È una domanda ricorrente quando faccio lezione di sicurezza e privacy nelle scuole: quanto è sicuro usare Tor per navigare in modo anonimo?

La risposta breve è "molto, se fai molta attenzione". Il problema è proprio l'attenzione: anche se si usa Tor, basta un passo falso per non essere più anonimi. Chi sta pensando che basti installare Tor per fare tutto quello che vuole impunemente, per proteggere la propria sfera personale o eludere sorveglianze commerciali o governative, sbaglia.

Partiamo dalle basi. Tor è un browser, concepito inizialmente dalla Marina degli Stati Uniti, che ci serve per due cose fondamentali: nascondere dove ci troviamo, in modo che i siti visitati non sappiano da dove siamo collegati, e rendere difficile per qualcuno sorvegliare le nostre attività di navigazione nel corso del tempo.

Tor prende la nostra richiesta di visitare un sito, la cifra con della crittografia molto forte, e la passa a caso a un relay, ossia un computer che offre il servizio Tor. Qualunque computer può farlo. Questo relay passa la richiesta a un altro relay a caso, cifrando di nuovo i dati, e così via, fino alla destinazione, che quindi non ha modo di sapere chi siamo e da dove ci colleghiamo.

Consigliamo la lettura di:

Google cancellerà i dati raccolti in segreto dalla Modalità Incognito

Class action contro Google per la modalità incognito, trovato l'accordo

Esodo: recuperare una ''sovranità personale''

Centomila messaggi WhatsApp a spasso

Ma attenzione: se fate acquisti online usando una carta di credito o altro strumento di pagamento che include la vostra identità, siete comunque identificabili. Se scaricate tramite Tor un file e quel file viene trovato sul vostro computer, siete comunque identificabili. Se andate su un forum usando Tor e usate lì il vostro account, che è associato alla vostra mail, siete comunque identificabili.

C'è anche un altro rischio poco conosciuto nell'uso di Tor: la rete Tor è piccola. I relay di uscita attivi, quelli che si collegano al sito che volete visitare, in qualunque dato momento sono circa un migliaio in tutto il mondo (trovate i dati presso Metrics.torproject.org). Questo vuol dire che un criminale (o un governo) che vuole sorvegliare il traffico su Tor non deve fare altro che attivare qualche centinaio di relay, sapendo oltretutto che chi usa Tor ha qualcosa da proteggere o da nascondere e quindi il traffico su Tor è particolarmente interessante. Non è teoria: è già successo, come raccontano Sophos e Intego.

Consigliamo la lettura di:

L'UE vara il Portafoglio per l'Identità Digitale

La VPN di Google conquista anche Windows e macOS

Microsoft lascia alla berlina i dati di 65.000 clienti

Grave falla in Tails Linux, gli sviluppatori sconsigliano l'uso

Se poi usiamo Tor per visitare una pagina in http anziché in https, questi relay di uscita ostili possono non solo leggere il traffico, ma possono anche alterarlo. Questo succede soprattutto nel mondo delle criptovalute.

Morale della storia: non pensate di poter semplicemente installare Tor per poi lanciarvi a commettere vandalismi o trollaggi credendo di essere invisibili e invincibili. Se non siete esperti, lascerete delle tracce che vi incastreranno. Se ci tenete a proteggere la vostra riservatezza, studiatelo a fondo e chiedete aiuto agli esperti.

Ma le VPN?

Per approfondire:

Windows si aggiorna, problemi con le VPN

UE, addio all'anonimato per i domini Internet

La VPN di Google arriva in Italia

Informativa privacy, l'italiano medio non si fida

C'è chi obietta che per navigare in anonimato basta usare una VPN, senza le complicazioni e i rallentamenti tipici di Tor. Non è così, e per una ragione molto semplice: se usate una VPN, chi gestisce la VPN vede tutto il vostro traffico. Avete semplicemente spostato il punto di (potenziale) raccolta dei dati: invece del vostro provider Internet, che forse conoscete, vi siete affidati a un gestore di VPN che sta chissà dove e si guadagna da vivere facendo chissà cosa. Scegliete bene il vostro fornitore di VPN e non affidatevi al primo che trovate in giro. Chiedetevi sempre qual è il suo tornaconto, specialmente se il servizio è offerto gratuitamente.

Non c'è nessun problema di selezione di fornitori, invece, se si usa una VPN semplicemente per eludere le restrizioni geografiche adottate da alcuni siti. Se volete vedere un trailer di un film che viene pubblicato in modo da limitarne la fruizione a uno specifico paese, potete usare una qualsiasi VPN che faccia sembrare che siete in quel paese. Molti siti di giornali statunitensi, per esempio, non sono accessibili dall'Europa perché dovrebbero implementare misure di compatibilità con il GDPR che per loro sono solo un costo ingiustificabile. Il Salt Lake Tribunal, per citarne uno, mostra agli europei questa schermata:

Ma la navigazione privata?

Anche questa è una domanda ricorrente: i browser hanno una funzione di navigazione in incognito o privata, e molti la usano pensando che li renda anonimi. Non è così.

La navigazione privata offerta dai browser è anonima per il dispositivo che usate, non per il resto di Internet. In altre parole, se la usate il computer o tablet o telefonino non conserva ricordo o traccia della navigazione fatta: nella cronologia di navigazione non rimane nulla. Ma i siti che visitate sanno da dove vi collegate (in particolare sanno il vostro indirizzo IP, che è tutto quello che serve per identificarvi). E se scaricate un file durante la navigazione privata, il file rimane sul dispositivo e vi può incastrare. 

Usate la navigazione privata soltanto se volete adoperare temporaneamente i vostri account sul dispositivo di qualcun altro e non volete lasciargli le vostre informazioni, se volete visitare un sito senza che si ricordi delle vostre preferenze, o se non volete lasciare traccia della navigazione sul vostro dispositivo. Ma ricordate che Internet vi vede anche se navigate "in incognito".