Index: maquetacion/bibliografia.bib
===================================================================
--- maquetacion/bibliografia.bib	(revision 342b9dab52f7cc15099b870c79604fd5f944102c)
+++ maquetacion/bibliografia.bib	(revision 6a2d170081fdabc63cea01e7d42f34d36a202920)
@@ -386,5 +386,5 @@
 % referencias capítulo 7
 
-@Electronic{ rlsm:terminology,
+@Electronic{rlsm:terminology,
 	title = "Anonymity, Unobservability, and Pseudonymity: A Consolidated Proposal for Terminology",
 	author = "Pfitzmann, A., Hansen, M.",
@@ -393,5 +393,5 @@
 }
 
-@Article{ rlsm:diaz01,
+@Article{rlsm:diaz01,
 	title = "Towards measuring Anonymity ",
 	author = "D\'{\i}az, C., Seys, S., Claessens, J., Preneel, B.",
@@ -402,5 +402,5 @@
 }
 
-@Article{ rlsm:serj01,
+@Article{rlsm:serj01,
 	title = "Towards an Information Theoretic Metric for Anonymity",
 	author = "Serjantov, A., Danezis, G.",
@@ -489,5 +489,5 @@
 }
 
-@Article{ rlsm:yuxin,
+@Article{rlsm:yuxin,
 	title = "Measuring Anonymity with Relative Entropy",
 	author = "Deng, Y., Pang, J., Wu, P.",
@@ -499,5 +499,5 @@
 
 
-@Article{ rlsm:combinatorial,
+@Article{rlsm:combinatorial,
 	title = "A Combinatorial Approach to Measuring Anonymity",
 	author = "Edman, M., Sivrikaya, F., Yener, B.",
@@ -509,5 +509,5 @@
 
 
-@Article{ rlsm:revisiting,
+@Article{rlsm:revisiting,
 	title = "Revisiting A Combinatorial Approach Toward Measuring Anonymity",
 	author = "Gierlichs, B., Troncoso, C., Diaz, C., Preneel, B., Verbauwhede, I.",
@@ -519,5 +519,5 @@
 
 
-@Article{ rlsm:berthold,
+@Article{rlsm:berthold,
 	title = "The Disavantages of Free Mix Routes and How to overcome them",
 	author = "Berthold, O., Pfitzmann, A., Standtke, R.",
@@ -629,5 +629,5 @@
 }
 
-@inproceedings{onion-routing:pet2000,
+@inproceedings{onion-routingpet2000,
   title = {{Towards an Analysis of Onion Routing Security}}, 
   author = {Paul Syverson and Gene Tsudik and Michael Reed and Carl Landwehr}, 
@@ -645,5 +645,5 @@
 }
 
-@inproceedings{danezis:pet2004,
+@inproceedings{danezispet2004,
   title = {The Traffic Analysis of Continuous-Time Mixes}, 
   author = {George Danezis}, 
@@ -755,2 +755,47 @@
   www_section = {Traffic analysis}, 
 }
+
+@MastersThesis{maestriaRSumoza,
+author = {Rodolfo Sumoza},
+title = {Sistemas Anónimos en Escenarios Globales},
+school = {Universidad Complutense de Madrid},
+year = {2008},
+}
+
+@inproceedings{traffic_analysis,
+author = {J. F. Raymond},
+editor = {H. Federrath},
+title = {Traffic Analysis: Protocols, Attacks, Design Issues, and Open Problems},
+booktitle = {Designing Privacy Enhancing Technologies: Workshop on Design Issues in Anonymity and Unobservability - Springer-Verlag, LNCS},
+year = {2000},
+}
+
+@inproceedings{timing_ssh,
+author = {Dawn Xiaodong Song; David Wagner; Xuqing Tian},
+editor = {USENIX Association},
+title = {Timing Analysis of Keystrokes and Timing Attacks on SSH},
+booktitle = {Proceedings of the 10th USENIX Security Symposium},
+year = {2001},
+}
+
+@online{cenditel_anonimato,
+author = {Endira Mora et. al},
+title = {Gestión de Anonimato},
+year = {2014},
+url = {https://tibisay.cenditel.gob.ve/gestionanonimato/wiki/PlanDeTrabajo%3A},
+}
+
+@inproceedings{cebolla,
+  title = {{Cebolla: Pragmatic IP Anonymity}}, 
+  author = {Zach Brown}, 
+  booktitle = {Proceedings of the 2002 Ottawa Linux Symposium}, 
+  year = {2002}, 
+  month = {June}, 
+  www_tags = {selected}, 
+  www_pdf_url = {http://cypherspace.org/cebolla/cebolla.pdf}, 
+  www_remarks = {Written by a former Freedom developer, Cebolla has a UDP-based design
+        similar to second-generation Freedom. The initiator incrementally builds her
+        circuit, giving her end-to-end forward-secrecy and also better recovery from
+        broken nodes.}, 
+  www_section = {Anonymous communication}, 
+}
Index: maquetacion/capitulo1/capitulo1.tex
===================================================================
--- maquetacion/capitulo1/capitulo1.tex	(revision 94f5b4ad82fe1df53bf51089a94fb31025ea5b51)
+++ maquetacion/capitulo1/capitulo1.tex	(revision 6a2d170081fdabc63cea01e7d42f34d36a202920)
@@ -20,5 +20,5 @@
 \import{./}{implicacionesTecnicas}
 
-\import{./}{registroDelComportamiento}
+%\import{./}{registroDelComportamiento}
 
 
Index: maquetacion/capitulo1/conceptosBasicos.tex
===================================================================
--- maquetacion/capitulo1/conceptosBasicos.tex	(revision 94f5b4ad82fe1df53bf51089a94fb31025ea5b51)
+++ maquetacion/capitulo1/conceptosBasicos.tex	(revision 6a2d170081fdabc63cea01e7d42f34d36a202920)
@@ -1,67 +1,81 @@
-%\section{Conceptos b\'asicos}
+Con la intención de enfocar el tema de la Identidad Digital (ID) hacia lo que busca explicar este material, a continuación se presentan las definiciones de algunos términos necesarios para tal contextualización. Inicialmente se muestran conceptos sobre la propia \textit{Identidad Digital}, luego se explican términos relevantes como el de \textit{Rol, identidad parcial, manejo de la identidad}, y la \textit{protección de la identidad}, que involucra el área de la \textit{privacidad, anonimato, seudonimato, certificación y firma electrónica}.
 
 \section{Identidad Digital-ID}
+
+Los siguientes conceptos se utilizaron como base en el trabajo \cite{maestriaRSumoza} y se presentan de manera resumida a continucación:
+
 \begin{enumerate}
 \item Es el conjunto de datos que describen y representan a un sujeto: persona, grupo de personas o cosas de manera única. Puede contener información sobre gustos, creencias, relaciones, tendencias, ideologías, y cualquier otro descriptor vinculado al sujeto. 
 \item Es la suma de toda la información disponible en formato digital de un sujeto (persona, grupo de personas, cosas).
-\item Puede ser explicada como una percepción única o exclusiva de vida, con su integración a un grupo social, y con continuidad, la cual está acotada y formada por una sociedad. La identidad puede estar ligada a cualquier sujeto, ya sean seres humanos, personas jurídicas,y dispositivos electrónicos.
+\item Puede ser explicada como una percepción única o exclusiva de vida, con su integración a un grupo social, y con continuidad, la cual está acotada y formada por una sociedad. La identidad puede estar ligada a cualquier sujeto, ya sean seres humanos, personas jurídicas, y dispositivos electrónicos.
 \item La identidad es un conjunto de atributos pertenecientes a un individuo que permiten diferenciarlo del resto de individuos que forman parte de un conjunto determinado. Por esta razón no existe una identidad única y universal, sino que pueden existir varias para un mismo individuo, según el conjunto y contexto al que se haga referencia. Incluso los valores de los atributos y los atributos mismos pueden cambiar en el tiempo.
-\item La identidad digital denota la atribución de propiedades a una persona,los cuales son, desde el punto de vista técnico, operacionalmente accesible de forma inmediata, por su característica digital. El identificador de una identidad parcial digital puede ser una dirección de correo electrónico en un grupo de noticias o en una lista de correos.
+\item La identidad digital denota la atribución de propiedades a una persona, los cuales son, desde el punto de vista técnico, operacionalmente accesible de forma inmediata, por su característica digital. El identificador de una identidad parcial digital puede ser una dirección de correo electrónico en un grupo de noticias o en una lista de correos.
 \end{enumerate}
 
-%\subsubsection{Identidad Parcial}
-\subsection{Identidad Parcial}
-La identidad de cada persona está compuesta por muchas identidades parciales, las cuales representan a la persona en un contexto o rol específico. De esta forma, una identidad parcial es un subconjunto de atributos del conjunto que compone la identidad completa, formada por la unión de todos los atributos de esta persona. Desde un punto de vista técnico, estos atributos constituyen datos. Como se mencionó anteriormente estos atributos y los valores de la identidad parcial pueden variar en el tiempo. Un seudónimo puede considerarse como una identidad parcial. A pesar de que una identidad parcial no permite caracterizar a un individuo de forma única dentro de un conjunto específico, si puede, según la cantidad de atributos contenidos en el subconjunto, hacer posible tener varios contextos de aplicación del anonimato.
+\subsection{Identidad Parcial} Una identidad parcial es un subconjunto de atributos del conjunto que compone la identidad completa, formada por la unión de todos los atributos de esta persona. Desde un punto de vista técnico, estos atributos constituyen datos. Como se mencionó anteriormente estos atributos y los valores de la identidad parcial pueden variar en el tiempo. Un seudónimo puede considerarse como una identidad parcial. A pesar de que una identidad parcial no permite caracterizar a un individuo de forma única dentro de un conjunto específico, si puede, según la cantidad de a\-tri\-bu\-tos contenidos en el subconjunto, hacer posible tener varios contextos de aplicación del anonimato. La identidad de cada persona está compuesta por muchas identidades parciales, las cuales representan a la persona en un contexto o rol específico.
 
-%\subsubsection{Identidad Virtual}
-\subsection{Identidad Virtual}
-Algunas veces se utiliza como sinónimo de identidad digital, pero dada su connotación de no-real, aparente y no-existente, este término es utilizado principalmente en ambientes multi-usuarios, o multi-jugadores masivos, es decir, en entornos de juegos virtuales. 
+\subsection{Sociedad Digital}
+Es un concepto moderno de sociedad progresiva que se forma como resultado de la adopción e integración de las TIC en ámbitos de hogar, de trabajo, de educación, de recreación. Las personas interactúan a través de diversos tipos de actividades, como el pago de los diversos servicios públicos, la gestión de sus cuentas, el pago de los impuestos, el acceso a información de su interés, el registro de empresas, obtención de tarjetas de identificación, autenticación, transacciones financieras, registros médicos, situación laboral, revisión de oportunidades de empleo, etc. 
 
-%\subsubsection{Sociedad Digital}
-\subsection{Sociedad Digital}
-Es concepto moderno de sociedad progresiva que se forma como resultado de la adopción e integración de las TIC en ámbitos de hogar, de trabajo, de educación, de recreación. Las personas interactúan a través de diversos tipos de actividades, como el pago de los diversos servicios públicos, la gestión de sus cuentas, el pago de los impuestos, el acceso a información de su interés, el registro de empresas, obtención de tarjetas de identificación, autenticación, transacciones financieras, registros médicos, situación laboral, revisión de oportunidades de empleo, etc. 
-
-%\subsubsection{Rol}
 \subsection{Rol}  
 Desde el punto de vista de la sociología un rol o rol social constituye un conjunto de acciones conectadas o relacionadas, conceptualizadas por los actores en una situación social. Es frecuente definirlo como un comportamiento esperado en un contexto individual social dado.
 
-%\subsubsection{Manejo de la ID}
+El Rol en Informática es un término vinculado a la Seguridad de las TICs y su significado es el de la función que un usuario tiene al utilizar un sistema. Las funciones les dan acceso a diferentes niveles de seguridad.
+
 \subsection{Manejo de la ID}
-Con estas definiciones de identidad digital se logra distinguir entre dos instancias de los sujetos, la primera que les permite definirse asimismo (auto-definición interior y personal), y la segunda que los define en un contexto social con sus respectivos atributos, y que se mantiene para darles la posibilidad del acceso a la comunicación y que los ata de cierta manera a un control y un grado de consistencia con respecto al resto. La identificabilidad es el estado de ser identificable dentro de una conjunto de sujetos, que es el conjunto identificable.
+En identidad digital se logra distinguir entre dos instancias de los sujetos (personas, grupos de personas o cosas), la primera es la definición de símismo (auto-definición interior y personal), y la segunda que los define en un contexto social con sus respectivos atributos, y que se mantiene para dar la posibilidad del acceso a la comunicación y que los ata de cierta manera a un control y un grado de consistencia con respecto al resto.
 
-El manejo de la ID implica la gestión de varias identidades parciales (usualmente denotadas por seudónimos) de un individuo. El establecimiento de la reputación es posible o cuando un individuo re-utiliza las identidades parciales. Un pre-requisito para la selección de una identidad parcial es el de conocer el contexto en el que la persona está actuando.
+El manejo de la ID implica la gestión de varias identidades parciales (usualmente denotadas por seudónimos) de un individuo. El establecimiento de la reputación es posible cuando un individuo re-utiliza las identidades parciales. Un pre-requisito para la selección de una identidad parcial es el de conocer el contexto en el que la persona está actuando.
 
