Pero, ¿podría un sitio web engañarte, por ejemplo, ¿Para descargar un archivo ejecutable que se conecta a Internet fuera de TOR y regala su dirección IP?
Técnicamente? Por supuesto que podría. Parece que eso es . Si realmente te importa, debes asegurarte de que no haya forma de que tu tráfico no pase por Tor.
En realidad, hubo una charla de DEF CON en 2014 que fue muy extensa. Eso es Zoz - ¡No lo arruines! , que está disponible en Youtube. La discusión sobre Tor comienza a los 21 minutos, y varias partes son muy relevantes para su pregunta:
- A los 23 minutos y 30 segundos, un ejemplo de la vida real de un ataque de correlación de tráfico basado en el tráfico de red local (en ese caso, inalámbrico) a los nodos Tor correspondientes a la participación en acciones ilegales. Ese tipo de ataque no requiere atacar a Tor en absoluto.
- En aproximadamente 24 minutos, la moraleja de la historia de la vida real es que no fallan inseguros con Tor . Si está haciendo algo en el que confía en la anonimización proporcionada por Tor, asegúrese de que, si no usa Tor, el tráfico no puede salir de su computadora o LAN. Esto incluye software que no sea su navegador web.
- A los 27 minutos y 50 segundos, el presentador comienza a hablar sobre los ataques de deanonimización de Tor. En resumen: incluso para NSA y GCHQ, al menos en 2012, no fue posible la desanonimización de Tor a gran escala, pero casos específicos de desononimización de Tor fueron posibles (esa afirmación específica se realizó 28 minutos 30 segundos después). el video).
Sin embargo, la pregunta más importante sigue siendo: ¿Por qué demonios estás descargando y ejecutando software que no es de confianza? Ese es el vector de ataque en el caso que está describiendo, y el hecho de que esté haciendo eso sobre Tor es en gran medida intrascendente. No ejecute software que no sea de confianza ni abra documentos que no sean de confianza en un sistema confiable.
Especialmente si tiene motivos para creer que el gobierno tiene interés en usted, tenga mucho cuidado con lo que descarga, instala y ejecuta en su sistema. Forzar todo el tráfico web para que use HTTPS (Tor no protege su "tráfico base", ni tampoco una VPN); utilizar NoScript con una política restrictiva; o incluso desactive Javascript por completo en su navegador (hay complementos para que sea más fácil) si no lo necesita absolutamente. Coloque toda su computadora detrás de una puerta de enlace Tor, de modo que no pueda comunicarse con el mundo exterior sin pasar por Tor.