l’analisi

La privacy, Tor e il dark web: sfatiamo qualche mito

Tor è metaforicamente come un’arma, che può essere usata bene (per difesa) o male (per delinquere). Esistono tuttavia buone ragioni per contribuire a Tor con un relay: vediamo quali

Pubblicato il 13 giu 2023

Fabrizio D'Amore

Dipartimento Ingegneria Informatica, automatica e gestionale Antonio Ruberti, Sapienza Università di Roma

Il Tor-browser, è un browser prodotto e distribuito dal “Progetto Tor”, costruito sullo scheletro di Firefox,^[1] usandone una versione recente, anche se non l’ultima. Molti parlano di Tor usando accenti negativi, a causa del fatto che consente l’accesso incognito al “dark web,” sia in consultazione che in pubblicazione. Qui, svilupperemo una superficiale analisi delle sue caratteristiche, abbastanza informativa per capire come e perché Tor possa essere utile, opponendoci a chi nelle organizzazioni tenta di bloccarne l’uso.

Tor, come ti smaschero gli utenti: perché è sempre più difficile restare anonimi in rete

Tor è metaforicamente come un’arma, che può essere usata bene (forze dell’ordine, difesa ecc.) o può essere usata male (delinquenza); quest’ultimo aspetto non induce a pensare di cessare la produzione delle armi, piuttosto a consegnarle a chi ne ha bisogno a fin di bene.

Indice degli argomenti

L’illusione dei servizi web “gratuiti”

Moltissima gente conosce il significato del termine browser,^[2] strumento usato per accedere ai siti web, oggi stimati^[3] essere un miliardo e mezzo, sebbene solo 200 milioni siano considerati attivi. Consultare siti web per i più svariati motivi fa oggi parte della vita quotidiana. Alcuni siti forniscono servizi dietro un pagamento, altri in modo apparentemente completamente gratuito. Diciamo “apparentemente” perché in molti casi l’utente di un sito gratuito paga in realtà un prezzo legato al valore di alcune informazioni personali: non è un mistero che molti siti che propongono pubblicità pagherebbero oro per conoscere età, sesso, interessi ecc. dei visitatori, in modo da proporre loro pubblicità maggiormente coerenti con i loro affari correnti. Detto così non sembrerebbe così terribile, ma ci domandiamo come la penserebbe chi fosse reso edotto di conseguenze ed implicazioni:

I dati personali sono memorizzati su una piattaforma ignota e, sebbene siano di norma consultati da sistemi automatici, non c’è garanzia che persone estranee non ne facciano un uso illecito.^[4]
Per il semplice fatto di aver raccolto informazioni su un viaggio a Parigi, siamo nei mesi successivi condannati a subire pubblicità di viaggi a Parigi.
I siti che forniscono e-mail gratuita (si pensi al mastodontico gmail.com) la detengono in chiaro (se non ci siamo preoccupati noi di cifrarla^[5]) e la consultano continuamente per alimentare la scelta degli annunci pubblicitari che ci riguardano; quindi, le preoccupazioni di cui al punto a. si estendono anche alla posta elettronica.
Un numero enorme di app carpiscono dati personali, alimentando basi di dati che servono ad altri scopi, come ad esempio la creazione di deepfake.^[6] A tal proposito si consideri che già nel 2018, recatici in Corea del Sud per un congresso, abbiamo assistito alle narrazioni di innumerevoli studenti cinesi che spiegavano come il loro governo sovvenzionasse i progetti di ricerca mirati alla raccolta (e comprensione) dei dati e al miglioramento delle GAN.^[7] Sono molte oggi le app sotto accusa, benché non ci siano prove oggettive.
Gli avvisi relativi alla privacy, quando esistono, sono raramente sintetici e chiari.
I dati personali raccolti da alcuni attori, spesso in modo malevolo, sono in vendita nei mercati neri accessibili nel dark web. Servono ad alcuni criminali per perpetrare truffe online, in cui veniamo coinvolti nostro malgrado.
Si effettua commercio dei nostri dati personali, con guadagni da cui siamo esclusi, benché consentiti dai nostri dati. Profilazione e tracciamento^[8] tendono ad essere globalizzati, senza necessariamente un commercio esplicito.
Il rivelare informazioni sul navigante potrebbe compromettere (a cause di interferenze) le operazioni di OSINT^[9] sul web, ad esempio per la business intelligence.^[10]

