💻 computer science

Seldom: An Anonymity Network with Selective Deanonymization

El artículo presenta Seldom, una red de anonimato basada en Tor que equilibra la privacidad del usuario con las necesidades de las fuerzas del orden al permitir la desanonimización selectiva y aprobada por un consorcio de usuarios con mal comportamiento, manteniendo al mismo tiempo un sobrecoste de rendimiento mínimo y garantizando la transparencia pública.

Autores originales: Eric Wagner, Roman Matzutt, Martin Henze

Publicado 2026-01-30

📖 6 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Eric Wagner, Roman Matzutt, Martin Henze

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina el internet como una ciudad enorme y bulliciosa. En esta ciudad, hay un vecindario especial llamado Tor. Tor es como una capa de invisibilidad gigante que permite a las personas caminar sin que nadie sepa quiénes son o de dónde vienen. Esto es increíblemente útil para periodistas, denunciantes y personas que viven bajo regímenes opresivos que necesitan hablar libremente.

Sin embargo, hay un problema: debido a que la capa de invisibilidad es tan buena ocultando a la gente, algunos criminales la usan para hacer cosas malas, como vender drogas ilegales o compartir contenido dañino. Debido a esto, muchos ciudadanos comunes y respetuosos de la ley tienen miedo de usar la capa. Temen que, con solo caminar por el vecindario, puedan ser culpados por los crímenes que ocurren allí, o que la policía los trate con sospecha.

Los autores de este artículo, Eric Wagner, Roman Matzutt y Martin Henze, proponen un nuevo vecindario llamado Seldom. Piensa en Seldom como una versión de "Casa de Cristal" de la capa de invisibilidad. Sigue ocultando tu identidad ante el público y la policía la mayor parte del tiempo, pero tiene una salida de emergencia especial y cerrada con llave que solo puede abrirse bajo reglas muy estrictas y públicas si alguien es atrapado haciendo algo ilegal.

Así es como funciona Seldom, desglosado en conceptos simples:

1. La "Tarjeta de Identidad Mágica" (Certificados de IP Temporales)

Cuando entras en Seldom, no entras de forma anónima. Primero obtienes una tarjeta de identidad digital temporal basada en tu dirección de internet actual (como tu dirección de casa). Esta tarjeta es como un recibo.

En Tor: No tienes recibo.
En Selmdom: Tienes un recibo, pero está envuelto en una caja de cristal especial e inquebrantable. Solo un grupo específico de personas puede abrir esta caja, y solo si tienen una muy buena razón.

2. La "Bóveda de Cristal" (Cifrado de Umbral)

Este es el truco de magia central. Cuando envías un mensaje, tu identidad queda encerrada dentro de una caja fuerte digital. Esta caja fuerte requiere muchas llaves diferentes para abrirse, no solo una.

Imagina una bóveda bancaria que necesita que 5 personas diferentes giren 5 llaves diferentes al mismo tiempo para abrirse.
En Seldom, estas llaves son custodiadas por un Consorcio. Este es un grupo de personas de confianza e imparciales (como jueces, defensores de la privacidad y empresas tecnológicas) que no confían plenamente entre sí, pero confían en el sistema.
Nadie puede abrir la caja fuerte por sí solo, ni siquiera la policía. Necesitan que todo el grupo esté de acuerdo para abrirla.

3. El "Libro de Contabilidad Público con Retraso" (Libro de Contabilidad Translúcido)

¿Cómo evitamos que la policía abuse de este poder? Seldom utiliza un cuaderno público llamado Libro de Contabilidad Translúcido.

El "Vistazo": El público puede ver un contador en vivo en el cuaderno que dice: "Oye, la policía pidió abrir una caja fuerte hoy". Pueden ver que ocurrió una solicitud, pero aún no pueden ver quién es ni por qué.
El "Retraso": Los detalles reales (quién fue atrapado y por qué) permanecen guardados por un tiempo (como un reporte de noticias con retraso). Esto le da tiempo a la policía para terminar su investigación sin que el criminal sepa que ha sido atrapado.
La "Revelación": Después de que la investigación termina, el cuaderno se abre automáticamente y muestra a todos exactamente lo que pasó. Si la policía intentó abrir una caja fuerte por una mala razón, el público lo verá de inmediato y podrá indignarse, obligando al sistema a cambiar.

