Nodos de salida de Tor: no siempre son una amenaza
Un nodo de salida de Tor es el último relé de un circuito de Tor, el servidor cuya dirección IP pública ven los sitios web cuando un usuario de Tor se conecta a ellos. El tráfico de un nodo de salida está anonimizado por diseño, lo que lo hace parecer inusual, pero no es automáticamente malicioso, y tratarlo como tal bloquea a muchas personas legítimas.
Cómo funciona un circuito de Tor
Tor construye un circuito de tres relés. El guardia de entrada conoce la dirección IP real del usuario pero no el destino. El relé intermedio solo conoce a sus vecinos. El relé de salida descifra la última capa y envía la solicitud al servidor de destino, por lo que conoce el destino pero no quién lo solicita. Cada salto añade una capa de cifrado, de donde viene el término enrutamiento cebolla. Ningún relé ve los dos extremos de la conversación.
La consecuencia para el operador del sitio es que la dirección de cliente visible es la del relé de salida, no la del usuario. Una salida puede transportar tráfico de miles de personas al mismo tiempo, por lo que una sola dirección puede parecer navegar por sitios de muchos países en cuestión de minutos y por lo que una búsqueda de país o ciudad sobre ella describe la ubicación de alojamiento del relé, no la de ningún visitante. Para saber más sobre por qué la ubicación describe una red y no a una persona, consulta por qué la ubicación de una IP se equivoca sobre las personas.
Quién usa realmente Tor
Los periodistas protegen a sus fuentes con él, las personas de países restrictivos lo usan para llegar a sitios bloqueados y las personas preocupadas por la privacidad lo usan para evitar el rastreo. Esos usuarios representan una parte significativa del tráfico de Tor, y una regla que deniega toda la red los trata como sospechosos por la herramienta que han elegido. También existe el abuso: el credential stuffing, el scraping y el spam pueden usar Tor, porque es gratuito y fácil. El resumen honesto es que la red es mixta, y el indicador te informa de la ruta, no de la intención.
Detectar el tráfico de Tor
Los relés de salida se publican como parte del directorio de la red Tor, por lo que la detección es una consulta contra una lista de direcciones de salida vigentes. El problema es la actualidad, ya que los relés entran y salen constantemente, como se explica en por qué las listas estáticas de nodos de salida de Tor se quedan obsoletas. La consulta de IP de ipto devuelve un indicador is_tor, con sus feeds de amenazas actualizándose cada 6 horas, y puedes probar una dirección en el verificador de VPN, Tor y proxy. Un resultado negativo significa «no conocida como Tor», no una garantía.
La misma respuesta incluye también is_abuser, is_vpn e is_datacenter, además de asn y la organización propietaria. Leerlos juntos es lo importante: is_tor: true con is_abuser: false describe una ruta de privacidad sin historial negativo conocido, lo que requiere un tratamiento distinto al de una dirección de Tor que además aparece en feeds de abuso. El verificador de abuso de IP muestra cómo se corrobora esa reputación entre varias fuentes en lugar de depender de una sola.
Operar un relé de salida
Los operadores de salidas cargan con una responsabilidad particular, porque las quejas por abusos de lo que hagan sus usuarios llegan a la dirección del operador. Muchos publican un aviso en la dirección IP del relé explicando que es una salida de Tor y que el operador no controla el tráfico, y canalizan las quejas a través de los datos de contacto del registro. Si investigas un abuso procedente de una dirección de salida, la búsqueda WHOIS de IP muestra el registro y el contacto de abusos del bloque, que suele ser un proveedor de alojamiento o una organización que gestiona relés a sabiendas. Informar del incidente ahí es más útil que escalarlo en cualquier otro sitio, ya que el operador no puede ver quién era el usuario concreto.
Tratar el tráfico de Tor con sensatez
La política correcta depende de lo que estés protegiendo. Un sitio de noticias público tiene pocos motivos para tratar a los visitantes de Tor de forma distinta a los demás, mientras que un formulario de pago o un flujo de recuperación de cuentas tiene motivos fundados para añadir fricción. Opciones intermedias entre permitir y denegar:
- Aplicar límites de frecuencia más estrictos a las direcciones de Tor en los endpoints de inicio de sesión, registro y búsqueda.
- Mostrar un desafío o exigir un segundo factor en acciones sensibles en lugar de rechazar la solicitud.
- Permitir la navegación de solo lectura y restringir la creación de cuentas o el pago.
- Incorporar el indicador de Tor a una decisión compuesta, por ejemplo el valor de 0 a 100 del verificador de puntuación de fraude, en lugar de actuar solo en función de él.
- Registrar la señal que llevó a cada decisión para poder revisar los falsos positivos.
A veces las necesidades normativas o contractuales sí exigen bloquear redes anonimizadoras, por ejemplo por cumplimiento de licencias o sanciones, y esa es una decisión empresarial legítima. Simplemente tómala de forma deliberada, sabiendo que también excluirá a personas que no han hecho nada malo y que un bloqueo basado en una lista desactualizada se equivocará en ambos sentidos.