versión ("versión 3", "próxima generación" o 56 caracteres). Como resultado, en el pasado todas las combinaciones de dieciséis caracteres base32 podían ser direcciones válidas de la versión 2 (aunque como resultado de un hash criptográfico, una cadena seleccionada aleatoriamente de esta forma con un servicio onion correspondiente debería ser extremadamente improbable ), mientras que en la versión 3 actual solo las combinaciones de 56 caracteres base32 que codifican correctamente una clave pública ed25519, una suma de verificación y un número de versión (es decir, 3) son direcciones válidas. ^{[ 5 ]} Es posible configurar una URL .onion parcialmente legible para humanos (por ejemplo, comenzando con el nombre de una organización) generando una gran cantidad de pares de claves (un proceso computacional que puede paralelizarse ) hasta encontrar una URL suficientemente deseable. ^{[ 6 ] [ 7 ]}

A partir de octubre de 2021, las versiones estables del software Tor ya no admiten direcciones V2 (16 caracteres). ^{[ 8 ]}

Los proxies de la red Tor, como Tor2web, permiten el acceso a los servicios onion desde navegadores que no son Tor y para motores de búsqueda que no son compatibles con Tor. Al usar una puerta de enlace, los usuarios renuncian a su anonimato y confían en que la puerta de enlace les proporcione el contenido correcto. Tanto la puerta de enlace como el servicio onion pueden identificar el navegador y acceder a los datos de la dirección IP del usuario. Algunos proxies utilizan técnicas de almacenamiento en caché que, según afirman, ofrecen una mejor velocidad de carga de páginas ^{[ 9 ]} que el navegador Tor oficial .

.exit era un dominio de nivel superior pseudo utilizado por los usuarios de Tor para indicar sobre la marcha al software Tor el nodo de salida preferido que se debe utilizar al conectarse a un servicio como un servidor web , sin tener que editar el archivo de configuración de Tor ( torrc ).

La sintaxis utilizada con este dominio era hostname + .exitnode + .exit , de modo que un usuario que quisiera conectarse a http://www.torproject.org/ a través del nodo tor26 tendría que ingresar la URL http://www.torproject.org.tor26.exit .

Algunos ejemplos de uso serían acceder a un sitio web disponible solo para direcciones de un país determinado o comprobar si un nodo específico está funcionando.

Los usuarios también podrían escribir exitnode.exit solo para acceder a la dirección IP de exitnode .

La notación .exit quedó obsoleta a partir de la versión 0.2.9.8. ^{[ 10 ]} Está deshabilitada por defecto a partir de la versión 0.2.2.1-alpha debido a posibles ataques a nivel de aplicación, ^{[ 11 ]} y con el lanzamiento de Tor de la serie 0.3 como "estable" ^{[ 12 ]} ahora puede considerarse obsoleta.

Anteriormente, el dominio era un sufijo de host de dominio de nivel superior pseudo , similar en concepto a terminaciones como .bitnet y .uucp utilizadas en épocas anteriores.

El 9 de septiembre de 2015 , ICANN , IANA y el IETF designaron .onion como un "dominio de uso especial", otorgándole un estatus oficial tras una propuesta de Jacob Appelbaum del Proyecto Tor y el ingeniero de seguridad de Facebook, Alec Muffett . ^{[ 13 ] [ 14 ] [ 15 ]}

Antes de la adopción de la propuesta 144 del CA/Browser Forum , un certificado HTTPS para un nombre .onion solo podía obtenerse tratando .onion como un nombre de servidor interno. ^{[ 16 ]} Según los requisitos básicos del CA/Browser Forum, estos certificados podían emitirse, pero debían expirar antes del 1 de noviembre de 2015. ^{[ 17 ]}

A pesar de estas restricciones, DuckDuckGo lanzó un sitio onion con un certificado autofirmado en julio de 2013; ^{[ 18 ]} Facebook obtuvo el primer certificado SSL Onion emitido por una autoridad de certificación en octubre de 2014, ^{[ 19 ]} Blockchain.info en diciembre de 2014, ^{[ 20 ]} y The Intercept en abril de 2015. ^{[ 21 ]} The New York Times se unió más tarde en octubre de 2017, pero descontinuó el sitio en abril de 2025. ^{[ 22 ]}

Tras la adopción de la votación 144 del CA/Browser Forum y la designación del dominio como de "uso especial" en septiembre de 2015, .onion cumple los criterios de la RFC 6761. ^{[ 23 ]} Las autoridades de certificación pueden emitir certificados SSL para sitios HTTPS .onion según el proceso documentado en los Requisitos básicos del CA/Browser Forum , ^{[ 24 ]} introducidos en la votación 144. ^{[ 16 ]}

A agosto de 2016, 13 dominios onion están firmados con https en 7 organizaciones diferentes a través de DigiCert . ^{[ 25 ]}

• Navegador Tor . Proyecto Tor . Navegación anónima a través de Tor, utilizada para acceder a sitios .onion.
• "Tor: Instrucciones de configuración del servicio Onion" . Proyecto Tor.
• "Especificación de encuentro de Tor" . Proyecto Tor. Archivado del original el 15 de mayo de 2017. Consultado el 8 de marzo de 2011 .
• Biryukov, Alex; Pustogarov, Ivan; Weinmann, Ralf-Philipp (2013), "Rastreo de servicios ocultos de Tor: detección, medición y desanonimización" (PDF) , Simposio sobre seguridad y privacidad , IEEE
• "Papeleta 144" . Foro CA/Browser . 18 de febrero de 2015.