4. El proceso de "Desanonimización" (Abrir la Caja Fuerte)

Si la policía atrapa a alguien haciendo algo malo en la red, no puede simplemente desenmascararlo. Tienen que:

Pedir: Presentan una solicitud formal al Consorcio (el grupo de portadores de llaves).
Votar: Los miembros del Consorcio votan. Si suficientes miembros están de acuerdo en que la solicitud es válida (por ejemplo, "esta persona está vendiendo drogas"), desbloquean la caja fuerte.
Revelar: La caja fuerte se abre y la policía obtiene el nombre. Pero aquí está el detalle: los miembros del Consorcio mismos no ven el nombre. Solo la policía obtiene el resultado. Esto asegura que el grupo de jueces no se sienta tentado a espiar a personas que no les agradan.

5. ¿Por qué es esto mejor que simplemente "No tener privacidad"?

El artículo argumenta que Seldom es una solución "Goldilocks" (el punto justo).

Demasiada privacidad (Tor): Los criminales se esconden y la gente común tiene miedo de usarlo.
Demasiada poca privacidad (Sin anonimato): Todos son vigilados y la libertad de expresión muere.
Seldom: La gente común se siente segura usándolo porque saben que los criminales pueden ser atrapados. Los criminales tienen miedo de usarlo porque saben que pueden ser atrapados.

Los Resultados: ¿Es rápido?

Los investigadores construyeron una versión funcional de Seldom basada en la red Tor existente. La probaron y descubrieron:

Velocidad: Es casi tan rápida como Tor. Los pasos adicionales para bloquear y desbloquear las cajas fuertes digitales añaden solo una fracción mínima de segundo a la velocidad de tu internet. Ni siquiera lo notarías.
Almacenamiento: El sistema necesita almacenar una gran cantidad de datos (como los "recibos" y las "llaves de las cajas fuertes") durante un par de años. Calcularon que para una red del tamaño de Tor, esto ocuparía unos 636 Terabytes de almacenamiento. Eso suena enorme, pero para gobiernos u organizaciones grandes, es una cantidad de espacio manejable (como unas cuantas salas de servidores grandes).

La Conclusión Final

El artículo concluye que Seldom ofrece una forma práctica de tener tanto privacidad como seguridad. Intenta resolver el argumento de "Seguridad vs. Privacidad" diciendo: "Podemos tener privacidad para todos, pero también podemos atrapar a los malos si todos estamos de acuerdo en las reglas y vigilamos a los vigilantes".

No es una varita mágica perfecta, pero es una nueva herramienta que podría convencer a más personas comunes de usar las redes de anonimato sin miedo, mientras hace que sea mucho más difícil para los criminales esconderse.

Resumen Técnico: Seldom – Una Red de Anonimato con Desanonimización Selectiva

1. Planteamiento del Problema

Las redes de anonimato como Tor proporcionan servicios de privacidad esenciales para periodistas, denunciantes y militares, pero se asocian frecuentemente con actividades criminales (por ejemplo, la distribución de CSAM o mercados de drogas ilegales). Esta asociación crea un "dilema de seguridad-privacidad": muchos ciudadanos preocupados por la privacidad evitan usar Tor por temor a ser asociados con criminales, mientras que las agencias de aplicación de la ley (LEA, por sus siglas en inglés) luchan por investigar delitos sin comprometer el anonimato de los usuarios inocentes. Las soluciones existentes para el "acceso excepcional" (por ejemplo, custodia de claves, escaneo en el lado del cliente) suelen sufrir de problemas de confianza, falta de transparencia o impracticabilidad técnica. Los autores argumentan que es necesario un nuevo enfoque para desincentivar la actividad criminal manteniendo un fuerte anonimato para los usuarios legítimos, lo que potencialmente podría desbloquear una base de usuarios amplia y actualmente desaprovechada que evita las redes de anonimato.

2. Metodología y Diseño del Sistema

Los autores proponen Seldom, una red de anonimato basada en el enrutamiento de cebolla (extendida desde Tor) que integra capacidades de desanonimización selectiva. El sistema está diseñado para permitir que las LEA investiguen el tráfico sospechoso solo bajo una estricta supervisión pública y garantías criptográficas.

