Вот что интересно, https://www.opennet.ru/openforum/vsluhforumID3/115202.html#99
Цитирую:
">> Это нормально. Считается, что с редкой ротацией Guard меньше шансов попасть на
>> злоумышленника, чем с частой.
> И легче владельцу Guard отследить в какое время ты привык пользоваться тором.

Необходимо увеличить число промежуточных нод. Причем количество промежуточных нод должно выбираться случайным образом (но например не менее 2 — 3 ноды), ибо TTL, и меняться должно довольно часто.

Поясню. Ушлый провайдер (таких нагнутых сейчас наверняка 101%), может организовать маршрутизацию (и/или управление TTL пакетов) в своих сетях таким образом (и менять с такой периодичностью), что например методом половинного деления (или другими методами) и одновременного изменения маршрутизации (и/или TTL пакетов), можно будет определить конкретного абонента с более менее постоянным трафиком во внутренней сети «нагнутого» провайдера по соответствию TTL пакетов на выходной ноде (если есть возможность осуществить мониторинг трафика). Или я брежу!"

Сейчас посмотрел, сколько там только в IP заголовке (https://ru.wikipedia.org/wiki/IP) можно наставить "закладок", а ведь там еще "Параметры (от 0 до 10-и 32-х битных слов)" можно "запараметрить"! А ведь еще в хвост пакета "напихать" можно столько оригинального, что на выходе уж точно не ошибешься.

И самое интересное, как там в Tor-e icmp эхо, через Tor назад возвращается ;) Понимаю, что глупость сморозил, но в каждой глупости есть доля глупости ;)