Tor 1

Tor

Tor

Desarrollador

The Tor Project[]

www.torproject.org [1]

Información general

Lanzamiento inicial 20 de septiembre de 2002[]

Última versión estable 0.2.3.25 (info [2])3 de diciembre de 2012

Última versión en pruebas 0.2.4.11-rc (info [3])19 de marzo de 2013

Género Onion routing, Anonymity, Cultura libre, Comunidad

Programado en C

Sistema operativo Multiplataforma

Licencia licencia BSD

En español

The Onion Router, en su forma abreviada Tor, es un proyecto cuyo objetivo principal es el desarrollo de una red decomunicaciones distribuida de baja latencia y superpuesta sobre internet en la que el encaminamiento de losmensajes intercambiados entre los usuarios no revela su identidad, es decir, su dirección IP (anonimato a nivel dered) y que, además, mantiene la integridad y el secreto de la información que viaja por ella. Por este motivo se diceque esta tecnología pertenece a la llamada darknet o red oscura.Para la consecución de estos objetivos se ha desarrollado un software libre específico. Tor propone el uso deencaminamiento de cebolla de forma que los mensajes viajen desde el origen al destino a través de una serie derouters especiales llamados 'routers de cebolla' (en inglés onion routers). El sistema está diseñado con la flexibilidadnecesaria para que pueda implementar mejoras, se despliegue en el mundo real y pueda resistir diferentes tipos deataque. Sin embargo, tiene puntos débiles y no puede considerarse un sistema infalible.No es una red entre iguales (peer-to-peer) ya que por un lado están los usuarios de la red y por otro lado losencaminadores del tráfico y algunos de los cuales hacen una función de servicio de directorio.La red funciona a partir de un conjunto de organizaciones e individuos que donan su ancho de banda y poder deprocesamiento.

Tor 2

Historia[4]Creado en 2003 por Roger Dingledine, Nick Mathewson y Paul Syverson surgió como la evolución del proyectoOnion Routing del Laboratorio de Investigación Naval de los Estados Unidos (por eso se dice que es la segundageneración de onion routing). Inicialmente[5] financiado por el Laboratorio de Investigación Naval de los EstadosUnidos. A finales de 2004 pasó a ser patrocinado por la Electronic Frontier Foundation, la organización de defensade libertades civiles en el mundo digital, hasta noviembre de 2005. Actualmente el proyecto Tor está en manos del'Tor project' una organización sin ánimo de lucro orientada a la investigación y la educación, radicada enMassachusetts y que ha sido financiada por distintas organizaciones.[6] Actualmente el proyecto está formado por unequipo[7] liderado por Roger Dingledine.En marzo de 2011 el proyecto Tor fue galardonado por la Free Software Foundation como Proyecto de beneficiosocial por 'Usando software libre, permitir que más de 36 millones de personas a lo largo del mundo tengan unaexperiencia de libertad de acceso y de expresión en Internet manteniendo su privacidad y anonimato'.

Aplicación y limitaciones[4]El objetivo principal de Tor (no logrado al 100%) es conseguir que internet pueda usarse de forma que elencaminamiento de los mensajes proteja la identidad de los usuarios. Es decir, persigue que no se pueda rastrear lainformación que envía un usuario para llegar hasta él (su dirección IP). El uso más habitual de Tor es aprovechar suscaracterísticas para lograr cierto grado de privacidad en la navegación web en internet. Sin estar especialmentediseñado para ello, pronto se descubrió que Tor también hace más difícil la labor de programas que intentan censurary/o monitorizar el acceso a cierto tipo de contenidos. Todo esto ha provocado que Tor sea muy usado en entornos enlos que los comunicantes están especialmente motivados en proteger su identidad y el contenido de suscomunicaciones (Ej. conflictos políticos, restricciones en la difusión y acceso a ciertos tipos de contenido,comunicación de información confidencial etc.)[8]Observar que el enrutado anónimo no asegura el que la entidad origen sea desconocida para la entidad destino.Esto es debido a que los protocolos de nivel superior pueden transmitir información sobre la identidad. Por ejemploun servicio web puede usar cookies o simplemente pedir que nos identifiquemos. Cuando queremos un anonimato anivel de aplicación es bueno configurar el cliente adecuadamente y protegernos usando proxys que modifican loscontenidos en este sentido. Por ejemplo para conseguir más privacidad cuando navegamos por la web esrecomendable configurar el navegador adecuadamente (Ej. deshabilitando cookies, no permitiendo plugins Java,Flash o ActiveX, o deshabilitando el historial) y redirigir el tráfico hacia un proxy web intermedio (Ej. privoxy opolipo) que nos filtre contenido que puede ser aprovechado para violar nuestra privacidad (Ej cookies o cabecerasHTTP que puedan ser usadas para identificar).La red Tor cifra la información a su entrada y la descifra a la salida de dicha red (encaminamiento de cebolla). Portanto el propietario de un router de salida puede ver toda la información cuando es descifrada antes de llegar aInternet, por lo que aunque no pueda conocer el emisor sí que puede acceder a la información. Esta debilidad ha sidoaprovechado por algunos atacantes. Por ejemplo Dan Egerstad, un sueco experto en seguridad informática, creó unservidor en la red Tor y controlando toda la información que salía por él hacia Internet, pudo conseguir contraseñasde importantes empresas, embajadas de todo el mundo y otras instituciones. Para paliar esta debilidad y asegurarnosde que nadie accede a la información que se está enviando, es recomendable usar un protocolo que provea cifrado alprotocolo de aplicación como SSL). Por ejemplo para tráficos HTTP es recomendable usarlo sobre SSL (HTTPS).Como hemos comentado Tor es usado principalmente para ocultar la identidad de los usuarios que utilizan servicioshabituales de internet. Sin embargo también proporciona características que permiten la comunicación interactiva deentidades que quieren ocultar su identidad (mediante los llamados puntos de encuentro) y proveer serviciosocultando la identidad de la entidad que provee dicho servicio (mediante los llamados servicios ocultos).

