Tor Browser, Tails o Whonix: dove finisce la protezione

Il browser è viola. Il resto del PC fa la sua vita

Apri Tor Browser. Accanto, il client cloud continua a sincronizzare una cartella e il browser di tutti i giorni tiene aperta la posta. Hai cambiato il percorso di una parte dell'attività. Il resto del computer non ha ricevuto un ordine collettivo di sparire.

È il punto da chiarire prima di scegliere fra Tor Browser, Tails e Whonix. Il primo è un browser; Tails è un sistema da avviare, normalmente da USB; Whonix, nel comune assetto virtualizzato, divide il lavoro fra due macchine virtuali. Non sono tre pulsanti dello stesso programma.

Questo è un confronto basato sulla documentazione ufficiale verificata il 4 novembre 2026, non un benchmark di installazioni Tails e Whonix. I controlli proposti più avanti servono a valutare la propria configurazione e non sono risultati di prove eseguite su quei sistemi.

In copertina: un'illustrazione originale Able2Code usa piani di rete sovrapposti per rappresentare confini diversi. Non è una schermata dei tre strumenti.

Tre domande prima di scaricare qualcosa

Scrivi cosa vuoi impedire e a chi. «Voglio più privacy» è troppo vago per scegliere una configurazione.

• Il sito deve evitare di vedere l'IP della mia connessione? È una domanda sul percorso di rete.
• Chi userà il computer dopo di me deve trovare meno tracce della sessione? È una domanda sui dati locali.
• Voglio tenere separate le applicazioni dal componente che gestisce Tor? È una domanda sull'architettura e sui suoi confini.

Poi aggiungi la domanda che cambia tutte le risposte: mi fido del computer su cui sto lavorando? Un componente che registra ciò che digiti agisce prima che il messaggio venga instradato. Il modello di minaccia di Whonix include esplicitamente hardware, sistema host e software di virtualizzazione fra le dipendenze da considerare.

Tor Browser: il confine è la navigazione

Tor Browser combina il percorso attraverso Tor con difese del browser. Le protezioni contro il fingerprinting cercano di ridurre le caratteristiche che distinguono una sessione dalle altre: cambiare soltanto l'indirizzo di uscita non risolve quel problema.

Il limite decisivo è fuori dalla finestra. Un client email o un'app di sincronizzazione non diventano automaticamente applicazioni Tor. Lo precisa il Tor Project nelle buone pratiche: conta quali programmi sono configurati per usare la rete.

Per leggere siti e svolgere ricerche web da un computer di cui ti fidi, partire da Tor Browser rende il confine facile da capire. Devi però mantenere aggiornati anche il sistema e le applicazioni esterne. Per download, primo avvio e comandi del browser c'è già la guida pratica a Tor Browser.

Tails: cambiano il sistema avviato e la memoria della sessione

Con Tails avviato direttamente dalla chiavetta, il sistema abituale rimane spento. L'ambiente di lavoro è quello di Tails: questo cambia molto rispetto ad aprire un'applicazione dentro Windows, macOS o Linux. Il progetto descrive un funzionamento orientato alla memoria volatile e alla riduzione delle tracce sul disco interno. Come funziona Tails.

L'amnesia non significa che qualsiasi dato scompaia ovunque. Il Persistent Storage conserva sulla chiavetta dati e impostazioni scelti, protetti con una passphrase. È utile per continuare un lavoro, ma introduce intenzionalmente memoria fra le sessioni. Un file salvato lì ha una sorte diversa da un appunto temporaneo. Anche un documento inviato a un servizio continua a esistere presso quel servizio. Documentazione del Persistent Storage.

Per le comunicazioni Internet delle applicazioni ordinarie, Tails impone il passaggio attraverso Tor e blocca i tentativi di aggirarlo. C'è però un'eccezione visibile: Unsafe Browser non usa Tor. Serve soprattutto per completare l'accesso a una rete con captive portal, oppure raggiungere pagine fidate della rete locale. Non è il browser di riserva con cui entrare nella posta quando qualcosa non funziona. Terminata l'operazione di rete, va chiuso. Guida ufficiale a Unsafe Browser.

Prima di preparare la USB controlla l'hardware: alla data della verifica Tails richiede x86-64 e non supporta ARM, inclusi i Mac con Apple Silicon. Una chiavetta preparata correttamente non risolve un'architettura incompatibile. Requisiti ufficiali.

Whonix: una macchina lavora, l'altra gestisce Tor

Nel comune assetto a due VM, Whonix-Workstation ospita browser e applicazioni; Whonix-Gateway gestisce Tor. La Workstation è collegata a una rete isolata che passa dal Gateway. La separazione serve a controllare il percorso delle connessioni anche quando un'applicazione non sa gestire Tor da sola. Architettura tecnica di Whonix.

