1 puntos por GN⁺ 2023-07-30 | 1 comentarios | Compartir por WhatsApp
  • Tor no es un “browser de hacking” para criminales, sino un navegador web centrado en la privacidad operado por una organización sin fines de lucro, y puede usarse para navegar la web en general igual que Chrome, Firefox o Safari
  • Mientras que los navegadores comunes y las VPN no logran romper por completo el vínculo entre el usuario y su tráfico, Tor difumina la dirección IP y la información de identificación al pasar por múltiples túneles y servidores
  • Los sitios no indexados que terminan en .onion suelen llamarse la dark web, pero el solo hecho de no aparecer en los motores de búsqueda no los convierte en un espacio criminal
  • Para usuarios que necesitan anonimato, como inmigrantes indocumentados, trabajadores que intentan formar un sindicato, sobrevivientes de violencia doméstica, activistas y periodistas, Tor puede ser una forma de proteger su identidad
  • Si más personas usan Tor de manera cotidiana, los usuarios sensibles dejan de destacar y se vuelve más difícil la desanonimización y el rastreo, lo que también fortalece la privacidad de todo el conjunto de usuarios

Navegación anónima que ofrece Tor

  • Tor originalmente se llamaba The Onion Router, y hoy es un navegador centrado en la privacidad operado por una organización sin fines de lucro
  • Tor puede descargarse gratis y también sirve para tareas comunes que normalmente se hacen en un navegador, como compras en línea o revisar redes sociales
  • Permite acceder no solo a la web abierta, sino también a sitios web no indexados que terminan en .onion
    • Como estos sitios no están indexados por los motores de búsqueda, a menudo se les llama “dark web”
    • No son inherentemente criminales solo por ser sitios no indexados
  • Pavel Zoneff, de The Tor Project, dice que Tor no es una “herramienta para hackers”, sino un navegador tan fácil de usar como otros con los que la gente ya está familiarizada

Un modelo de protección distinto al de una VPN

  • Los navegadores comunes conectan directamente al usuario con su tráfico
  • Una VPN ofrece un túnel cifrado que envía el tráfico de un punto a otro
    • La empresa detrás de la VPN todavía puede acceder a la información del usuario
    • También sigue existiendo la posibilidad de que esa información se venda o se entregue a las autoridades
  • Según Jed Crandall, de Arizona State University, Tor está diseñado para romper el vínculo entre el usuario y su tráfico
    • Tor opera en una “capa superior” de la red
    • En lugar de un solo túnel cifrado, enruta el tráfico a través de túneles separados
    • El primer túnel puede conocer parte de la información personal y el último puede saber qué sitio se visitó, pero la dirección IP y los datos de identificación se difuminan al pasar entre servidores, haciendo difícil vincular ambos puntos de datos
  • Los túneles de comunicación de Tor ofrecen un alto nivel de seguridad, y también es más difícil rastrear el hecho de que hubo una conversación
    • Plataformas como WhatsApp también ofrecen conversaciones cifradas, pero en el dispositivo investigado pueden quedar rastros de esas conversaciones

Usuarios que necesitan anonimato y usabilidad real

  • Tor puede usarse para proteger la identidad en situaciones sensibles
    • Cuando una persona inmigrante indocumentada necesita mantener el anonimato
    • Cuando se intenta formar un sindicato en el trabajo sin que la empresa lo impida
    • Cuando una sobreviviente de violencia doméstica busca recursos sin ser descubierta por su agresor
    • Cuando se quiere evitar que, después de una búsqueda embarazosa en Google, sigan apareciendo anuncios dirigidos relacionados
  • Al aumentar las capas de seguridad, puede haber más latencia o tiempos de carga prolongados
  • Sameer Patil, de la School of Computing de la University of Utah, analizó la usabilidad haciendo que estudiantes y personal probaran Tor como navegador principal
    • Patil dijo que le sorprendió que muchos sitios y funciones funcionaran bien en el navegador Tor como estaba previsto, y que fuera lo suficientemente rápido
    • Incluso hay anécdotas de usuarios que casi no percibieron diferencias frente a otros navegadores

Cuantos más usuarios haya, mayor es la protección

  • Aunque la privacidad en línea no sea la máxima prioridad de una persona, usar Tor ayuda a apoyar a las industrias y grupos que dependen mucho de él
  • Según Patil, Tor se vuelve más seguro cuantas más personas lo usan
    • Si solo ciertos grupos sensibles usan Tor, puede resultar más fácil desanonimizarlos y rastrear su identidad
    • Si uno se mezcla como una persona entre miles de millones, rastrear su identidad se vuelve casi imposible
  • Cambiar la reputación de Tor está ligado a ampliar su uso entre el público general