Tor 3

Interfaz de entradaTor sólo permite anonimizar tráfico TCP. Las aplicaciones acceden a la red TOR a través del interfaz SOCKS lo cualsignifica que toda aplicación con soporte SOCKS puede usar TOR para realizar comunicaciones anónimas sinnecesidad de modificaciones adicionales. El cliente Tor recibe tráfico SOCKS desde nuestras aplicaciones y luego,de forma transparente, se encarga de comunicarse con los routers de la red Tor para enviar las peticiones yposteriormente devolvernos los resultados.SOCKS es un protocolo que facilita el enrutamiento de paquetes que se envían entre un cliente y un servidor a travésde un servidor proxy. Según la pila de protocolos OSI está en el nivel 5 (sesión). Según la pila de protocolos IP estáen la capa de aplicación. En los primeros intentos de usar encaminamiento de cebolla se requería un proxy deaplicación para cada protocolo de aplicación soportado. Esto conllevaba mucho trabajo y provocaba que algunosproxys no fueran escritos nunca y por tanto algunas aplicaciones nunca fueron soportadas. Tor usa SOCKS para,deun plumazo, soportar la mayoría de programas basados en TCP sin hacer ninguna modificación.Observar que cuando navegamos por internet hacemos dos tipos de peticiones:• Peticiones DNS para que el servidor de DNS que nos diga la dirección IP de una URL• Peticiones HTTP a las direcciones IP del servidor web que aloja la información.Si no pasamos por Tor las búsquedas con DNS que hacen los navegadores, pueden ser un problema de privacidad yaque si las peticiones se mandan directamente a través de la red regular un atacante podría deducir qué sitios se estánvisitando a través de Tor ya que antes de navegar por ellos se pregunta por DNS que IP tienen. Por tanto es necesarioredirigir el tráfico de DNS por la red Tor.Algunas aplicaciones convierten directamente el tráfico del protocolo la capa de aplicación en tráfico SOCKS. Porejemplo Firefox permite convertir tanto el tráfico DNS como el HTTP a SOCKS y enviarselo al cliente Tor. Otrasaplicaciones necesitan redirigir el tráfico del protocolo de la capa de aplicación hacia un proxy que realice laconversión al protocolo SOCKS. Por ejemplo si tuvieramos un navegador que no permitiera el tráfico HTTP y DNSvía SOCKS podría usar privoxy para realizar esta tarea (y podríamos aprovechar para filtrar las peticiones HTTP). Sitenemos una aplicación genérica que no soporta SOCKS y queremos que su tráfico TCP se convierta a formatoSOCKS para luego pasarlo al cliente Tor es necesario utilizar una aplicación adicional. En linux podríamos usar elcomando torify (de ahí viene el término torificar). En Windows podríamos usar Freecap (software libre), SocksCapo Torcap.

Funcionamiento

Tor 4

ComponentesLa red está formada por una serie de nodos que se comunican mediante el protocolo TLS sobre TCP/IP manteniendoasí secreta e íntegra (no modificaciones externas) la información desde un nodo a otro. Hay 2 tipos de entidades:• Nodos OR o simplemente OR ( del inglés Onion Router): Funcionan como encaminadores y en algunos casos

además como servidores de directorio (DNS) de una especie de servicio de mantenimiento. Los nodos ORmantienen una conexión TLS con cada uno de los otros OR. Las conexiones OR-OR no son nunca cerradasdeliberadamente salvo cuando pasa cierto tiempo de inactividad. Cuando un OR comienza o recibe nuevainformación de directorio él intenta abrir nuevas conexiones a cualquier OR que no esté conectado.

• Nodos OP o simplemente OP (del inglés Onion Proxy): Los usuarios finales ejecutan un software local que hacela función de nodo OP y que su función es obtener información del servicio de directorio, establecer circuitosaleatorios a través de la red y manejar conexiones de aplicaciones del usuario. Los OP aceptan flujos TCP deaplicaciones de usuarios y las multiplexa a través de la red OR's. Las conexiones OR-OP no son permanentes. UnOP debería cerrar una conexión a un OR si no hay circuitos ejecutándose sobre la conexión y ha vencido ciertotemporizador

