¿Es Seguro el Navegador Tor? Qué Protege y Qué No

El Navegador Tor es una herramienta de privacidad legítima y es seguro usarlo siempre que lo descargues del sitio web oficial de Tor Project y lo mantengas actualizado. Oculta tu dirección IP a los sitios que visitas. Dificulta que te rastreen por la web. Normalmente impide que tu proveedor de internet o una red Wi-Fi compartida vean qué sitios visitas.

Tor no te hace completamente anónimo. No te protege de un sitio de phishing, una descarga maliciosa, un dispositivo infectado o información que tú mismo escribes en un formulario. Bajo condiciones específicas, un atacante con muchos recursos también usa análisis avanzado de tráfico para sortear las protecciones de Tor. El resto de este artículo explica cada uno de estos puntos en términos sencillos.

De Qué te Protege Tor

El Navegador Tor frente a la Red Tor

El Navegador Tor es la aplicación que instalas. Tor, o "la red Tor", es el sistema de repetidores gestionados por voluntarios a través del cual te conectas. Piensa en el Navegador Tor como un navegador normal con este enrutamiento integrado, más protección adicional contra el rastreo.

Para un sitio web común, tu conexión sigue esta ruta:

Tu dispositivo → Repetidor de entrada → Repetidor intermedio → Repetidor de salida → Sitio web

Tor cifra tu tráfico en capas mientras recorre esta ruta. Cada repetidor solo conoce el paso anterior y el siguiente, nunca la ruta completa. El repetidor de entrada ve tu dirección IP real pero no qué sitio estás visitando. El repetidor de salida ve qué sitio estás visitando pero no quién eres.

Los servicios onion, los sitios .onion, funcionan de forma distinta. Tu conexión permanece dentro de la red Tor todo el trayecto y nunca llega a un repetidor de salida.

Dónde Entra HTTPS

El propio cifrado de Tor cubre tu tráfico dentro de la red Tor. Lo que ocurre después del repetidor de salida depende del sitio web en sí.

Si el sitio usa HTTPS, como hacen la mayoría hoy en día, este último tramo también está cifrado por separado. El repetidor de salida ve a qué sitio te diriges. No ve el contenido de la página, tu contraseña ni tus mensajes.

Si el sitio solo usa HTTP, este último tramo no está cifrado. El repetidor de salida, o cualquiera posicionado en ese tramo de la conexión, técnicamente ve el contenido sin cifrar. Esto no es específico de Tor. Es así con HTTP en cualquier red, con o sin Tor de por medio.

El modo HTTPS-Only del Navegador Tor fuerza las conexiones a HTTPS siempre que un sitio lo admite. Como explica la Electronic Frontier Foundation en su explicación interactiva sobre Tor y HTTPS, comprobar el icono del candado y el dominio correcto en la barra de direcciones sigue siendo importante, igual que en cualquier navegador.

Más allá de ocultar tu IP, el Navegador Tor también resiste el fingerprinting del navegador, es decir, identificarte por tu dispositivo y configuración en vez de por tu IP. Tor logra esto haciendo que los usuarios de Tor se parezcan lo más posible entre sí.

Quién Ve tu Actividad Cuando Usas Tor

Aquí tienes una forma sencilla de pensarlo. La pregunta real no es si eres anónimo. Es quién ve qué y en qué punto. Para una conexión típica a un sitio web HTTPS común:

Este es un panorama simplificado. Asume que tu dispositivo no está ya comprometido y que nadie está correlacionando tráfico en varios puntos de la red a la vez, un caso que se explica más adelante.

Por ejemplo: si inicias sesión en una cuenta personal a través de Tor, ese sitio sabe quién eres. Tu dirección IP real permanece oculta para él. Tu proveedor de internet no ve qué ocurre dentro de esa sesión iniciada.

Cuáles Son los Riesgos Reales de Usar Tor

Sitios Web Maliciosos y Descargas

Tor no comprueba si un sitio web o una descarga es segura. Una página de phishing sigue siendo una página de phishing, la alcances a través de Tor o de un navegador normal. Un archivo malicioso sigue siendo malicioso. Tor solo protege la ruta que sigue tu tráfico para llegar allí.

Sitios sin Cifrar y Repetidores de Salida

Si visitas un sitio HTTP simple a través de Tor, el repetidor de salida técnicamente ve lo que envías y recibes. Esto es así en cualquier conexión sin cifrar, en cualquier red. Esto no aplica a los sitios HTTPS, donde el contenido permanece cifrado más allá del repetidor de salida. Vigilar que haya HTTPS es una de las formas más simples de reducir este riesgo.

Revelar tu Identidad tú Mismo

La mayor brecha entre "usar Tor" y "ser anónimo" suele ser el usuario, no la red. Si rellenas un formulario con tu nombre o correo, o inicias sesión en una cuenta personal, esa información llega directamente al sitio. Tor Project lo dice sin rodeos: en cuanto le das a un sitio tu nombre, correo, dirección o número de teléfono, dejas de ser anónimo para ese sitio, sin importar lo bien oculta que esté tu dirección IP.

Fallos del Navegador y Rastreo Avanzado

Como cualquier navegador, el Navegador Tor ocasionalmente tiene fallos, por eso importa usar la versión actual. Un riesgo aparte viene de un observador con muchos recursos capaz de vigilar el tráfico en varios puntos de la red a la vez, donde entra y donde sale. Bajo las condiciones adecuadas, este observador cruza estadísticamente ambos puntos y socava las protecciones de Tor. Un sitio web común o la red de una cafetería no logran hacer esto. Describe un ataque específico y que exige muchos recursos, del que se habla a continuación, no un riesgo cotidiano para una sesión de navegación típica.