A ciò si sommi il fatto che molto di sovente la raccolta dati avviene silentemente, senza che la vittima se ne accorga.^[11] Teniamo presente anche che il browser più usato al mondo (Chrome) è prodotto e distribuito dal più grande gigante del tracciamento (Google, la cui casa madre Alphabet ha ottenuto ricavi per quasi 70 miliardi di dollari nel primo trimestre del 2023^[12]) che tenta ovviamente di trarne vantaggio (perché Chrome è gratuito^[13]?). Quasi tutti i browser (pochissime eccezioni, spesso sconosciute) consentono di effettuare tracciamento e profilazione, attraverso metodi che per l’utente qualsiasi sono inimmaginabili.^[14] Fra le più felici eccezioni annoveriamo Brave^[15] e Firefox Focus.^[16] Benché questi strumenti possano essere configurati vengono distribuiti con opzioni di default che già assicurano un’ottima protezione.

Il Tor-browser offre una protezione aggiuntiva, non altrimenti ottenibile in maniera elementare: celare informazioni su chi si sta connettendo e dov’è. Per ottenere un simile effetto si dovrebbe usare una VPN,^[17] a patto che il fornitore di servizio non riveli informazioni.

La rete Tor

Questa rete è una overlay network^[18] (rete sovrapposta), ovvero una rete logica costruita sfruttando un’altra rete (Internet). Essa si basa su una serie di nodi, chiamati relay, che hanno deciso autonomamente di partecipare alla rete Tor (The Onion Router). Attualmente esistono poco più di 10000 relay e, come vedremo, quanto più diviene alto il numero di relay, tanto più migliora l’efficienza e l’anonimato della rete Tor. L’elenco dei relay è pubblico, cosa che consente a molte organizzazioni di bloccare il collegamento a tali relay. Per fortuna esistono relay segreti, chiamati bridge. Il Tor-browser, alla richiesta di visitare un link qualsiasi, sceglie dall’elenco dei relay pubblici tre casuali: chiamiamoli R1, R2 ed R3. Sia A l’utente, che intende visitare B usando il Tor-browser. La rete sovrapposta è realizzata costruendo la connessione fra A e B attraverso i relay: A si connette a R1, che si connette a R2, che a sua volta si connette a R3. Alla fine, R3 si connette a B; quindi, B “vede” una visita proveniente da R3. R1, R2 e R3 possono essere in qualsiasi parte del mondo; in particolare il primo dei tre prende il nome di guard, il secondo middle ed il terzo exit.

Come avviene la connessione

L’intera sequenza prende il nome di circuito. A conti fatti, al momento della connessione, A genera casualmente un circuito (segreto) per connettersi a B. Da notare che, seppur la comunicazione passa attraverso 5 interlocutori (A, R1, R2, R3, B), ciascuno di essi conosce solo i due suoi adiacenti (precedente e successivo, quando esistono), per cui diviene impossibile ricostruire l’intero circuito: R1 conosce A ma non conosce B, R2 conosce R1 e R3, ma non conosce né A né B, R3 conosce R2 e B, ma non conosce A. In altre parole, l’unico che conosce la volontà di comunicazione tra A e B è A; B, in particolare, conosce solo R3: si rende conto che la comunicazione proviene dalla rete Tor (che è pubblica) ma non sa chi ne è stato l’origine. Il nome “onion router,” cioè “instradatore a cipolla,” è dovuto al fatto che i livelli multipli di cifratura richiamano il concetto di cipolla, racchiusa all’interno di vari strati.

In Figura 1 si vede che il Tor-browser si è connesso a un nodo guard in Finlandia, che si è connesso a un middle in Germania, che si è a sua volta connesso a un exit in Svezia. Dalla Svezia è avvenuta la connessione alla pagina desiderata. L’intero circuito è noto solo al browser del navigante. In particolare, nei log^[19] del sito, appare l’informazione che la pagina è stata consultata dalla Svezia. È possibile capire che si tratta della rete Tor effettuando un controllo sull’IP^[20] del relay svedese, che appartiene a una lista di IP pubblici.^[21] Da notare la presenza del tasto azzurro che permette la generazione di un nuovo circuito per lo stesso sito (senza cambiare guard, per motivi di sicurezza^[22]).