Servicio de directorioEl servicio de directorio publica una base de datos que asocia a cada OR una serie de información (router descriptor).Esta información es accesible a todos los OR y a todos los usuarios finales y la usan para tener un conocimiento de lared. Si se tienen pocos servidores de directorio se corre el riesgo tener un punto cuyo fallo puede ocasionar el fallodel sistema completo. Por motivos de backup y de latencia los OR que dan el servicio de directorio mantienenduplicada la información pasándosela de unos a otros. Hay una serie de OR principales (autoridades de directorio) yluego hay otros secundarios que hacen de caches y backup (directory caches). Una lista de algunos servidores dedirectorio son distribuidos con TOR para facilitar la suscripción a la red (bootstrapping). Los servidores de directorioson en realidad un grupo establecido de ORs confiables. Para dar fiabilidad a la información que da el servicio dedirectorio las entradas son protegidas criptográficamente con firmas y sólo la información que proviene de ORsaprobados será publicada en la base de datos. Por tanto todo nodo nuevo tiene que ser previamente aprobado y deesta forma se evitan ataques en los que alguien añade muchos nodos no confiables. No hay sistema automático paraaprobar OR's; Los administradores del servidor de directorio lo hace manualmente.Cuando un OR se arranca, recolecta un conjunto de datos que lo describen a él, a su modo de funcionamiento ycapacidades. Ejemplos de este tipo de atributos son la dirección IP, nombre amigable para el usuario, versión delsoftware TOR, sistema operativo, clave pública, exit policies (restricciones a como puede funcionar el nodo si es elúltimo nodo de un circuito de datos Ej: definir una lista de direcciones IP y número de puertos a los cuales estádispuesto llevar el tráfico. Observar que usando esto se puede hacer que un nodo no pueda actuar como último nodode un circuito nunca). Toda esta información se publica a través del servicio de directorio.

Esquema básicoEl funcionamiento a grandes rasgos es el siguiente:• A partir de la información obtenida de su configuración y del servicio de directorio el OP decide un circuito por el

que van a circular los paquetes. Por defecto el circuito tienen 3 nodos OR.• El OP negocia, usando un enfoque telescópico, las claves de cifrado necesarias con cada OR del circuito para

proteger sus datos en todo el camino antes de realizar transmisión alguna. La obtención de las claves simétricas (AES-128), una para cada sentido de comunicación (Kf<- forward key, Kb<-backward key), se realiza a partir del protocolo de establecimiento de claves Diffie-Hellman para obtener una clave compartida y a partir de ella derivar las dos claves simétricas El circuito es construido desde el punto de entrada (usuario) de la siguiente forma: Los mensajes para negociar las claves de la comunicación entre ORn y ORn+1 se realizadas a petición del OP y retransmitiendo paquetes a través de los nodos OR1,... ORn. En cada paso los mensajes son cifrados con las

Tor 5

claves de sesión negociadas, o cuando no lo están, con la clave de cebolla del host que recibe el dato•• A continuación cifra el paquete que contiene la clave para el último OR del circuito,•• A continuación hace lo propio del penúltimo•• Hace lo mismo con todos los nodos hasta hacer lo propio con el paquete para el primer nodo.• Envía el paquete resultante al primer nodo del circuito. Observar que el paquete construido con este proceso se

puede considerar como un paquete envuelto en varias capas de cifrado. Por eso se usa la metáfora de la cebollapara describir este tipo de método de encaminamiento (encaminamiento de cebolla).

•• El primer OR quita 'su' capa de la cebolla y envía el paquete al siguiente nodo•• Según va llegando el paquete a cada OR éste pela la capa externa. De esta forma ningún OR puede hacerse con la

imagen completa del circuito ya que sólo conoce los OR/OP anterior y posterior.Como terminología se llama 'exit server' o 'exit node' al último servidor del circuito (y por tanto el único que secomunica con el destino), el primer OR se le llama 'entry node' (único que se comunica con el origen de lacomunicación) y al resto de nodos se les llama middle-node.Podemos observar que la forma en la que se establecen las claves y todas estas capas de cebolla que se construyencon ellas permiten que la información permanezca secreta mientras va circulando por el circuito de nodos OR.Además, al estar el cifrado de las capas basado en claves de sesión, aunque un atacante recopilara todos los mensajesno podría descifrarlos una vez que estas claves de sesión son descartadas por el OR (perfect forward secrecy).

Puntos de encuentroLa idea de los puntos de encuentro, denominados por las siglas RP (del inglés Rendezvous Points), es, en lugar deexplícitamente enviar un paquete a un destino, establecer un punto de encuentro que actúe como nivel de indirección.De esta forma desacoplamos el acto de enviar del acto de recibir. Cada extremo de la comunicación envía susmensajes a ese punto de encuentro y desde ahí son enviados a donde corresponda usando circuitos que esconden lalocalización del destino. Por ejemplo podríamos usar este sistema para conectarnos a un servidor de chat IRC.

Servicios ocultosLos servicios que ocultan la localización (por ejemplo, la dirección IP) de quien provee el servicio (Ej. un servicioweb accesible sólo desde la red de encaminamiento de cebolla) se les suele llamar servicios de localización oculta(en inglés location-hidden services) o simplemente servicios ocultos (en inglés hidden services).[9][10]Para soportar esta funcionalidad los proveedores de servicios generan una clave pública y privada para identificar su servicio. A continuación anuncian su servicio a distintos routers, haciendo peticiones firmadas con su clave pública, para que sirvan como punto de contacto. A los routers con esta función se les llama puntos de introducción, en inglés introduction point. El proveedor de servicio asocia a su servicio una FQDN del pseudo-TLD .onion y la publica en un servidor de directorio. La FQDN tiene la forma <valorhash>.onion donde el valor hash es de 16 caracteres en Base32 y está generado usando una función hash sobre la clave pública del servicio. Cuando un cliente se quiere conectar a cierta FQDN (por ejemplo ha encontrado la dirección a través de un sitio web) consulta un servicio de búsqueda (lookup service) y este le indica un punto de introducción (introduction point) y la clave pública del servicio. Observar que para mantener el anonimato es necesario que la consulta del servicio de búsqueda se realice a través de Tor. A continuación el cliente se conecta con un punto de encuentro (esto lo podría haber hecho antes) y se establece un identificador de esa conexión (rendezvous cookie). A continuación el cliente le envía un mensaje, firmado con la clave pública del servidor, al punto de introducción indicándole el punto de encuentro donde está, el identificador que permita identificar al cliente en el punto de encuentro (la rendezvous cookie) y parte del protocolo Diffie-Hellman ((start of a DH handshake). A continuación el punto de introducción envía el mensaje al servidor del servicio el cual determina si se conecta al punto de encuentro para proveerle el servicio o no. Si determina que quiere conectarse con él entonces se conecta al punto de encuentro y le indica a este el identificador del cliente con el que quiere conectarse (la rendezvous cookie), la segunda parte del Diffie-Hellman (the second half