1 comentarios

 
GN⁺ 2023-07-30
Opiniones de Hacker News
  • No creo que el usuario promedio de internet vaya a aceptar la latencia de Tor
    El comportamiento de los usuarios ha demostrado una y otra vez que, para la gran mayoría, la prioridad es la comodidad y una experiencia sin fricción
    Aprecio el trabajo de la comunidad de Tor, pero creo que hay que ser realistas sobre cuál es el modelo de amenaza y cuáles son las soluciones realmente posibles
    Si lo que preocupa es que empresas como MAANG absorban datos para publicidad personalizada, creo que una legislación sólida de protección de datos personales y una supervisión severa serían mucho más efectivas
    En un extremo más radical, también existe la opción de nacionalizar ciertos productos, imponiéndoles una obligación de operación de interés público como PBS o BBC
    Si lo que preocupa son actores estatales autoritarios, creo que Tor ya fue vulnerado hace mucho
    Sinceramente, intentar ganarle a un adversario como las agencias de inteligencia de Estados Unidos solo con criptografía pura o superioridad de protocolo probablemente termine perdiendo por la brecha de recursos; por eso, la seguridad por oscuridad me parece una mejor opción
    Quizá sea demasiado pesimista, así que me interesan las objeciones

    • Si todo el mundo lo usara, ¿no habría más nodos cercanos y se reduciría la latencia? ¿O la arquitectura evita preferir nodos cercanos, o introduce retrasos artificiales, para impedir ataques basados en tiempo?
    • Si es de amplio conocimiento que varios gobiernos llevan mucho tiempo hackeando Tor, me pregunto por qué la gente todavía lo usa
    • No me sorprende que Tor ya haya sido vulnerado por actores estatales autoritarios
      ¿No lo creó originalmente un departamento de la Marina de Estados Unidos? No sé qué esperaba la gente
      La justificación que se daba antes era ayudar a “disidentes iraníes” a compartir información en la web, y creo que desde el principio nunca iba a ser realmente útil para la gente común
  • Últimamente no he usado TOR, pero según recuerdo, uno de los mayores problemas era la velocidad
    Ganas anonimato, pero los sitios web cargan 2 o 3 veces más lento porque tienen que pasar por todos los nodos de la red
    Quienes están dispuestos a sacrificar velocidad y priorizan la privacidad ya usan TOR, y convencer al resto será muy difícil

    • En mi experiencia, la latencia de TOR en sí era aceptable, pero el problema era quedarse en un bucle infinito con el “Checking if the site connection is secure.” de Cloudflare
    • Exacto. La descentralización casi siempre implica una degradación de la calidad del servicio, como si fuera una ley de la termodinámica
      Es como el “come tus verduras” del mundo tecnológico: aunque la gente piense que debería hacerlo, ya podemos imaginar cuánto lo hará en la práctica
    • La latencia es mala, pero el throughput es bastante decente
      Lamentablemente, es un efecto secundario del método de ruteo que pasa por 3 nodos aleatorios en todo el mundo
    • En mi experiencia, Tor no ha sido lento desde hace varios años
    • Si quedan logs, en Tor no hay anonimato
      En la mayoría de los casos de uso solo hay ofuscación, y la latencia lo hace poco atractivo
      Una internet no confiable o una red hostil no cambian solo porque se les ponga la etiqueta de anonimato
      Personalmente, creo que la única solución son pares altamente confiables
  • No sé qué será más fácil: convencer a la gente de aceptar pasos adicionales, una internet más lenta y los beneficios de la privacidad, o hacer que, al escuchar la retórica de “salvemos a los niños y detengamos a los terroristas”, activen de forma refleja el escepticismo y el pensamiento crítico
    Hoy parece que la mayoría, en especial personas de ciertos grupos raciales y clases sociales, sienten como una amenaza mayor las historias de secuestradores de niños en camionetas blancas de WalMart o los relatos de terroristas al estilo de los años 2000 que la posibilidad de convertirse al azar en víctimas del sistema legal
    Como dice la frase “si no tienes nada que ocultar, no tienes nada que temer”, parece que el pensamiento abstracto y la generalización son difíciles
    [1] https://www.cnn.com/2019/12/04/tech/facebook-white-vans/inde...
    [2] https://www.snopes.com/fact-check/white-van-facebook-hoax/

