VPN, Tor y Proxy:

qué te protege realmente y de qué

Privacidad digital  |  unfantasmaenelsistema.com

«Uso una VPN, así que soy anónimo.» Es probablemente la frase más repetida —y más incorrecta— en cualquier conversación sobre privacidad en internet. VPN, Tor y proxy se mencionan a menudo como si fueran variantes intercambiables de la misma idea: «ocultarse» en la red. En la práctica son tres herramientas que resuelven problemas distintos, protegen de amenazas distintas, y confían en actores distintos. Usar la equivocada para tu amenaza real puede darte una falsa sensación de seguridad, que es peor que no tener ninguna.

En este artículo vamos a desmontar la confusión de raíz: qué cifra cada una, qué oculta y a quién, qué tienes que confiar y a quién, y cómo elegir la herramienta correcta según lo que realmente quieras proteger.

1. El malentendido de fondo: cifrado no es anonimato

Antes de comparar herramientas hace falta separar dos conceptos que se usan como sinónimos sin serlo.

Confidencialidad es que nadie en el camino pueda leer lo que envías. Anonimato es que nadie —ni siquiera quien recibe la comunicación— pueda saber quién eres. Puedes tener una sin la otra: una conexión HTTPS normal es confidencial (tu vecino de wifi no puede leer tu contraseña) pero no es anónima (el sitio web sabe exactamente tu IP). Y al revés, puedes enviar un mensaje anónimo sin cifrar en absoluto.

Proxy, VPN y Tor se sitúan en puntos muy distintos de ese mapa. Ninguno de los tres te hace «invisible» sin matices: cada uno oculta información concreta de un observador concreto, y sigue dejando visible el resto.

2. Proxy: el más simple y el más limitado

Un servidor proxy actúa como intermediario: tu petición viaja hasta el proxy, y es el proxy quien la reenvía al destino final. El sitio web ve la IP del proxy, no la tuya. Eso es, literalmente, todo lo que garantiza un proxy por defecto.

2.1 Tipos de proxy más comunes

• Proxy HTTP/HTTPS: solo entiende tráfico web, se configura a nivel de navegador o de aplicación
• Proxy SOCKS5: opera a nivel de conexión, no de protocolo — puede redirigir cualquier tipo de tráfico (torrents, correo, juegos), no solo HTTP
• Proxy transparente: intercepta el tráfico sin que el cliente lo configure explícitamente — típico en redes corporativas o de institutos para filtrar contenido

# Usar un proxy SOCKS5 con curl para una peticion puntual
curl --socks5 127.0.0.1:9050 https://ifconfig.me
 
# Redirigir TODO el trafico de un terminal a traves de un proxy
# (variables reconocidas por la mayoria de herramientas CLI)
export http_proxy="http://proxy.ejemplo.com:8080"
export https_proxy="http://proxy.ejemplo.com:8080"

3. VPN: cifra tu tráfico y oculta tu IP… del sitio que visitas

Una VPN (Virtual Private Network) crea un túnel cifrado entre tu dispositivo y un servidor operado por el proveedor. Todo tu tráfico —no solo el del navegador— pasa cifrado por ese túnel antes de salir a internet con la IP del servidor VPN.

3.1 Cómo funciona el túnel

El cliente VPN cifra cada paquete antes de que salga de tu dispositivo, lo encapsula, y lo envía al servidor VPN. Ese servidor lo descifra y lo reenvía a su destino real en internet, con su propia IP como origen. La respuesta hace el camino inverso. Para cualquier observador entre tu dispositivo y el servidor VPN —tu operador de internet, el dueño de la cafetería con wifi gratis, un atacante en la misma red— el contenido es ilegible y el destino real es invisible: solo ven que hablas con el servidor VPN.

