टोर आपको अपने आईपी पते को उन वेबसाइटों द्वारा सीखे बिना इंटरनेट का उपयोग करने देता है जिन पर आप जाते हैं, और आपके इंटरनेट प्रदाता या वाई-फ़ाई ऑपरेटर को यह देखे बिना कि आप किन साइटों पर जाते हैं। यह आपके ट्रैफ़िक को स्वयंसेवकों द्वारा चलाए जाने वाले कई रिले (relays) के माध्यम से भेजकर ऐसा करता है, जिनमें से प्रत्येक केवल तस्वीर का एक छोटा सा हिस्सा जानता है।
यदि आप संवेदनशील सामग्री पढ़ते हैं, ऐसे नेटवर्क में रहते हैं जो साइटों को ब्लॉक करता है, या अपनी सामान्य पहचान से किसी एक गतिविधि को अलग रखना चाहते हैं, तो इसके बारे में जानना सार्थक है। यह एक सामान्य ब्राउज़र से धीमा है, और एक बार जब आप किसी खाते में लॉग इन करते हैं या कोई गलती करते हैं तो यह लोगों की धारणा से कम सुरक्षा प्रदान करता है।
इसे पढ़ने के बाद आप जान पाएंगे कि टोर कैसे काम करता है, यह क्या छिपाता है और क्या नहीं, ब्रिजेस (bridges) का उपयोग कब करना है, और इसे कमज़ोर किए बिना कैसे शुरुआत करनी है। हम रिले चलाने, अपना ओनियन सेवा सेट करने, या टोर-आधारित ऑपरेटिंग सिस्टम को कवर नहीं करते हैं।
सरल शब्दों में टोर क्या है
टोर स्वयंसेवकों और संगठनों द्वारा चलाए जाने वाले सर्वरों का एक नेटवर्क है, जिन्हें रिले (relays) कहा जाता है। आपके डिवाइस पर मौजूद सॉफ़्टवेयर उनमें से कई के माध्यम से एक रास्ता बनाता है और आपका ट्रैफ़िक उस पर भेजता है। टोर प्रोजेक्ट का विनिर्देश (specification) इस रास्ते को एक सर्किट (circuit) कहता है और कहता है कि यह आमतौर पर तीन रिले लंबा होता है।
यहाँ एक ठोस मामला है। आप किसी ऐसे देश में हैं जहाँ एक समाचार साइट ब्लॉक है, या आप किसी चिकित्सा स्थिति पर शोध कर रहे हैं और चाहते हैं कि आपका प्रदाता उन पृष्ठों को न देखे। टोर ब्राउज़र के साथ, आपका प्रदाता एक टोर रिले से कनेक्शन देखता है और इसके अलावा कुछ नहीं। समाचार साइट दुनिया में कहीं और के रिले से कनेक्शन देखती है, न कि आपके घर से।
अधिकांश लोग टोर ब्राउज़र के माध्यम से टोर का उपयोग करते हैं, जो फ़ायरफ़ॉक्स का एक संशोधित संस्करण है जो अपने ट्रैफ़िक को टोर के माध्यम से रूट करता है और ट्रैकिंग व ब्राउज़र फ़िंगरप्रिंटिंग का विरोध करने के लिए बनाया गया है। यह डिफ़ॉल्ट रूप से कोई इतिहास नहीं रखता है, और कुकीज़ केवल तब तक रहती हैं जब तक आप इसे बंद नहीं करते या एक नई पहचान की मांग नहीं करते। अक्टूबर 2026 तक यह डेस्कटॉप और एंड्रॉइड के लिए उपलब्ध है (Tor Project)।
यह कैसे काम करता है
- आपका टोर सॉफ़्टवेयर डायरेक्टरी सर्वर के एक छोटे सेट से रिले की एक हस्ताक्षरित सूची डाउनलोड करता है।
- यह रिले के माध्यम से एक रास्ता चुनता है: एक गार्ड (पहला), एक मध्य रिले (middle relay), और एक निकास रिले (exit relay - अंतिम)।
- यह प्रत्येक रिले के साथ अलग-अलग एन्क्रिप्शन कुंजियों पर बातचीत करता है और आपके डेटा को एक प्याज (onion) की तरह प्रति रिले एक परत में लपेटता है। प्रत्येक रिले अपनी परत हटाता है और बाकी हिस्सा आगे बढ़ा देता है।