-%\paragraph{Sistema de manejo de la identidad}
-\subsubsection{Sistema de manejo de la identidad}
-La tecnología basada en el manejo de la identidad en su esencia más amplia,  se refiere a la administración y diseño de los atributos de las identidades. Se puede distinguir entre un sistema de manejo de identidad y una aplicación para el manejo de la identidad: La primera puede ser entendida como una infraestructura, y la segunda como un conjunto de componentes coordinados entre sí. Las aplicaciones para el manejo de la identidad son herramientas para manejar individualmente sus comunicaciones
-relevantes, las cuales pueden ser configuradas y operadas en el lado de los usuarios o en el lado de los servidores. El manejo de la identidad, soportado técnicamente, tiene que autorizar a los usuarios para reconocer diferentes tipos de comunicaciones o situaciones
-sociales, y acceder a ellas con respecto a su relevancia, funcionalidad y al nivel de riesgo de la privacidad y seguridad en función de hacer y asumir roles de forma adecuada. En general, las aplicaciones para el manejo de la identidad, específicamente en cuanto al manejo
-de las identidades parciales, representan los diferentes seudónimos con su respectivos datos de acuerdo a los diferentes roles que el usuario ha asumido y de acuerdo a los diferentes patrones de comunicación. En los casos donde se hace explícito el flujo de los datos personales, donde se le permite al usuario tener un mayor grado de control, la guía principal es la de “reconocer y escoger” su propia identidad, y se procura minimizar la cantidad de los datos utilizados. Esto significa que el usuario controla la relacionabilidad de sus datos personales. De acuerdo a una situación y contexto específico, tal sistema le da soporte al usuario en la selección de seudónimos que representen a sus identidades parciales.
+\subsubsection{Sistema de manejo de la identidad}\hfill\\
+Se refiere a la administración y diseño de los atributos de las identidades. Se puede distinguir entre un sistema de manejo de identidad y una aplicación para el manejo de la identidad: La primera puede ser entendida como una infraestructura, y la segunda como un conjunto de componentes coordinados entre sí. Las aplicaciones para el manejo de la identidad son herramientas para manejar individualmente sus comunicaciones relevantes, las cuales pueden ser configuradas y operadas en el lado de los usuarios o en el lado de los servidores. El manejo de la identidad, soportado técnicamente, tiene que autorizar a los usuarios para reconocer diferentes tipos de comunicaciones o situaciones sociales, y acceder a ellas con respecto a su relevancia, funcionalidad y al nivel de riesgo de la privacidad y seguridad en función de hacer y asumir roles de forma adecuada. 
+
+En general, las aplicaciones para el manejo de la identidad, específicamente en cuanto al manejo de las identidades parciales, representan los diferentes seudónimos con su respectivos datos de acuerdo a los diferentes roles que el usuario ha asumido y de acuerdo a los diferentes patrones de comunicación. En los casos donde se hace explícito el flujo de los datos personales, donde se le permite al usuario tener un mayor grado de control, la guía principal es la de “reconocer y escoger” su propia identidad, y se procura minimizar la cantidad de los datos utilizados. De acuerdo a una situación y contexto específico, tal sistema le da soporte al usuario en la selección de seudónimos que representen a sus identidades parciales.
 
 \section{Protección de la ID}
-%\subsubsection{Privacidad vinculada a la ID}
+
+\subsection{Registro del comportamiento} \hfill\\
+ 
+\subsubsection{Análisis de Tráfico} \hfill\\
+
+Tal como se menciona en \cite{traffic_analysis} el Análisis de Tráfico tuvo sus orígenes durante la Segunda Guerra Mundial, incluyendo su relación con el ataque que se hizo sobre Pearl Harbour. Actualmente Google utiliza los enlaces de incidencia para evaluar la importancia de las páginas web, las compañías de tarjetas de crédito examinan las transacciones para descubrir patrones de gastos fraudulentos. La idea de fondo de esta técnica radica en que durante el tráfico de datos se pueden registrar el tiempo y la duración de la comunicación, y se examina esta información para determinar la forma detallada del flujo de datos, las identidades de las partes que se comunican,
+y lo que puede ser establecido sobre su ubicación. Incluso los datos pueden ser poco precisos o estar incompletos, y simplemente a través del conocimiento de patrones típicos de comunicación se podría inferir sobre una comunicación en particular que se esté observando.
+ 
+Esta técnica a pesar de que obtiene información de menor calidad en comparación a la obtenida con las técnicas del criptoanálisis, es mucho más fácil, barata y viable en cuanto a la extracción y procesamiento del tráfico de datos. El Análisis de Tráfico ha inspirado a otras técnicas utilizadas para la protección de sistemas, y para la construcción de sistemas de confianza. En cuanto al Análisis de Tráfico del protocolo de seguridad SSH (cónsola de comandos segura, o SSH por sus siglas en inglés), a pesar que ofrece comunicaciones seguras para acceder a terminales remotos a través de un proceso de autenticación que utiliza mecanismos de clave pública, y que luego de este proceso toda la información viaja cifrada garantizando su confidencialidad e integridad, en \cite{timing_ssh} se muestra que aun existe gran cantidad de información que aun se deja pasar sin ocultarse. En su modo interactivo, el protocolo SSH transmite cada pulsación de tecla como un paquete distinto y de esta forma la longitud de la clave puede ser trivialmente descubierta. Además, dado que la distribución de los 
+teclados no es aleatoria, y que las claves con frecuencia están basadas en palabras reales, el tiempo exacto de las pulsaciones de teclas está relacionado a qué tan rápido un carácter particular puede ser tipeado después de otro. Esto implica que al haber una suficiente variabilidad entre los patrones de tipeo de las personas entonces existe la posibilidad de identificarlos, particularmente después de observar una secuencia larga. 
+ 
+El Análisis de Tráfico de los protocolos introducidos para proveer accesos web privados (Secure Sockets Layer o SSL y el Transport Layer Security o TLS), se basa en estudiar la información que aun deja escapar este protocolo cuando se establece una comunicación web hacia un servidor. Los navegadores solicitan recursos, que son normalmente páginas HTML, y éstas a su vez están asociadas a otras recursos adicionales como imágenes, tablas, etc., las cuales pueden ser descargadas a través de enlaces cifrados, pero su tamaño aun puede ser determinado por el observador, quien puede inferir cuáles páginas están siendo accedidas (por ejemplo podrá inferir cuáles reportes de una compañía están siendo descargados). Incluso, estudiando el comportamiento de los sistemas de almacenamiento local de las páginas visitadas en la web (web cache) puede inferirse cuáles sitios web se han accedido con sólo reconocer el patrón de almacenamiento en los cache de cada uno.
+ 
+Se puede determinar la identificación de los dispositivos en la red sólo con estudiar el comportamiento y las características particulares de los cambios del reloj en cada dispositivo.
+
 \subsection{Privacidad vinculada a la ID}
+\label{privacidad}
+La privacidad está vinculada a toda la información proveniente de cualquier fuente que se relacione a un individuo y que éste desea que no se divulgue públicamente. Esta información puede estar contenida en los perfiles que se tienen del individuo. Estos perfiles son conjuntos de atributos que se consideran identidades parciales de las personas. Cuando terceros (atacantes) crean a través de ataques como el Análisis de Tráfico, sin autorización, estos perfiles de las personas para realizar hechos negativos (no deseados) contra los mismos, se considera que existe una vulnerabilidad que debe ser protegida. Es por eso que en el contexto de la Idenidad Digital, y su protección, están involucradas las técnicas y procedimientos para proteger la Privacidad, y puntualmente se puede hablar de Anonimato al procurar evitar la creación de dichos perfiles sin autorización.
 
-%\paragraph{Anonimato} \hfill\\
 \subsubsection{Anonimato} \hfill\\
-Un sujeto es anónimo cuando no puede ser identificado dentro de un conjunto de sujetos, denominado el conjunto anónimo. Este conjunto está conformado por todos los posibles sujetos que pueden causar (o estar relacionados con) una acción. No ser identificado significa que ese sujeto no puede ser caracterizado de forma única o particular dentro de ese conjunto. Un sujeto actúa anónimamente cuando, desde el punto de vista del adversario, su acción no puede relacionarse con su identidad, dado que hay un conjunto de sujetos que podrían ser los causantes potenciales de la acción (y el adversario no puede distinguir a su verdadero causante). El anonimato debe permitirle a un sujeto utilizar un recurso o servicio sin revelar su identidad, esto implica que el anonimato por si mismo no procura proteger la identidad de un usuario en un ámbito general, lo que pretende es evitar que otros usuarios o sujetos no puedan determinar la identidad de un usuario cuando éste genera una acción u operación en particular.
+\label{anonimato}
+Este concepto está vinculado a los usuarios (sujetos) que utilizan un sistema de comunicación, y que en general puede decirse que un sujeto es anónimo cuando no puede ser identificado dentro de un conjunto de sujetos, denominado el conjunto anónimo. Este conjunto está conformado por todos los posibles sujetos que pueden causar (o estar relacionados con) una acción. "No ser identificado" significa que ese sujeto no puede ser caracterizado de forma única o particular dentro de ese conjunto. Un sujeto actúa anónimamente cuando, desde el punto de vista del adversario, su acción no puede relacionarse con su identidad, dado que hay un conjunto de sujetos que podrían ser los causantes potenciales de la acción (y el adversario no puede distinguir a su verdadero causante). El anonimato debe permitirle a un sujeto utilizar un recurso o servicio sin revelar su identidad, esto implica que el anonimato por si mismo no procura proteger la identidad de un usuario en un ámbito general, lo que pretende es evitar que otros usuarios o sujetos no puedan determinar la identidad de un usuario cuando éste genera una acción u operación en particular.
 
-%\paragraph{Seudonimato} \hfill\\
 \subsubsection{Seudonimato} \hfill\\
-Tal como se expresa en [53], los seudónimos son identificadores (nombres u otras cadenas de bits) de sujetos. Para el caso que se está tratando, son los identificadores de los emisores y receptores de mensajes. La palabra seudónimo proviene del griego (“pseudonumon”) la cual significa “nombre falso”, es decir, un nombre distinto al “nombre real”. Sin embargo, como el “nombre real” tiene también un origen arbitrario, el nombre de seudónimo puede ser extendido a todos los identificadores o cualquier otra cadena de bits que identifique a un sujeto. Es posible que en algunos casos convenga agrupar los nombre reales en un conjunto distinto al de los “nombres falsos” (no considerados reales), pero en otros casos un “nombre real” puede ser considerado como un seudónimo que resulta de un selección inicial, para la identificación de un sujeto. Incluso, en gran parte de la literatura excluyen la fracción que le da el nombre de “falso” (“pseudo”), y sólo utilizan, para referirse a nombres de seudónimos, la palabra nyms. Desde un punto de vista más básico (fundamental), un seudónimo puede ser considerado como un tipo de atributo del sujeto, que puede ser controlado por el diseñador de sistemas o por
+La palabra seudónimo proviene del griego (“pseudonumon”) la cual significa “nombre falso”, es decir, un nombre distinto al “nombre real”. Sin embargo, como el “nombre real” tiene también un origen arbitrario, el nombre de seudónimo puede ser extendido a todos los identificadores o cualquier otra cadena de bits que identifique a un sujeto. Tal como se expresa en \cite{rlsm:terminology}, los seudónimos son identificadores (nombres u otras cadenas de bits) de sujetos. Para el caso que se está tratando, son los identificadores de los emisores y receptores de mensajes. Es posible que en algunos casos convenga agrupar los nombre reales en un conjunto distinto al de los “nombres falsos” (no considerados reales), pero en otros casos un “nombre real” puede ser considerado como un seudónimo que resulta de un selección inicial, para la identificación de un sujeto. Incluso, en gran parte de la literatura excluyen la fracción que le da el nombre de “falso” (“pseudo”), y sólo utilizan, para referirse a nombres de seudónimos, la palabra nyms. Desde un punto de vista más básico (fundamental), un seudónimo puede ser considerado como un tipo de atributo del sujeto, que puede ser controlado por el diseñador de sistemas o por
 el mismo usuario.
 
-Se pueden generalizar los seudónimos como identificadores de conjuntos de sujetos, pero en todos los casos que se tratan en este trabajo se refiere a un sólo sujeto, el cual representa el contenedor de ese seudónimo. En las configuraciones tradicionales se asume que cada seudónimo se refiere a un solo contenedor, invariante sobre el tiempo, el cual no puede ser transferido a otros contenedores. Solamente tipos especiales de seudónimos pueden ser extendidos y transferidos a otros contenedores, por ejemplo, un seudónimo de grupo se refiere a un conjunto de contenedores, y un seudónimo transferible puede ser transferido de un contenedor a otro. Utilizando la noción de seudónimo de grupo, se podría inducir el conjunto anónimo: Utilizando la información provista por el seudónimo solamente, un atacante no podría decidir si una acción fue ejecutada por una persona específica dentro del conjunto.
+Se pueden generalizar los seudónimos como identificadores de sujetos particulares o conjuntos de sujetos que son sus contenedores. En las configuraciones tradicionales se asume que cada seudónimo se refiere a un solo contenedor, invariante sobre el tiempo, el cual no puede ser transferido a otros contenedores. Algunos tipos especiales de seudónimos pueden ser solamente extendidos y transferidos a otros contenedores, por ejemplo, un seudónimo de grupo se refiere a un conjunto de contenedores, y un seudónimo transferible puede ser transferido de un contenedor a otro. Utilizando la noción de seudónimo de grupo, se podría inducir el conjunto anónimo: Utilizando la información provista por el seudónimo solamente, un atacante no podría decidir si una acción fue ejecutada por una persona específica dentro del conjunto.
 
