VPN y Tor no sustituyen a HTTPS: dónde acaba cada capa

Una VPN y un circuito Tor cifran el tráfico durante una parte del trayecto. Ambos dejan de cifrarlo en un par que eligen ellos mismos. HTTPS es la capa que llega al propio sitio web, y ninguna cantidad de tunelización delante convierte el envío de un formulario sin cifrar en uno protegido. Seguir cada capa hasta el punto donde termina lo hace evidente.

Tres capas, tres puntos finales distintos

Una VPN convencional termina su túnel en el servidor VPN. Todo lo que hay entre tu dispositivo y ese servidor está dentro del túnel, y todo lo que viene después no. Un circuito Tor se comporta igual con otro par, y abandona la red en un relé de salida que reenvía tu petición al destino.

TLS termina en el sitio web. El certificado que validaste vincula un nombre de host a una clave que controla el sitio, y las claves de sesión existen entre tu navegador y ese servidor. Ese punto final queda más allá tanto del servidor VPN como de la salida de Tor.

Así pues, las tres capas tienen tres límites de confianza distintos, y una petición pasa por todas ellas en secuencia. Reforzar una no dice nada de las demás, y la última es la única en la que participa el destino.

Qué expone el último salto

Si la aplicación usa HTTP simple, el contenido más allá de la salida es legible por quien opere ese salto. El túnel anterior hizo su trabajo a la perfección y simplemente ya no está. Las credenciales escritas en un formulario HTTP quedan expuestas exactamente en el punto donde terminó la protección.

Con HTTPS validado correctamente, un intermediario en el camino no puede leer ni modificar en silencio el contenido de la aplicación. Sigue viendo que te conectaste, cuándo y a qué dirección, porque las cabeceras de los paquetes tienen que ser enrutables. La confidencialidad del contenido y los metadatos sobre la conexión son propiedades distintas, y solo la primera es lo que aporta TLS.

La identidad de la cuenta es otra tercera cosa. Iniciar sesión en una cuenta te identifica ante ese servicio sin importar qué dirección de salida usaras, así que la salida protege el camino de red y no la cuenta. Esa distinción sobrevive a cualquier número de capas delante. Cambiar de salida nunca cambia lo que revela una sesión iniciada. El servicio sabía quién eras antes de que saliera el primer paquete.

Nada de este arreglo se rompe al añadir un segundo túnel. Lo que cambia es qué observador ve el primer salto, no si el último salto está cifrado.

El orden cambia a los observadores, no el punto final

Encadenar una VPN y Tor es una forma legítima de cambiar quién ve qué a nivel de red. Ejecutar Tor sobre una VPN oculta a tu red de acceso el hecho de que usas Tor, mientras que ejecutar una VPN sobre Tor oculta tu dirección al proveedor de VPN. Ambos órdenes están descritos en documentación pública y ambos tienen compromisos de rendimiento y de comportamiento ante fallos.

Ninguno de los dos órdenes mueve el punto final de TLS. En ambos casos el navegador sigue validando un certificado para el nombre de host solicitado, y en ambos casos una URL HTTP sigue enviando su contenido sin cifrar más allá del último relé. La composición cambia la lista de observadores; no cambia el número de capas en el destino.

Por eso los consejos sobre encadenar suelen tratar de modelos de amenaza y no de seguridad en general. Una cadena más larga no es una versión más fuerte de lo mismo, y no sustituye al protocolo que eligió la aplicación.

curl -sSI https://example.net | head -3
openssl s_client -connect example.net:443 -servername example.net -brief

Ambos comandos muestran la capa que importa en el destino. El segundo imprime el protocolo negociado sin implicar ningún túnel. Ninguno te dice nada sobre la salida que usaste.

Mantén la validación funcionando mientras diagnosticas

Una advertencia de certificado es información sobre la conexión que estás a punto de hacer. Puede significar un nombre de host que no coincide, un problema de reloj, una cadena no confiable o un intento de interceptación. Añadir una excepción permanente porque hay una VPN conectada elimina la única señal que habría distinguido esos casos.

Las funciones de conexión segura de Tor Browser y sus advertencias existen por el mismo motivo, y desactivarlas para que una página cargue cambia un fallo visible por uno invisible. Si no se puede llegar a un sitio sin excepción, la conclusión honesta es que la conexión no es verificable, no que el túnel la haya hecho segura.

El cifrado tampoco dice nada sobre la intención. Una conexión HTTPS válida con un sitio engañoso entrega tus datos a ese sitio con total confidencialidad. Comprueba la dirección y lo que envías, no solo si está el candado.

Los servicios Onion son un modelo genuinamente distinto. Se llega a ellos por la red Tor sin una salida pública ordinaria, lo que no es lo mismo que acceder a un sitio público a través de Tor. Trátalo como un caso aparte con sus propias expectativas, no como una versión más fuerte de la misma visita.

La regla que sobrevive a cualquier configuración es corta. Mantén intacta la validación del navegador. Juzga cada capa por dónde termina realmente.