- निकास रिले (exit relay) वेबसाइट से जुड़ता है और उसी रास्ते से उत्तर वापस लाता है।
परिणाम यह होता है कि प्रत्येक रिले केवल अपने से ठीक पहले और ठीक बाद के रिले को जानता है (टोर विनिर्देश)। गार्ड जानता है कि आप कौन हैं लेकिन यह नहीं जानता कि आप कहाँ जा रहे हैं। एग्जिट (निकास रिले) जानता है कि आप कहाँ जा रहे हैं लेकिन यह नहीं जानता कि आप कौन हैं। मध्य रिले दोनों में से कुछ भी नहीं जानता है।
आपका टोर क्लाइंट कुछ समय (लगभग दो से तीन महीने) के लिए एक ही गार्ड को रखता है, और जैसे ही आप नई साइटों पर जाते हैं, बाकी सर्किट बदल जाता है (Tor Project)। यह अजीब लगता है लेकिन जानबूझकर किया गया है। टोर प्रोजेक्ट बताता है कि गार्ड्स के एक छोटे सेट का पुनरुत् उपयोग करने से इस बात की संभावना कम हो जाती है कि दोनों सिरों को देखने वाला कोई व्यक्ति अंततः आपके ट्रैफ़िक को आपसे जोड़ सके (Tor Project)।
अक्टूबर 2026 तक, टोर के सार्वजनिक आंकड़े लगभग 9,100 रिले और लगभग 2,400 ब्रिजेस चलते हुए दिखाते हैं, जिसमें दैनिक उपयोगकर्ताओं की संख्या लगभग 3.6 से 4 मिलियन अनुमानित है (Tor Metrics, 9 से 11 अक्टूबर 2026 के आंकड़े)। उपयोगकर्ता का आंकड़ा डायरेक्टरी अनुरोधों से लिया गया एक अनुमान है, इसलिए इसे एक मोटे आंकड़े के रूप में मानें।
टोर किससे सुरक्षा करता है, और किससे नहीं
टोर इनमें मदद करता है:
- वेबसाइटों को आपका स्थान जानने से रोकना। साइटें एग्जिट रिले का पता देखती हैं, आपका नहीं।
- आपका प्रदाता या नेटवर्क ऑपरेटर आपकी गतिविधि देखे। आपके स्थानीय कनेक्शन पर मौजूद लोग, जैसे कि आपका इंटरनेट प्रदाता या जो भी वाई-फ़ाई चलाता है, वे यह नहीं देख सकते कि आप क्या ला रहे हैं या कहाँ से ला रहे हैं (Tor Project)।
- किसी एक पक्ष को सब कुछ पता चलना। चूंकि अलग-अलग लोग रिले चलाते हैं, इसलिए कोई भी एक रिले यह नहीं जान पाता है कि आप कौन हैं और आप क्या करते हैं।
यह इनमें मदद नहीं करता है:
- आपका टोर उपयोग दृश्यमान है। आपका प्रदाता अभी भी देख सकता है कि आप टोर से जुड़ रहे हैं, और सर्वर देख सकते हैं कि उनसे किसी टोर एग्जिट द्वारा संपर्क किया जा रहा है (Tor Project)।
- वे खाते जिनमें आप लॉग इन करते हैं। लॉग इन करने या व्यक्तिगत विवरण सबमिट करने से कोई साइट आपकी पहचान कर सकती है, और उसे यह भी पता चल सकता है कि आप टोर का उपयोग कर रहे हैं (EFF)।
- ब्राउज़र के बाहर की कोई भी चीज़। केवल टोर ब्राउज़र का ट्रैफ़िक टोर के माध्यम से जाता है। आपके डिवाइस पर अन्य ऐप रूट नहीं होते हैं (EFF)।
- टोर के बाहर खोले गए दस्तावेज़। EFF चेतावनी देता है कि किसी अन्य प्रोग्राम में डाउनलोड किए गए दस्तावेज़ को खोलने से आपका आईपी पता उजागर हो सकता है।
