Durante años, Tor ha sido recomendada como la herramienta definitiva para la privacidad online: periodistas, activistas, y hasta usuarios comunes preocupados por su anonimato… muchos han confiado en que este software los protegería tanto de la vigilancia estatal como del corporativo.
Pero esta confianza está lejos de ser universal, puesto que, en los últimos tiempos, toda una serie de investigaciones y testimonios señalan que Tor puede no ser tan seguro, independiente ni anónimo como se ha venido creyendo.
Un mito en entredicho
Tor (The Onion Router) nació, y esto es algo que a menudo se olvida, como un proyecto financiado y desarrollado por el gobierno de Estados Unidos, específicamente por la Oficina de Investigación Naval y la DARPA. Su propósito original no fue proteger a ciudadanos comunes, sino encubrir las actividades online de agentes de inteligencia.
Para lograr que su tráfico no fuera identificable, era necesario que más personas usaran la red. Así, nació un gran incentivo para abrir Tor al público general. Roger Dingledine, cofundador del proyecto, lo dejó claro en una conferencia en 2004:
«El gobierno de EE. UU. no puede operar un sistema de anonimato para sus agentes sin que otras personas también lo utilicen. De lo contrario, cada conexión sería sospechosa».
De modo que usar Tor significa aportar tráfico que encubre a agentes de inteligencia en operaciones encubiertas. Tor se diseñó para que los espías se mezclaran entre el ruido, y ese ruido eres tú.
Por supuesto, esa necesidad de ruido también se aplica a todo usuario de Tor, y el caso del estudiante de Harvard Eldo Kim lo ejemplifica: fue identificado como el autor de una amenaza de bomba precisamente por ser el único conectado a Tor desde la red universitaria en ese momento.
¿Cómo de anónimo es realmente Tor?
A pesar de su diseño complejo, múltiples estudios y operaciones judiciales han demostrado que Tor puede ser vulnerado. La Agencia de Seguridad Nacional (NSA) de EE. UU., por ejemplo, ha venido desarrollando desde 2006 métodos para desenmascarar usuarios a gran escala, según documentos filtrados.
La Universidad Carnegie Mellon fue contratada por el FBI para romper el anonimato de Tor por apenas 3.000 dólares en hardware, una técnica que permitió identificar IPs reales de usuarios y sitios ocultos.
El FBI ha rechazado en varias ocasiones presentar pruebas en tribunales por temor a revelar sus métodos de desanonimización, lo que prueba que estas técnicas existen y son efectivas.
Vulnerabilidades técnicas y errores de usuario
Tor solo protege el tráfico que pasa por su navegador. Archivos abiertos desde el exterior, como PDFs o ejecutables, pueden filtrar tu IP real. También se han documentado fallos —como el bug que revelaba IPs al usar enlaces locales— que comprometen gravemente la privacidad.
El propio Tor Project admite que si un atacante puede observar tanto el ingreso como la salida del tráfico, puede realizar correlación de tiempos y descubrir identidades. Esto lo hace vulnerable frente a adversarios bien posicionados, como gobiernos.
La financiación de Tor
Contrariamente a lo que suele pensarse, entre el 90 % y el 100 % del presupuesto de Tor proviene del gobierno de EE. UU. a través de agencias como el Departamento de Estado, el Pentágono y la Agencia de Medios Globales (ex BBG). Estos fondos no fueron donaciones desinteresadas: Tor ofrecía «influencia en el rumbo del proyecto» a sus patrocinadores.
Cooperación directa con agencias gubernamentales
Contrariamente a la imagen de comunidad rebelde que Tor proyecta, sus desarrolladores han mantenido comunicación directa y continua con agencias como el FBI y el Departamento de Justicia. A través de solicitudes FOIA (Freedom of Information Act), los periodistas han obtenido correos electrónicos en los que se discuten vulnerabilidades con funcionarios federales antes de hacerlas públicas.
Así, por ejemplo, sabemos que Steven Murdoch, desarrollador del proyecto, descubrió una vulnerabilidad crítica que fue comunicada en primer lugar al gobierno estadounidense. Este patrón alimenta la sospecha de que Tor pueda estar sirviendo más a los intereses de vigilancia que a los de privacidad.
El problema de los nodos: ¿quién controla la red?
Tor funciona gracias a una red descentralizada de nodos voluntarios que enrutan el tráfico. Esto implica que cualquier persona —incluso actores maliciosos o gobiernos— puede instalar nodos y espiar lo que pasa por ellos, especialmente si se trata de nodos de salida.
El caso más emblemático es el del hacker sueco Dan Egerstad, que mediante la instalación de cinco nodos Tor logró recolectar contraseñas y correos de diplomáticos, ONGs y empresas. Algo similar ocurrió con Wikileaks, que obtuvo documentos sensibles interceptando tráfico en nodos Tor.
Además, las investigaciones muestran que hay nodos maliciosos dedicados a modificar archivos descargados con malware (en algunos casos se han llegado a manipular actualizaciones de Windows) o a recolectar datos de navegación.
Alternativas: ¿VPNs mejor que Tor?
Aunque no están exentas de sus propios problemas, las VPN (redes privadas virtuales) presentan ventajas frente a Tor. Ofrecen cifrado de todo el tráfico del sistema, mejor velocidad, menor visibilidad y una mayor variedad de proveedores auditados. Además, las VPN permiten configurar cadenas multinodales (multi-hop) y combinarse con Tor (Tor sobre VPN) para mejorar la privacidad.
En este último esquema, tu IP real queda oculta incluso para Tor y sus nodos, y tu proveedor de Internet no sabrá que accedes a la red onion, por lo que usar conjuntamente ambas tecnologías puede ser la mejor solución para salvaguardar tu privacidad. Y aun así, seguiría sin ser perfecta.
Vía | CyberInsider
Imagen | Marcos Merino mediante IA
–
La noticia
Nos venden la red Tor como baluarte de la privacidad online. Muchos no están nada de acuerdo (y recuerdan que la creó el Pentágono)
fue publicada originalmente en
Genbeta
por
Marcos Merino
.
