研究人員發現'被破壞的洋蔥'（惡意的Tor出口節點）

任何志願者都可以運行Tor出口節點，並且這樣的志願者可能有惡意，長期以來一直被認為是Tor匿名網絡的潛在弱點。幸運的是，網絡以這種方式建立，數據在用戶和出口節點之間的許多不同“節點”之間中繼，以便最小化損害的可能性。

儘管如此，人們普遍認為有些人會運行這種“被破壞的洋蔥”節點，這些節點可以看到通過它們進出互聯網的所有交通，NSA風格的間諜機構特別懷疑。

一篇題為“被破壞的洋蔥：暴露惡意Tor退出繼電器”的新論文廣泛證實了這一發現是一篇較舊的論文，'使用誘餌檢測交通監聽'，發現任何時候運行的大約1000個Tor出口節點中有25個配置錯誤，或者是完全惡意的。有趣的是，該報認為，大多數人對此的主要懷疑 - 國家安全局 - 是值得懷疑的。

在所識別的25台服務器中，有兩個重定向的流量用於色情網站 - 據認為這些是在縣內運行的限制性審查法，一個遭受研究人員描述為OpenDNS服務器中的配置錯誤，另外二十二個使用Moxie Marlinspike的sslstrip方法進行中間人（MitM）攻擊。

'所有剩餘的中繼都參與了HTTPS和/或SSH MitM攻擊。在建立與誘餌目的地的連接後，這些中繼將目的地證書與他們自己的自簽名版本進行了交換。由於這些證書不是由TorBrowser證書存儲區中包含的受信任機構頒發的，因此遭受此類MitM攻擊的用戶將被重定向到about：certerror警告頁面。

關於結果的最有趣的事情可能是這些服務器中的19個服務器上的攻擊者似乎是同一個人（或一組人），這可以通過幾乎所有服務器使用幾乎相同的偽造證書來確定。使用了一個非常過時的Tor版本（版本0.2.2.37），除了其中一個以外，所有版本都位於俄羅斯的同一個VPS網絡上。

至於美國國家安全局，報告的共同撰稿人菲利普·溫特（Philipp Winter）觀察到它不需要像運行惡意節點這樣粗暴的攻擊，

“像NSA這樣的組織可以讀取/寫入大部分互聯網骨幹網。他們根本不需要運行Tor繼電器。我們認為，我們發現的攻擊主要由想要進行實驗的獨立個人完成。