    • En mi entorno, últimamente también se preocupan más por el discurso de odio y la influencia extranjera en las elecciones
      Esta tendencia se está estrechando cada vez más hacia el control de las garantías criptográficas de privacidad, el acceso a la red y el intercambio de información
    • Tor no ofrece esas cosas
      Es una herramienta desarrollada para espías, y hoy se usa principalmente para facilitar fraudes y la distribución de mercancía de contrabando
      No se trata de preocuparse por payasos en camionetas blancas ni por terroristas
      Si quieres protección frente al gobierno, debes exigir protecciones legales
      Periodistas, activistas de ONG y otros deben buscar formas de gestionar el riesgo, y quizá necesiten autocensurarse para evitarlo
      Si provocas a MBS, Tor no te va a proteger
    • Activar de forma refleja el escepticismo y el pensamiento crítico al escuchar la retórica de “salvemos a los niños y detengamos a los terroristas” no forma parte de la naturaleza humana
      La retórica de “salvemos a los niños” está profundamente arraigada, y el pensamiento reflexivo consume bastante energía; la mayoría apenas empieza a hacerlo si hay un estímulo externo
      Sería casi más realista obligar a incluir Tor en cada nuevo adaptador de red
    • Dejé de hacer investigación sobre fingerprinting en el ámbito académico al darme cuenta de que estaba del lado equivocado de la discusión
      Casi nunca había visto ni oído de una invasión a la privacidad que me incomodara especialmente
  • Hay que convencer a las personas que en general son indiferentes a TOR
    Creo que el mensaje debería ser que el anonimato no solo es deseable, sino indispensable
    Sobre todo en una situación en la que cada vez hay más plataformas que rastrean casi todos los indicadores de la vida cotidiana y los hábitos
    Incluso si alguien dice que TOR se usa con fines ilegales, hay que recordar que la legalidad es distinta de la moralidad y que siempre la definen quienes tienen el poder en el momento

    • Decir “Tor solo se usa con fines ilegales” es tan válido como decir “solo los delincuentes usan efectivo para comprar cosas sin dejar rastro digital”
      Yo uso efectivo, y también rechazo las tarjetas de puntos y de compras porque considero que la protección de la privacidad vale más que un descuento de 4 centavos por galón de gasolina
    • A la gente común no le importa si se rastrean sus métricas
      Es algo que le pasa a casi todo el mundo durante todo el día, y muy pocas personas sufren consecuencias negativas directas y medibles
      Desde su punto de vista, pueden preguntar por qué deberían considerar un riesgo hipotético como algo más importante que los beneficios reales de ceder privacidad, es decir, la comodidad y el precio
      Creo que, para que la defensa de la privacidad tenga efecto en la gente común, hay que centrarse en lo que de verdad les importa, no en argumentos hipotéticos o filosóficos
    • Es deseable tener derecho a acceder al anonimato, pero también es deseable mantener una sociedad en la que el anonimato no tenga que ser muy importante para la mayoría de la gente
      Todos deberían saber usar Tor, pero al menos no deberíamos estar en una situación en la que haya que usarlo siempre
  • Estoy probando usar Tor Browser como navegador diario en mi laptop personal, y al final terminé con un esquema de 3 navegadores
    Uso Firefox ESR para sitios que necesariamente están vinculados a mi identidad, como HN o compras
    A veces también abro ahí sitios que no tienen por qué estar vinculados conmigo, como cuando me da flojera copiar un enlace de HN a Tor Browser
    El cambio por teclado y el lanzamiento son con Mod+F
    Uso Tor Browser para casi todo lo demás
    La mayor parte del tráfico sale de ahí, e incluye usos inofensivos para que no parezca algo como “acaba de cambiar a Tor Browser, así que está haciendo algo interesante”
    El cambio por teclado y el lanzamiento son con Mod+W
    Chromium es el navegador de sumisión total, y solo lo uso cuando falla un acceso para el que de verdad necesito una opción más privada y segura
    No tiene bloqueador de anuncios, tiene activadas algunas partes horribles de DRM, y por ahora solo lo uso para un molesto servicio de streaming de video
    Quisiera eliminar por completo este navegador
    Incluso una laptop vieja puede correr bien los tres a la vez, pero normalmente no los dejo abiertos mucho tiempo: los uso por periodos cortos para reducir basura, liberar recursos de cómputo y borrar rastreadores
    En la laptop de trabajo, por ahora separo las cosas dejando en un navegador las necesidades de desarrollo web o SaaS corporativos que permanecen abiertos todo el día, como GitLab, y las webapps obligatorias, y en otro navegador las sesiones cortas de navegación web pública
    Tor Browser también es útil en la laptop de trabajo cuando busco temas de la web pública que sería problemático que se filtraran a competidores, aunque algunas empresas reaccionan con mucha sensibilidad si detectan Tor en la red interna

