Tor Browser 安全吗——能力边界与风险点全梳理
一个核心事实
Tor Browser 提供的是概率性匿名，不是数学上的绝对匿名。它的安全模型是：让你看起来和其他数百万 Tor 用户没有区别，而不是让你消失得无影无踪。
Tor 能防住的威胁
你的 ISP 和网络管理员
ISP 能看到你连接到了某个 Tor 入口中继，但无法知道你接下来访问了什么网站、发送了什么内容。这是 Tor 最核心的保护目标。
网络中的被动监听者
路由器级、运营商级的流量嗅探，由于 Tor 的多层加密，只能看到加密后的随机数据，无法解析内容。
普通网站的追踪
Cookie、LocalStorage、Fingerprint 等常规追踪手段在 Tor Browser 下被大幅削弱或禁用。同一网站跨会话追踪基本不可能。
Tor 防不住的威胁
出口节点后的流量
Tor 网络的最后一跳（出口中继 → 目标服务器）是明文传输（如果目标网站用的是 HTTP 而非 HTTPS）。恶意出口节点可以嗅探这一段的内容。这也是为什么 Tor Browser 默认强制 HTTPS Everywhere。
全球流量关联
如果攻击者能同时监控"你发送请求的时间/流量特征"和"某个出口节点发送请求的时间/流量特征"，通过时序分析可能关联出你是谁。这种攻击成本极高，普通用户不太会遇到。
浏览器指纹识别
Tor Browser 的"统一指纹"设计是为了让所有人看起来一样。但如果：
- 你安装了额外扩展
- 你手动修改了安全设置
- 你的行为模式异常（比如长时间固定窗口尺寸下的特定操作）
仍然可能被精准识别。
你的自身行为
这是最常见的安全事故来源：
- 在 Tor 中登录 Google/Facebook → 这些服务知道"某个 Tor 出口节点正在操作你的账号"
- 下载可疑文件后离线打开 → 文件可能包含回连程序
- 在 .onion 网站上做了可追溯的行为（使用个人邮箱、透露身份信息）
出口节点风险详解
出口节点是 Tor 网络中最特殊的节点——它代表所有 Tor 用户向普通互联网发起请求。
出口节点管理员能看到什么？
- 访问的目标 IP 和端口
- 请求的完整 URL（HTTP 情况下）
- HTTP 请求头、Cookie 等
但看不到什么？
- 发起请求的 Tor 用户的真实 IP
- HTTPS 加密的内容（只能看到域名）
个人用户运营出口节点的后果：如果有人通过你的出口节点做了违法的事，法律请求会先发到你这里。虽然 Tor Project 有应对模板，但运营出口节点确实需要承担法律风险。普通用户不建议运营出口节点，优先运行中间中继或网桥。
Tor 社区的应对措施
| 威胁 | Tor Project 的应对 |
|---|---|
| 出口节点风险 | HTTPS Everywhere 强制加密；项目不鼓励个人运营出口节点 |
| 指纹识别 | Letterboxing、字体标准化、统一 User-Agent |
| JavaScript 攻击 | NoScript + 安全级别三档调控 |
| 网络封锁 | 可插拔传输（obfs4、Snowflake、meek）+ BridgeDB 网桥分发 |
| 已知漏洞 | 快速更新通道；Alpha 版本提前测试；安全公告透明披露 |
使用原则总结
- 保持默认设置——Tor Browser 的默认值是经过安全团队反复评估的最优解
- 不要装任何额外扩展——每多一个扩展就多一个指纹维度
- 不要最小化/自由缩放窗口——保持 Letterboxing 状态
- 敏感操作专用一个 Tor 窗口——与日常浏览彻底隔离
- 定期关注 Tor 安全公告——漏洞修复会快速推送，及时更新