تور (شبکه)
ضعف‌ها > حمله تأیید ترافیک اولیه رله

در ۳۰ ژوئیه ۲۰۱۴ پروژه تور، بحث مشاوره امنیتی «حمله تأیید ترافیک اولیه رله» را مطرح کرد که طی آن گروهی از رله‌ها را پیدا کرد که تلاش می‌کردند کاربران و گردانندگان سرویس آنیون را شناسایی کنند. در کل، گره حمله‌کننده دایرکتوری سرویس آنیون، عنوان سلول‌های رله شده را تغییر می‌داد و آنها را به صورت سلول‌های «رله» یا «رله اولیه» علامت‌گذاری می‌کرد تا اطلاعات اضافی را رمزنگاری کند و دوباره برای گرداننده/کاربر درخواست‌کننده بفرستد. اگر نگهبان/گره ورودی کاربر/گرداننده نیز بخشی از رله‌های حمله‌کننده بود ممکن بود رله‌های حمله‌کننده، بتوانند نشانی آی‌پی کاربران/گردانندگان را به همراه اطلاعات سرویس آنیون که کاربر/گرداننده درخواست می‌کرد ضبط کنند. رله‌های حمله‌کننده، به اندازه کافی پایدار بودند که به صورت «مناسب به عنوان دایرکتوری سرویس مخفی» و «مناسب به عنوان گارد ورودی» شناخته شوند؛ بنابراین، هم کاربران سرویس آنیون و هم خود سرویس آنیون ممکن است از آن رله‌ها به عنوان گارد و گره دایرکتوری سرویس مخفی استفاده کرده باشند.
گره‌های حمله‌کننده در ۳۰ ژانویه ۲۰۱۴ وارد شبکه تور شدند و پروژه تور آنها را در ۴ ژوئیه از رده خارج کرد. با اینکه زمان آغاز حمله مشخص نیست اما پروژه تور تأکید می‌کند که ممکن است در حمله بین فوریه و ژوئیه، نشانی آی‌پی گردانندگان و کاربران سرویس آنیون فاش شده باشد.
پروژه تور، علاوه بر حذف رله‌های حمله‌کننده از شبکه، به موارد زیر اشاره کرد:
نرم‌افزار رله را نصب کرد تا جلوی رله‌ها را از رله کردن سلول‌ها با عنوان «رله اولیه» که در نظر گرفته نشده بودند بگیرد.
به‌روزرسانی‌هایی را برای نرم‌افزارهای پراکسی کاربران برنامه‌ریزی کرد تا کاربران بتوانند بررسی کنند که آیا ۱) سلول‌های «رله اولیه» از رله‌هایی را که قرار نبوده دریافت کنند دریافت کرده‌اند؟ ۲) تنظیمات آنها به جای انتخاب تصادفی ۳ گره گارد برای کاهش احتمال اتصال به یک رله حمله‌کننده، بر روی یک گره گارد، تنظیم شده‌است؟
توصیه کرد که بهتر است سرویس‌های اونیون، بخواهند جای خود را عوض کنند.
به کاربران و گردانندگان سرویس تور، یادآوری کرد که اگر (مانند این حمله) حمله‌کننده، هر دو سوی مسیر تور را کنترل یا شنود کند نمی‌تواند از افشاگری، جلوگیری کند.
در نوامبر ۲۰۱۴ به دنبال عملیات اُنیموس (به معنی "بی‌عیب و نقص") حدس و گمان‌هایی بر این موضوع مطرح شد که دستگیری ۱۷ نفر در سراسر جهان، با بهره‌برداری از ضعف‌های تور انجام شده‌است. یکی از نمایندگان یوروپل، از بیان روش استفاده شده، خودداری کرد و گفت: "این چیزی است که ما می‌خواهیم برای خودمان نگه داریم، نمی‌توانیم روش کار خود را با همه جهان در میان بگذاریم چون می‌خواهیم باز هم آنرا تکرار کنیم". یکی از منابع بی‌بی‌سی به یک «پیشرفت فنی» اشاره کرد که اجازه ردیابی محل فیزیکی سرورها را می‌دهد و شمار اولیه وبگاه‌های نفوذیافته، حدس و گمان استفاده از اکسپلویت را بیشتر می‌کند. یک نمایند پروژه تور، اندرو لیومن احتمال چنین چیزی را کم دانست و گفت که احتمال اجرای روش‌های سنتی پلیسی، بیشتر است.
در نوامبر ۲۰۱۵ اسناد دادگاهی، باعث نگرانی‌های جدی دربارهٔ اخلاق پژوهش امنیتی و حق معاف بودن از بررسی بی‌دلیل شدند که متمم چهارم قانون اساسی ایالات متحده آمریکا تضمین کرده‌است. به‌علاوه، ممکن است این اسناد به همراه نظر کارشناسان، نشان دهنده ارتباط بین حمله شبکه و عملیات اجرای قانون، از جمله موارد زیر باشد:
حکم تفتیش برای مدیر سیستم وبگاه Silkroad 2.0 نشان داد که بین ژانویه تا ژوئیه ۲۰۱۴ اداره تحقیقات فدرال (اف‌بی‌آی) اطلاعاتی را از یک "موسسه پژوهشی دانشگاهی" به همراه اطلاعاتی از "نشانی‌های آی‌پی معتبر تور و سرویس‌های آنیون مانند SR2" بدست آورده که منجر به شناسایی "دستکم ۱۷ بازار سیاه دیگر در تور" و "تقریبا ۷۸ نشانی آی‌پی شده که به یک آدرس .onion وندور دسترسی داشته‌اند". یکی از این آدرس‌های آی‌پی، منجر به دستگیری مدیر سیستم وبگاه Silkroad 2.0 شد.
تاریخ و ماهیت حمله به خوبی با عملیات، جور درمی‌آمد.
یک پژوهشگر ارشد در موسسه بین‌المللی علوم رایانه‌ای، که بخشی از دانشگاه کالیفرنیا، برکلی است در یک مصاحبه گفت که موسسه‌ای که با اداره تحقیقات فدرال (اف‌بی‌ای) همکاری کرده «تقریباً به صورت قطعی» دانشگاه کارنگی ملون بوده و این همکاری، همزمان با ارزیابی پروژه تور بوده‌است. همچنین از یک تحلیل پیشین ادوارد فلتن، استاد امنیت رایانه دانشگاه پرینستون، دربارهٔ پژوهشگران مرکز هماهنگی سرت در دانشگاه کارنگی ملون نیز استفاده شده‌است.
در این تحلیل که در ۳۱ ژوئیه ۲۰۱۴ منتشر شد علاوه بر مطرح کردن مسائل اخلاقی، ادوارد فلتن، هدف مرکز هماهنگی سرت در پیشگیری از حمله‌ها، آگاه‌سازی مجریان از آسیب‌پذیری‌ها و در نهایت، آگاه‌سازی مردم را زیر سؤال برد؛ زیرا در این پرونده، کارمندان مرکز هماهنگی سرت، برعکس آنرا انجام دادند یعنی حمله‌ای در مقیاس بزرگ و برای طولانی مدت انجام دادند، و اطلاعات مربوط به آسیب‌پذیری را از دسترس مجریان و عموم مردم، دور نگه داشتند. مرکز هماهنگی سرت، یک سازمان ناسودبر در زمینه پژوهش امنیت رایانه است که منبع بودجه خود را حکومت فدرال ایالات متحده آمریکا اعلام می‌کند.