Tor: arquitetura, modelo de ameaça e realidade operacional

Arquitetura e modelo de ameaça

Uma VPN centraliza a confiança; Tor a distribui. O roteamento em camadas separa o conhecimento para que nenhum ator isolado consiga relacionar sua identidade, o IP, à sua atividade, o destino. O circuito típico é: você → nó de entrada, ou Guard → retransmissor intermediário → retransmissor de saída → destino. Cada retransmissor descriptografa apenas uma camada para saber aonde enviar em seguida; nenhum conhece ao mesmo tempo seu IP e seu destino. Esse mecanismo não protege conteúdo sem criptografia: o retransmissor de saída pode ver o tráfego em texto aberto se o site não usar HTTPS, razão pela qual Tor Browser força HTTPS. O primeiro retransmissor, Guard, é escolhido por um período longo. Ao contrário do que parece intuitivo, um guard estável é mais seguro do que um que muda sempre, pois a troca frequente aumenta a chance de encontrar um retransmissor comprometido.

O que cada relé observa

• Relé de entrada: conhece o IP do usuário, não o destino final.
• Relé intermediário: liga duas partes do circuito sem conhecer as duas pontas.
• Relé de saída: conhece o destino e pode ver tráfego sem criptografia, não o IP original.

A proteção diminui se o mesmo adversário consegue observar pontos de entrada e saída suficientes para correlacionar horários e volumes. Tor reduz esse risco com circuitos, retransmissores guard e uma grande base de usuários; não elimina um adversário global.

O que protege e o que não protege

Tor oculta o IP do destino, dificulta a ligação entre origem e atividade e permite .onion sem relé de saída. Não impede uma conta pessoal de revelar identidade, não corrige um dispositivo infectado e não protege arquivos que se conectam fora do navegador.

Tor Browser: um ambiente de uso controlado

Tor Browser não é apenas um navegador conectado a Tor: é um ambiente com proteção reforçada que isola os circuitos por domínio, stream isolation, uniformiza a impressão digital dos usuários para limitar o fingerprinting, força HTTPS e desativa funções arriscadas por padrão. O ecossistema protege apenas o que passa por ele: abrir outros aplicativos ou entrar em contas pessoais quebra essa proteção.

O reforço inclui isolamento por site, redução de APIs usadas para impressão digital, níveis de segurança e atualizações coordenadas. Extensões, mudanças de fontes ou ajustes incomuns tornam a impressão digital mais singular.

Serviços .onion mantêm o tráfego dentro do Tor. Cliente e serviço se encontram por pontos de introdução e rendezvous sem revelar seus endereços de rede, uma propriedade diferente de visitar um site comum por um relé de saída.

Quando usar Tor ou evitá-lo

Tor faz sentido contra vigilância e censura, para jornalismo, ativismo, dissidência e acesso a serviços .onion. Ele é pouco adequado a streaming, usos cotidianos que exigem velocidade ou sessões com contas que identificam a pessoa, pois elas reintroduzem sua identidade. Tor protege o caminho pela rede, e não seu comportamento: entrar em uma conta pessoal usando Tor continua identificando você.

Tor é adequado para:

• consultar informações sob vigilância ou censura;
• comunicação jornalística e proteção de fontes;
• publicar ou acessar serviços .onion;
• separar uma pesquisa do IP usado diariamente.

Não é adequado para:

• streaming, jogos ou downloads intensos;
• torrent, que pode revelar o IP e sobrecarregar a rede;
• contas que identificam diretamente a pessoa;
• tarefas incompatíveis com alta latência.

A lentidão é estrutural: três relés, rotas internacionais, criptografia em camadas e capacidade fornecida por voluntários.

Tor + VPN: benefício real ou risco?

A combinação mais comum é Tor sobre uma VPN: você se conecta à VPN e depois abre Tor. A vantagem é que seu provedor de internet vê apenas a conexão com a VPN, e não o uso de Tor, o que ajuda quando Tor é detectado ou bloqueado. Em contrapartida, a VPN sabe que você usa Tor, e parte da confiança passa para ela. Proton VPN está entre os fornecedores que oferecem servidores dedicados “Onion-over-VPN”; você pode consultar nossa análise do Proton VPN para conhecer o serviço completo. Lembre que essa combinação não oferece anonimato absoluto, e uma configuração errada pode anular o benefício. A ordem inversa, VPN sobre Tor, é complexa, raramente faz sentido e pode reintroduzir pontos de rastreabilidade.

