Come funziona Tor: onion routing, nodi e anonimato spiegati bene

Tor non è un browser anche se molti lo confondono con Tor Browser. Tor è una rete, cioè un insieme di migliaia di computer distribuiti in tutto il mondo che collaborano per instradare il traffico Internet in modo da rendere impossibile (o quasi) risalire all’identità di chi lo genera. Tor Browser è semplicemente lo strumento più comodo per accedere a quella rete, costruito sopra una versione modificata di Firefox.

Capire come funziona Tor non richiede competenze tecniche particolari. Richiede di tenere a mente un’idea centrale: invece di mandare una richiesta direttamente da te al sito che vuoi visitare, Tor la manda attraverso tre intermediari e usa la crittografia in modo tale che nessuno degli intermediari veda mai l’intero percorso. Ogni intermediario vede solo il pezzo immediatamente prima e immediatamente dopo di sé.

Il problema che Tor risolve

Quando navighi su Internet normalmente il percorso tra il tuo computer e il sito che visiti è trasparente. Il tuo provider Internet sa quali siti stai visitando e il sito che visiti conosce il tuo indirizzo IP, da cui può ricavare la tua posizione geografica approssimativa e il tuo provider. I gestori della rete WiFi a cui sei connesso, che si tratti di casa tua o di un bar, possono monitorare il traffico non cifrato.

La cifratura HTTPS (il lucchetto verde nel browser) risolve il problema della riservatezza del contenuto: il tuo provider vede che stai comunicando con un certo sito, ma non vede il contenuto dello scambio. Non risolve però il problema dell’identità: sa comunque con chi stai comunicando.

Tor risolve questo problema. Non solo nasconde il contenuto delle comunicazioni, ma nasconde anche chi sta comunicando con chi. Il sito che visiti vede una richiesta proveniente dall’ultimo nodo Tor, non dal tuo computer, mentre il tuo provider vede traffico cifrato verso il primo nodo Tor, ma non sa cosa stai visitando. Gli intermediari nel mezzo non sanno né chi sei né dove stai andando.

Come funziona l’onion routing, passo per passo

L’idea alla base di Tor si chiama onion routing, che in italiano si traduce con “instradamento a cipolla”. Il nome viene dal fatto che i dati vengono avvolti in strati multipli di crittografia, come gli strati di una cipolla, e ogni nodo intermedio rimuove solo il proprio strato.

Prima che il tuo traffico lasci il tuo computer, Tor Browser scarica da Tor Project una lista dei nodi disponibili e seleziona un circuito di tre nodi per quella sessione. Poi avvolge la tua richiesta in tre strati di crittografia, ognuno indirizzato a uno dei tre nodi. Il nodo esterno (il più vicino a te) può aprire solo il primo strato, che gli rivela solo dove inviare il pacchetto successivo. Il nodo intermedio può aprire solo il secondo strato, mentre il nodo finale può aprire l’ultimo strato e vede la destinazione reale della tua richiesta.

Vediamo i tre nodi nel dettaglio.

1. Il nodo di guardia (guard node o entry node) è l’unico nodo della catena che conosce il tuo indirizzo IP reale, perché riceve direttamente la connessione dal tuo computer. Quello che non sa è dove stai andando, perché la tua richiesta è ancora avvolta in due strati di crittografia che lui non può aprire. Sa solo che deve mandare il pacchetto al nodo successivo. Il nodo di guardia viene selezionato e mantenuto fisso per diverse settimane, non cambia a ogni connessione. La ragione è statisticamente sensata: se il primo nodo cambiasse spesso, la probabilità di incontrare nel tempo un nodo malevolo aumenterebbe.
2. Il nodo intermedio (middle node o relay) non vede né il tuo IP né la destinazione finale. Vede solo il nodo che gli ha mandato il pacchetto (il nodo di guardia) e il nodo a cui deve mandarlo (il nodo di uscita). Il suo ruolo è quello di un buffer che spezza il collegamento visibile tra chi ha originato il traffico e dove sta andando.
3. Il nodo di uscita (exit node) è l’ultimo anello. Apre l’ultimo strato di crittografia e invia la richiesta al sito di destinazione. Vede cosa stai richiedendo (il sito che vuoi visitare) ma non sa chi sei: dal suo punto di vista, la richiesta arriva dal nodo intermedio. Per il sito di destinazione, la richiesta sembra provenire dall’indirizzo IP del nodo di uscita, non dal tuo.