-En resumen, utilizando un criterio formal, un seudónimo se puede considerar como el estado de utilizar un “nombre falso” como identificación (ID), y seudonimato se puede definir como el proceso donde se utilizan los seudónimos como identificadores. En el contexto de este trabajo, el seudonimato tiene como uno de sus principales objetivos el permitirle a un usuario utilizar un recurso o servicio sin tener que revelar su verdadera identidad, y sin quitarle la responsabilidad sobre el uso del mismo.
+En resumen, utilizando un criterio formal, un seudónimo se puede considerar como el estado de utilizar un “nombre falso” como identificación (ID), y seudonimato se puede definir como el proceso donde se utilizan los seudónimos como identificadores. El seudonimato tiene como uno de sus principales objetivos el permitirle a un usuario utilizar un recurso o servicio sin tener que revelar su verdadera identidad, y sin quitarle la responsabilidad sobre el uso del mismo.
 
-Es evidente, por definición, que el anonimato y la responsabilidad son extremos opuestos con respectos a la relacionabilidad de los sujetos, sin embargo, a través del uso del seudonimato se procura establecer un punto intermedio para cumplir con ambas partes: Responsabilizar a los usuarios (sujetos) de sus acciones y evitar que se revele su identidad. Incluso utilizando el mismo
-seudónimo, le puede permitir al sujeto tener cierto nivel de reputación (esto suponiendo que existen los mecanismos adecuados para poder autenticar los mensajes enviados por el contenedor del seudónimo). Además, existen configuraciones de sistemas anónimos que permiten evitar el abuso en su utilización, pudiendo revelarse, en ciertos casos, la identidad del usuario que haya incurrido en cualquier tipo de acciones no permitidas (esto en el supuesto que sólo determinadas autoridades certificadas pueden revelar esta identidad).
+Es evidente, por definición, que el anonimato y la responsabilidad son extremos opuestos con respecto a la relacionabilidad de los sujetos, sin embargo, a través del uso del seudonimato se procura establecer un punto intermedio para cumplir con ambas partes: Responsabilizar a los usuarios (sujetos) de sus acciones y evitar que se revele su identidad. Incluso utilizando el mismo seudónimo, le puede permitir al sujeto tener cierto nivel de reputación (esto suponiendo que existen los mecanismos adecuados para poder autenticar los mensajes enviados por el contenedor del seudónimo). Además, existen configuraciones de sistemas anónimos que permiten evitar el abuso en su utilización, pudiendo revelarse, en ciertos casos, la identidad del usuario que haya incurrido en cualquier tipo de acciones no permitidas (esto en el supuesto que sólo determinadas autoridades certificadas pueden revelar esta identidad).
 
-El seudonimato del emisor se define como el uso de seudónimos por parte del emisor, y el seudonimato del receptor se define como el uso de seudónimos del receptor. En la figura 2.4 se representa esta noción de seudonimato (extraida de [53]).
+El seudonimato del emisor se define como el uso de seudónimos por parte del emisor, y el seudonimato del receptor se define como el uso de seudónimos del receptor. En la figura \ref{seudonimato} se representa esta noción de seudonimato (extraida de \cite{rlsm:terminology}).
 
-Cuando se utilizan “nombres falsos” como etiquetas que identifican a un sujeto, es conveniente considerar cómo se trata o maneja la responsabilidad y la autorización. Es decir, los seudónimos digitales pueden ser utilizados para autenticar los mensajes, ya que un seudónimo digital es una cadena de bits que dentro de este contexto es un único ID del sujeto, el cual puede ser utilizado para autenticar el IDI del contenedor relativo a su seudónimo, esto implica que la responsabilidad puede ser manejada a través del uso de seudónimos. Sin embargo, puede no ser suficiente para alcanzar este tipo de gestión de la responsabilidad, por tal motivo en algunos casos prácticos, es necesario acompañar al seudónimo con otro tipo de pruebas de validez (tales como firmas digitales), y/o utilizar terceras partes (autoridades de certificación digital) que le den validez a los seudónimos.
+Cuando se utilizan “nombres falsos” como etiquetas que identifican a un sujeto, es conveniente considerar cómo se trata o maneja la responsabilidad y la autorización. Es decir, los seudónimos digitales pueden ser utilizados para autenticar los mensajes, ya que un seudónimo digital es una cadena de bits que dentro de este contexto es un único ID del sujeto, el cual puede ser utilizado para autenticar el ítem de interés o IDI del contenedor relativo a su seudónimo, esto implica que la responsabilidad puede ser manejada a través del uso de seudónimos. Sin embargo, puede no ser suficiente para alcanzar este tipo de gestión de la responsabilidad, por tal motivo en algunos casos prácticos, es necesario acompañar al seudónimo con otro tipo de pruebas de validez (tales como firmas digitales), y/o utilizar terceras partes (autoridades de certificación digital) que le den validez a los seudónimos.
 
-Figura 2.4: Pseudonimato.
+\begin{center}
+\begin{figure}[h]
+\includegraphics[scale=0.3]{./imagenes/seudonimato.png}
+\caption{Seudonimato}
+\label{seudonimato}
+\end{figure}
+\end{center}
 
 Se pueden considerar las siguientes definiciones del seudonimato con respecto al anonimato:
@@ -75,8 +89,8 @@
 Los seudónimos públicos y los seudónimos no relacionados inicialmente son los extremos que pudiesen ser análogos con la responsabilidad y el anonimato mencionados anteriormente, es decir, el anonimato es más fuerte mientras menos se relacione al contenedor con su seudónimo, decrece en caso contrario. Esto quiere decir, que el nivel de anonimato dependerá de la relación relativa que el atacante le de al seudónimo con respecto a su contenedor.
 
-También se pueden considerar varios tipos de seudónimos con respecto a la relacionabilidad:
+También se pueden considerar otros tipos de seudónimos:
 
 \begin{description}
-\item[Seudónimo personal:] Es un subtítulo para el nombre del contenedor el cual está relacionado con su identidad civil. Este puede ser utilizado en todos los contextos, por ejemplo, el número de su tarjeta de identificación (número de pasaporte).
+\item[Seudónimo personal:] Es un subtítulo para el nombre del contenedor el cual está relacionado con su identidad civil por ejemplo el número de la cédula de identidad o pasaporte. 
 \item[Seudónimo por rol:] Está limitado a roles específicos, es decir, su asignación está relacionada a los roles que desempeña el contenedor. Por ejemplo, los seudónimos que comúnmente se utilizan bajo el rol de “usuario de Internet” comúnmente son denominados “nombre de usuarios”.
 \item[Seudónimo por relación:]  Diferentes seudónimos pueden ser utilizados para establecer las asociaciones en pares dependiendo de los pares conformados para las comunicaciones.
@@ -85,7 +99,13 @@
 \end{description}
 
-El nivel de anonimato en relación al tipo de estrategia de utilización de seudónimos se representa en la figura 2.5.
+El nivel de anonimato en relación al tipo de estrategia de utilización de seudónimos se representa en la figura \ref{seudonimato-anonimato}.
 
-Figura 2.5: Anonimato respecto al Seudonimato.
+\begin{center}
+\begin{figure}[h]
+\includegraphics[scale=0.3]{./imagenes/seudonimato-anonimato.png}
+\caption{Seudonimato con respecto al Anonimato}
+\label{seudonimato-anonimato}
+\end{figure}
+\end{center}
 
 En general, el anonimato del seudónimo por rol, y del seudónimo por relación es más fuerte que el anonimato debido al uso de seudónimos personales. La fortaleza del anonimato se incrementa con la aplicación de seu\-dó\-ni\-mos por rol y relación. El ultimo nivel de fortaleza se consigue utilizando los seudónimos por transacción dado que no existe información sobre la relación entre cada una de las transacciones. En ocasiones, se utiliza el nombre de seu\-dó\-ni\-mo de un solo uso para denotar los seudónimos por transacción. La fortaleza del anonimato antes mencionada se refiere a que desde un punto de partida se define que el mayor nivel (fortaleza) de anonimato se logra cuando no se proporciona información sobre la identidad en absoluto. En otras palabras, el anonimato es más fuerte mientras menos datos personales del contenedor puedan ser relacionados al seudónimo, y mientras los seudónimos sean utilizados con menor frecuencia (estos es cuando un mismo contenedor utiliza un mayor número de seudónimos).
@@ -95,13 +115,10 @@
 Un certificado de clave pública contiene una firma digital de una determinada autoridad certificadora que provee algún tipo de seguridad cuando un mismo sujeto utiliza la clave pública para otro de sus seudónimos. En el caso de que el seudónimo provenga del nombre real de un sujeto, se le llama certificado de identidad. Un certificado de atributo es un certificado digital que contiene más cantidad de información (atributos) y claramente se refiere a un certificado específico de clave pública. Independientemente de los certificados, los atributos también pueden ser utilizados como identificadores de conjuntos de sujetos, no sólo de sujetos particulares.
 
-Además pueden existir algunas propiedades de los seudónimos que son utilizadas por aplicaciones específicas, por ejemplo la dirección de un seudónimo puede funcionar como la dirección de la comunicación, o pueden ser utilizadas en la participación de terceras partes (en los casos de abuso antes mencionado).
-
-%\paragraph{No relacionabilidad}\hfill\\
 \subsubsection{No relacionabilidad}\hfill\\
-En el estudio de los sistemas anónimos, la no relacionabilidad sólo tiene sentido práctico si previamente se han definido las propiedades del anonimato, seudonimato y no-observabilidad de dichos sistemas, y se han caracterizado las entidades o ítems de interés que se desean relacionar (por parte del atacante). En [53] se menciona que las entidades o ítems de interés (IDI) son sujetos, mensajes, eventos, acciones, etc. La relacionabilidad se considera a la información que se tiene sobre la relación real que existe entre los IDIs, es decir, que en todos los casos reales existirá cierta relación entre los IDIs y la relacionabilidad es la información respecto a ésta. Por ende, la no relacionabilidad, desde la perspectiva del adversario, significa que la información obtenida después de un ataque es la misma información que se tenía antes del mismo, es decir, los IDIs no están ni más ni menos relacionados comparando el periodo anterior y posterior al ataque. Desde la perspectiva probabilística, la no relacionabilidad significa que la probabilidad de que dos o más ítems de interés están relacionados (desde la perspectiva del atacante) es la misma antes y después del ataque.
+La no relacionabilidad sólo tiene sentido práctico si previamente se han definido las propiedades del anonimato, seudonimato y no-observabilidad de dichos sistemas, y se han caracterizado las entidades o ítems de interés que se desean relacionar (por parte del atacante). En \cite{rlsm:terminology} se menciona que las entidades o ítems de interés (IDI) son sujetos, mensajes, eventos, acciones, etc. La relacionabilidad se considera a la información que se tiene sobre la relación real que existe entre los IDIs, es decir, que en todos los casos reales existirá cierta relación entre ellos y la relacionabilidad es la información respecto a ésta. Por ende, la no relacionabilidad, desde la perspectiva del adversario, significa que la información obtenida después de un ataque es la misma información que se tenía antes del mismo, es decir, los IDIs no están ni más ni menos relacionados comparando el periodo anterior y posterior al ataque. Desde la perspectiva probabilística, la no relacionabilidad significa que la probabilidad de que dos o más ítems de interés están relacionados (desde la perspectiva del atacante) es la misma antes y después del ataque.
 
 La no relacionabilidad debe implicar que el usuario puede hacer múltiples usos de un recurso o servicio sin que esto conlleve a que el adversario pueda establecer una relación entre estos usos, es decir, requiere que los usuarios y/o los sujetos no tengan la disponibilidad de determinar que cierto usuario fue el causante de cierta acción en el sistema.
 
-Si se considera que el envío y recepción de mensajes son los IDIs, el anonimato puede ser definido como la no relacionabilidad de un IDI con cualquier identificador de un sujeto (en este caso un emisor o un receptor). Específicamente, el anonimato de un IDI es la no relación con cualquier sujeto y el anonimato de un sujeto es su no relación con cualquier IDI. De esta manera se puede considerar anonimato del emisor como las propiedades que hacen que un emisor no pueda ser relacionado a cualquier mensaje, y que un mensaje no pueda ser relacionado a un emisor.
+Si se considera que el envío y recepción de mensajes son los IDIs, el anonimato puede ser definido como la no relacionabilidad de uno de ellos con cualquier identificador de un sujeto (en este caso un emisor o un receptor). Específicamente, el anonimato de un IDI es la no relación con cualquier sujeto y el anonimato de un sujeto es su no relación con cualquier de ellos. De esta manera se puede considerar anonimato del emisor como las propiedades que hacen que un emisor no pueda ser relacionado a cualquier mensaje, y que un mensaje no pueda ser relacionado a un emisor.
 
 De igual forma, el anonimato del receptor significa que un mensaje no puede ser relacionado a cualquier receptor, y un receptor no puede ser relacionado a cualquier mensaje. La relación de anonimato es la imposibilidad de determinar quién se comunica con quién, es decir, el emisor y el receptor son no relacionables.
@@ -109,32 +126,27 @@
 La no relacionabilidad es una condición suficiente para el anonimato, pero no es una condición necesaria. Incluso en algunos casos se puede considerar que aún fallando la propiedad de la no relacionabilidad se puede conseguir un nivel de anonimato alto. Esto si se hace referencia a la definición estricta del anonimato: no poder ser identificado dentro de un conjunto de sujetos.
 
