La charla “Desmitificando la deep web de TOR Pentesting sobre instancias de TOR”, de Daniel Echeverry, explica qué es la Deep Web y cómo realizar un pentest sobre instancias de TOR, subrayando que la seguridad de tu aplicación web sigue siendo crucial dentro de esta red.
Tabla de Contenido
Si buscas una introducción clara y práctica, esta quinta charla publicada desde edición de la DragonJAR Security Conference 2015 cumple la promesa: definiciones directas, enfoque de pentesting y razones para fortalecer tus aplicaciones incluso en TOR.
Deep Web y TOR: contexto esencial
La ponencia aclara qué es la Deep Web y cómo se relaciona con la red TOR.
El objetivo es desmontar mitos y ofrecer una base comprensible antes de abordar el pentesting sobre instancias de TOR.
“Nos explica que es la Deep Web y como realizar un pentest sobre ella…”
El ponente y el evento
La charla está a cargo de Daniel Echeverry (@jdaanial), un conocido investigador que visitó el evento desde España.
Forma parte de la versión 2015 del DragonJAR Security Conference y corresponde a la quinta charla que salió de edición.
Pentesting sobre instancias de TOR
El enfoque se centra en cómo realizar pruebas de seguridad en entornos que operan sobre la red TOR.
La idea principal es entender el entorno y evaluar la exposición de las aplicaciones que funcionan allí, manteniendo buenas prácticas de seguridad.
| Concepto | Aplicación |
|---|---|
| Deep Web | Marco para comprender el contenido no indexado y su alcance. |
| Red TOR | Entorno donde se ejecutan instancias y servicios a evaluar. |
| Pentesting en TOR | Pruebas orientadas a identificar debilidades en aplicaciones que operan en esta red. |
Metodología paso a paso
Actualización 2026: la red Tor sigue evolucionando (y necesita parches)
La premisa central de la charla —que la seguridad de tu aplicación sigue siendo crucial dentro de la red Tor— es hoy más cierta que nunca. En septiembre de 2026 el Tor Project publicó correcciones de seguridad de emergencia (versión estable 0.4.9.13) que cubren 10 vulnerabilidades con impacto en clientes, servicios onion y relays: corrupción de memoria, errores de aislamiento de circuitos y la posibilidad de inundar servicios onion con conexiones descontroladas para dejarlos fuera de línea. La propia red que protege el anonimato también requiere mantenimiento constante.
La conclusión práctica para quien hace pentesting no cambió en una década: la red anonimiza el transporte, pero no audita tu código. Un servicio onion con una inyección SQL, un XSS o una mala configuración de cabeceras sigue siendo explotable igual que en la web abierta; el atacante solo necesita alcanzarlo a través de la red Tor. Por eso el pentesting sobre instancias de Tor conserva la misma metodología que sobre cualquier aplicación web —reconocimiento, enumeración, explotación controlada—, con la capa adicional de operar los circuitos onion correctamente y sin filtrar la identidad del evaluador.
- Definir el alcance: Aclarar qué es la Deep Web y el rol de TOR antes de comenzar.
- Orientar el pentest: Enfocar las pruebas sobre instancias que operan en TOR.
Cómo ver la charla
Servicios onion en 2026: por qué siguen siendo relevantes
Diez años después de esta charla, los servicios onion continúan siendo la vía estándar para publicar contenido y prestar servicios resistentes a la censura: ocultan la ubicación física del servidor y cifran la comunicación de extremo a extremo sin depender de autoridades de certificación externas. Medios de comunicación, organizaciones de derechos humanos y proyectos de software los usan como canal legítimo de comunicación segura en contextos de vigilancia o bloqueo.
Para los equipos de seguridad esto tiene dos caras que conviene auditar: son infraestructura legítima de privacidad y, al mismo tiempo, superficie donde operan infraestructuras criminales. Evaluarlos exige las mismas competencias descritas en la charla —mapeo del servicio, identificación de tecnologías, pruebas de intrusión sobre la aplicación—, ejecutadas a través de la red Tor y con Tor Browser actualizado (serie 15.x en 2026), descargado siempre desde torproject.org y con su firma digital verificada. Un error de configuración en el servidor puede delatar su ubicación real y anular todo el anonimato que la red ofrece.
El video está embebido en el artículo base. También puedes abrirlo directamente en YouTube:
Preguntas frecuentes
¿Quién presenta la charla?
La charla está a cargo de Daniel Echeverry (@jdaanial), investigador que viajó desde España para el evento.
¿En qué evento se publicó?
Corresponde a la versión 2015 del DragonJAR Security Conference y es la quinta charla que salió de edición.
¿Dónde puedo ver el video completo?
Puedes verlo aquí: Ver la charla en YouTube.
Conclusión
Puntos clave: (1) Qué es la Deep Web y su relación con TOR. (2) Cómo orientar un pentest sobre instancias de TOR. (3) La seguridad de aplicaciones web sigue importando dentro de esta red. CTA: Revisa el video y toma nota de las recomendaciones mostradas.
¿Necesitas auditar una aplicación que opera sobre Tor?
En DragonJAR SAS realizamos pruebas de pentesting sobre aplicaciones web y servicios onion: evaluación de la superficie expuesta, pruebas de intrusión a través de la red Tor y revisión de configuraciones que puedan filtrar la identidad o la ubicación del servidor. Contáctanos y conversemos sobre el alcance de tu evaluación.