Tor 6

of the DH handshake) y un hash de la clave que comparten. A continuación el punto de encuentro conecta a elcliente y el servidor y se establece una comunicación normal.

CélulasUna vez que se establece la conexión TLS, ya sea OP-OR o OR-OR, las entidades se envían paquetes de informaciónestructurada llamadas células. Estas células tienen tamaño fijo de 512 bytes y pueden ser enviadas en registros TLSde cualquier tamaño o dividido en varios registros. Los registros de TLS no tienen que revelar ninguna informaciónsobre el tipo o el contenido de las células que contiene. Varios circuitos pueden ser multiplexado sobre una mismaconexión TLS. Las células están formadas por una cabecera y una carga útil.Formato:

Formato de célula de Tor

• circID.- Es el identificador de circuito y especifica el circuito a elque se refiere la célula

• CMD.- Indica el comando que especifica el significado de la célula.Atendiendo al tipo de comando (valor de CMD) hay 2 tipos decélulas: Células de control y Células de transmisión

Células de control

Las células de control (en inglés control cell) son siempre interpretadas por el nodo que las recibe y permitencontrolar la comunicación.Comandos que tienen estas células:• PADDING (código 0).-Actualmente no usadas porque los ataques existentes funcionan incluso con tráfico de

relleno y porque el tráfico que provocan incrementa el ancho de banda necesario. Además de éstas las celdas deltipo RELAY_DROP puede crearse también para crear también tráfico de relleno.

• CREATE (código 1).-Para crear circuito• CREATED (código 2).-ACK de CREATE• DESTROY (código 4).-Destruir circuito• CREATE_FAST (código 5).-Crear un circuito reaprovechando operaciones de clave pública existentes),• CREATED_FAST (código 6).-ACK de CREATE_FAST• VERSIONS (código 7).-Usado cuando se establecen las conexiones),• NETINFO (Código 8).-Usado cuando se establecen las conexiones),• RELAY_EARLY (código 9)

Células de transmisión

Las células de transmisión (en inglés relay cell) son usadas para la comunicación entre el OP y cualquiera de los ORdel circuito, normalmente el exit node. Por ejemplo esto se usa cuando se quiere cambiar la parte final del path de uncircuito (RELAY_TRUNCATE).En las últimas versiones el sistema permite tráfico de salida desde nodos OR que no son los últimos del circuito. Estopermite frustar ataques que se basan en la observación del tráfico de salida del exit node.Este tipo de células se distinguen porque el valor del campo CMD siempre tiene el comando RELAY (código 3).En este tipo de células el formato tiene campos que forman parte de la carga útil (PAYLOAD):

Tor 7

Formato de célula relay en Tor

• Relay command.- El el subcomando RELAY que indica elfuncionamiento de la celda.

Hay tres tipos de subcomandos relay:•• forward: Son enviados desde el OP origen del circuito•• backward: Son enviados desde los OR del circuito al OP origen•• ambos: Pueden funcionar como forward o como backward

Posibles subcomandos:• RELAY_BEGIN (código 1).- De tipo forward

• RELAY_DATA (código 2).- De tipo forward o backward• RELAY_END (código 3).- De tipo forward o backward. Permite indicar el cierre de un stream TCP e indica el

motivo• RELAY_CONNECTED (código 4).- De tipo backward• RELAY_SENDME (código 5).- De tipo forward o backward. A veces se usa para funciones de control

(streamID=0)• RELAY_EXTEND (código 6).- De tipo forward. Se usa para funciones de control (como veremos

streamID=0)• RELAY_EXTENDED (código 7).- De tipo backward. Se usa para funciones de control (streamID=0)• RELAY_TRUNCATE (código 8).- De tipo forward. Se usa para funciones de control (streamID=0)• RELAY_TRUNCATED (código 9).- De tipo backward. Se usa para funciones de control (streamID=0)• RELAY_DROP (código 10).- De tipo forward o backward. Se usa para funciones de control (streamID=0)• RELAY_RESOLVE (código 11).- De tipo forward• RELAY_RESOLVED (código 12).- De tipo backward• RELAY_BEGIN_DIR (código 13).- De tipo forward•• Los códigos 32 al 40 son usados para servicios ocultos

• Recognized: Campo que junto con el campo digest permite identificar si la celda es para ser procesadalocalmente.