Il confine si può disegnare così:

Applicazione nella Workstation
             ↓
      rete virtuale isolata
             ↓
       Gateway con Tor
             ↓
          rete Tor

Il browser aperto sull'host non entra in questo disegno. Per usare l'ambiente, le applicazioni vanno eseguite nella Workstation, come spiega la documentazione del componente. Aggiungere alla Workstation un percorso diretto verso Internet cambia proprio la proprietà che si voleva ottenere: non è una scorciatoia neutra per risolvere un problema di connessione.

Nell'avvio normale di Whonix i dati sono persistenti. Esiste anche una Live Mode, con condizioni proprie e differenze fra piattaforme: quindi «Whonix salva sempre tutto» sarebbe una semplificazione sbagliata. La modalità live del guest non basta, da sola, a descrivere ciò che conserva il sistema host. Modalità live di Whonix.

La separazione di rete non rende innocua una Workstation compromessa: i dati accessibili al suo interno possono essere esposti. E un host o virtualizzatore compromesso tocca un livello da cui le VM dipendono. Proteggere l'IP e proteggere il contenuto dei documenti sono proprietà diverse. Il modello di minaccia è molto più utile di una promessa di immunità.

Il confronto che serve per scegliere

La scelta pratica segue il lavoro. Ricerca web: valuta Tor Browser e le abitudini della sessione. Ambiente temporaneo su hardware compatibile: valuta Tails e decidi prima quali dati conservare. Postazione virtuale continuativa: valuta Whonix, il suo host e la manutenzione di entrambe le VM. Sono criteri ricavati dai confini descritti sopra, non una classifica assoluta di sicurezza.

Attenzione all'esperimento «metto Tails in una VM e ottengo il meglio di entrambi». Può servire a familiarizzare con l'interfaccia, ma cambia il modello: l'host e il virtualizzatore possono osservare Tails e lasciare tracce, per esempio attraverso lo swap. La guida Tails alla virtualizzazione spiega questi limiti. Avviare dalla USB e avviare dentro una VM non sono prove equivalenti.

Il login attraversa tutti e tre i confini

Immagina di collegarti a un sito attraverso Tor e poi accedere al tuo account abituale. Il sito non ha bisogno di scoprire l'IP di casa per sapere quale account sta usando il servizio: glielo hai appena comunicato.

Questo non rende inutile Tor. Puoi voler nascondere l'origine della connessione pur usando un'identità nota al servizio. Semplicemente, è un obiettivo diverso dal tenere separate due identità. La documentazione Tor sulla gestione delle identità distingue proprio questi casi. Riavviare il sistema o cambiare circuito non cancella un'associazione che il servizio ha già registrato.

Tre controlli sulla tua configurazione

Usa soltanto un ambiente tuo, aggiornato, e dati fittizi. Questi controlli verificano proprietà circoscritte; non assegnano un certificato di anonimato.

1. Disegna dove gira ogni applicazione. Per ogni finestra annota «host», «Tails» oppure «Workstation». Se un'app che volevi confinare è sull'host, sposta il lavoro nell'ambiente previsto e ricontrolla. Il nome del programma non basta a individuarne il percorso.
2. Verifica una scelta di persistenza. Su una copia di prova di Tails crea un file di testo senza dati personali e annota se si trova nello spazio temporaneo o in quello persistente. Dopo uno spegnimento e un nuovo avvio controlla quel percorso, sbloccando la persistenza quando necessario. Se vuoi che il file rimanga, salvalo nello spazio corretto e ripeti la verifica. Non usare documenti importanti per provare cosa viene perso.
3. Controlla le identità che porti con te. Elenca gli account a cui intendi accedere e i documenti che intendi inviare. Se l'obiettivo è una sessione senza account, verifica che non sia già aperta una sessione autenticata. Un documento può avere anche metadati identificativi: il percorso Tor non li riscrive.

Alla fine elimina i file fittizi conservati nella copia di prova e svuota il relativo cestino. Questo rimuove gli appunti dall'uso ordinario, non dimostra una cancellazione forense. Chiudi le applicazioni e spegni l'ambiente di prova; eventuali snapshot o backup che hai creato conservano copie indipendenti.

Che cosa tenere delle vecchie guide

Hacker Journal 272 e 281 offrivano spunti su Tails e Whonix. L'idea di separare gli ambienti resta utile; immagini del sistema, requisiti e procedure vanno confrontati con la documentazione attuale. Non installare una vecchia versione solo per ottenere gli stessi menu di una pagina stampata.

Due scorciatoie vanno lasciate indietro: usare Unsafe Browser come navigatore ordinario e giudicare l'anonimato dalla frequenza con cui cambia l'IP. Un circuito nuovo non è necessariamente una nuova identità, e un indirizzo diverso non racconta cosa hai scritto in un modulo.

Per orientarti prima dei download, torna alla differenza fra dark web, deep web e servizi onion. Per vedere un'altra traccia che un indirizzo IP non descrive, c'è il laboratorio locale sul fingerprinting del browser.