Un caso sencillo y práctico para destorizar conexiones y crear un perfil detrás del usuario en la PC
Para entender la lógica de esto es tan simple como aplicar la multiplicación de signos pero a la inversa. Seguridad x Seguridad = No seguridad
Tor se debe apoyar de proxys que evitan que las cookies puedan ser usadas para rastrear como privoxy, si un sitio tiene la intención de ser anónimo no debe usar TLS/SSL ( Certificados de seguridad o “ El candado “ ) por que la seguridad que da la conexión cifrada evita que privoxy pueda filtrar cualquier medio de espionaje. Para esta demostración hice un rápido y sencillo programa en PHP que crea un perfil del usuario en una simple cookie, la más básica de todas. Sin embargo esto podría ser tan complicado como se necesite, usar cookies en flash, usar java, usar javas desactualizados y con vulnerabilidades. Se me ocurren N cantidad de formas de quitarle el anonimato a los que usan TOR. En mi sitio WEB cuando se entra usando TOR inmediatamente brinca un anuncio que te informa de que no pienses que me has engañado se que usas TOR y hare un perfil de ti ¿ por que ? mi sitio no guarda secretos, si alguien entra usando TOR seguro que es un delincuente informático tratando de hackear sin dejar rastro.
Sitios como MexicoLeaks que se apoyan de TOR para guardar el anonimato de sus informantes comenten un gran error al usar certificado de seguridad en su página de front end, la cual es usada como salto hacia el dominio .onion de este modo todos pasan por esa página en algún momento tanto los que usan TOR como los que llegan a curiosear y después usan TOR en ese momento se hace el match del perfil de usuario, quien es relacionándolo con quien era cuando no usaba la conexión TOR.
La forma en de evitar esto podría llegar a ser relativamente fácil para las personas más experimentadas, pero en sitios como Mexicoleaks no se esperan expertos informáticos, sino informantes que no necesariamente saben más que dar click en una computadora, sin embargo hasta los más experimentado podrían tener problemas si esto se sube a nivel flash o explotar otras vulnerabilidades con Java entre otras mas que hay por ahí.
El siguiente video muestra el laboratorio práctico