- एक ऐसा दर्शक जो दोनों सिरों को देखता है। यदि कोई व्यक्ति टोर में आपके कनेक्शन और गंतव्य या एग्जिट दोनों को देख सकता है, तो वे समय के पैटर्न (timing patterns) का मिलान कर सकते हैं। टोर प्रोजेक्ट का कहना है कि टोर इसके खिलाफ बचाव नहीं करता है (Tor Project), और मूल 2004 डिजाइन पेपर भी यही कहता है। सितंबर 2024 में, जर्मन ब्रॉडकास्टर NDR ने रिपोर्ट किया कि पुलिस ने टोर सेवाओं के उपयोगकर्ताओं की पहचान करने के लिए टाइमिंग विश्लेषण का उपयोग किया था। टोर प्रोजेक्ट ने कहा कि उसे इस बात का कोई संकेत नहीं मिला कि टोर ब्राउज़र पर हमला हुआ था, और उसने इस मामले को एक मैसेजिंग ऐप के लंबे समय से सेवानिवृत्त संस्करण से जोड़ा जिसमें सुरक्षा की कमी थी। इसने यह भी नोट किया कि लंबे समय तक चलने वाले कनेक्शन टाइमिंग विश्लेषण के संपर्क में अधिक आते हैं (Tor Project, Risky Biz)। प्रोजेक्ट केस फाइलों को नहीं देख सका, इसलिए कुछ अनिश्चितता बनी हुई है।
- एग्जिट रिले अन-एन्क्रिप्टेड ट्रैफ़िक देख सकता है। अंतिम रिले आपकी ओर से साइट से जुड़ता है। यदि कनेक्शन HTTPS के साथ एन्क्रिप्टेड नहीं है, तो वह रिले इसे पढ़ सकता है। टोर ब्राउज़र डिफ़ॉल्ट रूप से केवल-HTTPS (HTTPS-only) मोड का उपयोग करता है (EFF)।
इनमें से किसी भी चीज़ से आपके प्रभावित होने की कितनी संभावना है? टाइमिंग हमलों के लिए एक अच्छी तरह से संसाधन-संपन्न दर्शक की आवश्यकता होती है, इसलिए यदि आपका सामना किसी सरकार या बड़े संगठन से है तो वे सबसे अधिक मायने रखते हैं। अपने सामान्य खातों में लॉग इन करना स्वयं टोर की सुरक्षा को कम करने का सबसे सरल तरीका है।
ओनियन सेवाएं और .onion पते
कुछ साइटें ओनियन सेवाओं (onion services) के रूप में चलती हैं, जो केवल .onion पर समाप्त होने वाले 56-वर्णों वाले पते पर टोर के माध्यम से पहुंच योग्य होती हैं। आपके और साइट के बीच का ट्रैफ़िक एंड-टू-एंड एन्क्रिप्टेड होता है, और साइट का अपना स्थान भी छिपा होता है (Tor Project)। टोर प्रोजेक्ट डकडकगो (DuckDuckGo) की ओनियन सेवा को यह परीक्षण करने के तरीके के रूप में संदर्भित करता है कि क्या आपका कनेक्शन उन तक पहुँच सकता है। चूंकि ट्रैफ़िक कभी भी टोर नेटवर्क से बाहर नहीं जाता है, इसलिए कोई एग्जिट रिले शामिल नहीं होता है।
ब्रिजेस (Bridges), जब टोर ब्लॉक हो
कुछ नेटवर्क टोर को ब्लॉक कर देते हैं। ब्रिजेस (Bridges) टोर नेटवर्क में वैकल्पिक प्रवेश बिंदु हैं जो सार्वजनिक रूप से सूचीबद्ध नहीं हैं, इसलिए उन्हें ब्लॉक करना अधिक कठिन है (Tor Project)। टोर ब्राउज़र में ब्रिज सपोर्ट बिल्ट-इन है।
सेंसर वाले क्षेत्रों के लोगों के लिए टोर प्रोजेक्ट का मार्गदर्शन पहले एक सीधे कनेक्शन का प्रयास करने का है, और यदि यह विफल हो जाता है तो आपके देश के लिए उपयुक्त ब्रिज का उपयोग करने का है (Tor Project)। अक्टूबर 2026 तक, इसका पृष्ठ इन प्रकारों को सूचीबद्ध करता है:
| ब्रिज का प्रकार | यह क्या करता है | टोर प्रोजेक्ट कहाँ इसका सुझाव देता है |
|---|---|---|