-%\paragraph{No observabilidad}\hfill\\
 \subsubsection{No observabilidad}\hfill\\
 En contraste con la definición de anonimato, y la de no relacionabilidad, donde se considera la protección de la relación del IDIs con respecto a los sujetos o a otros IDIs, la no observabilidad considera la protección de los IDIs en sí mismos, ya que se define como el estado de que un IDI sea indistinguible entre un conjunto de IDIs del mismo tipo (el “tipo” lo definen la características de interés en cada caso, por ejemplo, considerar la emisión de mensajes como un IDI, tiene su características propias, que hacen que se pueda diferenciar de otro tipo de IDI). Por ejemplo, se podría decir que al ser no observable, no es posible distinguir entre un mensaje y el ruido aleatorio.
 
-Semejante al caso del anonimato, también se tienen conjuntos de sujetos no observables con respecto a esta propiedad, es decir, el conjunto de emisores no observables tiene la propiedad que cada emisor no puede ser distinguido del resto, el conjunto de receptores no observables tiene la propiedad de no poderse distinguir, desde el punto de vista del atacante, a un receptor del resto de los receptores de ese conjunto. La relación de no observabilidad de esta forma significa que no es posible distinguir entre un emisor y un receptor que intercambian un mensaje, es decir, si se considera un mensaje en particular entonces el conjunto de la relación de no observabilidad está compuesto por todos los posibles pares emisor-receptor, entre los cuales no se podría diferenciar o determinar que existe una relación de envío-recepción. En la figura 2.3 se puede observar gráficamente la configuración de dichos conjuntos.
+Semejante al caso del anonimato, también se tienen conjuntos de sujetos no observables con respecto a esta propiedad, es decir, el conjunto de emisores no observables tiene la propiedad que cada emisor no puede ser distinguido del resto, el conjunto de receptores no observables tiene la propiedad de no poderse distinguir, desde el punto de vista del atacante, a un receptor del resto de los receptores de ese conjunto. La relación de no observabilidad de esta forma significa que no es posible distinguir entre un emisor y un receptor que intercambian un mensaje, es decir, si se considera un mensaje en particular entonces el conjunto de la relación de no observabilidad está compuesto por todos los posibles pares emisor-receptor, entre los cuales no se podría diferenciar o determinar que existe una relación de envío-recepción. En la figura \ref{conjuntos_no_observables} se puede observar gráficamente la configuración de dichos conjuntos.
 
 Desde una perspectiva de usuario, la no observabilidad se podría definir como la propiedad de que un usuario pueda utilizar un recurso o servicio sin que otros (terceras partes) tenga la posibilidad de determinar que el recurso o servicio está siendo utilizado.
 
-Figura 2.3: Conjuntos no observables.
+\begin{center}
+\begin{figure}[h]
+\includegraphics[scale=0.3]{./imagenes/conjuntos_no_observables.png}
+\caption{Conjuntos No Observables}
+\label{conjuntos_no_observables}
+\end{figure}
+\end{center}
 
 
-%\subsubsection{Certificación Electrónica} \hfill\\
 \subsection{Certificación Electrónica} \hfill\\
 
-Uno de los mecanismos comunes para establecer identidades digitales es a través 
-de la certificación electrónica. Esta comprende la gestión de procesos en la que
-se emplean elementos como software, dispositivos y documentación de políticas 
-que permiten establecer identidad digitales a individuos o dispositivos. La 
-certificación electrónica se usa en organizaciones privados o públicas, 
-dentro de los países y hasta a nivel mundial.
+Uno de los mecanismos comunes para establecer identidades digitales es a través de la certificación electrónica. Esta comprende la gestión de procesos en la que se emplean elementos como software, dispositivos y documentación de políticas que permiten establecer identidad digitales a individuos o dispositivos. La certificación electrónica se usa en organizaciones privados o públicas, dentro de los países y hasta a nivel mundial.
 
-Los elementos que se gestionan en los procesos de la certificación electrónica 
-se describen con mayor detalle en la sección \ref{subsection:tecnicasDeVerificacionDeIdentidad}.
-En los capítulos \ref{capitulo5} y \ref{capitulo6} de la segunda parte de
-este libro, se presentan aportes concretos de la Fundación CENDITEL sobre 
+Los elementos que se gestionan en los procesos de la certificación electrónica se describen con mayor detalle en la sección \ref{subsection:tecnicasDeVerificacionDeIdentidad}. En los capítulos \ref{capitulo5} y \ref{capitulo6} de la segunda parte de este libro, se presentan aportes concretos de la Fundación CENDITEL sobre 
 certificación electrónica.
 
-%\subsubsection{Firma Electrónica}\hfill\\
 \subsection{Firma Electrónica}\hfill\\
 
Index: maquetacion/capitulo1/registroDelComportamiento.tex
===================================================================
--- maquetacion/capitulo1/registroDelComportamiento.tex	(revision cf75412867bd418b2d02e8637ca6deca05ed8941)
+++ maquetacion/capitulo1/registroDelComportamiento.tex	(revision 6a2d170081fdabc63cea01e7d42f34d36a202920)
@@ -1,25 +1,1 @@
-\paragraph{Registro del comportamiento} \hfill\\
- 
-\subparagraph{Análisis de Tráfico} \hfill\\
 
-Tal como se menciona en [56, 3, 1] el Análisis de Tráfico tuvo sus orígenes durante la Segunda Guerra Mundial, incluyendo su relación con el ataque que se hizo sobre Pearl Harbour. Actualmente Google utiliza los enlaces de incidencia para evaluar la importancia de las páginas web, las compañías de tarjetas de crédito examinan las transacciones para descubrir patrones de gastos fraudulentos. La idea de fondo de esta técnica radica en que durante el tráfico de datos se pueden registrar el tiempo y la duración de la comunicación, y se examina esta información para determinar la forma detallada del flujo de datos, las identidades de las partes que se comunican,
-y lo que puede ser establecido sobre su ubicación. Incluso los datos pueden ser poco precisos o estar incompletos, y simplemente a través del conocimiento de patrones típicos de comunicación se podría inferir sobre una comunicación en particular que se esté observando.
- 
-Esta técnica a pesar de que obtiene información de menor calidad en comparación a la obtenida con las técnicas del criptoanálisis, es mucho más fácil, barata y viable en cuanto a la extracción y procesamiento del tráfico de datos. El Análisis de Tráfico ha inspirado a otras técnicas utilizadas para la protección de sistemas, y para la construcción de sistemas de confianza. En cuanto al Análisis de Tráfico del protocolo de seguridad SSH, a pesar que ofrece comunicaciones seguras para acceder a terminales remotos a través de un proceso de autenticación que utiliza mecanismos de clave pública, y que luego de este proceso toda la información viaja cifrada garantizando su confidencialidad e integridad, en [72] se muestra que aun existe gran cantidad de información que aun se deja pasar sin ocultarse. En su modo interactivo, el protocolo SSH transmite cada pulsación de tecla como un paquete distinto y de esta forma la longitud de la clave puede ser trivialmente descubierta. Además, dado que la distribución de los 
-teclados no es aleatoria, y que las claves con frecuencia están basadas en palabras reales, el tiempo exacto de las pulsaciones de teclas está relacionado a qué tan rápido un carácter particular puede ser tipeado después de otro. Esto implica que al haber una suficiente variabilidad entre los patrones de tipeo de las personas entonces existe la posibilidad de identificarlos, particularmente después de observar una secuencia larga. 
- 
-El Análisis de Tráfico del SSL y el TLS, protocolos introducidos para proveer accesos web privados, se basa en estudiar la información que aun deja escapar este protocolo cuando se establece una comunicación web hacia un servidor. Específicamente se estudia la forma del tráfico que ha sido rellenado y conciliado inadecuadamente. Los navegadores solicitan recursos, que son normalmente páginas HTML, y éstas a su vez están asociadas a otras recursos adicionales como imágenes, hojas de cálculos, etc., las cuales pueden ser descargadas a través de enlaces cifrados, pero su tamaño aun puede ser determinado por el observador, quien puede inferir cuáles páginas están siendo accedidas (por ejemplo podrá inferir cuáles reportes de una compañía están siendo descargados). Incluso, estudiando el comportamiento del web cache puede inferirse cuáles sitios web se han accedido con sólo reconocer el patrón de almacenamiento en los cache de cada uno.
- 
-Se puede determinar la identificación de los dispositivos en la red sólo con estudiar el comportamiento y las características particulares de los cambios del reloj en cada dispositivo.
- 
-\subparagraph{Huella Digital}
-                 
-\paragraph{Sistemas de Salud}
- 
-\paragraph{Robo de la Identidad}
- 
-\paragraph{Tecnologías basadas en la localización (GPS)}
- 
-\paragraph{Telefonía móvil y Tecnologías Inalámbricas}
- 
-\paragraph{Servicios en Línea - Banca electrónica, sistemas públicos y privados}
Index: maquetacion/capitulo3/capitulo3.tex
===================================================================
--- maquetacion/capitulo3/capitulo3.tex	(revision a373526807442fd0b796473072eee1a0fa3a6146)
+++ maquetacion/capitulo3/capitulo3.tex	(revision 6a2d170081fdabc63cea01e7d42f34d36a202920)
@@ -7,13 +7,19 @@
 \begin{bibunit}[unsrt]
 
-
-%\section{Consideraciones sobre Privacidad}
-
-No es necesario apelar a los artículos de la carta sobre los Derechos Humanos establecida por la Organización de las Naciones Unidas para darse cuenta que cada una de las personas que habitan este planeta tiene el derecho de decidir sobre el destino de su información privada. Esto incluye no sólo decidir quién, cómo, dónde y cuándo terceras partes puedan tener acceso a sus datos en general, sino que se debe prestar una particular atención a los que están relacionados con la identidad, el perfil social, cultural, personal, etc.
+Tal como se plantea en \cite{cenditel_anonimato}, se puede indicar que la Privacidad se trata de una necesidad natural inherente de los seres humanos, la cual responde a la libre vo\-lun\-ta\-rie\-dad de escoger con quienes se quiere relacionar, o se trata de elegir la información que se desea sea conocida en esa relación. Esto se deriva de la intimidad humana, como espacio de crecimiento y desarrollo personal, y de protección del ámbito privado personal, en el que la personas se pueden comportar y expresar de forma libre y sin temor o reticencia ante la presencia o intervención indeseada de terceras personas. Esto implica que se puede representar como la contraparte al ámbito público, el cual es un espacio en el que las interacciones sociales son constantes y necesarias, y se encuentran influenciadas y limitadas por normas y regulaciones jurídicas, sociales, culturales, religiosas, entre otras, las cuales determinan en todo momento las conductas a seguir y por lo general se establecen sanciones en los casos de violación de alguno de esos preceptos.
+
+La Privacidad también se puede pensar como una necesidad que se ha adquirido en el transcurso del tiempo, debido principalmente a factores como: 
+
+\begin{enumerate}
+\item El reconocimiento y protección de los derechos humanos fundamentales en el mundo. Históricamente, se observa que desde tiempos antiguos se manejaba la noción de un espacio de propio de cada persona, que permitiera su crecimiento personal. Se penalizaban las violaciones a ese espacio, pero mas por razones de seguridad pública y por relacionarlo a derechos patrimoniales. 
+\item Las discusiones acerca de un derecho a intimidad, a la vida privada, a la privacidad se presentan con mayor fuerza luego del surgimiento de la prensa escrita, ya que es el medio que empieza a posibilitar la transmisión de una misma información a gran número de personas. 
+\item Se ha planteado como una necesidad que se ha visto influenciada y potenciada por la aparición, crecimiento y masificación de las TIC (computarores personales, Internet, televisión, telefonía fija y móvil, etc), ya que éstas permiten la facil divulgación de gran cantidad de información en poco tiempo. 
+\end{enumerate}
+
+Sin embargo, no es necesario apelar a los artículos de la carta sobre los Derechos Humanos establecida por la Organización de las Naciones Unidas para darse cuenta que cada una de las personas que habitan este planeta tiene el derecho de decidir sobre el destino de su información privada. Esto incluye no sólo decidir quién, cómo, dónde y cuándo terceras partes puedan tener acceso a sus datos en general, sino que se debe prestar una particular atención a los que están relacionados con la identidad, el perfil social, cultural, personal, etc.
 
 Tanto en las organizaciones privadas, como en las públicas, y a nivel individual, la protección de la información no sólo debe incluir los aspectos típicamente enmarcados dentro de la integridad, confidencialidad y disponibilidad de los datos, sino que debe ampliarse al resguardo de la privacidad donde, entre otros, se procura evitar que se devele la identidad de las partes comunicantes. Se han desarrollado varias estrategias, mecanismos, técnicas y sistemas que tienen esto como objetivo, y que pueden enmarcarse en lo que se denomina las tecnologías que mejoran la privacidad (se conoce en inglés como \textit{Privacy Enhancing Technologies}).
 
-Este tipo de tecnologías han tenido sus frutos en escenarios de diversa índole, que van desde aplicaciones militares, donde se procura evitar que el enemigo pueda descubrir las conexiones estratégicas, pasando por aplicaciones científicas/comerciales, que evitan revelar información sobre las comunicaciones hechas entre socios científico/comerciales, hasta las aplicaciones de particulares que le ayudan a mantener en privado sus datos personales: los referentes a su salud, su estado financiero, sus preferencias de consumo, etc. Uno de los puntos críticos de la privacidad es el encubrimiento de la identidad de las partes comunicantes, es decir, es la procura de que las
-comunicaciones sean anónimas: Anonimato.
+Este tipo de tecnologías han tenido sus frutos en escenarios de diversa índole, que van desde aplicaciones militares, donde se procura evitar que el enemigo pueda des\-cu\-brir las conexiones estratégicas, pasando por aplicaciones cien\-tí\-fi\-cas/co\-mer\-cia\-les, que evitan revelar información sobre las comunicaciones hechas entre socios cien\-tí\-fi\-co/co\-mer\-cia\-les, hasta las aplicaciones de particulares que le ayudan a mantener en privado sus datos personales: los referentes a su salud, su estado financiero, sus preferencias de consumo, etc. Uno de los puntos críticos de la privacidad es el encubrimiento de la identidad de las partes comunicantes, es decir, es la procura de que las comunicaciones sean anónimas: Anonimato.
 
