Proxychains: la falta de cooperación judicial internacional como base del anonimato en Internet
Proxychains permite encadenar servidores proxy para ocultar el origen de una conexión. Este artículo describe cómo funciona técnicamente el proxy chaining (protocolos SOCKS, modos de encadenamiento, fugas DNS, combinación con Tor), delimita qué anonimato ofrece y cuál no, y sostiene la tesis de que el obstáculo decisivo para la atribución de origen no es criptográfico ni técnico, sino la fragmentación jurisdiccional y las carencias de la cooperación judicial internacional. / Proxychains enables chaining of proxy servers to conceal the origin of a connection. This article explains how proxy chaining works (SOCKS protocols, chaining modes, DNS leaks, combination with Tor), delimits the anonymity it does and does not provide, and argues that the decisive obstacle to origin attribution is not cryptographic but jurisdictional: the fragmentation of international judicial cooperation.
1. El mito del anonimato absoluto
Resulta ingenuo pensar que existe verdadero anonimato en Internet. La red es un medio de conmutación de paquetes en el que cada salto (cada hop) registra, siquiera transitoriamente, de dónde viene y a dónde va la información. El anonimato, por tanto, es un gradiente que depende de cuántas capas de intermediación se interpongan entre el actor y su destino, y de si esas capas están o no al alcance de quien investiga. Los celosos de su privacidad y los ciberdelincuentes recurren a las mismas herramientas para engrosar ese gradiente. La más elemental es el servidor proxy.
2. Qué hace un proxy
Un servidor proxy ejecuta peticiones por cuenta ajena. Cuando le pido que acceda a una web tercera, es su dirección IP —no la mía— la que queda registrada en el destino. Funciona como un comisionista que actúa en nombre propio: frente al tercero aparece él, no quien le da las órdenes. Un hombre de paja en la red.
La ocultación, sin embargo, es solo prima facie. El proxy sí conoce el origen real de la petición y, salvo que esté deliberadamente configurado para no hacerlo (hay proxys con políticas "no log"), lo registra junto con la marca temporal. Es decir: la información existe, pero la cuestión es si puede recuperarse. Un proxy operado por un proveedor sujeto a la jurisdicción del investigador entregará sus logs ante el requerimiento oportuno. El problema empieza cuando no lo está.
Antes de nada, debemos distinguir:
- Proxy: redirige la conexión. No cifra el contenido por sí mismo, solo sustituye la dirección de origen visible.
- VPN: crea un túnel cifrado entre el cliente y el servidor VPN, pero concentra la confianza en un único operador, que ve todo el tráfico y conoce al usuario.
- Tor: enruta el tráfico por tres nodos con cifrado en capas (onion routing), de modo que ningún nodo conoce simultáneamente origen y destino.
Proxychains se sitúa en la primera categoría, pero la lleva al extremo mediante el encadenamiento.
3. Anatomía del encadenamiento: SOCKS, HTTP y los modos de cadena
La herramienta opera por preloading: intercepta las llamadas de red de una aplicación (típicamente vía LD_PRELOAD en sistemas tipo Unix) y las reencamina a través de la lista de proxies definida en proxychains.conf. Sobre esa lista, admite proxies HTTP y —más interesante— SOCKS4 y SOCKS5. SOCKS5 admite autenticación, tráfico UDP y, sobre todo, permite delegar la resolución DNS en el proxy en lugar de resolverla en la máquina de origen.
Ese detalle es importante. Si el nombre de dominio se resuelve localmente antes de entrar en la cadena, la petición DNS viaja fuera del túnel y revela, ante el resolutor, qué se está buscando y desde dónde, produciendo la fuga DNS. Por eso la configuración correcta activa proxy_dns, forzando que también la resolución de nombres atraviese la cadena. Un encadenamiento impecable a nivel de transporte puede quedar comprometido por una resolución de nombres negligente.
El comportamiento de la cadena depende del modo configurado:
- strict_chain: recorre los proxies en el orden exacto de la lista. Si uno cae, la cadena falla.
- dynamic_chain: mantiene el orden pero salta los proxies muertos. Opción habitual.
- random_chain: escoge un subconjunto aleatorio en orden aleatorio para cada conexión, dificultando la construcción de un patrón estable de tránsito.