Arquitectura Central

Seldom opera sobre un modelo donde las identidades de los clientes están cifradas mediante umbral (threshold-encrypted) y almacenadas en una base de datos centralizada gestionada por un consorcio confiable de entidades imparciales. El sistema se apoya en tres pilares principales:

Autenticación Obliviosa: Un protocolo que vincula el tráfico saliente con una identidad única, cifrada mediante umbral, sin revelar la identidad del cliente a los nodos de retransmisión (relays).
Libro Mayor Translúcido: Un sistema basado en blockchain (utilizando Ethereum con Proof of Authority) que gestiona las solicitudes de desanonimización. Asegura la transparencia mediante la divulgación diferida y estadísticas en tiempo real sin comprometer las investigaciones en curso.
Supervisión del Consorcio: Un grupo compuesto por representantes gubernamentales, defensores de la privacidad y corporaciones centradas en la privacidad que vota sobre las solicitudes de desanonimización.

Componentes Técnicos Clave

A. Protocolo de Autenticación Obliviosa

Seldom introduce un flujo de autenticación novedoso integrado en el establecimiento del circuito:

Certificados de IP Temporales: Los clientes obtienen un certificado de una Autoridad de Certificación (CA) de confianza que vincula una clave pública efímera con su dirección IP actual. Esto reemplaza a los certificados estándar de CA para evitar compartir datos personales excesivos con los nodos de entrada.
Claves de Salto (Hop Keys) y Cifrado por Umbral: A medida que se construye el circuito, cada nodo de retransmisión valida la firma del salto anterior y genera una nueva clave de salto. La identidad del cliente (certificado de IP y claves subsiguientes) se cifra recursivamente mediante umbral en cada salto.
Identidad Cifrada ( $ID_n$ ): El nodo de salida final posee una identidad cifrada por umbral ( $ID_3$ para un circuito de 3 saltos). Esta identidad solo puede ser descifrada si los miembros del consorcio colaboran.
Registros de Flujo: Cuando un cliente inicia una conexión, firma un registro de flujo (IP de destino, puerto, marca de tiempo) con una clave de identificación de cliente. El nodo de salida almacena este registro y la identidad cifrada en una base de datos. El vínculo entre el flujo y la identidad está cifrado por el nodo de salida para evitar la correspondencia de múltiples flujos con el mismo circuito sin la cooperación necesaria.

B. El Proceso de Desanonimización

Cuando una LEA identifica tráfico sospechoso:

Solicitud: La LEA consulta la base de datos para obtener el registro de flujo y envía una solicitud al consorcio a través del libro mayor translúcido, proporcionando la justificación (por ejemplo, una orden judicial).
Votación: Los miembros del consorcio votan la solicitud. El voto se registra en el libro mayor.
Verificación: Si se aprueba, el consorcio solicita al nodo de salida que proporcione la identidad cifrada vinculada al flujo. El nodo de salida descifra el vínculo entre el flujo y la identidad y envía la identidad cifrada al consorcio.
Descifrado: Los miembros del consorcio descifran colaborativamente las capas cifradas por umbral. Crucialmente, los miembros del consorcio no aprenden la identidad en texto plano final; solo comparten las partes de descifrado con la LEA solicitante.
Resultado: La LEA recibe la identidad del cliente (dirección IP a través del certificado). El consorcio verifica la integridad de los nodos de retransmisión involucrados durante este proceso.

C. Libro Mayor Translúcido

Para equilibrar la transparencia y el secreto, Seldom utiliza un libro mayor translúcido con tres características:

Divulgación Diferida: Todas las solicitudes y decisiones se publican eventualmente al público, pero con un retraso fijo (por ejemplo, para permitir que las investigaciones concluyan).
Vistazos en Tiempo Real (Real-time Peeks): Las entidades autorizadas (como los nodos de salida) pueden verificar estados específicos (por ejemplo, la aprobación de una solicitud) mediante pruebas de Merkle sin ver el estado completo del libro mayor.
Estadísticas en Tiempo Real: El libro mayor publica estadísticas agregadas (por ejemplo, número de solicitudes) inmediatamente para mantener la confianza pública sin revelar detalles sensibles.

