Dark web, deep web e onion: smontiamo il mito del web segreto

Il web segreto non ha un ascensore

Una pagina nera, un indirizzo incomprensibile e un iceberg con livelli sempre più inquietanti. Basta poco per vendere il dark web come una discesa negli inferi. Il problema comincia quando il disegno prende il posto della rete: non spiega più come funzionano i sistemi, inventa un mondo in cui ogni piano promette segreti migliori del precedente.

Nel dicembre 2020 Hacker Journal n. 248 dedicava le pagine 20–25 al web nascosto, mescolando tecnologie reali e il racconto delle “Marianas”. È un buon punto da cui ripartire sei anni dopo: la curiosità è ancora quella giusta, la mappa va rifatta. Per capire Tor non servono leggende su accessi riservati ai possessori di computer quantistici. Servono tre domande: come raggiungo il servizio, chi vede la connessione, quali informazioni consegno io?

Deep web, dark web, onion: tre etichette da separare

Il deep web comprende contenuti che i motori di ricerca non indicizzano. La tua casella di posta dopo il login è un esempio quotidiano. Non è automaticamente una rete diversa, un luogo illecito o qualcosa di raggiungibile solo con programmi speciali.

Dark web è un'etichetta d'uso comune per servizi accessibili attraverso reti e software specifici. Qui ci occupiamo di Tor e dei suoi servizi .onion. L'etichetta descrive male sia l'architettura sia i contenuti: il materiale non indicizzato, i servizi onion e le attività criminali non coincidono. Lo mostra anche la presentazione del Tor Project del 2022, che contesta esplicitamente il modello dell'iceberg.

Un archivio privato e un sito onion pubblico possono essere entrambi difficili da trovare, per motivi completamente diversi. Non dedurre la tecnologia dalla mancata comparsa su Google. E non dedurre la sicurezza dalla parola “segreto”.

Tor cambia il percorso della connessione

Quando apri un normale sito con Tor Browser, il traffico passa attraverso un circuito di relay. Il progetto distribuisce le informazioni: ogni relay conosce i propri vicini, anziché ricevere l'intero percorso. Il sito pubblico vede arrivare la connessione da un nodo di uscita, non direttamente dalla tua linea domestica. Questa è la funzione della rete descritta nell'introduzione tecnica di Tor.

Puoi quindi leggere un giornale sul suo normale dominio usando Tor. Non sei obbligato a cercare un indirizzo onion e non stai entrando in una seconda Internet ogni volta che premi Invio.

Per il web pubblico conta anche HTTPS: protegge la comunicazione tra browser e sito, compreso il tratto dopo il nodo di uscita. Tor e HTTPS lavorano su problemi diversi. Senza HTTPS, il nodo di uscita può osservare il traffico applicativo non cifrato; con HTTPS correttamente validato non riceve in chiaro password e contenuto delle pagine. Il diagramma interattivo di EFF permette di confrontare le combinazioni.

Un servizio onion non usa il normale nodo di uscita

Con un servizio onion, anche il server partecipa al meccanismo Tor. Client e servizio stabiliscono un incontro nella rete, un rendezvous: non occorre un nodo di uscita verso il web pubblico. La connessione è cifrata da un estremo all'altro e il protocollo protegge la posizione di rete del servizio.

L'indirizzo è legato alla sua identità crittografica. Questa proprietà aiuta a raggiungere quel servizio senza che un intermediario lo sostituisca; non dimostra che sia gestito dall'organizzazione che credi. Se copi l'indirizzo di un impostore, raggiungerai correttamente l'impostore. Sono le proprietà e il funzionamento degli onion services, non un bollino di onestà.

Un indirizzo autentico va quindi cercato sul sito ufficiale dell'organizzazione o attraverso un suo canale verificato. Confrontare solo le prime e le ultime lettere di una stringa lunga non equivale a verificarla tutta.

Che cosa è cambiato rispetto alle vecchie guide

Il cambiamento più visibile riguarda gli indirizzi. I servizi onion v3 usano 56 caratteri prima di .onion, mentre i v2 ne avevano 16. Non è un allungamento decorativo: cambia il formato, che incorpora una chiave pubblica completa e appartiene a un protocollo aggiornato. Il Tor Project illustrava questa transizione nel settembre 2021; la sua cronologia registra il ritiro finale dei v2 nello stesso anno.

Una lista di link del 2020 può quindi essere tecnicamente inutilizzabile anche quando il testo che la circonda sembra convincente. La cura è recuperare gli indirizzi attuali dai gestori, non cercare una vecchia versione del browser per resuscitare la lista.

Resta valida la lezione più interessante di quelle guide: una rete può essere costruita per rivelare meno informazioni. Restano sbagliate le percentuali spettacolari prive di metodo e le promesse di invisibilità universale. Le “Marianas” non sono un livello previsto dal protocollo onion: non esiste un pulsante documentato da sbloccare dopo aver imparato Tor.

Che cosa puoi farci senza inseguire mercati clandestini

Il Tor Project pubblica una lista dei propri servizi onion: è un punto concreto per confrontare il sito pubblico, il blog e le rispettive versioni onion. Il confronto non richiede account, pagamenti o download di documenti sconosciuti.

Un altro uso è OnionShare. Il software può rendere disponibili file, chat e pagine web dal computer di chi condivide, tramite onion services. Non devi caricare preventivamente il documento su un servizio cloud centrale; il computer deve però restare disponibile durante la condivisione. È il modello spiegato nella documentazione di OnionShare.

Questo non rende anonimo qualunque comportamento. Se mandi il link dal tuo indirizzo personale, hai appena dichiarato chi sta condividendo. Anche il canale con cui distribuisci indirizzo e credenziali fa parte della sicurezza, come chiarisce il security design del progetto. Prima di pubblicare un file, controlla inoltre ciò che raccontano i suoi metadati.

L'anonimato non si misura contando gli IP

Un IP diverso dimostra un percorso diverso visto da quel sito. Non certifica l'anonimato di una persona. Se entri nel tuo account abituale, il servizio sa quale account sta usando la connessione; EFF lo evidenzia nella sua guida a Tor. Se pubblichi dati personali nel testo, la cifratura li consegna comunque al destinatario.

C'è poi l'osservatore capace di vedere entrambe le estremità della comunicazione e confrontarne tempi e volumi. Tor documenta esplicitamente il rischio di correlazione del traffico. Un sistema compromesso aggiunge altri problemi: nessun percorso di rete rende affidabile un computer sul quale qualcun altro controlla ciò che fai.

Anche “aggiungo una VPN” richiede una domanda precisa: quale osservatore stai cercando di limitare? Nella guida pratica a Tor Browser vediamo perché sovrapporre strumenti senza capirne l'ordine non crea una garanzia ulteriore.

Il primo giro, con un obiettivo sensato

Per iniziare scegli una visita leggibile e verificabile: la documentazione del Tor Project, aperta prima sul dominio pubblico e poi sul suo indirizzo onion ufficiale. Annota da dove hai recuperato l'indirizzo e quale indicatore mostra il browser. Non serve collezionare cento link: serve capire una connessione.

Poi separa le domande. Vuoi ridurre il tracciamento pubblicitario? Proteggere l'IP di una visita? Pubblicare un servizio senza esporne direttamente l'indirizzo di rete? Sono esigenze collegate, ma non intercambiabili. Il dossier dark web e Tor e il percorso sulla privacy pratica partono proprio da questa distinzione. La curiosità hacker diventa utile quando smette di cercare un posto leggendario e comincia a verificare ciò che una macchina fa davvero.