Pontes como alternativa

Se Tor estiver bloqueado, bridges são retransmissores de entrada que não aparecem no diretório público. Transportes conectáveis como obfs4 tentam tornar a conexão menos reconhecível. Para ocultar o uso direto de Tor da rede local, essa opção costuma ser mais direta do que acrescentar uma VPN.

Duas ordens possíveis

• VPN → Tor: o provedor de internet vê a VPN; a VPN vê o IP e sabe que Tor é usado depois. É a combinação mais simples.
• Tor → VPN: o tráfego sai do Tor para uma VPN. É difícil de configurar, pode criar uma identidade persistente e raramente melhora o modelo de ameaça.

Somar camadas não soma automaticamente anonimato. Identifique quem vê cada trecho e mantenha Tor Browser como ambiente de navegação.

Boas práticas

Use Tor Browser como ele vem, sem alterar as configurações; não maximize a janela, pois isso facilita o fingerprinting; não entre em contas que identificam você; evite baixar arquivos para abrir fora de Tor; e lembre que o retransmissor de saída pode observar tráfego sem criptografia. No iOS, existe o Onion Browser, mas ele continua limitado pelas restrições do sistema da Apple: não equivale ao Tor Browser para computador.

• baixar Tor Browser apenas do projeto oficial;
• instalar atualizações sem demora;
• não adicionar extensões nem alterar ajustes sem necessidade;
• separar identidades, sem reutilizar e-mails, apelidos ou documentos;
• não abrir fora do Tor arquivos que carreguem recursos remotos;
• preferir serviços .onion quando disponíveis.

Tor no iOS

A Apple exige o uso de componentes WebKit e limita o controle de um aplicativo sobre o navegador e a rede. Onion Browser e Orbot permitem se conectar a Tor em iPhone ou iPad, mas não reproduzem exatamente o isolamento e a uniformidade do Tor Browser para computador ou Android.

Para risco elevado, uma plataforma oficialmente suportada por Tor Browser oferece um modelo mais verificável. No iOS, avalie cada aplicativo e configuração sem presumir equivalência por uma simples conexão Tor.

Mitos e realidades

Tor não é “a dark web”, da qual os serviços .onion são apenas uma parte. Ele não torna você anônimo por mágica, pois seu comportamento pode revelar sua identidade. Não é reservado a atividades ilegais: é uma ferramenta de proteção usada por jornalistas, pesquisadores e cidadãos. Também não é invulnerável: um adversário global capaz de observar entradas e saídas pode tentar uma correlação estatística.

Tor não é apenas a dark web

Grande parte do uso pode se dirigir a sites comuns. .onion é uma função específica, não a definição completa da rede.

Tor não garante anonimato

O navegador reduz os sinais técnicos, mas uma conta pessoal, um documento identificável ou um padrão de comportamento podem revelar a identidade da pessoa.

Tor não é ilegal por natureza

É uma ferramenta de privacidade e combate à censura. A legalidade depende da jurisdição e das ações realizadas, e não do protocolo por si só.

Tor não é invencível

Malware, correlação global, erros de uso e saídas maliciosas continuam sendo riscos.

Referências técnicas

As fontes prioritárias são a documentação do Tor Project, as especificações do protocolo e a pesquisa acadêmica sobre correlação de tráfego. Para uma decisão sensível, também é preciso revisar o modelo de ameaças e as recomendações operacionais atuais do projeto.

Conclusão: uma estratégia, não um botão

Tor é uma das ferramentas de proteção digital mais mal compreendidas: é poderoso dentro de seu modelo de ameaças, pela resistência à análise do tráfego e pela confiança distribuída, mas inadequado fora desse contexto. Quando bem usado, é uma estratégia coerente; quando mal usado, oferece uma falsa sensação de segurança. Para comparar Tor com outras ferramentas, veja as diferenças entre proxy, Tor e VPN.