Il risultato è che nessun nodo possiede simultaneamente le due informazioni necessarie per de-anonimizzarti: chi stai facendo la richiesta e dove stai andando. Il nodo di guardia sa chi sei ma non dove vai. Il nodo di uscita sa dove vai ma non chi sei. Il nodo intermedio non sa nessuna delle due cose.

Nascondersi al provider: il ruolo dei bridge

Affrontiamo la prima criticità: quando navighi su Internet tramite i nodi pubblici di Tor il tuo fornitore di servizi internet (ISP) può utilizzare tecniche di Deep Packet Inspection (DPI) per identificare la “firma” del traffico di Tor. Anche se i dati sono criptati e il contenuto è invisibile, l’atto della connessione verso un nodo noto rimane evidente: il provider vede che stai parlando con un server appartenente alla rete Tor e può passare da una semplice osservazione a una restrizione attiva, come il blocco della navigazione o il rallentamento intenzionale per scopi di censura.

Per aggirare questo scenario, la rete tor offre i cosiddetti bridge, ovvero nodi di ingresso alternativi e, soprattutto, privati. Essendo “fuori dall’elenco” dei nodi ufficiali, i provider non possono sapere con certezza che quella connessione provenga da Tor. I bridge utilizzano protocolli di offuscamento (come obfs4) che prendono il pacchetto dati di Tor e lo “trasformano” facendolo apparire come qualcos’altro. Invece di sembrare un flusso di dati tipico della rete Tor, il traffico sembra una serie di bit casuali o, in alcuni casi, viene fatto passare per un normale traffico HTTPS (come quello di un sito web comune). Il provider vede il dato, ma non ne riconosce la natura “sospetta”.

In sostanza, i bridge agiscono come un velo di offuscamento: non servono solo a proteggere il contenuto, ma a nascondere l’intento stesso dell’utente, permettendo di bypassare le barriere di sorveglianza più sofisticate implementate dai governi o dagli stessi gestori della rete.

I bridge sono fondamentali per aggirare la censura, un rischio reale in regimi che colpiscono duramente le tecnologie protettive, come dimostrato dagli attacchi alle VPN in Russia, dove i blocchi legati ai pagamenti hanno isolato molti utenti dalle reti sicure

Come funzionano i siti .onion

I siti che usano indirizzi .onion hanno un funzionamento ulteriormente diverso da quello dei normali siti web visitati attraverso Tor. Con un sito normale, il nodo di uscita conosce la destinazione. Con un sito .onion, anche questo collegamento viene rimosso.

Un sito .onion si identifica attraverso il suo indirizzo, che non è un nome di dominio tradizionale ma una chiave crittografica pubblica codificata in formato leggibile. L’indirizzo .onion è generato automaticamente dalla chiave del servizio e non può essere falsificato: connettersi con successo a un certo indirizzo .onion è già una prova crittografica di essere sul sito corretto.

Quando vuoi visitare un .onion non c’è un nodo di uscita che manda la richiesta al server come in una visita normale. Invece, attraverso un meccanismo chiamato rendezvous, il tuo client Tor e il server stabiliscono un punto di incontro anonimo all’interno della rete Tor stessa. Il server non conosce il tuo IP. Tu non conosci l’IP del server. La comunicazione avviene attraverso sei nodi totali (tre tuoi e tre del server) che si congiungono in un punto neutro. È per questo motivo che i siti .onion non hanno bisogno di certificati SSL esterni: l’autenticazione è garantita dalla crittografia stessa dell’indirizzo.

Capire l’architettura di Tor è solo il primo passo per navigare in sicurezza, specialmente se si vuole esplorare ciò che si cela dietro la superficie del web: per questo, approfondire la differenza tra deep web e dark web è un passaggio fondamentale.

Chi gestisce i nodi e perché

La rete Tor funziona grazie a circa 8.000 nodi volontari distribuiti in decine di paesi, gestiti da individui, università, organizzazioni no-profit e aziende che scelgono di contribuire alla rete. Gestire un nodo Tor è legale nella quasi totalità dei paesi democratici. I gestori di nodi non guadagnano nulla: lo fanno per convinzione o come contributo alla privacy online.