 Cada una de las técnicas y mecanismos utilizados tienen sus ventajas y desventajas en cuanto al perfil de ataque considerado. Es decir, dependiendo del tipo de atacante que se considere, cada una de éstas posee un conjunto de fortalezas y debilidades asociadas. Adicional al perfil del atacante, se debe incluir su radio de acción, esto quiere decir, que se debe considerar su capacidad para manejar ciertos volúmenes de usuarios, su heterogeneidad, su distribución y localización.
@@ -21,17 +27,15 @@
 Además se debe considerar el tipo de comunicación anónima que se desea o necesita entablar: mensajería instantánea, correos electrónicos, servicios web, etc.
 
+En las siguientes secciones se presentan algunas técnicas, sistemas y mecanismos que se orientan a proporcionar privacidad basado en el Anonimato.
+
 \section{Técnicas para proporcionar privacidad}
 
-Tal como se menciona en \cite{ico2006} las personas en general utilizan Internet para poder comunicarse, para el envío de correo electrónico, para la investigación en diversas áreas de interés, para la interacción con distintos organizamos públicos y/o privados, etc. Al mismo tiempo, gran cantidad de estos organismos públicos y privados en distintas regiones del planeta buscan maximizar la interacción electrónica en todos los niveles entre los usuarios y sus centros tecnológicos, intercambiando información a través del uso de bases de datos controladas por ellos mismos, buscando utilizar el poder de la informática para tener el control de la información concerniente a innumerables aspectos relacionados a los individuos, tales como las preferencias en sus consumos diarios, la interacción con su alrededor, sus estilos de vida, sus opiniones, sus preferencias, y todo esto en niveles que en gran medida son desconocidos por los mismos usuarios. En respuesta a lo anterior, y procurando minimizar este tipo de 
-control, se han 
-propuestos diferentes mecanismos y sistemas que buscan reforzar o mejorar la privacidad (Privacy Enhancing Technologies) del individuo (visto en un contexto amplio, es decir, pudiéndose considerar como individuo a un conjunto de personas, e incluso a organizaciones completas). Este tipo de tecnologías pueden asistir a los organismos en su cumplimiento de los principios de protección de la privacidad establecido en los derechos humanos \cite{ONU1948}, dándole a los usuarios mayor poder para controlar su información, pudiendo éstos decidir cómo y cuándo puede ser utilizada por terceras partes. Existen sistemas tales como los navegadores web anónimos y servicios especiales de correo electrónico que le permiten comunicarse sin necesidad de revelar su verdadera identidad. Los sistemas para el manejo de la identidad potencialmente le permiten a los individuos acceder a los servicios y recursos sin tener que proveer información sobre ellos. Esto implica involucrar a una o varias organizaciones sobre las cuales se 
-deba tener 
-cierto grado de "confianza", y que puedan verificar la identidad de los usuarios, y además puedan generar cierto tipo de certificación electrónica que no contenga información sobre la identidad, pero que permita acceder a los recursos y servicios ofrecidos por terceras partes.
+Tal como se menciona en \cite{ico2006} las personas en general utilizan Internet para poder comunicarse, para el envío de correo electrónico, para la investigación en diversas áreas de interés, para la interacción con distintos organizamos públicos y/o privados, etc. Al mismo tiempo, gran cantidad de estos organismos públicos y privados en distintas regiones del planeta buscan maximizar la interacción electrónica en todos los niveles entre los usuarios y sus centros tecnológicos, intercambiando información a través del uso de bases de datos controladas por ellos mismos, buscando utilizar el poder de la informática para tener el control de la información concerniente a innumerables aspectos relacionados a los individuos, tales como las preferencias en sus consumos diarios, la interacción con su alrededor, sus estilos de vida, sus opiniones, sus preferencias, y todo esto en niveles que en gran medida son desconocidos por los mismos usuarios. En respuesta a lo anterior, y procurando minimizar este tipo de control, se han propuestos diferentes mecanismos y sistemas que buscan reforzar o mejorar la privacidad (Privacy Enhancing Technologies) del individuo (visto en un contexto amplio, es decir, pudiéndose considerar como individuo a un conjunto de personas, e incluso a organizaciones completas). Este tipo de tecnologías pueden asistir a los organismos en su cumplimiento de los principios de protección de la privacidad establecido en los derechos humanos \cite{ONU1948}, dándole a los usuarios mayor poder para controlar su información, pudiendo éstos decidir cómo y cuándo puede ser utilizada por terceras partes. Existen sistemas tales como los navegadores web anónimos y servicios especiales de correo electrónico que le permiten comunicarse sin necesidad de revelar su verdadera identidad. Los sistemas para el manejo de la identidad potencialmente le permiten a los individuos acceder a los servicios y recursos sin tener que proveer información sobre ellos. Esto implica involucrar a una o varias organizaciones sobre las cuales se deba tener cierto grado de "confianza", y que puedan verificar la identidad de los usuarios, y además puedan generar cierto tipo de certificación electrónica que no contenga información sobre la identidad, pero que permita acceder a los recursos y servicios ofrecidos por terceras partes.
 
 Las tecnologías que mejoran o refuerzan la privacidad no son sólo aquellas destinadas a proveer un cierto grado de anonimato, sino que se extienden a la protección y mejora de la privacidad en general del individuo, incluyendo el cumplimiento de sus derechos sobre la protección de sus datos, en este sentido se pueden mencionar como ejemplos de este tipo de tecnología los siguientes:
 
 \begin{itemize}
-\item Los sistemas de acceso biométrico encriptado, que permite el uso de las huellas dactilares como mecanismo para autenticar la identidad de un individuo sin necesidad de retener su huella dactilar actual.
-\item Los accesos a los datos personales de los usuarios en linea seguros.
+\item Los sistemas de acceso biométrico cifrado, que permite el uso de las huellas dactilares como mecanismo para autenticar la identidad de un individuo sin necesidad de retener su huella dactilar actual.
+\item Los accesos seguros a los datos personales de los usuarios en línea.
 \item Programas que permiten a los navegadores detectar automáticamente las políticas de privacidad de los sitios web y las comparan con las preferencias expresadas por los usuarios.
 \item Sistemas de alertas y avisos que son anexados a la misma información y que previenen su uso en caso del no cumplimiento de las políticas de privacidad.
@@ -40,12 +44,12 @@
 \subsection{Bases del Anonimato}
 
-En la sección xxxx se habla sobre ...
-
-Para establecer un concepto simple de Anonimato es conveniente utilizar la configuración de un sistema general de comunicación tradicionalmente compuesto por un emisor, un receptor, quienes utilizan una red de comunicación para transmitir un mensaje. En la figura \ref{figura1} se muestra el diagrama general de este modelo.
-
-\begin{figure}
+En la sección \ref{privacidad} se habla sobre los conceptos y bases del Anonimato, y para comprenderlo de manera general es conveniente utilizar la configuración de un sistema general de comunicación tradicionalmente compuesto por un emisor, un receptor, quienes utilizan una red de comunicación para transmitir un mensaje. En la figura \ref{figura1} se muestra el diagrama general de este modelo.
+
+\begin{figure}[h]
+\begin{center}
 \includegraphics[scale=0.3]{./img/cap3_img2.png}
 \caption{Configuración del Sistema General}
 \label{figura1}
+\end{center}
 \end{figure}
 
@@ -57,5 +61,5 @@
 En todas las definiciones de los términos relacionados con las tecnologías asociadas a la mejora o refuerzo de la privacidad, se considera un sujeto (subject) a una entidad (ente o ser) que tiene la posibilidad de actuar en el sistema, por ejemplo, un ser humano, una persona jurídica, un computador, etc.
 
-Un sujeto es anónimo cuando no puede ser identificado dentro de un conjunto de sujetos, denominado el conjunto anónimo. Este conjunto está conformado por todos los posibles sujetos que pueden causar (o estar relacionados con) una acción. No ser identificado significa que ese sujeto no puede ser caracterizado de forma única o particular dentro de ese conjunto. Un sujeto actúa anónimamente cuando, desde el punto de vista del adversario, su acción no puede relacionarse con su identidad, dado que hay un conjunto de sujetos que podrían ser los causantes potenciales de la acción (y el adversario no puede distinguir a su verdadero causante). El anonimato debe permitirle a un sujeto utilizar un recurso o servicio sin revelar su identidad, esto implica que el anonimato por si mismo no procura proteger la identidad de un usuario en un ámbito general, lo que pretende es evitar que otros usuarios o sujetos no puedan determinar la identidad de un usuario cuando éste genera una acción u operación en particular.
+Como se mencionó en la sección \ref{anonimato} un sujeto es anónimo cuando no puede ser identificado dentro de un conjunto de sujetos, denominado el conjunto anónimo. Este conjunto está conformado por todos los posibles sujetos que pueden causar (o estar relacionados con) una acción. No ser identificado significa que ese sujeto no puede ser caracterizado de forma única o particular dentro de ese conjunto. Un sujeto actúa anónimamente cuando, desde el punto de vista del adversario, su acción no puede relacionarse con su identidad, dado que hay un conjunto de sujetos que podrían ser los causantes potenciales de la acción (y el adversario no puede distinguir a su verdadero causante). El anonimato debe permitirle a un sujeto utilizar un recurso o servicio sin revelar su identidad, esto implica que el anonimato por si mismo no procura proteger la identidad de un usuario en un ámbito general, lo que pretende es evitar que otros usuarios o sujetos no puedan determinar la identidad de un usuario cuando éste genera una acción u operación en particular.
 
 Con respecto a las entidades que podrían generar una acción, el conjunto anónimo se conforma por los sujetos que pueden generar una acción en un instante de tiempo específico; desde el punto de vista de las direcciones o ubicaciones de las entidades, el conjunto anónimo está conformado por los sujetos que pueden estar relacionados a una ubicación o dirección. Lo anterior quiere decir que el anonimato se podría clasificar según las entidades involucradas o según la ubicación de las mismas.
@@ -63,12 +67,14 @@
 De esta forma, para permitir el anonimato de un sujeto siempre tiene que existir un conjunto apropiado de sujetos que posean potencialmente los mismos atributos. Ser los emisores y los receptores de mensajes particulares son ejemplos de estos atributos. Un emisor de un mensaje puede ser anónimo sólo si constituye parte de un conjunto de emisores potenciales (con atributos similares), el cual es su conjunto anónimo, y puede ser un subconjunto de todos los sujetos a nivel global quienes pueden enviar un mensaje en un tiempo específico. Lo mismo aplica para los receptores de mensajes. Este esquema se representa en la figura \ref{figura2}. El conjunto anónimo es relativo al tiempo, es decir, puede variar según los cambios que se den en el sistema. 
 
-Con lo anterior se especifica que existe un conjunto anónimo para el emisor de un mensaje, existe otro conjunto anónimo para el receptor de ese mensaje, y estos conjuntos puedes ser disjuntos, pueden solaparse o pueden ser el mismo conjunto.
-
-\begin{figure}
+\begin{figure}[h]
+\begin{center}
 \includegraphics[scale=0.3]{./img/cap3_img1.png}
 \caption{Conjuntos Anónimos}
 \label{figura2}
+\end{center}
 \end{figure}
 
+Con lo anterior se especifica que existe un conjunto anónimo para el emisor de un mensaje, existe otro conjunto anónimo para el receptor de ese mensaje, y estos conjuntos puedes ser disjuntos, pueden solaparse o pueden ser el mismo conjunto.
+
 Por otro lado el anonimato además de estar relacionado al conjunto anónimo y al tiempo en el que se está ejecutando la acción, también tiene relación al contexto donde se aplica, es decir, un sujeto puede ser anónimo en relación al contexto envío y recepción de correos electrónicos, pero puede no serlo en ese mismo instante de tiempo para el contexto interacción con una base de datos. Esto se debe a que según el contexto de estudio pueden existir distintos atributos que caractericen al conjunto anónimo, y por ende al anonimato del sujeto.
 
@@ -77,8 +83,7 @@
 Dado que el anonimato es dependiente del contexto, definido por sus atributos, las variaciones del mismo podrían cambiar los niveles de anonimato. Si se pretende diferenciar entre "niveles" de anonimato, es necesario poder cuantificarlo (medirlo) con el fin de poder hacer distinciones entre distintos sistemas anónimos. 
 