• StreamID: Es el identificador de flujo. De esta forma se permite que varios flujos puedan ser multiplexados en unsolo circuito. Este campo permite identificar el stream al que nos referimos entre los múltiples streams delcircuito. Es seleccionado por el OP y permite a el OP y al exit nodo distinguir entre múltiples streams en uncircuito. Las células que afectan al circuito entero en lugar de a un streamID particular tienen este campo a 0 y sepueden considerar como de control.

• Digest.- Permite el control de integridad extremo a extremo (end-to-end integrity checking). Contiene losprimeros cuatro bytes de ejecutar SHA-1 sobre TODOS los bytes de células relay que han sido enviados a estenodo del circuito o originados desde este nodo del circuito (sólo conocidos por el origen y el destino ya que vancifrados), usando las semillas Df o Db respectivamente (sólo conocidas por el origen y el destino), e incluyendo lacarga útil entera de esta célula RELAY cogiendo el campo digest a zero. Por la visibilidad de los datos un nodointermedio nunca podría calcular este valor de digest. Se ha estimado con 4 bytes de digest la posibilidad de queun adversario adivine por casualidad un hash válido es suficientemente baja. Es claro que cada nodo necesitamantaner el SHA-1 de los datos recibidos y enviados para poder ir calculando este digest.

• length.- Indica el número de bytes del campo DATA que contiene carga útil real. El resto del campo irá rellenadopor bytes a NUL

Una célula se considera completamente descifrada si el campo Recognized está a ceros y el campo Digest es el primero de los 4 bytes resultado de ejecutar la función de digest de todos los bytes 'destinados a' o 'originados desde' este salto del circuito. Si una celda no está completamente descifrada se pasa al siguiente salto del circuito. Si la célula se ha comprobado que está completamente descifrada pero el comando de la célula no se entiende la célula

Tor 8

será borrada e ignorada pero su contenido todavía cuenta respecto a los digests. Observar que el campo Recognizedpermite, de una forma muy rápida, descartar ciertas células como candidatas a estar completamente descifradas.El contenido completo de la cabecera y de la carga útil es encriptado usando la clave AES-128 negociada en elestablecimiento de circuito y haciendo un cifrado AES-128 en counter mode (AES-CTR).

Claves de ORCada OR tiene asociados una serie de pares de claves pública/privada:• Una clave larga de identidad (en inglés Identity Key) que sirve sólo para firmar información (Ej: descriptor de

las capacidades del OR o info de directorio cuando actúa como servidor de directorio) y certificados, y e usadopara permitir identificación. Para denotar la clave de identidad de el nodo OR n usamos PKORn_ID

• Una clave mediana de enrutamiento de cebolla (en inglés Onion Key) que sirve para cifrar las peticiones deestablecimiento de circuito (CREATE) para negociar las claves efímeras. Las claves viejas deben ser aceptadasdurante al menos una semana después de que haya sido cambiada para dar tiempo a que todo haya sidoactualizado. Para denotar la onion key de el nodo OR n usamos PKORn_OK

• Una clave pequeña de conexión (en inglés Connection Key) usada en el handshake TLS. Esta clave se mete enun certificado que se firma con la clave de identificación. Ambos certificados (certificado de la clave de conexióny certificado de la clave de identificación) se envían en el handshake del TLS. El certificado de la claveidentificación está firmado por la clave de identificación. El certificado de la clave de identificación estáautofirmado. Esta clave debería cambiarse frecuentemente, al menos una vez al día.

Algoritmos de cifrado usados• Para establecer las conexiones TLS usa TLS/SSLv3. Todos los OR y OP tienen que soportar

SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA y deberían tener disponibleTLS_DHE_RSA_WITH_AES_128_CBC_SHA. Los OP para comunicarse con los OR pueden usar:TLS_DHE_RSA_WITH_AES_256_CBC_SHA, TLS_DHE_RSA_WITH_AES_128_CBC_SHA,SSL_DHE_RSA_WITH_3DES_EDE_CBC_SHA, SSL_DHE_DSS_WITH_3DES_EDE_CBC_SHA

• Como algoritmo simétrico de cifrado se usa AES en counter mode (AES-CTR) con claves de 128 bits, con vectorde inicialización con todos los bytes a 0

• Como algoritmo de clave pública usa RSA con claves de 1024 bytes y exponente fijo 65537. Usa como esquemade relleno OAEP-MGF1 con SHA-1 usado como función resumen

• Como función resumen usa SHA-1• Para establecimiento de claves usa DH (Diffie-Hellman) con g=2 y para p usamos el primo seguro de 1024 bits

obtenido de RFC2409 con valor hexadecimal:

FFFFFFFFFFFFFFFFC90FDAA22168C234C4C6628B80DC1CD129024E08

8A67CC74020BBEA63B139B22514A08798E3404DDEF9519B3CD3A431B

302B0A6DF25F14374FE1356D6D51C245E485B576625E7EC6F44C42E9

A637ED6B0BFF5CB6F406B7EDEE386BFB5A899FA5AE9F24117C4B1FE6

49286651ECE65381FFFFFFFFFFFFFFFF

Tor 9

Funcionamiento detallado

Establecimiento e inicialización de circuito

Intercambio de mensajes para establecimiento de circuito

La cadena de OR´s que forman un circuito es construida de forma telescópica, esto es, el OP negocia las claves desesión con cada sucesivo OR. Una ventaja de esta forma de operar es que se dejen una vez que éstas claves de sesiónse dejen de utilizar y sean borradas, aunque un nodo sea comprometido no se podrá descifrar células viejas (perfectforward secrecy). El esquema se realiza con siguientes pasos:•• El OP escoge un OR como exit node (ORn), de acuerdo con su exit policy.•• EL OP escoge una cadena de OR's para constituir el path del circuito (OR1....ORn) de forma que ningún OR

aparece dos veces en el path.• El OP abre una conexión TLS con el entry-node (OR1 ) si es que no la tenía abierta•• El OP escoge aleatoriamente un ID de circuito (circID) que no se esté utilizando en la conexión con el entry-node• El OP inicia un intercambio de clave Diffie-Hellman con el entry-node envíando una celda CREATE• El entry-node le devuelve una celúla CREATED y de esta forma se obtiene una clave compartida Diffie-Hellman

