¿Puede Heartbleed exponer la dirección IP de un usuario de TOR?

El nodo de salida no conoce su dirección IP, ese es el punto principal del enrutamiento de cebolla. Más bien, sabe con qué nodo de retransmisión contactar para que los datos finalmente se comuniquen con usted. Para que su dirección IP se revele con certeza, toda la cadena debe ser vulnerable; Si los nodos de entrada y salida son vulnerables, un atacante puede hacer una estimación razonable de su IP al correlacionar el uso de los nodos de retransmisión.

TOR recientemente comenzó a rechazar todos los servidores que no han actualizado su SSL. También hay una iniciativa para bloquear cualquier servidor que esté en línea con SSL sin parchear en el futuro. Estos cortes resultan en una caída de capacidad de red de ~ 12% para Tor. Eso resultó del bloqueo de ~ 380 servidores.

A continuación hay un extracto del mensaje en la lista de correo de Tor:

I thought for a while about taking away their Valid flag rather
than rejecting them outright, but this way they'll get notices
in their logs.

I also thought for a while about trying to keep my list of fingerprints
up-to-date (i.e. removing the !reject line once they've upgraded their
openssl), but on the other hand, if they were still vulnerable as of
yesterday, I really don't want this identity key on the Tor network even
after they've upgraded their openssl.

If the other directory authority operators follow suit, we'll lose about
12% of the exit capacity and 12% of the guard capacity.

I/we should add to this list as we discover other relays that come
online with vulnerable openssl versions.

Also these are just the relays with Guard and/or Exit flags, so we should
add the other 1000+ at some point soon.

Más información sobre la lista de correo: enlace