Tor y proxies

Su dirección IP identifica de dónde procede su tráfico. En trabajos de red team autorizados, investigaciones o contextos relacionados con la privacidad, puede necesitar ocultar el origen de sus conexiones.

Esta lección trata sobre los proxies y Tor, dos herramientas fundamentales para ocultar el origen del tráfico de red. Nos centraremos en cómo funcionan y cuáles son sus limitaciones.

Un servidor proxy se sitúa entre usted y su destino. Usted envía las solicitudes al proxy y este las reenvía en su nombre, por lo que el destino ve la IP del proxy en lugar de la suya.

• Proxy HTTP: gestiona el tráfico web.
• Proxy SOCKS: no depende de un protocolo concreto y gestiona cualquier tráfico TCP.

Un único proxy ofrece una protección débil para el anonimato:

• El operador del proxy ve su IP real y su destino: es un único punto que lo sabe todo.
• Muchos proxies públicos gratuitos registran el tráfico o inyectan contenido.
• El tráfico entre usted y un proxy HTTP puede no estar cifrado.

Los proxies son útiles para redirigir el tráfico y eludir filtros sencillos, pero no ofrecen un anonimato sólido.

Tor (The Onion Router) es una red diseñada para proporcionar anonimato. En lugar de un único salto, su tráfico pasa por tres relays voluntarios antes de llegar al destino.

Ningún relay individual sabe quién es usted y adónde se dirige. Esta separación constituye la base de la protección de Tor.

Tor envuelve sus datos en capas de cifrado, como una cebolla. Cada relay retira una capa para conocer únicamente el siguiente salto:

• Nodo guard (de entrada): conoce su IP, pero no su destino.
• Relay intermedio: no conoce ninguno de los dos extremos, solo el salto anterior y el siguiente.
• Nodo de salida: conoce el destino, pero no su IP.

La forma más sencilla es utilizar Tor Browser, una versión reforzada de Firefox preconfigurada para el anonimato. Para las herramientas de línea de comandos, ejecute el servicio de Tor y enrute el tráfico a través de su proxy SOCKS local.

El nodo de salida ve su tráfico cuando sale de Tor hacia el destino. Si utiliza HTTP sin cifrar, un nodo de salida malicioso puede leerlo y modificarlo.

Utilice siempre HTTPS de extremo a extremo a través de Tor. Tor anonimiza el origen, pero no cifra el salto final hasta un sitio HTTP sin cifrar.

Tor también aloja servicios onion (direcciones que terminan en .onion). Tanto estos servicios como sus visitantes son anónimos, y la conexión nunca sale de la red Tor, por lo que no existe exposición a un nodo de salida.

Solo se puede acceder a los servicios onion mediante Tor y los motores de búsqueda normales no los indexan.

Tor protege el anonimato a nivel de red, pero no le protege de sus propios errores:

• Iniciar sesión en una cuenta personal le desanonimiza al instante.
• Los plugins del navegador, JavaScript o las descargas pueden filtrar su IP real.
• Los ataques de temporización y correlación de adversarios con muchos recursos pueden vincular el tráfico en algunos casos.

El anonimato es un sistema, no una única herramienta.

proxychains obliga a cualquier herramienta de línea de comandos a pasar por uno o más proxies, incluido el puerto SOCKS de Tor. Es habitual en pentests autorizados para enrutar escaneos a través de un pivote.

Algunas redes bloquean directamente los relays de Tor conocidos. Los bridges de Tor son puntos de entrada no publicados, más difíciles de bloquear.

Los transportes conectables, como obfs4, disfrazan el tráfico de Tor para que no parezca tráfico de Tor, lo que ayuda a conectarse a los usuarios de regiones sometidas a una fuerte censura. Estas funciones son importantes cuando un adversario intenta activamente impedirle el acceso a la red.

Ha aprendido a ocultar el origen del tráfico:

• Los proxies reenvían su tráfico, pero un único proxy lo ve todo; ofrecen una protección débil para el anonimato.
• Tor utiliza tres relays y un cifrado cebolla por capas, de modo que ningún nodo individual puede vincularle con su destino.
• El nodo de salida puede leer el tráfico sin cifrar; utilice siempre HTTPS.
• Tor no le protege de los errores del usuario; el anonimato requiere disciplina.

Siguiente tema: combinación de VPN y encadenamiento para obtener un anonimato por capas.