-\subsubsection{Técnicas de Anonimato}
-
-Tal como se mencionó en el apartado anterior el anonimato de un sujeto es el estado de no ser identificable dentro de un conjunto de sujetos, denominado el conjunto anónimo. También se ha mencionado, ver \cite{rlsm:terminology}, que el emisor de un mensaje puede ser anónimo sólo dentro de un conjunto de potenciales emisores, lo que correspondería al conjunto anónimo del emisor, el cual a su vez puede ser un subconjunto de todos los sujetos a nivel mundial quienes podrían enviar mensajes en determinados instantes de tiempo. Este tipo de anonimato es llamado anonimato del emisor. Lo mimo ocurre para el receptor, quien puede ser anónimo sólo dentro de un conjunto de receptores posibles, llamado el conjunto anónimo del receptor, y a este tipo de anonimato es llamado anonimato del receptor. Además hay un tercer tipo de a anonimato, el de relación, el cual consiste en tener la propiedad de no poder relacionar quién se comunica con quién. La no relacionabilidad significa que dentro del sistema las distintas 
-entidades, aquí denominadas ítems de interés o IDI (mensajes, emisores, receptores, etc.) no están ni más ni menos relacionadas con respecto a la información que se tenía antes de que el adversario ejecute un ataque (información a priori). En otras palabras, el anonimato del emisor/receptor puede ser definido como las propiedades de que un mensaje particular no sea relacionado a cualquier emisor/receptor, y que cualquier mensaje no sea relacionado a un emisor/receptor en particular, entonces el anonimato de relación es la propiedad de no poder relacionar o determinar quién se comunica con quién.
+\subsection{Técnicas de Anonimato}
+
+Tal como se mencionó en el apartado anterior el anonimato de un sujeto es el estado de no ser identificable dentro de un conjunto de sujetos, denominado el conjunto anónimo. También se ha mencionado, ver \cite{rlsm:terminology}, que el emisor de un mensaje puede ser anónimo sólo dentro de un conjunto de potenciales emisores, lo que correspondería al conjunto anónimo del emisor, el cual a su vez puede ser un subconjunto de todos los sujetos a nivel mundial quienes podrían enviar mensajes en determinados instantes de tiempo. Este tipo de anonimato es llamado anonimato del emisor. Lo mimo ocurre para el receptor, quien puede ser anónimo sólo dentro de un conjunto de receptores posibles, llamado el conjunto anónimo del receptor, y a este tipo de anonimato es llamado anonimato del receptor. Además hay un tercer tipo de a anonimato, el de relación, el cual consiste en tener la propiedad de no poder relacionar quién se comunica con quién. La no relacionabilidad significa que dentro del sistema las distintas entidades, aquí denominadas ítems de interés o IDI (mensajes, emisores, receptores, etc.) no están ni más ni menos relacionadas con respecto a la información que se tenía antes de que el adversario ejecute un ataque (información a priori). En otras palabras, el anonimato del emisor/receptor puede ser definido como las propiedades de que un mensaje particular no sea relacionado a cualquier emisor/receptor, y que cualquier mensaje no sea relacionado a un emisor/receptor en particular, entonces el anonimato de relación es la propiedad de no poder relacionar o determinar quién se comunica con quién.
 
 El anonimato se fortalece mientras más grande sea su conjunto anónimo, y mientras más uniforme sea la distribución de probabilidad de la ejecución de las acciones por parte de los sujetos dentro del conjunto, es decir, el nivel de anonimato no sólo depende del tamaño del conjunto sino también de la probabilidad de que un sujeto en particular pueda generar cierta acción. De esta forma se puede definir el entorno de acción que acota las técnicas de anonimato para las comunicaciones: Colectar un conjunto apropiado de usuarios para que un usuario en particular pueda ser anónimo cuando se comunica con los demás.
@@ -95,11 +100,11 @@
 \end{description} 
 
-
-\paragraph{Redes de mezcla}\hfill
-
-Esta idea se describe en \cite{rlsm:chaum-mix}. El método utiliza criptografía de clave pública y fue diseñado para que los sistemas de envío de correo electrónico proveyeran anonimato del emisor, del receptor y de relación sin necesitar un servicio de confianza central (por ejemplo una autoridad certificadora). En general, los mezcladores o Mixes pueden ser entendidos como una cadena de proxies
-seguidos uno detrás del otro. Se considera que el atacante puede observar todas las comunicaciones y puede controlar todos los mixes a excepción de uno.
-
-Topología Mix: Este concepto funciona aun cuando se dispone de un solo mix. Pero en este caso el usuario debe confiar en este mix. Típicamente hay más de un mix en la red organizados en forma de cadena. Existen diferente métodos para organizar la cooperación dentro de la red. Uno de ellos puede ser que cada mix existe independientemente en la red y los participantes libremente deciden a través de cuál de ellos enrutarán sus mensajes. Así cada nodo puede comunicarse con el resto conformando lo que se denomina una topología de red mix o red de mezcla.
+\subsubsection{Redes de mezcla:}\hfill\\
+
+Esta idea se describe en \cite{rlsm:chaum-mix}. El método utiliza criptografía de clave pública y fue diseñado para que los sistemas de envío de correo electrónico proveyeran anonimato del emisor, del receptor y de relación sin necesitar un servicio de confianza central (por ejemplo una autoridad certificadora). En general, los mezcladores o Mixes pueden ser entendidos como una cadena de proxies seguidos uno detrás del otro. Se considera que el atacante puede observar todas las comunicaciones y puede controlar todos los mixes a excepción de uno.
+
+\textbf{Topología Mix:}
+
+Este concepto funciona aun cuando se dispone de un solo mix. Pero en este caso el usuario debe confiar en este mix. Típicamente hay más de un mix en la red organizados en forma de cadena. Existen diferente métodos para organizar la cooperación dentro de la red. Uno de ellos puede ser que cada mix existe independientemente en la red y los participantes libremente deciden a través de cuál de ellos enrutarán sus mensajes. Así cada nodo puede comunicarse con el resto conformando lo que se denomina una topología de red mix o red de mezcla.
 
 Otra posibilidad es utilizar una cadena de mixes predefinida. A esta cadena se le denomina mix en cascada. Además de los dos extremos antes mencionados, se pueden utilizar variaciones que resulten en diseños híbridos. Un análisis y comparación de ambas ideas se presenta en \cite{rlsm:berthold,george-thesis}.
@@ -113,14 +118,15 @@
 Provee protección contra atacantes que pueden observar toda la red y que pueden controlar muchos mixes. Es susceptible a ataques de denegación de servicio y ataques $n-1$. Desde el punto de vista de la confianza, se debe confiar en al menos un mix de la ruta seleccionada.
 
-Funcionalidad Básica: En este enfoque los usuarios o clientes no envían sus solicitudes directamente al servidor (o a otro destino), sino que las envía a nodos (enrutadores) intermedios denominados mix. Para poder ocultar la comunicación de los participantes, los mixes no envían instantáneamente los mensajes que reciben, en vez de esto, los mixes almacenan varios mensajes de diferentes clientes por un tiempo definido, los transforman, y luego si los reenvían simultáneamente a los servidores de destino o a otros mixes en la red. Un observador que puede ver todos los mensajes entrantes y salientes de un mismo mix no podrá determinar cuáles mensajes de entrada corresponden a cuáles mensajes de salida. 
-
-Preprocesamiento: Transformación de los mensajes 
-
-El objetivo principal de la transformación de los mensajes es evitar que un atacante pueda trazar (descubrir su recorrido) un mensaje a través de la comparación de los patrones de bits correspondientes a los mensajes que entran y salen de un mix. Para poder enviar un mensaje, el cliente primero lo debe preparar. Para esto, el primer paso que debe dar es escoger el camino por el cual se transmitirá el mensaje, este camino estará compuesto por los mixes que haya escogido, y debe incluir el orden específico de reenvíos antes de que llegue a su destino final. Para mejorar la seguridad del sistema, se recomienda utilizar más de un mix en cada camino. El siguiente paso, es utilizar las claves públicas de los mixes escogidos para cifrar el mensaje, en el orden inverso en el que fueron escogidos, es decir, el mensaje se cifra primero con la clave pública del ultimo mix, luego con la del penúltimo, y así hasta cifrar por ultima vez con la clave pública del primer mix en el camino seleccionado. Cada vez que se cifra 
-se construye una capa, y se incluye la dirección del siguiente nodo (ya sea el destino final u otro mix). Así cuando el primer mix obtiene el mensaje preparado, lo descifra con su clave privada, y obtiene la dirección del siguiente nodo al que debe reenviarle el resto del contenido que quedó después de su descifrado.
+\textbf{Funcionalidad Básica:} 
+
+En este enfoque los usuarios o clientes no envían sus solicitudes directamente al servidor (o a otro destino), sino que las envía a nodos (enrutadores) intermedios denominados mix. Para poder ocultar la comunicación de los participantes, los mixes no envían instantáneamente los mensajes que reciben, en vez de esto, los mixes almacenan varios mensajes de diferentes clientes por un tiempo definido, los transforman, y luego si los reenvían simultáneamente a los servidores de destino o a otros mixes en la red. Un observador que puede ver todos los mensajes entrantes y salientes de un mismo mix no podrá determinar cuáles mensajes de entrada corresponden a cuáles mensajes de salida. 
+
+\textbf{Preprocesamiento:} 
+
+El preprocesamiento es la transformación de los mensajes. El objetivo principal de la transformación de los mensajes es evitar que un atacante pueda trazar (descubrir su recorrido) un mensaje a través de la comparación de los patrones de bits correspondientes a los mensajes que entran y salen de un mix. Para poder enviar un mensaje, el cliente primero lo debe preparar. Para esto, el primer paso que debe dar es escoger el camino por el cual se transmitirá el mensaje, este camino estará compuesto por los mixes que haya escogido, y debe incluir el orden específico de reenvíos antes de que llegue a su destino final. Para mejorar la seguridad del sistema, se recomienda utilizar más de un mix en cada camino. El siguiente paso, es utilizar las claves públicas de los mixes escogidos para cifrar el mensaje, en el orden inverso en el que fueron escogidos, es decir, el mensaje se cifra primero con la clave pública del ultimo mix, luego con la del penúltimo, y así hasta cifrar por ultima vez con la clave pública del primer mix en el camino seleccionado. Cada vez que se cifra se construye una capa, y se incluye la dirección del siguiente nodo (ya sea el destino final u otro mix). Así cuando el primer mix obtiene el mensaje preparado, lo descifra con su clave privada, y obtiene la dirección del siguiente nodo al que debe reenviarle el resto del contenido que quedó después de su descifrado.
 
 Este esquema puede ser descrito de la siguiente manera:
 
-$A_1 , ..., A_n$ pueden ser la secuencia de las direcciones y $c_1 , ..., c_n$ la secuencia de la claves de cifrado conocidas públicamente y pertenecientes a la secuencia $Mix_1 , ..., Mix_n$ escogidos por el emisor. Incluso $c_1$ puede ser una clave secreta en un sistema de cifrado simétrico. $A_{n+1}$ puede ser la dirección del receptor o del destino final del mensaje, al cual se le denomina, por simplificación, $Mix_{n+1}$, y $c_{n+1}$ sería su clave de cifrado. $z_1,...,z_n$ puede ser una secuencia de bits aleatorias. El emisor crea los mensajes $N_i$ que son recibidos por el $Mix_i$, y en la base del mensaje $N$ es lo que el receptor final debe recibir ($Mix_{n+1}$) supuestamente:
+$A_1 , ..., A_n$ pueden ser la secuencia de las direcciones y $c_1,...,c_n$ la secuencia de la claves de cifrado conocidas públicamente y pertenecientes a la secuencia $Mix_1,...,$ $Mix_n$ escogidos por el emisor. Incluso $c_1$ puede ser una clave secreta en un sistema de cifrado simétrico. $A_{n+1}$ puede ser la dirección del receptor o del destino final del mensaje, al cual se le denomina, por simplificación, $Mix_{n+1}$, y $c_{n+1}$ sería su clave de cifrado. $z_1,...,z_n$ puede ser una secuencia de bits aleatorias. El emisor crea los mensajes $N_i$ que son recibidos por el $Mix_i$, y en la base del mensaje $N$ es lo que el receptor final debe recibir ($Mix_{n+1}$) supuestamente:
 
 \begin{equation}
@@ -133,19 +139,22 @@
 El emisor le envía $N_1$ al $Mix_1$. Después que se decodifica, cada mix recibe la dirección del siguiente mix y el mensaje que está destinado a ese siguiente mix. Debido a las implementaciones de los sistemas de clave pública o asimétrica se necesitan las cadenas aleatorias de bits. Para asegurar que un atacante no pueda trazar un mensaje (seguir su trayectoria) a través de un mix, es necesario que todos los pares de entrada-salida de los mensajes no tengan características que permitan identificarlos, por ejemplo, el tamaño de los mismos. Una solución a esto es establecer tamaños fijos para los mensajes, y cuando los mensajes tengan un tamaño inferior al fijado, se deberán rellenar con información falsa, y cuando lo superan se deberán fragmentar en varias piezas.
 