(D-H). De esta clave se derivan dos claves simétricas, una para cada sentido:• kf1 (forward key).- Se usará en la comunicación OP->OR1 del circuito• kb1 (backward key).- Se usará en la comunicación OR1->OP.

•• A continuación el OP envía una petición a el OR1 para extender el circuito mediante una célulaRELAY_EXTEND. Esta célula le indica al OR1 cual va a se el nuevo nodo OR2, su puerto y también contieneestructuras de datos que le tendrá que reenviar el OR1 al OR2 y que permitirán establecer un protocolo D-H deintercambio de claves entre el OP y OR2 a través de OR1 sin que el OR1 se entere de nada

• El OR1 coge la célula y realiza el procedimiento Diffie-Hellman escogiendo él mismo un nuevo circIDapropiado. Observar que ahora la células CREATE/CREATED se intercambian entre el OR1 y el OR2.

•• El OR1 manda al OP una célula RELAY_EXTENDED para mandarle lo que ha respondido el OR2 y así el OPtiene conocimiento de la clave D-H. La información está cifrada de tal forma que el nodo OR1 no puede accederla información que se están intercambiando indirectamente el OP y OR2. De esta forma se establecen las nuevasclaves simétricas: kf2 y kb2.

•• De forma similar se continúa hasta conseguir que el OP tenga establecidas las claves kf1,kb1,kf2,kb2,...,kfn,kbncon los respectivos nodos OR.

En cada establecimiento de clave Diffie-Hellman se obtiene un valor g^xy que es usado para calcular un valor Kobtenido con la siguiente fórmula:

K=H( g^xy | [00] ) | H( g^xy | [01] )....| H( g^xy | [04] )donde:

Tor 10

•• | es la concatenación•• [NN] es un byte cuyo valor es NN• H(x) es el SHA-1 de x

A partir de K se sacan una serie de valores derivados que se van usando en el proceso:• derivative key (KH): Primer HASH_LEN bytes. Usado en la respuesta del handshare para demostrar el

conocimiento de la clave compartida• digest forward (Df): Segundo HASH_LEN bytes. Es usado como semilla de la comprobación de integridad para

flujos de datos desde OP a OR• backguard digest (Db):Tercer HASH_LEN bytes. Es usado como semilla de la comprobación de integridad para

flujos de datos desde OR a OP• forward key (Kf): Es usado para encriptar los flujos de datos desde OP a OR• backguard key (Kb): Es usado para encriptar los flujos de datos desde OR a OP.

Célula CREATE

Célula CREATE inicial en el establecimiento del circuito

Sobre el formato de la célula CREATEcabe señalar que el cifrado de g^x sehace de forma híbrida (conRSA-OAEP se cifra una clave desesión y parte de g^x, con la clave desesión se cifra el resto de g^x) parapermitir que en una sola célulapodamos hacer el intercambio del g^xcompleto.

Cuando inicializamos el primer saltode un circuito, el OP puede tener ya establecida la identidad del OR y negociado una clave secreta usando TLS. Portanto no siempre es necesario para el OP realizar operaciones de clave pública para crear el circuito. En este caso elOP puede enviar una célula CREATE_FAST en lugar de una célula CREATE sólo para el primer salto. El ORresponde con un CREATED_FAST, cuando el circuito está creado. La célula CREATE_FAST contiene una clave Xgenerada aleatoriamente. La célula CREATED_FAST contiene una clave Y generada aleatoriamente y un hash de laclave derivada construida a partir de X e Y. La clave compartida entre el OP y el OR será la concatenación de X e Y.Por tanto cuando detectamos un CREATE_FAST podemos estar seguros de que el nodo OR es el primero delcircuito. Por tanto los ORs deberían rechazar intentos de crear streams con RELAY_BEGIN (que sirven para indicara los nodos que son exit node y por tanto tienen que enviar el contenido a cierta IP) saliendo del circuito en el primerOR. De esta forma se evitan cierto tipo de ataques.

Tor 11

Célula CREATED

Célula CREATED inicial en el establecimiento delcircuito

El valor resumen de la clave establecida se manda para poder hacer una verficación de que ambos extremos de lacomunicación comparten la misma clave.

Célula RELAY_EXTEND

Célula RELAY_EXTEND inicial en el establecimiento del circuito

Son de especial interés los siguientes campos:• La dirección (address) IPv4 y el puerto (port) del próximo OR del circuito.•• El campo streamID vale 0 porque este tipo de células relay sirven para control.• El campo SHA-1(PCKS#1(PKOR1_ID)) es el hash SHA-1 del PKCS#1 con codificación ASN.1 de la clave de

identidad (PKOR_ID) del próximo OR. Esto permite prevenir cierto tipo de ataques man-in-the-middle.Observar que cuando el OR1 descifra con su clave AES obtiene distintos campos y entre ellos obtiene la siguientepiel de cebolla que puede utilizar directamente en la célula CREATE que tiene que construir para enviársela al OR2.