3.2 El punto ciego: tienes que confiar en tu proveedor

Aquí está la letra pequeña que casi nadie lee. El servidor VPN sí sabe quién eres (tu IP real de conexión) y sí puede ver, en el punto donde descifra tu tráfico, a dónde vas. Has trasladado la confianza que antes depositabas en tu operador de internet a una empresa distinta, no la has eliminado. Si esa empresa guarda logs, coopera con requerimientos judiciales, o directamente vende datos de navegación, la VPN no te protege de nada frente a ese proveedor concreto.

3.3 Protocolos VPN más usados

4. Tor: anonimato por diseño, no por promesa

Tor (The Onion Router) resuelve exactamente el problema que deja abierto una VPN: que un solo punto —el proveedor— conozca tanto tu identidad como tu destino. Lo hace repartiendo esa confianza entre tres nodos independientes en lugar de concentrarla en uno.

4.1 Enrutamiento cebolla, resumido

Tu tráfico se cifra en tres capas sucesivas y atraviesa tres nodos: el nodo de entrada conoce tu IP real pero no tu destino, el nodo intermedio no conoce ni tu IP ni tu destino final (solo conecta a los otros dos nodos), y el nodo de salida conoce el destino pero no tu IP real. Ningún nodo individual tiene la imagen completa. Si quieres el detalle técnico completo de cómo se negocia el circuito y cómo funcionan los servicios .onion, lo cubrimos a fondo en nuestro artículo dedicado a Tor: cómo funciona realmente el enrutamiento cebolla.

4.2 Las debilidades reales de Tor

• Nodos de salida maliciosos: quien opera el nodo de salida ve el tráfico tal cual sale hacia el destino final — si ese tráfico no va cifrado con HTTPS, es tan legible como en un proxy sin cifrar
• Ataques de correlación de tráfico: un observador capaz de ver tanto la entrada como la salida de la red (por volumen de tráfico, por temporización) puede llegar a correlacionar ambos extremos — es el escenario de amenaza que más preocupa a los investigadores de Tor
• Velocidad: al pasar por tres saltos con cifrado en cada uno, la latencia es notablemente mayor que una VPN o una conexión directa — streaming o descargas grandes no son su caso de uso
• Algunos servicios bloquean directamente las IPs de salida de Tor conocidas, por el volumen histórico de abuso que reciben desde ellas

5. Tabla comparativa definitiva

6. Combinarlos: VPN + Tor

6.1 Tor sobre VPN (conectas primero a la VPN, luego a Tor)

Tu operador de internet ve que te conectas a una VPN, pero no que después usas Tor —útil en redes o países donde Tor está bloqueado o resulta sospechoso por sí mismo. El proveedor VPN, en cambio, sabe que estás usando Tor a través de su servicio, aunque no sepa a dónde vas dentro de la red Tor.

6.2 VPN sobre Tor (conectas primero a Tor, luego a la VPN)

Configuración mucho menos habitual y más compleja de montar correctamente: el nodo de salida de Tor ve que te conectas a un proveedor VPN, y ese proveedor VPN ve tu tráfico final, pero no tu IP real (la oculta Tor). El riesgo es que ahora dependes de que ese proveedor VPN no guarde logs, con el añadido de que si te registraste en la VPN con datos identificables, rompes el anonimato que Tor te había dado.

7. ¿Cuál necesitas según lo que quieras proteger?

Conclusión

Ni VPN ni Tor ni un proxy te hacen «anónimo» en un sentido absoluto — esa idea es, de entrada, la raíz de casi toda la confusión sobre estas herramientas. Cada una traslada la confianza a un actor distinto y protege de un observador distinto: el proxy solo cambia tu IP aparente, la VPN cifra el tramo hasta un proveedor en el que decides confiar, y Tor reparte esa confianza entre una red descentralizada a cambio de velocidad.

La pregunta correcta nunca es «¿cuál es la más segura?» en abstracto, sino «¿de quién necesito protegerme, y qué estoy dispuesto a ceder a cambio?». Responder eso primero es lo que determina la herramienta correcta — no al revés.

unfantasmaenelsistema.com | Seguridad, sistemas y todo lo que no debería funcionar (pero funciona)