D. Sondeo e Integridad

Para evitar que los nodos de retransmisión coludan o fallen en cooperar, el consorcio puede realizar sondeos (probing). Las autoridades de directorio generan compromisos criptográficos para patrones de tráfico específicos e inician circuitos. Luego, solicitan una "desanonimización" de este tráfico de sondeo. Si el nodo de salida no coopera o proporciona datos incorrectos, es marcado como malicioso y eliminado de la red.

3. Contribuciones Clave

El artículo realiza las siguientes contribuciones específicas:

Diseño de Protocolo: Un protocolo de autenticación obligiosa que vincula el tráfico saliente con identidades cifradas por umbral, integrado en una red de enrutamiento de cebolla.
Desanonimización Translúcida: Un proceso donde las identidades se revelan solo a la LEA solicitante, con el consorcio actuando como guardián que no aprende la identidad final.
Libro Mayor Translúcido: Un mecanismo de supervisión pública que permite la divulgación total diferida junto con la capacidad de proporcionar estadísticas y verificación en tiempo real.
Evaluación de Rendimiento: Una implementación de prueba de concepto basada en Tor (v0.4.1.5) que demuestra que el sistema es factible.

4. Resultados y Evaluación

Los autores evaluaron Seldom en un despliegue local, comparándolo con el Tor original.

Latencia y Procesamiento:
- Establecimiento de Circuito: Seldom añade una latencia de sobrecarga insignificante de 3.2 ms a 4.3 ms en comparación con Tor, dependiendo de la longitud del circuito. Esto se atribuye al procesamiento de firmas y al cifrado por umbral.
- Establecimiento de Conexión: El tiempo hasta el primer byte aumenta en un promedio de 1.5 ms.
- Conclusión: La sobrecarga es imperceptible para los usuarios y queda eclipsada por la latencia de la red global.
Ancho de Banda y Almacenamiento:
- Sobrecarga de Ancho de Banda: Almacenar y transmitir registros de flujo e identidades cifradas aumenta el uso de ancho de banda del nodo de salida aproximadamente un 0.11%.
- Requisitos de Almacenamiento: Para una red del tamaño de Tor (aprox. 2.1 mil millones de flujos de salida/día), retener los datos durante dos años requiere aproximadamente 636 TB de almacenamiento. Los autores señalan que esto es manejable para bases de datos patrocinadas por el gobierno.
- Escalabilidad: Los autores sugieren que si Seldom crece significativamente más que Tor, estrategias como la lista blanca de sitios web benignos o la desanonimización probabilística podrían reducir aún más la sobrecarga.
Rendimiento de Descifrado:
- Incluso con un consorcio grande (75 miembros), el tiempo de procesamiento para descifrar una identidad es de menos de 33 segundos en un solo núcleo de CPU por participante. El intercambio de datos se mantiene por debajo de los 100 MB.

5. Significación y Reivindicaciones

El artículo afirma que Seldom ofrece una solución técnica práctica y desplegable al problema de la actividad criminal en las redes de anonimato. Su importancia radica en:

Desincentivar el Crimen: Al permitir la desanonimización selectiva, Seldom busca disuadir el uso criminal, fomentando potencialmente una base de usuarios más amplia y respetuosa de la ley para adoptar redes de anonimato.
Equilibrar Privacidad y Seguridad: Demuestra que la desanonimización selectiva puede implementarse con fuertes garantías criptográficas (cifrado por umbral) y supervisión pública (libro mayor translúcido) sin las vulnerabilidades de "puerta trasera" asociadas comúnmente con las propuestas de acceso excepcional.
Impacto Mínimo en el Rendimiento: El sistema demuestra que añadir estas capas de seguridad y supervisión no degrada significativamente la experiencia del usuario en comparación con Tor.
Nueva Perspectiva: Los autores argumentan que Seldom cambia el debate de "anonimato total vs. vigilancia total" a un modelo donde el anonimato es revocable bajo condiciones estrictas, transparentes y éticas, aumentando potencialmente la adopción general de herramientas de privacidad.

Los autores mantienen la modestia, reconociendo que Seldom depende de un consorcio de confianza y que su éxito depende de la aceptación social y la capacidad de migrar usuarios desde Tor. También señalan que Seldom no es un reemplazo para Tor, sino una alternativa para los usuarios que se sienten disuadidos por la asociación de Tor con el crimen.