Tor 12

Célula RELAY_EXTENDED

Célula RELAY_EXTENDED inicial en el establecimiento del circuito

Observar que consiste en la comunicación de la respuesta al protocolo Diffie-Hellman que hace el OR2 al OP usandoal OR1 como intermediario sin que éste pueda inferir información alguna. El campo streamID vale 0 porque este tipode células relay sirven para control.

Encapsulamiento de streams TCP

Conexión HTTP a través de un circuito en Tor

Una vez que un circuito se haestablecido se procede con elencapsulamiento de los streams TCPque contienen los datos de laaplicación. Un circuito ya establecidose puede aprovechar para multiplexaren él varios streams TCP provenientesde la misma o de distintas aplicaciones.De hecho, por eficiencia, Tor usa elmismo circuito para nuevos streamsTCP durante diez minutos siempre quesea posible por la exit policy del exitnode. Una vez pasados los diez minutos las peticiciones será dadas a un nuevo circuito. Esto mejora la protección yevita que un atacante vincule tráficos antiguos con los nuevos. El circuito permanecerá abierto hasta que todos losTCP streams que multiplexe hayan cerrado. Esta característica es necesaria para soportar muchos protocolos comoSSH, los cuales son incapaces de mantener una sesión si se cambian los circuitos (y por tanto el exit node) durante lasesión. Los pasos para encapsular el tráfico TCP es el siguiente:

•• El OP escoge un circuito abierto que tenga un exit-node que le permita conectarse de la formada adecuada con elservidor. Si no existe lo crea según el algoritmo visto anteriormente

•• El OP selecciona un StreamID arbitrario que no haya sido utilizado todavía en el circuito•• El OP construye una célula RELAY_BEGIN que contiene, cifrado adecuadamente para que sólo sea visto por el

exit-node, la dirección y el puerto destino de la comunicación.

Tor 13

•• Esta célula es procesada por los nodos intermedios y el contenido útil es propagada hasta llegar en una célulaRELAY_BEGIN que llega al exit-node

•• El exit-node obtiene la dirección y el puerto destino e intenta abrir una nueva conexión TCP con el host destino.Pueden suceder dos cosas.•• Si el exit-node no puede establecer la conexión devuelve una célula RELAY_END.•• Si el exit-node sí se puede estalbecer la conexión entonces el exit-node devuelve una célula

RELAY_CONNECTED que se irá propagando por la lista de OR´s hasta llegar al OPUna vez llega la célula RELAY_CONNECTED a el OP, el OP y el exit-node empaquetan el stream dedatos TCP en células RELAY_DATA

Si un OP quiere cerrar un stream TCP anonimizado envía una célula RELAY_END la cual se propaga a lo largo delcircuito y los nodos van cerrando ese stream para su circuito. Cuando llega al exit-node éste cierre la conexión TCP.El exit-node genera una célula RELAY_ENDED que se propaga hasta el OP.Si el stream TCP que mantiene el exit-node con el destino se cierra de forma abrupta entonces el exit-node envía a lolargo del circuito hasta el OP una célula RELAY_TEARDOWN que indica el cierre inesperado de la conexión. Porel camino se van cerrando los streams de circuito asociados a stream TCP.Una vez que un OR recibe una célula RELAY, éste chequea el circID de la célula y determina si tiene un circuitoque se corresponda con esta a lo largo de la conexión. Si no lo tiene descarta la célula. Por otra parte si el OR no esexit-node, entonces cifra/descifra el carga útil del stream usando la claves kb/kf correspondiente con el OP. El ORentonces decide si reconoce la célula está completamente descifrada (ya visto más arriba como se decide). Si el ORreconoce la célula, la procesa. En otro caso la pasa a lo largo del circuito. Si el exit-node no reconoce una célulaRELAY entonces ocurre un error y el OR envía una célula DESTROY para cerrar el circuito.Cuando una célula RELAY llega al OP, el OP descifra la carga útil con kbi. Si la carga útil está completamentedescifrada (ya visto más arriba como se decide) entonces procesa la carga útil.

Cierre y modificación de un circuito

Destrucción o truncamiento de circuito en Tor

Un circuito es cerrado cuando ocurreun error irrecuperable a lo largo delcircuito o cuando l OP ve que todos losstreams de un circuito están cerrados yel tiempo de vida del circuito haterminado. Para cerrar un circutio elOR o el OP envían una célulaDESTROY que se va propagando ycerrando los circID asociados alcircuito.Una vez que se ha establecido un circuito y se está utilizando el OP puede decidir truncarlo (por ejemplo porque seha caído) y crear uno nuevo a partir de donde trunque. Se procede con los siguientes pasos:•• El OP escoge el OR donde se va a truncar y el OR nuevo que se quiere usar en el path.•• El OP construye una célula RELAY_TRUNCATE que llega hasta el OR a partir del cual se va a truncar.•• El OR desde el que se trunca comienza un proceso de cierre de circuito enviando una célula DESTROY.•• El OR desde el que se trunca lanza una célula RELAY_TRUNCATED hacia el OP.•• El OP cuando le llega el RELAY_TRUNCATED envía un RELAY_EXTEND para construir el nuevo circuito.Cuando un error irrecuperable ocurre a lo largo de la conexión de un circuito, el OR debería, si está habilitado paraello, enviar al OP una célula RELAY_TRUNCATED; el nodo más lejano basta con enviar una célula DESTROYpara cerrar el circuito.