Qué Nos Dicen la Investigación Independiente y las Auditorías

Los investigadores de seguridad han auditado el Navegador Tor más de una vez. Cure53, una firma de seguridad independiente, revisó el Navegador Tor y herramientas relacionadas en 2022, 2023 y de nuevo tras una actualización posterior de la interfaz. En conjunto, estas auditorías encontraron y ayudaron a corregir varias vulnerabilidades, incluyendo un par de alta gravedad, además de algunas debilidades de menor riesgo. Todas se corrigieron.

El propio resumen de estas auditorías de Tor Project lo plantea con claridad: las auditorías independientes han encontrado y ayudado a corregir vulnerabilidades en el Navegador Tor y componentes relacionados. Sus resultados respaldan la confianza en las áreas evaluadas, pero no garantizan que cada parte de Tor esté libre de vulnerabilidades.

Una cuestión aparte es la correlación de tráfico: cruzar el tráfico que entra en la red Tor con el que sale, para identificar quién habla con quién. Un estudio de 2018 llamado DeepCorr usó aprendizaje automático para hacer esto con alta precisión en una prueba de laboratorio. El atacante en esa prueba ya tenía visibilidad del tráfico tanto en el punto de entrada como en el de salida, algo que un sitio web o una red comunes no tienen normalmente. El estudio demuestra que la correlación de tráfico es posible bajo las condiciones adecuadas. No mide qué tan probable es que una sesión típica de Tor sea desenmascarada así en la práctica. No fue diseñado para eso.

Cómo Usar el Navegador Tor de Forma Segura

Una lista breve, basada en las indicaciones oficiales de Tor Project:

• Descarga el Navegador Tor solo desde el sitio oficial de Tor Project. Las copias modificadas de otros sitios a veces se saltan estas protecciones.
• Manténlo actualizado. Las actualizaciones incluyen las correcciones de las auditorías mencionadas y cualquier otra desde entonces.
• Usa los niveles de seguridad integrados en vez de cambiar docenas de ajustes a mano. Consulta la tabla más abajo.
• Evita extensiones adicionales. Tor Project aconseja no añadirlas, ya que a veces sortean las protecciones de Tor o te hacen más fácil de identificar.
• Ten cuidado con lo que escribes en formularios. Un nombre, correo o dirección que envías llega a ese sitio sin importar lo bien que Tor oculte tu IP.
• No abras documentos descargados en otras apps mientras sigues conectado. Archivos como PDF y DOC se conectan silenciosamente a internet fuera de Tor y revelan tu dirección IP real.
• No uses BitTorrent a través de Tor. Las apps de torrent suelen filtrar tu dirección IP real a través de la solicitud al tracker, sin importar tu configuración de proxy. También ralentiza la red para todos los demás.

Standard, Safer o Safest

Tor Project describe tres niveles de seguridad integrados, ajustables desde un solo menú:

Standard no es inseguro. Es el ajuste que la mayoría de la gente usa sin que los sitios fallen. Safer y Safest sacrifican algo de comodidad por una superficie de ataque menor. Cuál te conviene depende de qué estés haciendo y de quién te quieras proteger, no es una regla fija para todo el mundo.

Necesitas una VPN con Tor

No. Una VPN no es obligatoria para usar Tor de forma segura. Las indicaciones oficiales de Tor Project generalmente desaconsejan combinar una VPN con Tor a menos que sepas configurar ambas correctamente. Hecho mal, reduce tu anonimato en vez de mejorarlo. Una VPN cambia en quién confías y qué es visible en cada punto de la conexión, sin hacerte automáticamente más anónimo.

Tu preocupación aquí podría ser distinta: no quieres que tu red vea que estás usando Tor en absoluto, sin importar lo que hagas con él. Los bridges resuelven ese problema específico, permitiéndote conectar a la red Tor de forma menos visible. Una VPN resuelve un problema diferente. Los bridges hacen que el uso de Tor sea más difícil de notar, no imposible de detectar.

Usar Tor como tu Navegador de Todos los Días

Los sitios comunes funcionan a través de Tor de la misma forma que en cualquier navegador. Que tenga sentido para el día a día depende de para qué lo necesites.

Espera algo de fricción. Las páginas cargan más lento, ya que el tráfico rebota por tres repetidores en vez de ir directo. Algunos sitios añaden CAPTCHAs extra o bloquean directamente las IPs de salida de Tor, tratando ese tráfico como más sospechoso que una conexión ordinaria. Iniciar sesión en cuentas personales sigue identificándote ante esos sitios concretos. Ocultar tu IP no cambia lo que un sitio en el que ya iniciaste sesión sabe de ti. El Navegador Tor también solo protege el tráfico que pasa a través de él. No protege otras apps del mismo dispositivo.

Si lo que principalmente quieres es ocultar tu origen de red o reducir el rastreo, Tor encaja bien para el uso diario. Si los compromisos de Tor (velocidad más lenta, fricción ocasional en algunos sitios) no te convencen, vale la pena comparar con un navegador normal enfocado en privacidad. Brave y Sigma Browser (nuestro propio navegador) integran bloqueo de anuncios y rastreadores en un navegador basado en Chromium para el uso diario, aunque ninguno oculta tu dirección IP como lo hace Tor. Consulta nuestro análisis de las ventajas y desventajas de seguridad y privacidad de Brave.