| Snowflake | अल्पकालिक स्वयंसेवी प्रॉक्सी का उपयोग करता है, जो टोर ब्राउज़र के ब्रिज मेनू में निर्मित है | चीन और बेलारूस में एक फ़ॉलबैक; तुर्कमेनिस्तान में सबसे विश्वसनीय विकल्प के रूप में वर्णित |
| WebTunnel | ट्रैफ़िक को किसी वेबसाइट के साधारण HTTPS कनेक्शन की तरह दिखाता है | चीन में पहली सिफारिश; obfs4 ब्लॉक होने पर रूस में सुझाया गया |
| obfs4 | एक व्यापक रूप से उपयोग किया जाने वाला ब्रिज प्रकार | रूस में उपयोग किया जाता है, हालांकि कुछ मोबाइल प्रदाता अब डीप पैकेट निरीक्षण के साथ इसे ब्लॉक करते हैं |
कौन सा काम करता है यह समय के साथ बदलता रहता है क्योंकि सेंसर अनुकूलित होते हैं, इसलिए इस तालिका पर भरोसा करने से पहले अपने देश के लिए टोर प्रोजेक्ट के वर्तमान पृष्ठ की जांच करें।
आम मिथक
“टोर केवल अपराधियों के लिए है।” टोर प्रोजेक्ट इसके लक्ष्य को ट्रैकिंग और निगरानी से बचाने और सेंसरशिप से बचने के रूप में वर्णित करता है (Tor Project)। नेटवर्क ऑपरेटर या ट्रैकर से अपनी ब्राउज़िंग छिपाने के लिए किसी बुरे कारण की आवश्यकता नहीं है। टोर के उपयोग पर कानून देश के अनुसार अलग-अलग होते हैं, और हमने यहाँ उनका सत्यापन नहीं किया है, इसलिए यदि आप अनिश्चित हैं तो अपने कानून की जाँच करें।
“टोर मुझे पूरी तरह से अनाम (anonymous) बनाता है।” EFF का कहना है कि पूर्ण अज्ञातता प्राप्त करना आम तौर पर असंभव है (EFF)। टोर पहचान के एक बड़े स्रोत, आपके आईपी पते, को हटा देता है। आपका व्यवहार अभी भी आपकी पहचान बता सकता है।
“एक वीपीएन प्लस टोर अधिक सुरक्षित है।” हमें ऐसा कोई स्वतंत्र परीक्षण नहीं मिल सका जो यह दिखाता हो कि यह मदद करता है। टोर के सामने एक वीपीएन का मतलब है कि एक और कंपनी यह देख सकती है कि आप टोर से जुड़ते हैं, और यह बदलता है कि आपका प्रदाता कौन है, न कि टोर किसकी रक्षा करता है।
क्या करें
- टोर के लिए केवल टोर ब्राउज़र का उपयोग करें, और किसी अन्य चीज़ का नहीं। इसे केवल टोर प्रोजेक्ट से डाउनलोड करें। टोर के माध्यम से रूट किए गए अन्य ब्राउज़र गंभीर अनाम-अपहरण (deanonymization) और रिसाव जोखिम ले जाते हैं (Tor Project)।
- उन खातों में लॉग इन न करें जो आपकी पहचान बताते हैं। यदि आप ऐसा करते हैं, तो वह सत्र अब अनाम नहीं रहेगा।
- अतिरिक्त ब्राउज़र ऐड-ऑन इंस्टॉल न करें। EFF चेतावनी देता है कि वे आपको पहचान योग्य (deanonymize) बना सकते हैं।
- जब जोखिम अधिक हो तो सुरक्षा स्तर बढ़ाएँ। टोर ब्राउज़र में स्टैंडर्ड (Standard), सेफ़र (Safer) और सेफ़ेस्ट (Safest) स्तर हैं। सेफ़र बिना HTTPS वाली साइटों पर जावास्क्रिप्ट बंद कर देता है और ऑडियो और वीडियो को क्लिक-टू-प्ले बनाता है। सेफ़ेस्ट डिफ़ॉल्ट रूप से सभी साइटों पर जावास्क्रिप्ट बंद कर देता है। उच्च स्तरों पर कुछ साइटें टूट सकती हैं (Tor Project)।
- टोर ब्राउज़र को अद्यतन (updated) रखें, और लंबे सत्रों को अपनी आवश्यकता तक सीमित रखें।