-Reordenamiento: Mezclas por grupos (pool) o mezclas por cantidad (batch): Cuando un mix opera en modo "por cantidad" o "batch", éste recolecta un número fijo $n$ de mensajes, cifrándolos y reordenándolos antes de reenviarlos a todos en un solo envío. En contraste, un mix que opera en modo “por grupos” o “pool” tiene siempre un número $n$ de mensajes almacenados en su memoria temporal o “buffer” denominado “pool”. Si un nuevo mensaje llega al mix, entonces se escoge aleatoriamente y se reenvía uno de los mensajes almacenados. El número $n$ representa al tamaño del “pool”.
-
-Prueba de reenvío: Uno de los tipos de ataques más frecuentes es el denominado ataque de reenvíos. Un atacante podrá copiar un mensaje que desea monitorear y enviarle una o varias copias de éste al mix. Estas copias del mensaje podrían tomar el mismo camino en la red que el mensaje original, dado que los algoritmos de envío y descifrado trabajan determinísticamente. Así puede ser encontrado un patrón característico del mensaje sólo con observar la red. Con el fin de evitar este tipo de ataque, las copias de los mensajes deben ser identificadas y eliminadas a través de un filtro. Una posibilidad para identificar los mensajes inválidos es a través del uso de estampas de tiempo. Cuando un mix obtiene un mensaje, también obtiene una etiqueta que le informa la franja de tiempo durante la cual el mensaje es válido. Si el mensaje llega muy tarde (después de lo que la franja de tiempo le indica), el mix niega el reenvío del mensaje. Otra posibilidad es que el mix almacene una copia de los mensajes que ya haya 
-enviado, y así los los mensajes nuevos que lleguen pueden ser comparados con esta base de datos. Por razones de seguridad y rendimiento, es conveniente restringir el tamaño de esta base de datos. Los mensajes deberían ser almacenados por un corto período de tiempo antes de que se borren.
-
-Tráfico de relleno o dummy: Aun cuando ninguna información está siendo transmitida, es posible enviar información falsa en la red. Esto tendría el mismo efecto de no enviar ningún mensaje, pero un observador (atacante) no podría distinguir entre los mensajes reales de los que se envían como relleno. El envío de este tipo de mensajes de relleno es denominado tráfico dummy. Con respecto a la idea de los mixes, un mix podrá aleatoriamente enviar tráfico dummy a otro en la red. Este mecanismo también beneficiaría a los mix que trabajan en el modo batch, ya que normalmente estos mixes tienen que esperar hasta que un número predefinido de mensajes hayan llegado antes de que todos los mensajes sean reenviados simultáneamente, y evitaría los posibles retrasos que podrían ocurrir cuando no hayan envíos suficientes de mensajes al mix, y éste puede hacer su respectivo reenvío es decir, el tráfico dummy evitaría estos retrasos, ya que si no hay suficientes mensajes reales enviados, el número de mensajes necesarios para 
+\textbf{Reordenamiento:} 
+
+Mezclas por grupos (pool) o mezclas por cantidad (batch): Cuando un mix opera en modo "por cantidad" o "batch", éste recolecta un número fijo $n$ de mensajes, cifrándolos y reordenándolos antes de reenviarlos a todos en un solo envío. En contraste, un mix que opera en modo “por grupos” o “pool” tiene siempre un número $n$ de mensajes almacenados en su memoria temporal o “buffer” denominado “pool”. Si un nuevo mensaje llega al mix, entonces se escoge aleatoriamente y se reenvía uno de los mensajes almacenados. El número $n$ representa al tamaño del “pool”.
+
+\textbf{Prueba de reenvío: }
+
+Uno de los tipos de ataques más frecuentes es el denominado ataque de reenvíos. Un atacante podrá copiar un mensaje que desea monitorear y enviarle una o varias copias de éste al mix. Estas copias del mensaje podrían tomar el mismo camino en la red que el mensaje original, dado que los algoritmos de envío y descifrado trabajan determinísticamente. Así puede ser encontrado un patrón característico del mensaje sólo con observar la red. Con el fin de evitar este tipo de ataque, las copias de los mensajes deben ser identificadas y eliminadas a través de un filtro. Una posibilidad para identificar los mensajes inválidos es a través del uso de estampas de tiempo. Cuando un mix obtiene un mensaje, también obtiene una etiqueta que le informa la franja de tiempo durante la cual el mensaje es válido. Si el mensaje llega muy tarde (después de lo que la franja de tiempo le indica), el mix niega el reenvío del mensaje. Otra posibilidad es que el mix almacene una copia de los mensajes que ya haya enviado, y así los los mensajes nuevos que lleguen pueden ser comparados con esta base de datos. Por razones de seguridad y rendimiento, es conveniente restringir el tamaño de esta base de datos. Los mensajes deberían ser almacenados por un corto período de tiempo antes de que se borren.
+
+\textbf{Tráfico de relleno o dummy:} 
+
+Aun cuando ninguna información está siendo transmitida, es posible enviar información falsa en la red. Esto tendría el mismo efecto de no enviar ningún mensaje, pero un observador (atacante) no podría distinguir entre los mensajes reales de los que se envían como relleno. El envío de este tipo de mensajes de relleno es denominado tráfico dummy. Con respecto a la idea de los mixes, un mix podrá aleatoriamente enviar tráfico dummy a otro en la red. Este mecanismo también beneficiaría a los mix que trabajan en el modo batch, ya que normalmente estos mixes tienen que esperar hasta que un número predefinido de mensajes hayan llegado antes de que todos los mensajes sean reenviados simultáneamente, y evitaría los posibles retrasos que podrían ocurrir cuando no hayan envíos suficientes de mensajes al mix, y éste puede hacer su respectivo reenvío es decir, el tráfico dummy evitaría estos retrasos, ya que si no hay suficientes mensajes reales enviados, el número de mensajes necesarios para 
 hacer el reenvío se pudiese alcanzar con los mensajes de relleno.
 
-Anonimato del receptor (Direcciones de retorno no trazables): El hecho de permitir que un receptor pueda permanecer anónimo se le caracteriza por tener una dirección de retorno que no pueda ser registrada o trazada por un atacante. Esta dirección de retorno es un
-mensaje especial que tiene que ser creado por el receptor y tiene que ser utilizado por el emisor para el envío del mensaje al receptor anónimo. La idea de base de este tipo de direccionamiento es que el receptor, y no el emisor, define sobre cuáles mixes y el orden a ser utilizado para la entrega de cierto mensaje de respuesta. La dirección de retorno preparada por el receptor contiene una clave simétrica para cada mix en el camino que éste utilizará para cifrar el mensaje enviado por el emisor. Finalmente, el receptor recibirá un
-mensaje cifrado múltiples veces con claves simétricas como él mismo especificó. Dado que el receptor conoce todas las claves simétricas, para poder desarrollar esta técnica, éste puede descifrar el mensaje. Dado que la claves simétricas son desconocidas por el emisor y la
-codificación del mensaje cambia en cada uno de los mixes (debido al cifrado), el emisor no puede trazar el mensaje hacia el receptor.
-
-Este esquema se explica de la siguiente forma: $A_1,...,A_m$ pueden ser la secuencia de las direcciones y $c_1,...,c_m$ pueden ser la secuencia de las claves públicas conocidas de la secuencia de mixes $Mix_1,...,Mix_m$ escogida por el receptor, donde $c_m$ puede ser una clave secreta de un sistema de cifrado simétrico. El mensaje añadido a la dirección de retorno pasará por estos mixes en orden ascendiente dependiendo de sus índices. $A_{m+1}$ puede ser la dirección del receptor llamado $Mix_{m+1}$. De forma similar, al emisor se le llama $Mix_0$. El receptor crea una dirección de retorno no trazable ($k_0,A_1,R_1$) donde $k_0$ es una clave de un sistema de cifrado simétrico generada para este propósito. $Mix_0$ se supone que utiliza esta clave para codificar el contenido del mensaje con el fin de garantizar que el $Mix_1$ no sea capaz de leer este mensaje. $R_1$ es parte de la dirección de retorno, la cual se transmite a través del $Mix_0$ y contiene el mensaje generado y que ha sido cifrado utilizando $k_
-0$. $R_1$ inicialmente se crea escogiendo aleatoriamente un único nombre de la dirección de retorno en un esquema recursivo como el que se muestra a continuación:
+\textbf{Anonimato del receptor (Direcciones de retorno no trazables):} 
+
+El hecho de permitir que un receptor pueda permanecer anónimo se le caracteriza por tener una dirección de retorno que no pueda ser registrada o trazada por un atacante. Esta dirección de retorno es un mensaje especial que tiene que ser creado por el receptor y tiene que ser utilizado por el emisor para el envío del mensaje al receptor anónimo. La idea de base de este tipo de direccionamiento es que el receptor, y no el emisor, define sobre cuáles mixes y el orden a ser utilizado para la entrega de cierto mensaje de respuesta. La dirección de retorno preparada por el receptor contiene una clave simétrica para cada mix en el camino que éste utilizará para cifrar el mensaje enviado por el emisor. Finalmente, el receptor recibirá un mensaje cifrado múltiples veces con claves simétricas como él mismo especificó. Dado que el receptor conoce todas las claves simétricas, para poder desarrollar esta técnica, éste puede descifrar el mensaje. Dado que la claves simétricas son desconocidas por el emisor y la codificación del mensaje cambia en cada uno de los mixes (debido al cifrado), el emisor no puede trazar el mensaje hacia el receptor.
+
+Este esquema se explica de la siguiente forma: $A_1,...,A_m$ pueden ser la secuencia de las direcciones y $c_1,...,c_m$ pueden ser la secuencia de las claves públicas conocidas de la secuencia de mixes $Mix_1,...,Mix_m$ escogida por el receptor, donde $c_m$ puede ser una clave secreta de un sistema de cifrado simétrico. El mensaje añadido a la dirección de retorno pasará por estos mixes en orden ascendiente dependiendo de sus índices. $A_{m+1}$ puede ser la dirección del receptor llamado $Mix_{m+1}$. De forma similar, al emisor se le llama $Mix_0$. El receptor crea una dirección de retorno no trazable ($k_0,A_1,R_1$) donde $k_0$ es una clave de un sistema de cifrado simétrico generada para este propósito. $Mix_0$ se supone que utiliza esta clave para codificar el contenido del mensaje con el fin de garantizar que el $Mix_1$ no sea capaz de leer este mensaje. $R_1$ es parte de la dirección de retorno, la cual se transmite a través del $Mix_0$ y contiene el mensaje generado y que ha sido cifrado utilizando $k_0$. $R_1$ inicialmente se crea escogiendo aleatoriamente un único nombre de la dirección de retorno en un esquema recursivo como el que se muestra a continuación:
 
 \begin{itemize}
@@ -174,23 +183,22 @@
 El receptor $Mix_{m+1}$ recibe $e$, $N_{m+1}=e(km (...k1 (i))...)$ y puede descifrar y extraer el contenido $I$ ya que conoce todas las claves secretas $k_j$ asignadas para el nombre $e$ de la parte de la dirección de retorno en el orden correcto.
 
-Verificación del tamaño del conjunto anónimo: Si un atacante bloquea el mensaje de un participante específico, este mensaje se aísla del conjunto anónimo. Lo mismo sucedería si un atacante rodea a un participante específico, manipulándolo a través de la generación de mensajes con fines "ilícitos" para el sistema. Este tipo de ataque es conocido como el ataque de mezcla o $n-1$. No existe una solución específica contra este tipo de ataques en ambientes abiertos, como por ejemplo en aquellos donde los participantes entran y salen del
-sistema a su discreción. Se podría utilizar una protección básica si el mix puede identificar a cada participante, así de una forma confiable el mix puede verificar si los mensajes que tiene almacenados en su memoria temporal (“buffer”) fueron enviados por un número relativamente adecuado de usuarios.
-
-Canales Mix: Los canales mix son utilizados para manejar en tiempo real las cadenas continuas de datos o que contengan sólo pequeños retrasos a través de una cadena de mixes. Para este caso, es necesario que se divida el ancho de banda: una parte para la señalización y otra parte para el envío de los datos, ambos utilizados para la transmisión del mensaje.
+\textbf{Verificación del tamaño del conjunto anónimo: }
+
+Si un atacante bloquea el mensaje de un participante específico, este mensaje se aísla del conjunto anónimo. Lo mismo sucedería si un atacante rodea a un participante específico, manipulándolo a través de la generación de mensajes con fines "ilícitos" para el sistema. Este tipo de ataque es conocido como el ataque de mezcla o $n-1$. No existe una solución específica contra este tipo de ataques en ambientes abiertos, como por ejemplo en aquellos donde los participantes entran y salen del sistema a su discreción. Se podría utilizar una protección básica si el mix puede identificar a cada participante, así de una forma confiable el mix puede verificar si los mensajes que tiene almacenados en su memoria temporal (“buffer”) fueron enviados por un número relativamente adecuado de usuarios.
+
+\textbf{Canales Mix:}
+
+Los canales mix son utilizados para manejar en tiempo real las cadenas continuas de datos o que contengan sólo pequeños retrasos a través de una cadena de mixes. Para este caso, es necesario que se divida el ancho de banda: una parte para la señalización y otra parte para el envío de los datos, ambos utilizados para la transmisión del mensaje.
 
 Se podría asumir que existe un sólo canal para la señalización, y varios canales para la transmisión de datos. Con el fin de establecer el canal, se envía un mensaje sobre el canal de señalización, el cual contiene la clave $k_i$ que deberá ser utilizada entre el emisor y el $Mix_i$, la cual se cifra de forma asimétrica por la clave pública de dicho mix. Con esto, se define un canal de igual forma para todos los mixes, sobre el cual será transmitido el mensaje.
 