La cifratura telescopica

La conoscenza “compartimentalizzata” del circuito è ottenuta mediante la cifratura telescopica, come illustrato in Figura 2. Nella figura si vede che quanto è inviato in rete è soggetto a livelli multipli di cifratura. Due livelli di cifratura significa che il messaggio è cifrato una volta e il risultato, nonostante sia cifrato, è di nuovo cifrato. Similmente per tre livelli di cifratura. Ne segue che quanto transita attraverso la rete Tor è cifrato anche nel caso di protocollo http; la circostanza che sia http o https incide solo sul tratto fra R3 e B.

Le operazioni, che consistono nell’invio di messaggi http(s) da A a B, vedono A cifrare il messaggio http(s) concatenato con l’indirizzo IP di B con una chiave K3 scambiata^[23] fra A ed R3; chiamiamo il risultato C3. Quindi A cifra C3 concatenato con l’indirizzo IP di R3 con una chiave K2 scambiata fra A ed R2; chiamiamo il risultato C2. Infine, A cifra C2 e l’indirizzo IP di R2 con una chiave K1 che A scambia con R1; chiamiamo il risultato C1. Si capisce che R1, decifrando con K1, scoprirà solo l’indirizzo IP di R2, da contattare mandandogli C2 ed R2 potrà decifrare con K2 scoprendo C3 e l’indirizzo IP di R3. Infine, R3 potrà decifrare con K3 scoprendo il contenuto da inviare a B e il suo indirizzo IP. Le risposte http(s) inviate da B ad A vengono vestite in modo analogo.

Perché molte organizzazioni bloccano le connessioni al relay

Come detto, i relay sono pubblici e quindi noti a tutti. Questo spiega il fatto che molte organizzazioni seguono la policy di bloccare le connessioni degli utenti ai relay, pensando di impedire loro la creazione di un circuito e l’operatività; allo stesso modo, i siti destinazione possono seguire la policy di non accettare connessioni attraverso Tor. Banca d’Italia ne è un esempio. Si può esaminare la Figura 3.

Figura 3. Il tentativo di collegamento al sito della Banca d’Italia. Con Tor (a sinistra) e con browser classico (a destra).

Contro il primo problema si può agire, contro il secondo no. Per ovviare al blocco della connessione alla rete Tor si può far uso dei già menzionati bridge. Ad esempio, essi sono necessari per connettersi a Tor dalla rete wi-fi di Sapienza (che dunque blocca le connessioni ai relay pubblici). Spesso queste policy sono decise da persone che non hanno conoscenza adeguata del dominio applicativo (che unisce aspetti tecnici ad altri etici e morali).

Molte organizzazioni bloccano anche il sito del progetto Tor, per impedire che il Tor-browser venga scaricato. È facile aggirare il blocco, perché l’installatore è replicato innumerevoli volte e si può scaricare da altre pagine, spesse dette “mirror”: provate a cercare su un motore di ricerca “tor mirror”; su Google si ottengono oltre 26 milioni di risultati. È spesso comodo installare il Tor-broweser su una penna USB, per praticità e non necessità delle credenziali di amministrazione.^[24]

L’elenco di problemi visto nella sezione precedente è risolto dall’uso del Tor-browser, che probabilmente fu creato inizialmente per altri motivi, ma poi è divenuto presidio per l’anonimato.

Oggi usano il Tor-browser persone che preferiscono agire in anonimato, o si trovano sotto censura, (ad es., l’accesso a reti sociali o servizi è impedito nel paese di residenza). Piuttosto interessante è la scelta dell’exit relay, che può essere guidata. Infatti, è noto che in alcuni paesi l’accesso è consentito solo se proviene dallo stesso paese, bloccato altrimenti. Per forzare la scelta dell’exit point si può agire su un file che normalmente viene trascurato ma che fornisce indicazioni sulla modalità di funzionamento di Tor: si tratta del file torrc, situato, a seconda del sistema in uso. Per forzare un exit point situato per esempio di uno dei tre paesi Ucraina, Uganda e Irlanda basta aggiungervi la linea

ExitNodes {ua},{ug},{ie} StrictNodes 1

facendo uso, dunque, dei loro codici a due simboli.^[25] Sono disponibili altri modi per forzare l’exit point,^[26] ma vanno usati con cautela, perché potrebbero compromettere l’anonimato.