- यदि टोर ब्लॉक है, तो ब्रिज का उपयोग करें। पहले स्नोफ्लेक (Snowflake) या वेबटनल (WebTunnel) का प्रयास करें और ऊपर दी गई तालिका देखें।
फ़ोन पर
एंड्रॉइड पर, टोर ब्राउज़र गूगल प्ले और अन्य स्रोतों से उपलब्ध है, और इसके लिए एंड्रॉइड 5.0 या उससे नए की आवश्यकता है (Tor Project)।
आईफ़ोन पर, कोई टोर ब्राउज़र नहीं है। टोर प्रोजेक्ट ओनियन ब्राउज़र की सिफारिश करता है, लेकिन नोट करता है कि एप्पल हर iOS ब्राउज़र को वेबकिट (WebKit) का उपयोग करने पर मजबूर करता है, इसलिए यह टोर ब्राउज़र की सुरक्षा से मेल नहीं खा सकता है। मैस्क (Mysk) के सुरक्षा शोधकर्ताओं ने अगस्त 2026 में रिपोर्ट किया कि वेबकिट सीधे कनेक्शन बना सकता है जो प्रॉक्सी ब्राउज़र (ओनियन ब्राउज़र सहित) में भी आपके वास्तविक आईपी पते को उजागर करते हैं। रिपोर्ट में डीएनएस प्रीफेचिंग, एक पासकी जांच और वेबट्रांसपोर्ट का नाम दिया गया। अगस्त 2026 तक, एप्पल की रिपोर्ट स्थिति ने कहा कि फॉल 2026 के लिए एक सुधार की योजना बनाई गई थी (Mysk, via iPhone in Canada)। हम यह पुष्टि नहीं कर सके कि यह जारी किया गया है या नहीं। EFF की गाइड अत्यधिक संवेदनशील ब्राउज़िंग के लिए iOS पर ओनियन ब्राउज़र से बचने की सलाह देती है जब तक कि एप्पल इसे ठीक नहीं कर देता, और हम इसका पालन करेंगे। यह पृष्ठ सामान्य जानकारी है, विशिष्ट कानूनी या सुरक्षा स्थिति के लिए सलाह नहीं।
स्रोत (Sources)
- A short introduction to Tor, Tor Specifications, Tor Project
- What protections does Tor provide?, Tor Project, अनदिनांकित
- What attacks remain against onion routing?, Tor Project, अनदिनांकित
- Tor: The Second-Generation Onion Router, Dingledine, Mathewson and Syverson, 2004
- Understanding guard relays, Tor Project, अनदिनांकित
- What are entry guards?, Tor Project, अनदिनांकित
- About Tor Browser, Tor Project, अनदिनांकित
- Adjusting security levels in Tor Browser, Tor Project, अनदिनांकित
- Onion services, Tor Project, अनदिनांकित
- Using bridges, Tor Project, अनदिनांकित
- Connecting to Tor from different countries or regions, Tor Project, एक्सेस किया गया अक्टूबर 2026
- Tor Browser for Android and iOS, Tor Project, अनदिनांकित
- Tor Metrics: relays and bridges and relay users, Tor Project, अक्टूबर 2026 तक के आंकड़े
- How to use Tor, Electronic Frontier Foundation, Surveillance Self-Defense
- Tor is still safe, Tor Project, सितंबर 2024 (अक्टूबर 2024 को अद्यतन)
- Tor Project plays down deanon attacks in Germany, Risky Business News, सितंबर 2024
- IP and DNS leaks in WebKit affecting proxy browsers and Apple iCloud Private Relay, Mysk, अगस्त 2026
- Researchers say iCloud Private Relay and iOS privacy browsers are leaking your IP address, iPhone in Canada, अगस्त 2026