Como Configurar o Tor Browser para Máxima Privacidade

O Tor Browser oferece uma das defesas mais fortes contra vigilância de rede e análise de tráfego disponíveis hoje. VPNs apenas transferem sua confiança para outra empresa. O Tor é diferente. Ele roteia sua conexão através de múltiplos relays operados por voluntários, tornando genuinamente difícil para qualquer um conectar sua identidade ao que você está navegando. Este guia explica tudo desde a primeira instalação até configurações avançadas.

Entendendo a Arquitetura do Tor

O Tor criptografa seu tráfego múltiplas vezes e o roteia através de pelo menos três relays escolhidos aleatoriamente: um nó de entrada, um relay intermediário e um nó de saída. Cada relay conhece apenas o salto anterior e o próximo — nunca o caminho completo. O nó de entrada vê seu IP mas não para onde você está indo. O nó de saída vê seu destino mas não seu IP. O relay intermediário não vê nenhum dos dois.

Esse design se mantém mesmo que um adversário controle alguns relays. Um único relay comprometido revela quase nada de útil. Para executar um ataque de desanonimização real, alguém precisaria controlar tanto seu nó de entrada quanto de saída ao mesmo tempo, e então correlacionar padrões de temporização através da rede. Isso é caro e tecnicamente exigente, mesmo para atacantes bem financiados.

O trade-off é velocidade. Cada relay adiciona latência, e a largura de banda do nó de saída é limitada. O Tor não foi feito para streaming de vídeo ou download de arquivos grandes. Onde ele se destaca é protegendo metadados — quem fala com quem, quando e com que frequência. Na internet de hoje, esses metadados frequentemente importam mais que o conteúdo real do seu tráfego.

Configuração Inicial e Primeiro Acesso

Baixe o Tor Browser apenas do site oficial do Tor Project (torproject.org) ou do repositório confiável da sua distribuição Linux. Sempre verifique a assinatura antes de instalar:

# No Linux, após baixar
gpg --auto-key-locate nodefault,wkd --locate-keys [email protected]
gpg --verify tor-browser-linux64-*.tar.xz.asc tor-browser-linux64-*.tar.xz

No Windows e macOS, o instalador possui assinaturas embutidas que seu sistema operacional verifica automaticamente. No Linux, extraia o tarball e execute o launcher da pasta resultante. Não precisa instalar no sistema — ele roda como um aplicativo independente.

Quando você abrir o Tor Browser pela primeira vez, ele perguntará como você quer se conectar. A maioria das pessoas pode simplesmente clicar em "Conectar" e seguir em frente. Se você está em um país que bloqueia ativamente o Tor, ative bridges — esses são nós de entrada especializados que não são publicados no diretório público do Tor. As bridges obfs4 integradas funcionam bem na maioria dos ambientes censurados. Para bloqueios mais agressivos, solicite uma bridge por e-mail ou tente o Snowflake, que tunela seu tráfego através de proxies temporários rodando nos navegadores de outras pessoas.

O nível de segurança padrão é "Padrão", que oferece anonimato forte mantendo a maioria dos sites funcionando normalmente. "Mais Seguro" desabilita JavaScript em sites não-HTTPS e remove algumas fontes web. "Máxima Segurança" mata o JavaScript completamente junto com a maior parte do tratamento de mídia. Qual faz sentido para você depende do seu modelo de ameaça. Usuários casuais de privacidade ficam bem no Padrão. Se alguém pode estar te mirando especificamente, considere aumentar.

Mudanças Essenciais na Configuração

O Tor Browser vem com padrões sólidos de privacidade, mas alguns ajustes melhoram a experiência sem enfraquecer sua proteção. Acesse-os através do menu hambúrguer, depois Privacidade e Segurança.

Nunca redimensione a janela do navegador manualmente. O Tor Browser abre em dimensões padrão de propósito — para prevenir fingerprinting baseado no tamanho da tela. Milhares de usuários compartilham esse mesmo tamanho de janela, então você se mistura. No momento que você maximiza ou redimensiona, você criou uma impressão digital única. Use o zoom do navegador se precisar de coisas maiores.