Tor e il dark web

Come è noto, il web oggi può essere suddiviso fra surface web, deep web e dark web. Il primo è il web pubblico, che può essere indicizzato dai motori di ricerca come Bing o Google. Il secondo non è accessibile ai motori di ricerca, perché richiede autenticazioni o per altri motivi ed è stimato essere composto da oltre 200000 siti ed è dalle 400 alle 500 volte più esteso del surface web; si stima che il surface web ospiti un miliardo di documenti, mentre il deep web ne ospiti 550 miliardi.^[27] Il dark web è una parte del deep web, e come tale non è indicizzato dai motori di ricerca tradizionali, ed è basato sul fatto che si possono pubblicare pagine web prevedendo un meccanismo di anonimizzazione simile a quello usato dal Tor-browser. Il risultato è che tali siti web avranno una URL complicata e terminante con .onion e non saranno visitabili da un browser tradizionale, ma dovrà essere usato il Tor-browser o uno con esso compatibile. Tecnicamente le cose sono un po’ più complicate ma non è utile addentrarsi. Lo è, piuttosto, vedere come è fatto il circuito per raggiungere Torch, un celebre sito sul dark web che svolge le funzioni di motore di ricerca dedicato al dark web.

In Figura 5 è mostrata la pagina, raggiungibile alla URL http://torchdeedp3i2jigzjdmfpn5ttjhthh5wbmda2rr3jvqjg5p77c54dqd.onion/ e consultabile con il Tor-browser, ma non con un browser tradizionale.

Nel dark web è possibile trovare di tutto, sia contenuti legali che illegali (che sono il motivo dell’ostilità verso Tor). Fra questi citiamo mercati neri per l’acquisto di armi, droga, hacker, killer, medicinali, immagini pedopornografiche, tratta umana e degli organi e molto di più. Si trovano forum, sistemi di chat/mail anonimi, aree di scambio di criptovalute. Molte reti sociali offrono l’accesso nel dark web a causa del loro blocco in alcuni paesi. Ne è esempio notevole Facebook, visibile in Figura 6. Si noti che nella maggioranza dei casi i siti dark web non hanno bisogno del protocollo https, perché le tratte di rete attraversate sono sempre protette con cifratura autenticata.^[28] L’interesse, tuttavia, di un utente finale nel dark web, nei paesi con libertà di espressione è probabilmente più limitato. Sicuramente è utile usare il Tor-browser per contrasto al tracking. Abbiamo recentemente scritto un pezzo su un’analisi OSINT sulla Jihad islamica, che si estende al dark web: esempio di uso per la web OSINT. Le forze dell’ordine ricorreranno a Tor per il contrasto al cybercrime, al terrorismo e all’uso duale.^[29]

Figura 6 . Sito onion di Facebook

Esistono diverse alternative al Tor-browser, realizzate o nell’ambito di browser tradizionali (Brave, ad esempio, che consente di aprire pagine private con i protocolli Tor) o come prodotti a sé stanti. Nel mondo Android, oltre a varie app che forniscono il servizio di connessione attraverso Tor, il progetto Tor direttamente fornisce un app.^[30] Per iOS, segnaliamo l’app Onion Browser.^[31]

Conclusioni

L’uso di Tor potenzia fortemente l’anonimato. Alcuni ne sostengono la non-privatezza perché l’IP dell’utente è esposto al guard relay. Per ovviare a ciò si usa Tor in combinazione con una VPN; ciò, tuttavia, richiede sempre all’utente un’operazione di trust: verso il server VPN o verso il guard relay. Un’analisi lucida ma un po’ più tecnica è in top10vpn.com/guides/is-tor-safe/, dove le conclusioni non sembrano troppo favorevoli all’uso dello strumento; il messaggio è: se si commettono azioni illegali le forze dell’ordine, o i servizi segreti, possono esibire vari successi nella deanonimizzazione, per cui non ne si incoraggia l’uso. Tuttavia, per il semplice contrasto al tracking rappresenta un ottimo strumento perché la deanonimizzazione è estremamente onerosa, lunga e incerta e richiede l’impiego di molte risorse, per cui non ci si aspetta che un’azienda possa e voglia intraprenderla.

Esistono viceversa buone ragioni per contribuire a Tor con un relay: quanto più saranno i relay, tanto più alta sarà la qualità del risultato. Il Tor-browser, dunque, non per l’accesso al dark web, ove non vediamo un particolare interesse degli utenti, a meno di casi specifici, ma per l’uso del web tradizionale, per un miglior anonimato, contro la censura e a favore della libertà di espressione.