-Se podría utilizar un canal para el envío y otro canal para la recepción. Un canal de envío es análogo a un cifrado híbrido: el emisor establece un canal, y codifica continuamente su información $N$, transformándola en $k_1(k_2(...k_m(N)...))$ y enviándola al mix $Mix_1$. Cada mix $Mix_i$ para $(i = 1, ..., n-1)$ decodifica los mensajes recibidos continuamente utilizando $k_i$ y transmitiendo el resultado de la decodificación al mix $Mix_{i+1}$. El mix $Mix_m$ crea el mensaje en texto plano en el fin de la cadena. Esto le permite al emisor enviar anónimamente los mensajes, pero en este caso el receptor no será anónimo. Un canal de recepción es en realidad un canal de envío el cual se utiliza en dirección opuesta, es decir, el receptor es el que establece el canal. El emisor le envía al mix $Mix_m$ la cadena $N$ de información que no está especialmente codificada por el mix $Mix_m$, luego lo codifica utilizando la clave $k_m$ y conduce $k_m(N)$ un paso atrás, hacia el mix $Mix_{m-1}$. Los otros mixes hacen lo 
-mismo, por ejemplo, el mix $Mix_1$ envía la cadena $k1(...km (N )...)$ codificada. Dado que el receptor conoce todas la claves públicas $k_i$, tiene la disponibilidad de descifrar $N$. Esto le permite al receptor recibir los mensajes anónimamente mientras que el emisor no es anónimo.
-
-Para alcanzar ambos niveles de anonimato, en \cite{ISDN-mixes} sugieren la creación de canales Mix como enlaces de los canales de envío y recepción. El emisor establece un canal de envío que finaliza en el mix $Mix_m$ y el receptor establece un canal de recepción que inicia en el $Mix_m$. El mix $Mix_m$ traspasa las cadenas de información que llegan por el canal de envío hacia el canal de recepción. Los canales que están supuestamente enlazados, se etiquetan con una marca común que se recibe consistentemente en ambos canales que establecen los mensajes asociados al mix $Mix_m$. Los datos transferidos están coordinados con un mensaje de entrada al mix cifrado asimétricamente, el cual contiene la información del mix que conecta a los dos canales, y el usuario emisor del mensaje de entrada al mix actúa como un emisor o un receptor. Cada mix en la cadena puede descifrar este mensaje de entrada al mix y en el último paso, el texto plano se difunde a todos los suscriptores. Ahora, los canales pueden ser 
-establecidos utilizando 
-los mensajes de establecimiento de ambos participantes. Estos escogen los mixes por el canal de transferencias de datos del mix $Mix_m$ y los mantienen en secreto. Así todos conocen sólo la mitad del camino y el mix $Mix_m$ reenvía los mensajes entrantes del canal de envío del mix al canal de recepción del mix. Cada emisor/receptor debe tener el mismo número de canales de envío/recepción, porque de lo contrario serían observables, por tal razón convendrá utilizar canales “dummy”.
-
-
-\paragraph{Enrutamiento cebolla}\hfill
-
-Este mecanismo fue propuesto y estudiado en \cite{esorics04-mauw, onion-discex00, onion-routing:pet2000}. Es equivalente a una red de mixes, pero en el contexto de enrutamiento basado en circuitos. En vez de enrutar cada paquete separadamente, el primer mensaje lo que hace es abrir un circuito, etiquetando una ruta. Cada mensaje que tiene una etiqueta en particular se enruta por un camino predeterminado. Finalmente, un mensaje se envía para que cierre o clausure un camino. Con frecuencia se hace referencia a flujo anónimo como la información que viaja por estos circuitos. Su objetivo es dificultarle la tarea al análisis de tráfico, uno de los tipos de ataques más conocidos. Este sistema procura proteger la no relacionabilidad de dos participantes que se comunican a través de terceras partes, y procura proteger la identidad de las partes comunicantes. En vista de que las redes ISDN son difíciles de implementar en Internet, lo que procuró el enrutamiento cebolla es adaptar
-esta idea distribuyendo la red anónima y adaptándola para que se ejecute en el tope del modelo TCP/IP. El primer mensaje enviado en la red se cifra en capas, que pueden ser descifradas en una cadena de enrutadores cebolla (\textit{onion routers OR}) los cuales utilizan sus respectivas claves privadas.
+Se podría utilizar un canal para el envío y otro canal para la recepción. Un canal de envío es análogo a un cifrado híbrido: el emisor establece un canal, y codifica continuamente su información $N$, transformándola en $k_1(k_2(...k_m(N)...))$ y enviándola al mix $Mix_1$. Cada mix $Mix_i$ para $(i = 1, ..., n-1)$ decodifica los mensajes recibidos continuamente utilizando $k_i$ y transmitiendo el resultado de la decodificación al mix $Mix_{i+1}$. El mix $Mix_m$ crea el mensaje en texto plano en el fin de la cadena. Esto le permite al emisor enviar anónimamente los mensajes, pero en este caso el receptor no será anónimo. Un canal de recepción es en realidad un canal de envío el cual se utiliza en dirección opuesta, es decir, el receptor es el que establece el canal. El emisor le envía al mix $Mix_m$ la cadena $N$ de información que no está especialmente codificada por el mix $Mix_m$, luego lo codifica utilizando la clave $k_m$ y conduce $k_m(N)$ un paso atrás, hacia el mix $Mix_{m-1}$. Los otros mixes hacen lo mismo, por ejemplo, el mix $Mix_1$ envía la cadena $k1(...km (N )...)$ codificada. Dado que el receptor conoce todas la claves públicas $k_i$, tiene la disponibilidad de descifrar $N$. Esto le permite al receptor recibir los mensajes anónimamente mientras que el emisor no es anónimo.
+
+Para alcanzar ambos niveles de anonimato, en \cite{ISDN-mixes} sugieren la creación de canales Mix como enlaces de los canales de envío y recepción. El emisor establece un canal de envío que finaliza en el mix $Mix_m$ y el receptor establece un canal de recepción que inicia en el $Mix_m$. El mix $Mix_m$ traspasa las cadenas de información que llegan por el canal de envío hacia el canal de recepción. Los canales que están supuestamente enlazados, se etiquetan con una marca común que se recibe consistentemente en ambos canales que establecen los mensajes asociados al mix $Mix_m$. Los datos transferidos están coordinados con un mensaje de entrada al mix cifrado asimétricamente, el cual contiene la información del mix que conecta a los dos canales, y el usuario emisor del mensaje de entrada al mix actúa como un emisor o un receptor. Cada mix en la cadena puede descifrar este mensaje de entrada al mix y en el último paso, el texto plano se difunde a todos los suscriptores. Ahora, los canales pueden ser establecidos utilizando los mensajes de establecimiento de ambos participantes. Estos escogen los mixes por el canal de transferencias de datos del mix $Mix_m$ y los mantienen en secreto. Así todos conocen sólo la mitad del camino y el mix $Mix_m$ reenvía los mensajes entrantes del canal de envío del mix al canal de recepción del mix. Cada emisor/receptor debe tener el mismo número de canales de envío/recepción, porque de lo contrario serían observables, por tal razón convendrá utilizar canales “dummy”.
+
+
+\subsubsection{Enrutamiento cebolla:}\hfill\\
+
+Este mecanismo fue propuesto y estudiado en \cite{esorics04-mauw,onion-discex00,onion-routingpet2000}. Es equivalente a una red de mixes, pero en el contexto de enrutamiento basado en circuitos. En vez de enrutar cada paquete separadamente, el primer mensaje lo que hace es abrir un circuito, etiquetando una ruta. Cada mensaje que tiene una etiqueta en particular se enruta por un camino predeterminado. Finalmente, un mensaje se envía para que cierre o clausure un camino. Con frecuencia se hace referencia a flujo anónimo como la información que viaja por estos circuitos. Su objetivo es dificultarle la tarea al análisis de tráfico, uno de los tipos de ataques más conocidos. Este sistema procura proteger la no relacionabilidad de dos participantes que se comunican a través de terceras partes, y procura proteger la identidad de las partes comunicantes. En vista de que las redes ISDN son difíciles de implementar en Internet, lo que procuró el enrutamiento cebolla es adaptar esta idea distribuyendo la red anónima y adaptándola para que se ejecute en el tope del modelo TCP/IP. El primer mensaje enviado en la red se cifra en capas, que pueden ser descifradas en una cadena de enrutadores cebolla (\textit{onion routers OR}) los cuales utilizan sus respectivas claves privadas.
 
 El primer mensaje tiene el material que debe ser compartido entre el emisor y los enrutadores, también las etiquetas y la información de direccionamiento del próximo nodo. Tal como sucede en los mixes de Chaum, se provee la no relacionabilidad a nivel de bits, de esta forma el camino que toma el primer mensaje no es trivial de seguir con sólo observar el patrón de bits de los mensajes.
@@ -202,13 +210,11 @@
 Los enrutadores se pueden configurar para que trabajen sólo con un determinado subconjunto de clientes, ya sea por zonas o de forma particularizada. Además se puede configurar para que trabajen sólo con un subconjunto de otros enrutadores.
 
-Tor: la segunda generación de OR 
+\textbf{Tor: la segunda generación de OR:}
 
 El proyecto OR fue retomado en el año 2004, con el diseño e implementación de lo que se denominó la “segunda generación del onion router” o TOR, por sus siglas en inglés, la propuesta se muestra en \cite{rlsm:tor-design}. Su política es la del reenvío de flujo TCP sobre una red de reenvíos, y junto con la ayuda de otra herramienta, el Privoxy (http://www.privoxy.org), está especialmente diseñada para el tráfico web.
 
-Este sistema utiliza una arquitectura de red tradicional: una lista de servidores voluntarios se obtiene desde un servicio de directorio ofrecido por otro(s) servidor(es). De esta forma, los clientes crean caminos utilizando al menos tres nodos intermedios escogidos de forma aleatoria dentro de la lista, y sobre los cuales se hace la comunicación de la información. A diferencia de la arquitectura anterior, donde se enviaba y distribuía el material criptográfico, TOR utiliza un mecanismo interactivo: el cliente se conecta con el primer nodo, y le solicita a éste que se conecte con el segundo nodo, de esta forma un canal bidireccional se utiliza en cada paso para desarrollar un intercambio de claves autenticado DF (Diffie-Hellman). Este garantiza el reenvío en forma secreta y la resistencia a la compulsión, debido principalmente a que solo son necesarias claves de corta duración. Este mecanismo fue inicialmente propuesto en Cebolla (ver [10]), y no está cubierto en la patente de OR (ver \cite{onion-discex00}). 
-
-Otra notable diferencia entre TOR y los intentos anteriores por anonimizar el tráfico de flujo, es que TOR no ofrece seguridad contra los atacantes que pueden observar la red entera, es decir, contra atacantes pasivos globales. Un conjunto de técnicas de Análisis de Tráfico (ver \cite{danezis:pet2004, timing-fc2004, SS03, flow-correlation04, WangCJ05}) han sido desarrolladas a través de los años para trazar el flujo de tráfico continuo viajando por redes de baja latencia como TOR. En estos estudios se ha demostrado que este tipo de ataques son muy difícil de contrarrestar, a menos que se utilicen técnicas que implicarían latencias elevadas, o que requieran la inyección de grandes cantidades de tráfico cubierto (tráfico inservible o “dummy”), los cuales representan soluciones muy costosas. Por esta razón en TOR se opta por obtener un nivel de seguridad que se pueda alcanzar en un sistema altamente utilizable y muy económico de utilizar (ver \cite{e2e-traffic, back01}). Como resultado si un adversario puede 
-observar el flujo entre dos puntos de la red, pudiese de forma trivial 
-generar el mismo tráfico, y lograr ataques del tipo “tagging”. Sin embargo, dada esta vulnerabilidad, aun se necesita estimar la probabilidad de que un adversario pueda estar monitoreando la red en múltiples puntos sobre un camino o ruta establecida.
+Este sistema utiliza una arquitectura de red tradicional: una lista de servidores voluntarios se obtiene desde un servicio de directorio ofrecido por otro(s) servidor(es). De esta forma, los clientes crean caminos utilizando al menos tres nodos intermedios escogidos de forma aleatoria dentro de la lista, y sobre los cuales se hace la comunicación de la información. A diferencia de la arquitectura anterior, donde se enviaba y distribuía el material criptográfico, TOR utiliza un mecanismo interactivo: el cliente se conecta con el primer nodo, y le solicita a éste que se conecte con el segundo nodo, de esta forma un canal bidireccional se utiliza en cada paso para desarrollar un intercambio de claves autenticado DF (Diffie-Hellman). Este garantiza el reenvío en forma secreta y la resistencia a la compulsión, debido principalmente a que solo son necesarias claves de corta duración. Este mecanismo fue inicialmente propuesto en Cebolla (ver \cite{cebolla}), y no está cubierto en la patente de OR (ver \cite{onion-discex00}). 
+
+Otra notable diferencia entre TOR y los intentos anteriores por anonimizar el tráfico de flujo, es que TOR no ofrece seguridad contra los atacantes que pueden observar la red entera, es decir, contra atacantes pasivos globales. Un conjunto de técnicas de Análisis de Tráfico (ver \cite{danezispet2004,timing-fc2004,SS03,flow-correlation04,WangCJ05}) han sido desarrolladas a través de los años para trazar el flujo de tráfico continuo viajando por redes de baja latencia como TOR. En estos estudios se ha demostrado que este tipo de ataques son muy difícil de contrarrestar, a menos que se utilicen técnicas que implicarían latencias elevadas, o que requieran la inyección de grandes cantidades de tráfico cubierto (tráfico inservible o “dummy”), los cuales representan soluciones muy costosas. Por esta razón en TOR se opta por obtener un nivel de seguridad que se pueda alcanzar en un sistema altamente utilizable y muy económico de utilizar (ver \cite{e2e-traffic,back01}). Como resultado si un adversario puede observar el flujo entre dos puntos de la red, pudiese de forma trivial generar el mismo tráfico, y lograr ataques del tipo “tagging”. Sin embargo, dada esta vulnerabilidad, aun se necesita estimar la probabilidad de que un adversario pueda estar monitoreando la red en múltiples puntos sobre un camino o ruta establecida.
 
 TOR también ofrece mecanismos para ocultar los servidores. Un servidor oculto abre una conexión anónima y la utiliza para publicar un punto de contacto. Si un cliente quiere contactar a un servidor, debe conectarse con un punto de contacto y negociar un canal anónimo separado del que se utiliza para el reenvío de la comunicación actual. Un ataque propuesto en \cite{hs-attack06} demuestra la vulnerabilidad de esta idea. La intuición detrás de este ataque está en el hecho de que un adversario puede abrir múltiples conexiones hacia un mismo servidor oculto, y secuencialmente o en paralelo podría controlar el flujo hacia ese servidor. Para esto, el atacante necesitaría controlar al menos un enrutador, y debe esperar a que el servidor escoja una de las conexiones de su enrutador como un primer nodo de un camino anónimo cualquiera.
