Wat is een onion-dienst, en hoe werkt die?

Wat is een onion-service?

Een onion-dienst is een dienst, zoals een website, die alleen via het Tor-netwerk kan worden bereikt. De supportpagina's van het Tor Project zeggen dat hij de locatie en het IP-adres van de dienst verbergt, wat het moeilijker maakt om te censureren of naar de exploitant te herleiden. Onion-diensten heetten vroeger hidden services.

Het adres is de identiteit van de dienst. Het Tor Project beschrijft het onion-adres als de publieke identiteitssleutel van de dienst, waardoor het willekeurig oogt. Versie 3-adressen zijn 56 letters en cijfers gevolgd door .onion; de oudere versie 2-adressen van 16 tekens werken niet meer op het Tor-netwerk.

Hoe werkt een verbinding met een onion-dienst?

Een client en een onion-dienst verbinden nooit rechtstreeks: ze ontmoeten elkaar bij een relay die beide via Tor bereiken. Het Tor Project beschrijft vijf stappen.

1. Introductiepunten. De dienst kiest enkele relays, bouwt er langlopende circuits van drie hops naartoe en vraagt hen als introductiepunten te fungeren.
2. Descriptor. De dienst schrijft een descriptor die zijn introductiepunten en sleutels vermeldt, ondertekent hem met de privésleutel achter zijn adres en uploadt hem naar een gedistribueerde hashtabel binnen het Tor-netwerk.
3. Opzoeken. De client haalt de descriptor op via het adres en controleert de handtekening tegen de publieke sleutel die het adres is.
4. Rendezvous. De client bouwt een circuit naar een relay naar keuze, het rendezvouspunt, en geeft het een eenmalig geheim. Hij stuurt zijn gegevens naar de dienst via een introductiepunt.
5. Ontmoeting. De dienst verbindt via zijn eigen circuit met het rendezvouspunt en toont het geheim. Het rendezvouspunt geeft eind-tot-eind versleuteld verkeer tussen beide door.

De volledige verbinding bestaat uit zes relays: drie gekozen door de client, eindigend bij het rendezvouspunt, en drie gekozen door de dienst. Het Tor Project stelt dat het IP-adres van de dienst beschermd is en dat IP-adressen in het protocol zelfs niet worden gebruikt.

Waarom is een onion-adres genoeg zonder HTTPS?

Een onion-adres is genoeg omdat het adres zelf een cryptografische controle is. De supportpagina van het Tor Project zegt dat al het verkeer tussen Tor-gebruikers en onion-diensten eind-tot-eind versleuteld is, en dat het adres cryptografie gebruikt om te bevestigen dat u de bedoelde dienst hebt bereikt en dat er onderweg niets is veranderd. Sommige onion-sites gebruiken nog steeds HTTPS, wat Tor Browser in de adresbalk toont.

Omdat de dienst alleen uitgaande verbindingen maakt, heeft hij ook geen open poort op zijn host nodig: hij doorbreekt NAT. Een server achter een firewall die inkomende verbindingen blokkeert, kan nog steeds een onion-dienst publiceren.

Hoeveel VPS-hosts publiceren een onion-adres?

Weinig hosts doen dat. Volgens het onderzoek van Gloamport naar 10 november 2026 publiceren 10 van de 42 actieve hosts een officieel .onion-adres voor hun eigen site: Njalla, FlokiNET, Privex, PrivateAlps, Servury, Servers.Guru, MyNymBox, NiceVPS, Kyun en DarkVPS. Het onderzoek telt alleen adressen die de host zelf publiceert.

Het onion-adres van een host beschermt de verbinding met de websites en factureringspagina's van de host. Het is een andere vraag of u zelf een onion-dienst op een van zijn servers kunt draaien, wat de volgende sectie behandelt. Voor de andere criteria die een host geschikt maken voor een privacybehoefte, lees Wat maakt een VPS privacygericht?.

Hoe draait u een onion-dienst op een VPS?

U installeert Tor op de server en voegt twee regels toe aan de configuratie. De installatiepagina van het Tor Project geeft ze voor een webserver op poort 80:

HiddenServiceDir /var/lib/tor/my-website/
HiddenServicePort 80 127.0.0.1:80

Wat beschermt een onion-dienst niet?

Een onion-dienst beschermt de inhoud van een slecht geconfigureerde server niet. De installatiepagina van het Tor Project vraagt beheerders de webserver zo in te stellen dat hij het IP-adres van de server of andere identificerende gegevens niet onthult.

Hij verandert ook niet hoe u voor de server betaalt. Monero houdt een betaling uit het openbare register, maar niet uit uw account: Gloamport koppelt nog steeds uw bestellingen, de IP-adressen van uw VPS en de transactie-ID die u aan uw accountnummer opgeeft. Voor de betalingskant, lees Wat is KYC bij VPS-hosting, en waarom vragen hosts om een ID?.