Por exemplo, em 15 de Março de 2011, a Comodo, uma das maiores companhias de certificados SSL, relatou que uma conta de usuário numa autoridade certificadora afiliada foi comprometida. Esta conta foi então usada para criar uma nova conta de usuário que emitiu nove requisições de certificados para sete domínios: mail.google.com, login.live.com, www.google.com, login.yahoo.com (três certificados), login.skype.com, addons.mozilla.org e global trustee. Veja Comodo: The Recent RA Compromise (em inglês).
Ainda em 2011 a DigiNotar, uma companhia holandesa de certificação SSL, emitiu incorretamente certificados para terceiros maliciosos. Mais tarde, foi trazido à tona que aparentemente ela foi comprometida meses antes, talvez em Maio de 2009 ou mesmo antes. Certificados forjados foram emitidos para domínios como google.com, mozilla.org, torproject.org, login.yahoo.com e muitos outros. Veja The Tor Project: The DigiNotar Debacle, and what you should do about it (em inglês).
Isso ainda deixa aberta a possibilidade de um ataque man-in-the-middle mesmo quando seu navegador está confiando numa conexão HTTPS
Por um lado, por prover anonimato, o Tor torna mais difícil a realização de ataques man-in-the-middle direcionados a uma pessoa específica, mesmo com a benção de um certificado SSL canalha. Mas, por outro lado, o Tor faz com que seja mais fácil para pessoas e organizações rodarem nós de saída para realizarem tentativas de MiTM em larga escala, ou ataques direcionados a um servidor específico, especialmente contra aqueles usuários/as que estiverem usando o Tor.
Vários formatos de arquivo armazenam metadados ou dados ocultos dentro de si. Arquivos PDF ou gerados por processadores de texto podem armazenar o nome do autor, a data e hora de criação do arquivo e, às vezes, até parte do histórico de edição, dependendo do formato de arquivo e do programa utilizado.
Por favor, note também que o campo Assunto: assim como o resto das linhas de cabeçalho das suas mensagens de email criptografadas usando OpenPGP não são criptografadas. Isso não é um bug do Tails ou do protocolo OpenPGP; é, na verdade, devido a uma retrocompatibilidade com o protocolo SMTP original. Infelizmente ainda não existe padrão RFC para criptografia do campo Assunto.
Formatos de arquivo de imagem, como o TIFF ou JPEG, provavelmente ganham o prêmio na categoria maior quantidade de dados escondidos. Tais arquivos, criados por câmeras digitais ou telefones móveis, contém um formato de metadados chamado de EXIF que pode incluir a data, hora e talvez até as coordenadas GPS de quando a foto foi tirada, a marca e número de série do dispositivo que a tirou, assim como uma miniatura da imagem original. Programas de processamento de imagem tendem a manter esses dados intactos. A internet é cheia de imagens cortadas ou embaçadas nas quais a miniatura EXIF incluída ainda mostra a imagem original.
O Tails não limpa os metadados do seus arquivos para você. Por enquanto. Mesmo assim, é um dos objetivos de projeto do Tails te ajudar com isto. Por exemplo, o Tails já vem com um kit de anonimização de metadados.
Tor permite que você seja anônimo online; Tails permite que você não deixe rastros no computador que você estiver usando. Mas vale repetir: nenhum deles é um passe de mágica para obter segurança computacional.
Se você usa senhas fracas, elas podem ser descobertas por ataques de força bruta com ou sem o Tails da mesma forma. Para saber se suas senhas são fracas e aprender boas práticas de criação de senhas melhores, você pode ler Wikipedia: Weak Passwords (em inglês).
Tails e todos os programas inclusos nele estão em desenvolvimento contínuo e podem conter erros de programação e brechas de segurança.