Cuando, a principios de este mes, se publicaron los informes que revelaban que la Agencia de Seguridad Nacional (NSA por sus siglas en inglés) podía revertir la protección ofrecida por Tor, una herramienta para lograr el anonimato en internet, muchos activistas y otros que dependen de ella tuvieron unas cuantas razones para sentir pánico. A pesar del tono alarmista de algunos titulares, las técnicas descubiertas se basaban más en el ataque a software como navegadores web que al propio Tor. Después de analizar los documentos filtrados de la NSA, el Proyecto Tor declaró: "No existen indicios de que sean capaces de romper el protocolo Tor".

Aún así, el Proyecto Tor está intentando desarrollar modificaciones clave en el funcionamiento de su herramienta para fortalecerla ante la posibilidad de que se pudiera ver comprometida. Ahora, investigadores del Laboratorio de Investigación Naval de Estados Unidos han descubierto que el diseño de Tor es más vulnerable de lo que se creía a un tipo de ataque que la NSA y las agencias gubernamentales de otros países podrían emplear para sacar del anonimato a quienes usan Tor.

Tor impide que el usuario deje muchas de las pistas habituales que permiten que un gobierno y un proveedor de internet sepan a qué sitios webs u otros servicios se está conectando. Los usuarios de la herramienta van desde la gente que intenta evadir los cortafuegos de las empresas, a activistas, disidentes, criminales y los empleados del gobierno de Estados Unidos con adversarios más sofisticados.

Al instalarte el software de cliente de Tor, tu tráfico de entrada y salida coge una ruta indirecta por internet, saltando a través de una red de computadoras "relevo" gestionadas por voluntarios en todo el mundo. Los paquetes de datos que van saltando por esa red están encriptados para que los relevos sólo conozcan el punto anterior y el siguiente del camino. Así, aunque un relevo se vea comprometido, no debería poder revelarse la identidad de los usuarios y los detalles de su navegación.

Sin embargo, existe una nueva investigación que demuestra cómo una agencia gubernamental podría averiguar la fuente real y el destino del tráfico de Tor con relativa facilidad. Los investigadores del Laboratorio de Investigación Naval de Estados Unidos Aaron Johnson y sus compañeros, han descubierto que la red de Tor es vulnerable a un tipo de ataque conocido como análisis de tráfico.

Este tipo de ataque implica observar el tráfico de datos de internet que entran y salen de la red Tor y buscar patrones que revelen a qué servicios de internet están accediendo una conexión específica y, presumiblemente su dueño, a través de Tor. Johnson y su equipo demostraron que el método puede ser muy eficaz para una organización que contribuya con relevos a la red Tor y que, además, tenga la capacidad de vigilar parte del tráfico de internet vía proveedores de internet.

"Nuestro análisis demuestra que un adversario moderado que fuera relevo en la red de Tor podría sacar del anonimato al 80% de todas las clases de usuarios en menos de seis meses", apuntan los investigadores en un artículo sobre sus hallazgos. "Estos resultados son un poco descorazonadores para la seguridad actual de la red Tor".  El trabajo de Johnson se presentará en la Conferencia ACM sobre Seguridad Informática y de Telecomunicaciones que se celebrará en Berlín (Alemania) el mes que viene.

Johnson ha declarado a MIT Technology Review que quienes usan la red Tor para protegerse de adversarios poco potentes, como los cortafuegos de las empresas, probablemente no se vean afectados por este problema. Pero cree que quienes usan Tor para evadir la atención de las agencias de seguridad nacionales tienen motivos para estar preocupados. "Hay muchos casos plausibles en los que alguien podría tener el control de un proveedor de internet", afirma Johnson.

Además, explica que para mitigar el problema descubierto por su investigación, habría que ajustar el funcionamiento de Tor. Opinión que comparte uno de los desarrolladores originales de Tor y actual director del proyecto, Roger Dingledine.

"En el artículo queda claro que *sí* existen escenarios realistas en el que los usuarios de Tor se encuentran en situación de riesgo de que haya un adversario observando la infraestructura de internet cercana", escribió Dingledine en una entrada de blog la semana pasada. Señala que alguien que usara Tor para visitar un servicio albergado en el mismo país -pone el ejemplo de Siria- estaría corriendo un riesgo aún más elevado. En esa situación, sería sencillo hacer una correlación del tráfico porque las autoridades pueden vigilar tanto la infraestructura de internet que sirve al usuario de Tor, como al servicio al que se está conectando este.

Dingledine está considerando la posibilidad de hacer cambios en el protocolo de Tor que ayuden a subsanar el problema. En su encarnación actual, el cliente de Tor escoge tres puntos de entrada en la red Tor y los usa durante 30 días antes de escoger otros tres. Pero cada vez que se seleccionan nuevos guardias, el cliente corre el riesgo de escoger uno que pueda estar controlado o vigilado por un atacante que use análisis de tráfico. Modificar los ajustes del cliente de Tor para escoger menos guardias y para cambiarlos con menos frecuencia serviría para que los ataques de correlación de tráfico fueran menos eficaces. Pero hacen falta más investigaciones antes de poder hacer un cambio de este tipo en el diseño de Tor.

No está claro que la NSA o la agencia de seguridad de cualquier otro país estén usando activamente el análisis de datos tráfico contra Tor. Los informes de este mes, basados en documentos filtrados por Edward Snowden, no decían si la NSA se dedica a hacerlo o no. Pero una presentación de 2012 que se indica que está basada en material de 2007, entre los documentos revelados por el periódico The Guardian, y un informe de investigación de 2006 de la NSA  sobre Tor, revelado por el periódico The Washington Post, sí que mencionan dichas técnicas.

El investigador del Instituto Max Planck para Sistemas de Software en Kaiserlauten (Alemania), Stevens Le Blond, supone que es probable que a estas alturas la NSA y las agencias equivalentes sean capaces de usar la correlación de tráfico si lo desean. "Desde 2006 la comunidad académica ha hecho producido mucha investigación en el análisis de tráfico y ha desarrollado ataques mucho más sofisticados que los que se describen en este informe". Le Blond califica los potenciales ataques detallados por Johnson como "un grave problema".

Le Blond está trabajando en el diseño de una red para el anonimato alternativa llamada Aqua, diseñada para protegerse contra la correlación de tráfico. El tráfico que entre y salga de una red Aqua se hace indistinguible midiendo con muchísima precisión los tiempos y añadiendo algo de tráfico falso a la mezcla. Sin embargo, el diseño de Aqua aún tiene que ponerse en marcha en software utilizable, y por ahora sólo puede proteger los archivos compartidos y no todos los tipos de uso de internet.

De hecho, a pesar de sus puntos débiles, Tor sigue siendo, en esencia, la única herramienta práctica disponible para la gente que necesita o quiere mantener su tráfico en internet en el anonimato. Según el profesor ayudante de la Universidad Northeastern (EEUU) que ha ayudado a diseñar Aqua, David Choffnes,  "ahora mismo, el panorama de los sistemas de privacidad es pobre porque es muy difícil sacar un sistema que funcione y se hace muchísimo más trabajo para atacar estos sistemas que para construir sistemas nuevos".