La lógica forense del encadenamiento es la que lo hace sencillamente increíble, pues si el último proxy de la cadena revela de dónde recibió la petición, solo puede señalar al penúltimo, no al origen. Reconstruir la conexión completa exige un escalado salto a salto, cada uno de los cuales es un procedimiento de obtención de prueba independiente contra un operador potencialmente distinto y en un país distinto.
4. Proxychains sobre Tor: sumar capas y jurisdicciones
El proxy chaining es legítimo en sí mismo y tiene usos plenamente lícitos: simular ataques contra infraestructura propia desde el exterior, pruebas de penetración, protección de la privacidad frente a perfilado comercial, etc. Combinada con Tor —haciendo que la cadena entre o salga de la red onion— multiplica las capas de intermediación y, con ellas, el número de jurisdicciones implicadas. Cada nodo introduce, además de un obstáculo técnico, un punto de máxima fricción legal: una autoridad más a la que habría que dirigirse, con su propio idioma procesal, sus propios plazos y su propia (in)disposición a cooperar.
Ni Proxychains ni Tor ofrecen anonimato absoluto. La desanonimización sigue siendo posible por vías que atacan sus extremos o su entorno: correlación de tráfico extremo a extremo por análisis temporal y de volumen, fugas a nivel de aplicación (WebRTC en el navegador, metadatos, cabeceras), o errores de OPSEC del propio actor (extremadamente frecuente) que reutiliza identificadores, credenciales o pautas de comportamiento que lo enlazan con su identidad real. Como siempre, el eslabón débil es la persona, no el protocolo.
5. El verdadero cuello de botella es jurisdiccional
Aquí está la tesis de este artículo. Supongamos una cadena técnicamente vencible: cada proxy conserva sus logs y sería posible, salto a salto, reconstruir el origen. En un mundo de jurisdicción única, la investigación concluiría. En el mundo real, cada salto puede caer bajo la soberanía de un Estado distinto, y ahí la ingeniería cede el paso al Derecho internacional.
El instrumental existe, pero es lento y desigual. En el ámbito del Consejo de Europa, el Convenio sobre la Ciberdelincuencia (Convenio de Budapest, CETS n.º 185, de 2001) prevé mecanismos de conservación rápida de datos almacenados y de asistencia mutua, e incluso, en supuestos tasados, el acceso transfronterizo a datos. Pero solo vincula a sus firmantes, y no todos los Estados lo son, ni todos los firmantes cooperan con la misma diligencia. Fuera de ese círculo, se depende de los tratados de asistencia judicial mutua y de la reciprocidad, con demoras que se cuentan en meses o años, tiempo más que suficiente para que los logs se purguen y los delitos prescriban.
Dentro de la Unión Europea el panorama es mejor. La Orden Europea de Investigación (Directiva 2014/41/UE, transpuesta en España por la Ley 3/2018, de 11 de junio, que introdujo el Título X —arts. 186 a 223— en la Ley 23/2014, de reconocimiento mutuo de resoluciones penales, sustituyendo al antiguo exhorto europeo) articula un instrumento único para la obtención de prueba transfronteriza basado en el reconocimiento mutuo, con plazos y comunicación directa entre autoridades. Es un avance real, pero su eficacia se detiene en las fronteras de la Unión. Basta con que un solo salto de la cadena esté alojado en un tercer Estado no cooperativo para que todo el esfuerzo se malogre.
De ahí la conclusión incómoda: quien quiere delinquir de forma efectivamente impune no necesita romper la criptografía. Le basta con estudiar el mapa de los convenios de cooperación, identificar qué países no comparten información judicial (o están mutuamente enfrentados) y configurar Proxychains para que la cadena los atraviese. La ofuscación técnica es solo el vehículo, pues el blindaje real es la geometría del Derecho internacional.
6. Conclusión
Internet va por delante del Derecho, y Proxychains es un buen recordatorio de ello. El encadenamiento de proxies no se aprovecha únicamente de la dificultad de trazar el origen a nivel de red, sino, sobre todo, de las costuras del sistema jurídico internacional: la ausencia de reciprocidad, la lentitud de los exhortos, la heterogeneidad de los marcos legales y la existencia de jurisdicciones que sencillamente no cooperan. Ninguna diligencia forense suple esa carencia. Por eso el anonimato efectivo en la Red (que no el absoluto, que no existe) descansa menos en la técnica de lo que se suele creer y más en la fragmentación del poder de investigar. Mientras esa fragmentación persista, herramientas legítimas seguirán ofreciendo, de rebote, una protección muy real a quien las usa para lo que no debe.