Tor 14

También se cierra el circuito por parte de los ORs cuando ha habido algún error irrecuperable a lo largo del circuitoLa carga útil de las células DESTROY o RELAY_TRUNCATED contienen sólo un octeto que indican el motivo porel que el circuito debería ser cerrado o truncado. Este motivo es propagado a lo largo de los nodos

Referencias•• Tor Protocol Specification - Roger Dingledine, Nick Mathewson•• Tor:Design e Simulaziones - Carmelo Badalamenti•• Anonimato in Rete - Diodato Ferraioli, Enrico Rossomando[1] https:/ / www. torproject. org/[2] https:/ / gitweb. torproject. org/ tor. git/ commit/ bec76476efb715498b86282d4969c096df336140[3] https:/ / gitweb. torproject. org/ tor. git/ commit/ 213ba1a70b41ea975f2e0119a746aa1bad6f1e22[4][4] Cyrus Farivar."The Internet of Elsewhere: The Emergent Effects of a Wired World".Rutgers University Press 2011[6] https:/ / www. torproject. org/ about/ sponsors. html. en[7] https:/ / www. torproject. org/ about/ corepeople. html. en[8][8] Paul Syverson, "A peel of Onion", ACSAC'11. Orlando, Florida USA. Diciembre de 2011[9][9] Roger Dingledine et al. "Tor: The Second-Generation Onion Router"[10] Peter Wayne,"Disappearing Cryptography: Information Hiding: Steganography & Watermarking". Third Edition. Morgan Kaufmann 2009

Enlaces externos• Sitio web oficial del proyecto Tor (http:/ / tor. eff. org) (en inglés)• Uso de transferencia de archivos con TOR (http:/ / www. youtube. com/ watch?v=teUAncrzYzY)• Core Onion (http:/ / eqt5g4fuenphqinx. onion/ ) — Punto de entrada para los servicios TOR (Tor es necesario

para acceder a este sitio)

Fuentes y contribuyentes del artículo 15

Fuentes y contribuyentes del artículoTor  Fuente: http://es.wikipedia.org/w/index.php?oldid=67730294  Contribuyentes: Airunp, Anicholo, Aronu, Biasoli, BlouBlou, Chrisyagami, Cobalttempest, Coffee, Death Master, Fercufer,Gallowolf, Ganon, GermanX, Götz, Isha, Jgaray, Jorge c2010, Jynus, Kizar, La cebolla terron, Locutus Borg, Luis junco, Marc-André Aßbrock, MataGigantes, Matdrodes, Misterio3264, Nehyx,Neotobarra, Nihilo, Novellón, Pan con queso, Ralgis, Resped, Sixstone, Superzerocool, UA31, Wer?Du?!, Yosicogito, 51 ediciones anónimas

Fuentes de imagen, Licencias y contribuyentesArchivo:Tor-logo-2011-flat.svg  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Tor-logo-2011-flat.svg  Licencia: Creative Commons Attribution 3.0  Contribuyentes: Tor ProjectArchivo:Yes_check.svg  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Yes_check.svg  Licencia: Public Domain  Contribuyentes: SVG by Gregory Maxwell (modified by WarX)Archivo:Funcionamiento_red_tor2.svg  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Funcionamiento_red_tor2.svg  Licencia: Creative Commons Attribution-Sharealike 3.0 Contribuyentes: User:FercuferArchivo:Celula tor.gif  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Celula_tor.gif  Licencia: Creative Commons Attribution-Sharealike 3.0  Contribuyentes: User:FercuferArchivo:Celula relay tor.png  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Celula_relay_tor.png  Licencia: Creative Commons Attribution-Sharealike 3.0  Contribuyentes:User:FercuferArchivo:Crea circuito Tor.gif  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Crea_circuito_Tor.gif  Licencia: Creative Commons Attribution-Sharealike 3.0  Contribuyentes:User:FercuferArchivo:Celula create Tor.png  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Celula_create_Tor.png  Licencia: Creative Commons Attribution-Sharealike 3.0  Contribuyentes:User:FercuferArchivo:Celula created Tor.png  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Celula_created_Tor.png  Licencia: Creative Commons Attribution-Sharealike 3.0  Contribuyentes:User:FercuferArchivo:Celula relayextend Tor.png  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Celula_relayextend_Tor.png  Licencia: Creative Commons Attribution-Sharealike 3.0 Contribuyentes: User:FercuferArchivo:Celula relayextended Tor.png  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Celula_relayextended_Tor.png  Licencia: Creative Commons Attribution-Sharealike 3.0 Contribuyentes: User:FercuferArchivo:Envio info Tor.png  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Envio_info_Tor.png  Licencia: Creative Commons Attribution-Sharealike 3.0  Contribuyentes:User:FercuferArchivo:Destroy truncate circuito Tor.gif  Fuente: http://es.wikipedia.org/w/index.php?title=Archivo:Destroy_truncate_circuito_Tor.gif  Licencia: Creative Commons Attribution-Sharealike3.0  Contribuyentes: User:Fercufer

LicenciaCreative Commons Attribution-Share Alike 3.0 Unported//creativecommons.org/licenses/by-sa/3.0/