En la wiki de Whonix, nos encontramos una serie de consejos sobre que cosas no hacer a la hora de utilizar Tor, unalista muy interesante de recomendaciones –algunas obvias, otras no tanto– que conviene tener a mano, parautilizar este software de anonimato, like a pro.
En Whonix saben mucho del tema, ya que es una excelente distro GNU/Linux basada en Debian y enfocada a la privacidad. Para ello utiliza un marco de seguridad por aislamiento basado en maquinas virtuales y en el que todas las aplicaciones van sobre Tor.
Así que sin más preámbulos, vamos a fusilar esa lista de recomendaciones y echarle un vistazo rápido a esas cosas que no debemos hacer:
- No visites tu sitio web cuando seas anónimo, especialmente si no tiene demasiadas visitas y la mayoría de tus usuarios no utilizan Tor (el relay de salida sabe que alguien visitó tu web y si el sitio no es muy popular, existen posibilidades de que sea el administrador de la página)
- No iniciar sesión en Facebook, independientemente de que uses un seudónimo o tu nombre real. Simplemente por la lista de amigos, mensajes privados y si es necesario algo de ingeniería social, pueden adivinar quien eres e incluso tu ubicación.
- Similar a la anterior, nunca debes loguearte en cuentas que hayas usado anteriormente sin Tor.
- Tampoco se recomienda utilizar Tor en cuentas de banco, paypal, ebay, y similares…En este caso por un motivo adicional, porque podrían ser considerado como actividad fraudulenta y provocar la suspensión de la misma (recuerdo que al amigo Victorhck le pasó algo similar con twitter)
- No alternar tor con wifi abierto. Es uno de esos escenarios en que se reduce el circulo de sospechosos, ya que muchas ocasiones se mantienen registros de actividad o dirección MAC. En resumen: Tor + WiFi abierto= BIEN . Alternar conexiones de Tor y WiFi abierto= MAL.
- No utilizar Tor sobre Tor. Es decir, en el caso de Whonix sería instalar Tor sobre la estación de trabajo (Whonix-Workstation), algo innecesario ya que Whonix Gateway ya obliga a que todo el tráfico de las aplicaciones vayan sobre tor. Mas relays de entrada y salida no proporciona seguridad adicional, y puede dar lugar a comportamientos potencialmente inseguros.
- Evitar enviar información confidencial sin cifrado de extremo a extremo (por cosas como esas es conveniente tener actualizado siempre el tor browser y sus complementos en funcionamiento como HTTPS Everywhere)
- Una de las obvias es no incluir información personal sobre uno mismo: apodos, características físicas, lugar de nacimiento o residencia, no usar caracteres especiales de teclado existentes solo en tu lenguaje, profesión, hobbies, etc.
- Aunque los Bridges (Tor Relays no listados en el directorio del proyecto, para dificultar que los ISP los puedan bloquear), son una excelente solución para sortear la censura a que se ve sometido Tor en algunos países, en Whonix creen que no está totalmente exente de riesgos su uso.
- Para evitar cualquier tipo de correlación tampoco se recomienda usar diferentes identidades online al mismo tiempo, ni mezclar diferentes modos de anonimato.
- Tampoco es conveniente modificar la configuración de las aplicaciones, sino se sabe lo que se hace,incluida la interfaz gráfica. Un ejemplo de ello es modificar el tamaño de la ventana del tor browser o mostrarlo a pantalla completa, ya que ello nos crea una huella digital web, que podría ayudar a nuestra identificación.
- No utilizar Clearnet (el “internet normal”, no cifrado y sin anonimato) al mismo tiempo que Tor, para evitar cualquier tipo de confusión a la hora de ejecutar aplicaciones o acceder a servicios.
- La conexión a servidores remotos, debe seguir las mismas pautas que vimos en ejemplos anteriores, nunca conectarse de forma anónima y no anónima al mismo tiempo.
- No hay que confundir anonimato con seudónimo.
- Si creas una página web bajo anonimato o en un servicio oculto de la darknet, evita ser el primero en difundir el enlace de ese post que has escrito desde tu cuenta personal de twitter, facebook o google +.
- No abras archivos desconocidos o enlaces, especialmente PDFs que pueden infectar tu sistema (esta recomendación supongo que será para los usuarios de Windows)
- Y por último, nada de doble verificación mediante móvil, al utilizar servicios como Google, Facebook Twitter y demás. Incluso aunque se consiga una tarjeta SIM anónima de prepago, el teléfono en si ya es un riesgo, proporcionando logs de actividad, localización y número de serie.
Una explicación más detallada de todos estos consejos están disponibles en la web de Whonix, incluida la posibilidad de donar al proyecto.
