Tor Browser, senza mantello dell'invisibilità: guida pratica e limiti

Una connessione da capire, non un travestimento

Installare Tor Browser è facile. Capire quale parte della propria attività sta proteggendo richiede qualche minuto in più. Sono minuti ben spesi: una finestra viola non trasforma il resto del computer in un fantasma.

Questa guida propone un primo percorso su desktop, con documentazione pubblica e servizi onion del Tor Project. Non ti serve un account nuovo e non devi scaricare materiale da siti sconosciuti. L'obiettivo è osservare il percorso della connessione, riconoscere il servizio visitato e capire cosa succede quando cambi impostazioni.

Il filone viene da lontano: Hacker Journal n. 266, novembre 2022, parlava di pubblicazione onion; il n. 272, luglio/agosto 2023, di Tails; il n. 281, febbraio/marzo 2025, di Whonix. Sono strumenti con ruoli diversi. Qui partiamo dal browser, senza trasformare una sua funzione in una promessa per tutto il sistema. Se i termini si accavallano, prima leggi la distinzione tra deep web, dark web e onion.

1. Procurati il browser autentico

Apri la pagina ufficiale di download di Tor Browser, controlla il dominio e scegli il pacchetto per il tuo sistema operativo. Evita annunci che promettono versioni “premium”, pacchetti già modificati e portali che ti propongono un proprio downloader. Se il sito è bloccato, la documentazione sui download indica i mirror riconosciuti e GetTor.

Per verificare il file, scarica anche la firma .asc corrispondente e segui la procedura ufficiale per il tuo sistema. Usa il nome esatto dei due file e la chiave di firma indicata dal progetto. L'esito deve confermare una firma valida degli sviluppatori di Tor Browser: un semplice hash trovato accanto a un download sospetto non dimostra chi l'abbia pubblicato.

Installa la versione corrente e completa gli aggiornamenti proposti. Non recuperare il numero di versione stampato su una vecchia rivista: è il contesto storico della guida, non una raccomandazione per oggi.

2. Collegati e controlla il perimetro

Avvia Tor Browser e scegli Connetti / Connect. Di norma non servono modifiche manuali. Se il collegamento si blocca, usa le opzioni di assistenza e configurazione previste nella guida al primo avvio.

I bridge sono punti d'ingresso alternativi utili quando l'accesso diretto è ostacolato. Configurali tramite le funzioni del browser e le istruzioni del progetto, senza scegliere a caso un proxy da una lista. Aiutano contro determinati blocchi; non promettono invisibilità a ogni osservatore.

Per controllare questa connessione puoi aprire check.torproject.org dentro Tor Browser. Il risultato riguarda la richiesta che hai appena inviato. Non è una certificazione dell'intero computer: il normale browser, il client di posta e le altre app non passano automaticamente attraverso Tor, come ricorda EFF.

3. Visita un onion dalla porta ufficiale

Apri onion.torproject.org, la lista gestita dal progetto. Cerca la voce www.torproject.org o blog.torproject.org e apri il corrispondente indirizzo onion. Hai così una provenienza verificabile e un contenuto noto con cui esercitarti.

Controlla l'indirizzo completo e l'indicatore onion nella barra. Su siti che annunciano la propria versione onion può comparire anche il suggerimento “.onion available”, basato sulla funzione Onion-Location. Non è un messaggio universale: dipende dal sito. La documentazione del browser spiega gli indicatori e gli errori di connessione.

Per questa prova annota tre cose: pagina ufficiale da cui sei partito, servizio raggiunto, indicatore mostrato. Se non si apre, può esserci un problema di rete o del servizio. Non risolverlo installando una vecchia versione del browser o incollando l'indirizzo in un gateway sconosciuto.

4. Prova un livello di sicurezza, osserva cosa cambia

Apri le impostazioni di sicurezza. I livelli documentati sono:

Scegli un livello, applica il cambiamento seguendo l'eventuale richiesta di riavvio e riapri la documentazione. Il risultato interessante è vedere quali funzioni restano disponibili. Un sito che perde interattività non dimostra un guasto di Tor: è un compromesso previsto dai livelli di sicurezza.

