Tor o VPN: quale ti serve davvero?

Tor e VPN: quale ti serve davvero

Tor e una VPN inviano entrambi il tuo traffico attraverso macchine che non ti appartengono, ma rispondono a esigenze diverse. Una VPN (virtual private network) trasferisce la fiducia dal tuo provider Internet a un'unica azienda, che può quindi vedere il tuo indirizzo reale e ogni destinazione che visiti. Tor distribuisce questa fiducia tra tre relay gestiti da persone diverse, in modo che nessun singolo relay conosca sia la tua identità sia la destinazione del traffico. Scegli in base al soggetto da cui vuoi nasconderti.

Se il soggetto è la rete a cui sei connesso, una VPN è lo strumento corretto. Se il soggetto è il sito web stesso, oppure chiunque possa obbligare un'azienda a fornire i propri dati, lo strumento corretto è Tor. Il resto di questa guida illustra in dettaglio queste due affermazioni.

Segui una richiesta in entrambe le architetture

Considera una richiesta ordinaria: il browser apre https://news.example.com. In entrambi i casi, TLS (transport layer security) protegge il contenuto della pagina, quindi nessun soggetto intermedio può leggere l’articolo. L’aspetto rilevante sono i metadati: chi conosce il tuo indirizzo IP, chi conosce la destinazione e chi può associare questi due dati. Uno strumento per la privacy separa queste informazioni. Una VPN trasferisce la coppia a un altro soggetto. Tor la suddivide.

Che cosa vede ogni soggetto quando usi una VPN

Il client crittografa ogni pacchetto e lo invia a un unico endpoint. Da quell’endpoint in poi, il traffico torna a essere normale.

• Il tuo ISP (internet service provider) vede pacchetti crittografati tra la tua linea e un unico indirizzo del server VPN. Vede volume e temporizzazione. Non vede il nome host di destinazione, purché anche le query DNS (domain name system) passino attraverso il tunnel.
• Il gestore della VPN vede il tuo indirizzo IP reale da un lato e ogni indirizzo di destinazione dall’altro, con orari e dimensioni. Entrambe le parti della comunicazione arrivano sulla stessa macchina.
• La destinazione vede l’indirizzo di uscita della VPN, oltre a tutti i dettagli identificativi inviati dal browser.

Una VPN, quindi, non garantisce l’anonimato. Sposta il soggetto che osserva il traffico: dal tuo ISP al provider VPN. Questo è un vantaggio concreto quando il problema è la rete locale o quando l’ISP filtra o rivende i dati che osserva. Non offre invece alcun vantaggio contro il sito che stai visitando, perché il tuo traffico arriva comunque come un unico flusso proveniente da un’azienda che sa esattamente chi sei e conserva i tuoi dati di pagamento.

La dichiarazione “no logs” è l’intero prodotto, ma è anche l’unico aspetto che non puoi verificare dal tuo lato. Puoi verificare che il tunnel sia attivo. Puoi verificare che non ci siano perdite DNS. Non puoi verificare che cosa il gestore scriva su disco. Questo è il compromesso che accetti: un’unica azienda, scelta da te, che conserva il quadro completo.

Controlla la perdita che annulla silenziosamente il tunnel:

resolvectl status
curl -s https://ifconfig.me; echo

L’indirizzo stampato da ifconfig.me dovrebbe essere quello di uscita della VPN. I server DNS elencati per il collegamento che trasporta la route predefinita dovrebbero essere il resolver del tunnel. Se mostrano ancora il router locale all’indirizzo 192.168.1.1, le risoluzioni dei nomi stanno uscendo in chiaro dal collegamento locale, perché la route verso quel router è direttamente connessa e più specifica della route predefinita del tunnel. Il tuo traffico è privato, ma l’elenco dei siti visitati non lo è. Query DNS che escono da un tunnel WireGuard illustra la procedura per risolvere il problema.

Cosa vede ciascuna parte quando usi Tor

Tor crea un circuito composto da tre relay scelti da un elenco firmato, il consensus, pubblicato da un numero limitato di directory authority. Il client incapsula i dati in livelli, uno per ogni relay. Ogni relay rimuove un livello, conosce soltanto il prossimo hop e inoltra il resto. Grazie a questi livelli, nessuno dei nodi del percorso possiede entrambe le informazioni.

• Il tuo ISP vede traffico cifrato verso un relay guard. Gli indirizzi dei relay sono pubblici, quindi l'ISP può capire che usi Tor. Non può sapere cosa raggiungi.
• Il relay guard vede il tuo indirizzo IP reale. Non può vedere la destinazione, perché la parte del messaggio che identifica il sito è ancora cifrata per i relay successivi.
• Il relay intermedio vede un guard da un lato e un exit dall'altro. Non vede né te né la destinazione. Serve a impedire che il guard e l'exit comunichino direttamente.
• Il relay exit vede la destinazione e il traffico quando lascia la rete. Vede l'indirizzo del relay intermedio, non il tuo. Con HTTPS conosce il nome host e i metadati della connessione, ma non il contenuto della pagina.
• La destinazione vede l'indirizzo del relay exit, presente negli elenchi pubblici degli exit, oltre a tutto ciò che il browser trasmette.

Per collegare te al sito servono il guard e l'exit nello stesso momento. Questo è il principio in una frase. Per questo il client mantiene lo stesso guard per mesi invece di sceglierne uno nuovo a ogni avvio: cambiare continuamente il nodo di ingresso darebbe a un relay ostile più occasioni per diventare il tuo guard.

