Por qué una lista estática de salidas de Tor caduca
Una lista de IP de nodos de salida de Tor es una lista de las direcciones públicas desde las que el tráfico de Tor sale de la red y llega a sitios web corrientes, y una copia guardada una sola vez empieza a degradarse de inmediato. Los relés de salida los gestionan voluntarios, entran, salen y cambian de dirección constantemente, de modo que cualquier lista congelada en un archivo o codificada en una regla de cortafuegos se aleja de la realidad en cuestión de horas.
Por qué la lista cambia tan deprisa
La red Tor publica aproximadamente cada hora un consenso que enumera los relés que se están ejecutando y los indicadores que tienen, incluido el indicador Exit. Los relés los operan particulares, universidades, organizaciones sin ánimo de lucro y clientes de alojamiento, y muchos se ejecutan en servidores virtuales alquilados que se cancelan, se reaprovisionan o se trasladan entre proveedores. Cuando un relé se detiene, su dirección vuelve a un grupo de alojamiento y puede asignarse a un cliente totalmente ajeno. Cuando aparece una salida nueva, tu copia no la conoce hasta que vuelves a descargarla.
Las políticas de salida añaden otra complicación. Un relé puede ser salida para algunos puertos y no para otros, y un operador puede cambiar la política sin cambiar la dirección. Una lista que solo registra direcciones no puede representar ese matiz, por lo que exagera lo que hace cada IP y, al mismo tiempo, pasa por alto a los recién llegados.
Qué falla con una lista obsoleta
Hay dos modos de fallo, y ambos te cuestan. El primero son los falsos negativos: una salida recién iniciada no está en tu lista, así que el tráfico que querías tratar de otro modo pasa sin marcar. El segundo son los falsos positivos, que suelen ser los más dañinos. Una dirección que antes era una salida es ahora un cliente de alojamiento normal, un pequeño negocio o una línea residencial, pero tu lista congelada sigue etiquetándola como Tor. Se plantean desafíos o se bloquea a usuarios reales por algo que no están haciendo, y nadie se da cuenta porque la regla parece correcta en la configuración.
Las listas obsoletas también tientan a bloquear rangos enteros para compensar las lagunas. Eso multiplica los falsos positivos, porque los vecinos de un relé en un rango de alojamiento suelen ser servicios sin relación. Si necesitas más contexto sobre por qué un indicador de Tor por sí solo es un motivo débil para denegar el acceso, consulta los nodos de salida de Tor, explicados.
Cómo es un enfoque más actualizado
La solución no es una coincidencia ingeniosa, sino un intervalo de actualización corto y una forma de dar de baja entradas antiguas. Descarga la lista según un calendario, sustitúyela de forma atómica en lugar de ir añadiendo indefinidamente y trata la antigüedad de los datos como parte de la respuesta. Si tu última actualización correcta es más antigua que tu tolerancia, opta por una respuesta más suave, como un desafío, en lugar de un bloqueo definitivo.
ipto hace esto como servicio: los feeds de amenazas de VPN, Tor y abuso se actualizan cada 6 horas, y los conjuntos de datos de IP y ASN a diario. Una consulta de IP devuelve is_tor junto con is_vpn, is_abuser e is_datacenter, de modo que lees el estado actual en cada solicitud y no tienes que mantener un archivo. Puedes probar una dirección en el verificador de VPN, Tor y proxy, o explorar las listas publicadas en la página de feeds de amenazas para ver cómo son los datos actuales.
Ni siquiera seis horas es tiempo real, y conviene ser honesto al respecto. Un relé que empezó hace una hora puede no estar todavía en los datos, y uno que se detuvo puede seguir marcado hasta la siguiente actualización. Un resultado negativo significa «no conocida como Tor», no «ciertamente limpia».
Usar los datos de Tor sin depender en exceso de ellos
Como la lista siempre es ligeramente incorrecta, toma decisiones que toleren el error. Combina el indicador de Tor con otras pruebas en lugar de actuar solo en función de él. El verificador de abuso de IP corrobora entre varios feeds, lo que ayuda a distinguir a un visitante preocupado por la privacidad de una dirección que realmente se está portando mal, y el verificador de puntuación de fraude integra varias señales en un único valor de 0 a 100 sobre el que puedes fijar umbrales.
- Guarda en caché las consultas durante menos que el intervalo de actualización del feed, no durante días.
- Prefiere un desafío, un límite de frecuencia o un paso de verificación adicional a un bloqueo permanente.
- Registra qué señal desencadenó una acción para poder revisar después los falsos positivos.
- Vuelve a comprobar las direcciones que bloqueaste antes; una decisión antigua sobre una IP puede que ya no se aplique.
El punto central es sencillo: la red Tor es un objetivo móvil, y la propiedad útil de una lista de Tor es su actualidad y no su tamaño. Trata cualquier instantánea estática como un registro histórico y prefiere datos con una cadencia de actualización declarada sobre la que puedas razonar.