Можно ли продавать самодельный Tor клиент

И почему криптографии для этого вдруг стало недостаточно?

Каким образом Tor противоречит криптографии не понятно... (более того он её использует)

Не достаточно криптографии = нужна и криптография, и ещё что-то. Где вы тут противоречие усмотрели? Кое у кого тут с логикой проблемы.

Можно, конечно придумать несколько конкретных примеров из серии "зачем бизнесменам скрывать в каком банке они берут кредит", но делать это лень.

Понятно, что можно. Есть масса примеров. Вопрос только в том, насколько это всё натяжки/актуально, по крайней мере, когда речь идёт о реальном бизнесе, который по определению обязан быть прозрачен и неанонимен, и даже всюду слать отчёты о своей деятельности.

Точка входа в Tor в VPN некоей организации становится заведомо подконтрольной точкой входа для поиска тайминг-корреляций. Множество входящих в Tor по-отдельности были бы менее уязвимы к атакам такого рода.

Но к данному случаю это конечно не та модель угрозы, которая может заинтересовать кого-то из покупателей.

Множество входящих в Tor по-отдельности были бы менее уязвимы к атакам такого рода.

Казалось бы, среди большой разнородной массы проще затеряться, да и фингерпринтинг хуже работать будет — разве нет? Не понятно, на чём основано такое утверждение. Если Tor-клиент одновременно лезет на сотню сайтов обеспечивая доступ для массы пользователей, чем это простит задачу злоумышленнику? Разбить такую кучу-малУ на отдельные цепочки разве проще?

Предположим, противник не знает, в каких странах и регионах в данный момент находятся сотрудники фирмы, работающие удалённо. Если они будут входить в сеть Tor самостоятельно через мобильный доступ, то противник прямым путём и не узнает этого (а это уже информация, которую может быть желательно оставить анонимной).

Если противник не будет знать где искать мобильных сотрудников, то не сможет проводить атаки на анализ трафика в точках входа в Tor.

Случайный любопытный противник, находящийся в этих странах не узнает, к какой организации принадлежит клиент (сравните: "посетитель отеля использует Tor" vs. "посетитель отеля использует VPN-соединение с IBM/Microsoft/АНБ").

Если же все выходят в Tor не из локалки фирмы (непрозрачной для внешнего противника), а снаружи через VPN, то ясно с какого IP послали nnn байтов в промежуток времени, что примерно соответствует такой-то цепочке nnx байтов на входе в Tor-сеть. Не факт же, что все смогут висеть на одном клиенте и одновременно зашумливать друг друга.

Tor конечно от атак timing-анализа трафика не защищает, но в случае с VPN они несколько облегчаются.

Только в свете более практических аспектов это всё не так существенно.

Кстати, смартфон (новый) можно купить дешевле 2000 руб.