El enrutamiento en cebolla de Tor hace pasar cada solicitud por tres nodos (guardia, intermedio, salida), cada uno de los cuales solo conoce el nodo anterior y el siguiente. Esta arquitectura impide que un nodo aislado correlacione la dirección IP de origen con el destino final. Toda la seguridad se basa en esta separación: comprometerla es como navegar en claro.
Circuito Tor y nodo de salida: la superficie de ataque real
El eslabón más expuesto del circuito es el nodo de salida. Cuando el destino es un sitio clásico (HTTP), el tráfico sale en claro a través de este nodo. Un operador malicioso puede interceptar identificadores, cookies o contenidos no cifrados.
En un servicio .onion, el circuito nunca sale de la red Tor: no hay nodo de salida. El cifrado permanece activo de extremo a extremo. Por eso las direcciones .onion ofrecen un nivel de privacidad superior a los sitios .com consultados a través de Tor.
Una guía que detalla esta mecánica está disponible en el sitio Construire la Bretagne, que también cubre los aspectos legales relacionados con el uso de la red.
Otro punto a menudo descuidado: el nodo de guardia. Este ve la dirección IP real del usuario. Si un atacante controla simultáneamente el guardia y la salida del mismo circuito, una correlación de tráfico se vuelve teóricamente posible. Tor mitiga este riesgo manteniendo el mismo nodo de guardia durante varias semanas, limitando la exposición a un solo nodo de confianza en lugar de una rotación aleatoria.
Tor Browser: versión estable, actualización y configuración de red
Tor Browser se basa en Firefox ESR. Cada parche de seguridad publicado por Mozilla se integra en las actualizaciones del navegador Tor. Retrasar una actualización, incluso por unos días, expone a vulnerabilidades ya documentadas públicamente.
Versión estable o Alpha
El Tor Project publica dos ramas: estable y Alpha. La rama Alpha no está destinada a un uso común ni a riesgo. Sirve para probar funcionalidades experimentales y puede contener regresiones. Para acceder a la dark web, recomendamos exclusivamente la versión estable descargada desde el sitio oficial del Tor Project.
Parámetros de red a verificar después de la instalación
- El nivel de seguridad del navegador (accesible a través del escudo en la barra de direcciones) se ajusta a “El más seguro” para desactivar JavaScript en todos los sitios. Esta configuración rompe algunos contenidos, pero reduce drásticamente la superficie de ataque del lado del cliente.
- Los puentes (bridges) obfs4 o Snowflake permiten eludir el bloqueo de Tor por un proveedor de acceso o un firewall nacional. Sin puente, la conexión al primer nodo falla en entornos censurados.
- La resolución DNS pasa íntegramente por el circuito Tor. Modificar manualmente los parámetros de red del navegador o forzar un proxy DNS externo anula esta protección y provoca fugas DNS.
Un detalle técnico: nunca redimensionar la ventana del navegador. Tor Browser se abre en un tamaño estandarizado para reducir el fingerprinting. Modificar las dimensiones de la ventana crea una huella única que facilita el seguimiento entre sesiones.
Anonymato Tor e identidad: lo que la red no protege
Tor cifra el transporte, no el comportamiento. Conectarse a una cuenta personal (correo, red social, servicio bancario) desde Tor vincula inmediatamente la actividad a una identidad real, sin importar cuántos nodos se hayan atravesado.
El mismo problema se presenta con los metadatos de archivos. Un documento descargado y luego abierto fuera del navegador Tor puede contactar a un servidor remoto, revelando la dirección IP real de la máquina. Cualquier archivo descargado a través de Tor debe abrirse en un entorno desconectado o en una máquina virtual aislada.
VPN y Tor: qué combinación tiene sentido
La cuestión del VPN como complemento de Tor divide opiniones. Existen dos configuraciones:
- VPN antes de Tor (Tor over VPN): el proveedor de acceso ve una conexión VPN, no una conexión Tor. El proveedor VPN, por su parte, sabe que se está generando tráfico Tor. Esta configuración protege contra la detección del uso de Tor por parte del ISP, pero desplaza la confianza hacia el VPN.
- Tor antes de VPN (VPN over Tor): el nodo de salida envía el tráfico hacia el VPN. Configuración más compleja, raramente necesaria, que impide que el sitio de destino sepa que se está utilizando Tor, pero expone el tráfico al VPN en claro.
- Sin VPN: Tor solo es suficiente si la prioridad es el anonimato y no el eludir la detección. Añadir un VPN introduce un tercer ente de confianza adicional, lo cual no siempre es deseable.
La elección depende del modelo de amenaza. Contra un ISP curioso, el VPN por delante se justifica. Contra un adversario capaz de obtener órdenes judiciales del proveedor VPN, Tor solo sigue siendo la configuración más coherente.
Sitios .onion y motores de búsqueda en la dark web
Las direcciones .onion son cadenas alfanuméricas largas, imposibles de adivinar. No existe un directorio centralizado equivalente a Google. Los motores de búsqueda especializados (DuckDuckGo en versión .onion, Ahmia) indexan una fracción limitada de los servicios disponibles.
La fiabilidad de un sitio .onion no se verifica por su apariencia. Los sitios de phishing reproducen interfaces conocidas modificando un solo carácter de la dirección. Verificar la dirección completa desde una fuente independiente (directorio de confianza, firma PGP publicada por el servicio) sigue siendo la única precaución efectiva.
Los servicios .onion legítimos incluyen versiones espejo de medios de información, herramientas de comunicación cifrada y plataformas de denuncia que protegen sus fuentes. El acceso a la dark web no es en sí ilegal en Francia, pero las actividades que allí se realizan siguen sujetas al derecho común.
La protección ofrecida por Tor depende tanto de la disciplina del usuario como de la criptografía de la red. Un navegador actualizado, un comportamiento compartimentado y un modelo de amenaza claramente definido constituyen los tres pilares de una navegación realmente anónima.