Tor è nato nel 2002 come progetto della U.S. Navy e DARPA, con l’obiettivo dichiarato di proteggere le comunicazioni dell’intelligence americana. L’ironia storica è evidente: uno strumento progettato per proteggere le comunicazioni governative americane è diventato nel tempo lo stesso strumento che protegge i marketplace criminali che le agenzie federali americane cercano di chiudere. Oggi è gestito dal Tor Project, un’organizzazione no-profit con sede negli Stati Uniti, finanziata da fondazioni, governi europei e donazioni private.

Tor: cosa è in grado di proteggere e cosa no

Tor protegge la tua identità di rete, cioè il collegamento tra la tua posizione fisica (il tuo IP) e le tue attività online. Rende molto difficile, anche se non impossibile in condizioni limite, che un osservatore esterno possa collegare le due cose.

Quello che Tor non protegge è la tua identità applicativa. Se visiti un sito tramite Tor e poi effettui il login con il tuo account Google, hai rivelato la tua identità al sito. Se scarichi un file tramite Tor e poi lo apri con un programma che fa richieste di rete (aggiornamenti, preview, ecc.), queste richieste potrebbero non passare per Tor e rivelare il tuo IP. Se usi un account che hai già associato a informazioni personali Tor non risolve il problema, tant’è che la stragrande maggioranza dei criminali informatici che operavano tramite Tor è stata identificata a causa di errori di OPSEC (Operational Security), non grazie a tecniche di de-anonimizzazione o ad attacchi alla rete.

Tor non protegge nemmeno contro malware installato sul tuo dispositivo prima di usarlo nè protegge contro attacchi di correlazione temporale da parte di avversari molto potenti (come agenzie di intelligence statali con accesso a grandi porzioni della rete): se un avversario può monitorare sia il traffico in entrata nella rete Tor (lato tuo) sia quello in uscita (lato destinazione), può in teoria correlare i tempi e de-anonimizzarti. Questo è difficile ma non impossibile avendo a disposizione le giuste risorse.

Si può usare Tor su Windows o smartphone Android?

La risposta breve è sì: Tor Browser si può installare sia su Windows che su Android. Tuttavia, bisogna precisare che non si tratta dei sistemi operativi più idonei per chi cerca l’anonimato totale. Windows, infatti, è un sistema estremamente “connesso”: invia costantemente telemetria (dati sull’uso) a Microsoft per far funzionare servizi come l’aggiornamento automatico, la sincronizzazione di OneDrive o la ricerca di Windows. Anche se usi Tor, questi processi avvengono fuori dal tunnel di Tor, rivelando il tuo vero indirizzo IP e le tue abitudini al provider o a Microsoft.

Anche l’installazione di componenti aggiuntive può compromettere l’anonimato: la scoperta recente del monitoraggio aggressivo da parte di LinkedIn, ad esempio, evidenzia quanto sia facile tracciare l’utente attraverso strumenti che pensiamo siano innocui.

Android è ancora più problematico perché è progettato attorno ai servizi Google. L’intero sistema operativo comunica costantemente con i server di Google per la posizione, l’account e la sincronizzazione. Se un’app malintenzionata (anche se hai usato Tor) riesce a scappare dal “sandbox” del browser, può leggere i tuoi dati personali o attivare il GPS, bypassando completamente la crittografia di Tor.

Ma c’è anche un altro rischio: lasciare “impronte digitali” all’interno della memoria dei dispositivi che possono essere analizzate in seguito. Su Windows e Android quando salvi un file, scarichi una foto o semplicemente navighi su internet, il sistema operativo crea dei file temporanei e della cache che possono essere analizzati per ricostruire la tua attività.

Per questo il metodo più diffuso per connessione alla rete Tor è una distro di Linux chiamata Tails. Si tratta di un sistema “amnesico” che può essere contenuto in una chiavetta USB e viene eseguito esclusivamente nella RAM. Non appena il PC viene spento, la RAM viene svuotata istantaneamente. Non c’è nulla da analizzare sul disco fisso perché non è mai stato scritto nulla. A questo si aggiunge l’opzione (attiva di default) per bloccare automaticamente tutte le connessioni che non passano per la rete Tor.