Evita poi di aggiungere una collezione di estensioni “per la privacy”. Tor Browser cerca anche di limitare quanto il browser si distingua dagli altri. Le sue difese contro il fingerprinting includono normalizzazioni e letterboxing, i margini che aiutano a raggruppare le dimensioni delle finestre. Capire questi segnali è più utile che cambiare dieci preferenze a intuito: puoi esplorare il tema nel laboratorio locale sul fingerprinting.

5. Distingui Nuovo circuito da Nuova identità

Con una pagina pubblica aperta, prova Nuovo circuito Tor per questo sito. Il browser ricarica il sito usando un circuito diverso, senza eliminare cookie e stato della sessione. Serve anche quando il percorso corrente ha problemi.

Nuova identità fa altro: chiude le schede e le finestre, elimina informazioni private come cookie e cronologia della sessione e usa nuovi circuiti. Interrompe anche attività e download in corso. Provala soltanto dopo aver salvato gli appunti che vuoi conservare. Sono due operazioni distinte nella guida alle identità.

Nessuna delle due cancella i dati già ricevuti da un sito. E nessuna impedisce al servizio di riconoscerti se accedi di nuovo allo stesso account. La cancellazione locale non è una gomma universale sui server altrui.

HTTPS, login e file: dove finisce la protezione

Sul web pubblico lascia attiva la modalità HTTPS-Only. Se compare l'avviso che una connessione sicura non è disponibile, non superarlo per abitudine: passando a HTTP accetti un collegamento non cifrato fino al sito. Il manuale descrive questa eccezione alla modalità HTTPS-Only.

Un servizio .onion raggiunto direttamente in Tor Browser è diverso: il protocollo onion cifra già la connessione tra client e servizio, anche se l'indirizzo comincia con http. Non estendere questa proprietà a normali pagine HTTP o a siti che fanno da intermediari verso onion.

Il login personale rimane personale. Usare Tor per accedere alla posta può proteggere l'IP dalla vista del servizio, ma il servizio riconosce l'account. Per il primo esercizio resta sulle pagine pubbliche: osservi meglio il comportamento senza intrecciarlo alle tue sessioni abituali.

Un download può uscire dal perimetro. Un PDF o un documento aperto in un'app esterna può caricare risorse con la connessione ordinaria. Tor distingue il lettore PDF integrato dall'apertura in altri programmi e propone precauzioni specifiche per i documenti. Non installare estensioni aggiuntive e non usare BitTorrent attraverso Tor: sono altre indicazioni delle buone pratiche ufficiali.

E la VPN prima di tutto?

Non è un requisito. Il Tor Project sconsiglia in generale l'abbinamento con una VPN a chi non sappia configurare e valutare correttamente i due strumenti. Una catena più lunga aggiunge anche rapporti di fiducia e possibilità di errore; non basta sommare i loghi delle applicazioni.

Se il tuo problema è il Wi-Fi del bar, parti dalla distinzione tra VPN, HTTPS e captive portal. Se vuoi capire chi può associare una visita alla tua linea, il problema cambia. Scrivere l'obiettivo prima di installare software evita parecchia sicurezza immaginaria.

La prova è riuscita quando sai spiegare il risultato

Alla fine dovresti saper indicare quale applicazione hai usato, da dove hai ottenuto l'indirizzo onion, quale protezione mostra il browser e che cosa hai cambiato. Dovresti anche sapere quali azioni restano riconoscibili: il login, le informazioni inviate, un file aperto altrove.

È un risultato più serio del classico screenshot “il mio IP è cambiato”. La rete onion resta interessante proprio perché si può studiare senza spettacolarizzarla. Continua dal dossier dark web e Tor oppure passa alla privacy e al tracciamento: il prossimo passo dipende dalla traccia che vuoi capire, non dal numero di strumenti accesi.