  • Si todo el mundo usara Tor, sería incluso más lento y se arrastraría que ahora
    Nadie que no tenga impulsos suicidas a medias correría un nodo de salida en la computadora de su casa
    Yo tampoco lo hago porque no quiero que la policía toque a mi puerta
    Incluso solo en el espacio onion vi cosas malas, y después de verlas ya no sé si el anonimato es una buena idea
    Creo que, cuando no hay reglas, orden ni responsabilidad, la oscuridad dentro de las personas sale a la superficie

    • “Vi cosas malas, así que el anonimato no es una buena idea” es una forma algo unilateral de verlo
      Tor es una herramienta que, como un cuchillo o un camión, puede usarse para cosas útiles y también abusarse para cosas malas
      Y eso dejando de lado que en la web normal también hay bastante fraude con tarjetas de crédito, material de explotación sexual infantil y sitios web relacionados con terrorismo
      Instagram también es un centro mundial de trata de personas, y las historias de sus moderadores no suenan menos horribles que las del lado onion
      Uso Tor todos los días y cumplo la ley, pero no quiero renunciar al anonimato y seudonimato de una VM con Whonix y sesiones de Tails
      Como he alojado nodos de Tor desde los 14 años, no me preocupa terminar en una lista negra de agencias de inteligencia
      De todos modos, seguramente llevo más de 10 años en los primeros lugares
    • Al final, ni siquiera puede evadir cosas como el Gran Cortafuegos de China
      Creo que Tor es más bien un proyecto heredado de la CIA/NSA cuya utilidad ya se agotó
      La NSA seguramente ya revisó con equipos rojos todas las formas de rastrear usuarios o neutralizar la red si lo necesita, así que tampoco sirve como herramienta de resistencia si Estados Unidos se inclina hacia la dictadura
    • Puede existir oscuridad dentro de las personas, pero no es nada comparada con la oscuridad que sale de quienes quieren reglas y desean que alguien se haga responsable
    • ¿Hay alguna forma de eliminar el anonimato sin autoritarismo?
    • Esto también se extiende a las redes sociales
      Hay muchas quejas sobre la moderación, pero la gente en realidad quiere esa función
  • Creo que más personas se interesarían por Tor si pudieran ver todo lo que los anunciantes saben sobre ellas
    Todavía no encontré nada que permita echar un vistazo adecuado a esos datos, y me pregunto si alguien sabe de algo

    • No hace falta Tor para evitar a los anunciantes
      Bloquear todas las cookies y navegar en modo privado resuelve el 99%
      Si a eso le sumas una VPN con bloqueo de anuncios, en la práctica casi no hay nada que alguien pueda saber sobre cosas que no compartiste explícitamente
    • Si vives en una jurisdicción del GDPR, Facebook ofrece una forma de revisar y borrar todos los datos que tiene
      Cuando entré hace unos años para intentar desactivar toda la recopilación, sabían casi todos los sitios web que visitaba
  • Me sorprendió bastante y para bien encontrar el modo Tor en el navegador Brave
    Estaba buscando un modo de navegación con protección de privacidad y estaba justo ahí; además era bastante rápido y usable
    Ojalá esta función y el navegador se usaran más ampliamente

    • Aquí hay dos problemas
      Parte de la protección que ofrece Tor proviene de que casi todo el mundo usa un único navegador creado específicamente para Tor
      Gracias a eso, uno puede mezclarse entre una multitud lo bastante grande
      Dentro de ella también hay grupos que pueden rastrearse por fingerprinting, pero aun así todavía son lo suficientemente grandes
      Si usas otro navegador, te haces destacar y también debilitas un poquito el anonimato de toda la red
      Si aumentan los usuarios de navegadores personalizados, puede volverse un problema
      En especial, los valores predeterminados de Brave no son lo bastante restrictivos
      Configuraciones predeterminadas como desactivar JavaScript son importantes para todos
      Además, tengo entendido que la función Tor de Brave no se ha probado a fondo en situaciones reales y que también ha tenido problemas
      Incluso advirtieron que no es perfecta y que no hay que depender de ella
    • Brave tiene muchas funciones buenas que Chrome no tiene, pero a la gente le da rechazo por la “integración con criptomonedas”
      Aunque se pueda desactivar permanentemente en la configuración
    • Brave es excelente para este uso
      También consume muy poca energía cuando se usa con batería
  • No me sorprendería que el autor y bastantes personas de HN que están de acuerdo aquí cambien rápido de postura al darse cuenta de que Tor permite eludir el blackholing de IP en el backbone de internet que algunos ISP Tier 1 hicieron el año pasado, en el punto más alto de la campaña para expulsar a KiwiFarms de las plataformas
    Supongo que la lógica sería que, si más personas usan Tor de manera habitual, más personas tendrán los medios y el conocimiento para evadir la censura, y eso no se puede permitir