Desative sugestões de busca. DuckDuckGo é o mecanismo de busca padrão, e com sugestões ativadas ele recebe suas teclas enquanto você digita, não apenas quando você pressiona Enter. Vá em Configurações → Pesquisa e desmarque "Fornecer sugestões de pesquisa".

Considere bloquear todos os cookies de terceiros. Configurações → Privacidade e Segurança → Cookies e Dados de Sites → Gerenciar Exceções permite bloquear cookies de terceiros enquanto ainda permite os de primeira parte. Algumas funcionalidades entre sites vão quebrar, mas você vai reduzir significativamente sua superfície de rastreamento.

Verifique que o Modo Somente HTTPS está ativo. Ele é habilitado por padrão, mas vale confirmar. Role através de Privacidade e Segurança e certifique-se que "Ativar Modo Somente HTTPS em todas as janelas" está marcado. Sem isso, qualquer um rodando um nó de saída malicioso pode ler seu tráfego não criptografado.

Se você está confortável no about:config, verifique que essas configurações estão ativas:

network.proxy.socks_remote_dns = true    // verificar se está habilitado
privacy.resistFingerprinting = true       // verificar se está habilitado
privacy.firstparty.isolate = true         // verificar se está habilitado

Elas já devem estar configuradas corretamente, mas vale uma verificação rápida se algo estiver se comportando estranhamente.

Compartimentalização e Gerenciamento de Identidade

O Tor Browser isola os dados de cada site para prevenir rastreamento entre sites. Fechar e reabrir o navegador te dá uma identidade nova e um novo circuito. Mas compartimentalização real vai além de configurações técnicas — requer que você seja deliberado sobre seu comportamento.

Mantenha diferentes atividades em sessões diferentes. Se você está pesquisando algo sensível enquanto também está logado em uma conta de e-mail pessoal, use sessões separadas ou identidades separadas. O botão "Nova Identidade" (ícone da cebola → Nova Identidade) limpa todas as abas e dados e reconstrói seus circuitos, mas para tarefas verdadeiramente não relacionadas é mais limpo rodar instâncias separadas.

Não misture acesso Tor e não-Tor às mesmas contas. Logue em uma conta de e-mail pelo Tor, depois acesse-a mais tarde do seu IP real, e você linkou sua identidade àquela sessão. Isso importa ainda mais com apps de mensagens. Signal e WhatsApp amarram sua conta a um número de telefone — usá-los pelo Tor não te dá anonimato significativo a menos que esse número não possa ser rastreado até você. Para comunicação genuinamente anônima, veja Matrix (com uma conta registrada pelo Tor), Session ou Briar. Esses são projetados com resistência a metadados em mente.

Remova metadados antes de fazer upload de arquivos. Fotos, PDFs e documentos Office podem carregar informações surpreendentemente detalhadas. Dados EXIF em imagens frequentemente incluem modelo da câmera, coordenadas GPS e timestamps. Documentos Word incorporam nomes de autores e históricos de revisão. Limpe tudo isso com mat2 antes de fazer upload de qualquer coisa:

# Instalar mat2
sudo apt install mat2  # Debian/Ubuntu
brew install mat2      # macOS

# Verificar quais metadados existem
mat2 --show document.pdf

# Remover metadados
mat2 --inplace document.pdf photo.jpg

No Windows, ExifTool funciona bem, ou você pode usar a opção integrada "Remover Propriedades e Informações Pessoais" nas Propriedades do Arquivo — embora ferramentas dedicadas façam um trabalho mais completo.

Níveis de Segurança e Modelos de Ameaça

Níveis de segurança existem principalmente para protegê-lo de exploração do navegador. JavaScript é o principal vetor para ataques de desanonimização. Em 2013, o FBI implantou exploits JavaScript através de servidores da dark web apreendidos e revelou com sucesso os endereços IP reais de usuários Tor. Rodar em Máxima Segurança teria bloqueado esses ataques completamente.

O problema prático é que a maior parte da web moderna depende de JavaScript. Sites de notícias, mecanismos de busca e até muitos serviços conscientes de privacidade quebram sem ele. Você terá que fazer um julgamento baseado no que está fazendo e quem pode realisticamente estar tentando te encontrar.

“The Internet is a surveillance state.”

— Bruce Schneier

Use Máxima Segurança quando você estiver acessando conteúdo controverso, estiver em um país