Trasa pakietu

Użytkownicy uruchamiają na swoich komputerach oprogramowanie klienckie sieci Tor, które okresowo tworzy wirtualne obwody w sieci.

Tor wielowarstwowo szyfruje przesyłane komunikaty (stąd nazwa „trasowanie cebulowe”), zapewniając doskonałą poufność przesyłania pomiędzy ruterami. Jednocześnie oprogramowanie udostępnia interfejs SOCKS klientom. Aplikacje potrafiące obsługiwać protokół SOCKS mogą być skonfigurowane tak, by łączyły się z internetem za pośrednictwem oprogramowania klienckiego Tor, pełniącego w tym wypadku funkcję proxy, które następnie multipleksuje ruch sieciowy przez wirtualny obwód sieci Tor.

Wewnątrz sieci Tor ruch jest przekazywany pomiędzy ruterami, osiągając w końcu węzeł wyjściowy, z którego niezaszyfrowany pakiet jest przekazywany do miejsca przeznaczenia. Z punktu widzenia docelowego komputera, ruch wydaje się pochodzić z wyjściowego węzła sieci Tor.

Schemat połączenia wygląda w następujący sposób. Użytkownik → węzeł1 → węzeł2 → węzeł3 → Serwer docelowy^[9].

Pakiet (porcja informacji, np. post na forum) jest zaszyfrowany szyfrem, do którego klucz posiada wyłącznie węzeł 3. Dołączony do niego jest zaszyfrowany adres węzła 2 – klucz do niego posiada węzeł 1 – a także zaszyfrowany adres węzła 3 – klucz do niego posiada węzeł 2^[9].

Węzeł 3 komunikuje się z serwerem docelowym, a następnie odpowiedź przekazuje analogicznie w drugą stronę^[9].

Sieć Tor działa na poziomie protokołu TCP i – inaczej niż większość pozostałych sieci anonimowych – nie narzuca ograniczeń co do możliwych zastosowań. Anonimizacji przy użyciu Tora poddawane są często takie aplikacje, jak IRC, komunikatory internetowe czy przeglądanie stron WWW. W przypadku WWW Tor na ogół stosuje się w parze z Privoxy, filtrującym serwerem pośredniczącym, mającym za zadanie ochronę prywatności na poziomie aplikacji.

Ukryte usługi

Dzięki sieci Tor z anonimowości mogą korzystać także serwery, działając w formie usług o ukrytej lokalizacji. Są to klienci bądź przekaźniki Tora ze specjalnie skonfigurowanym oprogramowaniem serwerowym. Zamiast ujawniać adres IP serwera (a tym samym jego lokalizację w sieci), ukryte usługi są dostępne poprzez specyficzne dla Tora pseudodomeny najwyższego poziomu .onion. Sieć Tor potrafi obsłużyć takie domeny najwyższego poziomu anonimowo, przesyłając dane zarówno do, jak i od ukrytej usługi. Ze względu na brak uzależnienia od publicznie dostępnego adresu, ukryte usługi mogą być świadczone zza firewalli czy z komputerów korzystających z translacji adresów sieciowych (NAT). Klient Tora jest niezbędny, żeby uzyskać dostęp do ukrytej usługi^[10].

Możliwość świadczenia ukrytych usług w sieci Tor pojawiła się na początku 2004^[11]. Zostały one zaprojektowane tak, by – nie licząc bazy danych przechowującej ich deskryptory – działały w sposób zdecentralizowany^[12]. Dlatego nie istnieje lista, z której bezpośrednio można odczytać, jakie usługi działają w sieci. Można natomiast znaleźć niezależne serwisy, także w formie ukrytych usług, które udostępniają takie informacje.

Usługi o ukrytej lokalizacji nie są podatne na podsłuchanie przez węzły wyjściowe, ponieważ ich nie używają. Istnieje jednak szereg zagrożeń dotyczących ukrytych usług sieci Tor. Na przykład serwisy udostępniane jednocześnie w formie ukrytych usług, jak też publicznie w Internecie, są podatne na ataki korelacyjne i w związku z tym nie są do końca ukryte. Pułapką mogą się okazać też nieprawidłowo skonfigurowane usługi (np. serwer WWW w domyślnej konfiguracji może wraz z komunikatami błędów zdradzać informacje identyfikujące)^[10], statystyki uptime i downtime, intersection attacks oraz błędy użytkowników.

Wycieki zapytań DNS

Podobnie jak w przypadku wielu innych systemów do anonimowego surfowania po Internecie, część aplikacji nadal wykonuje bezpośrednie zapytania do serwerów domenowych (DNS), pomijając serwer pośredniczący Tor. Wykorzystanie Privoxy bądź polecenia „torify”, dystrybuowanego wraz z Torem, to jedne z możliwych rozwiązań tego problemu^[13]. Ponadto aplikacje używające protokołu SOCKS5, który obsługuje żądania proxy oparte na nazwach, mogą przesyłać przez Tora zapytania DNS, które zrealizuje węzeł wyjściowy, zapewniając w ten sposób anonimowość analogiczną jak dla innych danych przesyłanych przez sieć Tor^[14].

Od wersji 0.2.0.1-alpha Tor ma wbudowany własny resolver DNS, który przekierowuje zapytania przez sieć Tor, co powinno rozwiązać problem wycieków DNS, jak też umożliwić aplikacjom nieposługującym się protokołem SOCKS korzystanie z ukrytych usług^[15].

Analiza ruchu

Jak wszystkie współczesne sieci anonimowe z niewielkimi opóźnieniami (ang. low latency), Tor jest podatny na analizę ruchu przez adwersarzy, którzy mogą obserwować oba końce połączenia użytkownika^[16].

Steven J. Murdoch i George Danezis z Uniwersytetu Cambridge na sympozjum IEEE dotyczącym bezpieczeństwa i prywatności w 2005 r. zaprezentowali artykuł^[17] omawiający techniki analizy ruchu, pozwalające przeciwnikowi mogącemu obserwować jedynie fragment sieci wnioskować, które węzły są używane do przekazywania strumieni anonimowej komunikacji. Te techniki w znacznym stopniu mogą zredukować anonimowość sieci Tor. Murdoch i Danezis wykazali także, że niepowiązane w inny sposób ze sobą strumienie mogą być przypisane temu samemu inicjatorowi. Jednakże ten atak nie jest w stanie zdradzić tożsamości użytkownika^[17]. Murdoch pracował dla projektu Tor i był przezeń finansowany od 2006 r.

Podsłuchiwanie przez węzły wyjściowe

We wrześniu 2007 r. szwedzki konsultant ds. bezpieczeństwa Dan Egerstad ujawnił, że monitorując założone przez siebie węzły wyjściowe sieci Tor, przechwycił nazwy użytkowników i hasła do dużej liczby kont pocztowych^[18]. Tor nie może i nie szyfruje danych przesyłanych pomiędzy węzłem wyjściowym a serwerem docelowym, dlatego każdy węzeł wyjściowy ma potencjalną możliwość przechwycenia dowolnych danych, które przezeń są przesyłane, a nie są zabezpieczone poprzez na przykład szyfrowanie SSL. Choć sama ta właściwość niekoniecznie łamie anonimowość źródła transmisji, zwiększa możliwość przechwycenia danych przez osoby trzecie, co z kolei znacząco zwiększa ryzyko ujawnienia wrażliwych danych przez użytkowników niedbałych bądź takich, którzy mylą anonimowość Tora z bezpieczeństwem danych^[19].