    • No creo que eso sorprenda a nadie
      Para cualquiera que haya mirado Tor aunque sea 0.1 segundos, es algo bastante evidente
      También es bien sabido que, si se pueden eludir restricciones, se usará tanto con fines buenos como malos; simplemente es la naturaleza de este tipo de herramienta
    • Queremos privacidad para todos, pero queremos exceptuar a la gente que no nos gusta
    • Si todo se trasladara a Tor, ¿no se destruiría por completo la capacidad de moderar eficazmente cualquier comunidad, porque ya no habría forma de bloquear spammers o bots?
      Incluso espacios “sin ley” como 8chan o Kiwifarms tendrían difícil mantener conversaciones si una botnet cualquiera llenara el foro con material de explotación sexual infantil copiado y pegado
  • Honestamente, estoy de acuerdo con muchos argumentos sobre privacidad, pero no son lo bastante convincentes como para hacerme aceptar el enfoque de Tor
    En mi cabeza se parece más a esconderse en un basurero
    Puedes esconderte, pero terminas metido con muchas cosas con las que no quieres estar, y pueden venir responsabilidades legales o problemas éticos que no siento que esté calificado para mitigar
    Como señalaron otros, el gobierno o la empresa que más detesto podría haber instalado una cámara dentro del basurero donde me escondí

    • Un malentendido común sobre Tor es pensar que, si un usuario final usa Tor, está alojando o retransmitiendo algo en la red Tor para otros usuarios
      No es así, salvo que configures explícitamente un nodo relay o te ofrezcas como voluntario para operar un puente Snowflake
      Desde la perspectiva de un sitio web, sí te mezclas con otros usuarios que pueden ser tratados como spam
      Pero no asumes responsabilidad a menos que operes un nodo de salida, y los nodos de salida también han llegado a considerarse bastante seguros en algunas jurisdicciones
    • Usar el mismo cuchillo que algunos usuarios que se lo clavan a personas no significa que estés más “dentro del basurero”
      Como mejor analogía, Mastodon, que últimamente le gusta a la comunidad, también tiene un grave problema de CSAM por su estructura federada
      En el mundo digital, casi se reduce a una de dos: libertad total, es decir, la libertad de elegir tu propio servidor y con quién convivir, o censura total; no hay mucho punto medio
      https://www.theverge.com/2023/7/24/23806093/mastodon-csam-st...
    • En el caso de Tor, el gobierno que intentas evitar creó ese basurero y lo esparció por todo el mundo para que los agentes de la CIA tuvieran un lugar donde dejar archivos en dead drops
    • Si privacidad significa privacidad de verdad, es decir, no una promesa de que actores bienintencionados no van a mirar, sino un estado en el que no pueden mirar, entonces a su lado siempre habrá personas a las que toda la sociedad odia y que necesitan esconderse
      Incluso en un futuro dentro de 100 mil años, cuando la moral sea completamente distinta a la actual, si existe la privacidad, quienes realicen las acciones más moralmente detestadas por esa sociedad futura serán quienes más la usen
      La privacidad es buena aunque no tengas nada que ocultar, pero es esencial para quienes sí deben permanecer ocultos
      Los problemas éticos que preocupan a la gente parecen ser, en general, problemas éticos de la privacidad en sí, no de una implementación concreta
    • Supongamos que me investigan por narcotráfico, evasión fiscal o algo similar
      “Instaló Tor en su computadora para acceder a la dark web” no significa nada por sí solo, pero para un jurado es un anzuelo muy poderoso
      Aunque el gobierno no logre demostrar qué hice realmente, el solo hecho de tener Tor puede hacerme parecer bastante culpable
      Otra desventaja es que intentar actuar en secreto puede terminar atrayendo los reflectores
      En un caso de amenaza de bomba en una escuela, un estudiante usó Tor, pero lo identificaron rápidamente porque era el único que usaba Tor en la red de la escuela
      Es bueno que hayan atrapado a ese estudiante, pero el punto es que intentar aumentar la privacidad puede salir contraproducente