¿Por qué Tor sobre HTTPS es inseguro?

Tor proporciona el anonimato que HTTPS no proporciona. HTTPS solo proporciona cifrado de extremo a extremo, pero un hombre en el medio aún puede ver dónde se está conectando y puede encontrar más información (es decir, qué sitios está mirando en detalle) haciendo un análisis estadístico del tráfico detectado.

Tor hace todo lo posible para ocultar la metainformación como el origen y el destino de la solicitud. También proporciona cifrado, pero solo hasta el nodo de salida de la red Tor. Así que es mejor que uses HTTPS sobre Tor si visitas un sitio público. Tor no puede proteger el tráfico una vez que dejó el nodo de salida.

Las URL de cebolla son URL dentro de la propia red de Tor. En este caso, no abandona la red Tor al acceder a los datos. Por lo general, solo unos pocos sitios son accesibles a través de una URL de cebolla y también a través de una URL de HTTPS pública, pero en cambio, solo se puede acceder a ellos mediante la URL de cebolla o solo a la URL de HTTPS. Por lo tanto, la recomendación de usar Onion-URL en su lugar de HTTPS no se puede aplicar a la mayoría de los sitios.

Espero poder aclarar algunas confusiones en tu pregunta. En resumen

• Tor sobre HTTPS: no existe tal cosa (solo HTTPS sobre Tor, ver más abajo).
• Acceso a la URL de la cebolla: se recomienda porque el tráfico no sale de la red Tor. La mejor opción si está disponible.
• HTTPS sobre Tor: recomendado, porque protege el tráfico después de salir del nodo de salida. Segunda mejor opción.
• HTTP simple (no HTTPS) sobre Tor: no se recomienda porque no es seguro después del nodo de salida. Use HTTPS si es posible.

Tor te proporciona anonimato.

HTTPS protege (cifra) el contenido de sus datos.

HTTP no proporciona ninguno de estos.

Tor proporciona el anonimato pero no protege la explotación de una aplicación insegura para revelar la dirección IP de, o rastrear, un flujo de TCP.

Ejecutar HTTP sobre Tor significa que sus datos de comunicación pueden leerse y, por lo tanto, comprometer su anonimato.

Aquí hay 4 esquemas que muestran la diferencia entre usar HTTP, Tor + HTTP, HTTPS, Tor + HTTPS (el botón verde refleja el protocolo usado) con respecto a lo que puede ver un atacante (intruso):

1. HTTP (el intruso lo ve todo)

2. Tor+HTTP(eavesdropperleelosdatoscomunicados)

3. HTTPS(eavesdroppernopuedeleersusdatos,esoestodo)

4:Tor+HTTPS(inclusomásseguro)