I circuiti non sono permanenti. Le nuove connessioni passano a un circuito nuovo all'incirca ogni dieci minuti, mentre uno stream già aperto resta sul circuito con cui è stato avviato. Un download lungo e una scheda aperta quindici minuti dopo di solito escono da relay exit diversi.

Installalo e verifica il percorso:

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Il log dovrebbe raggiungere Bootstrapped 100% (done): Done. curl dovrebbe stampare {"IsTor":true,"IP":"..."} con un indirizzo che non riconosci: è il tuo exit corrente. Se IsTor è false, la richiesta non è passata attraverso il proxy. Il pacchetto Tor di Ubuntu può essere meno recente della release corrente; Tor Project pubblica un proprio repository apt se devi seguire gli aggiornamenti upstream.

In questo comando c'è un'insidia. --socks5 fa risolvere a curl il nome host localmente e poi invia l'indirizzo risultante attraverso il proxy, quindi il resolver normalmente utilizzato apprende ogni nome che visiti. --socks5-hostname invia il nome a Tor e lascia che sia l'exit a risolverlo. Lo stesso tunnel produce quindi una perdita di dati completamente diversa. Tor Browser e torsocks gestiscono correttamente questo aspetto. Gli strumenti configurati manualmente spesso non lo fanno.

Tor trasporta soltanto stream TCP. Non può trasportare UDP, quindi ping 1.1.1.1 non passa attraverso Tor e un protocollo VPN basato su UDP non può essere eseguito al suo interno. Qualsiasi programma che ignora l'impostazione del proxy usa semplicemente il percorso normale con l'indirizzo normale, senza alcun avviso. Per questo Tor a livello di sistema viene configurato tramite un proxy trasparente su un host separato, non tramite una variabile d'ambiente.

Dove finisce realmente la fiducia

Una VPN concentra la fiducia. Una sola azienda detiene la tua identità, i dati di fatturazione e il tuo intero profilo di traffico. La tua protezione dipende dal suo impegno a non conservare i log. Finché questo impegno viene rispettato, il modello è semplice, veloce e facile da valutare. Se viene meno a causa di un'ingiunzione, di una violazione o di una menzogna, il modello fallisce completamente e per tutto il traffico nello stesso momento.

Tor distribuisce la fiducia. Tre soggetti che per lo più non si conoscono conservano ciascuno un frammento di informazione, e un singolo frammento ha un valore limitato. Il modello non richiede che tutti siano onesti. Richiede che siano sufficientemente indipendenti. Il prezzo da pagare è una velocità inferiore, il supporto esclusivo a TCP e una rete in cui alcuni relay sono certamente gestiti da persone che vorrebbero monitorare la tua attività. La risposta di Tor a un relay ostile è che un solo relay non è mai sufficiente.

Quando una VPN è lo strumento giusto

• Non ti fidi della rete locale: hotel, aeroporto, sala conferenze o router del proprietario dell'alloggio. Il gestore vede un tunnel cifrato e nient'altro.
• Vuoi raggiungere i tuoi dispositivi oppure uscire da un indirizzo fisso che controlli tu.
• Ti servono velocità e UDP: videochiamate, giochi, trasferimenti di grandi dimensioni e backup.
• Vuoi un indirizzo stabile che i siti non sottopongano a verifiche aggiuntive. I nodi di uscita Tor sono bloccati o sottoposti a CAPTCHA su gran parte del Web.

Questo elenco descrive i casi in cui conviene gestire una VPN su un VPS invece di acquistare un abbonamento; inoltre, un server WireGuard configurato autonomamente fornisce un tunnel la cui politica di logging è definita da un file di configurazione sotto il tuo controllo. Se vuoi lo stesso tunnel con la gestione delle chiavi tra dispositivi, la differenza tra WireGuard puro e Tailscale è il confronto da leggere. Ognuna di queste soluzioni svolge bene il compito descritto in questo elenco. Nessuna svolge il compito descritto nel prossimo elenco.

Quando Tor è lo strumento adatto

• Il tuo modello di minaccia include il sito di destinazione o chiunque possa richiedere i dati a una singola azienda.
• Stai leggendo o pubblicando contenuti che potrebbero danneggiarti se fossero ricondotti alla tua linea.
• Vuoi un onion service: il traffico non esce mai dalla rete, non viene coinvolto alcun exit relay e l'indirizzo del server rimane nascosto.
• Puoi accettare pagine lente, CAPTCHA e il verificarsi occasionale di 403 Forbidden.

Usa Tor Browser, non il browser che utilizzi ogni giorno configurato per puntare alla porta 9050. Il browser costituisce metà della protezione e la sezione successiva spiega il motivo.

Perché un VPS noleggiato è peggiore di una VPN commerciale per l’anonimato

Questo è il caso che spesso viene interpretato al contrario. Un VPS noleggiato è un contratto intestato a te. L’indirizzo email usato per la registrazione, la carta, le fatture e i ticket di supporto sono tutti archiviati nel database dello stesso provider, insieme a quell’indirizzo IP. Non serve violare alcun sistema per collegare l’indirizzo a te. Il collegamento è già registrato, conservato per la normale contabilità e disponibile a chiunque possa rivolgere al provider una richiesta legalmente vincolante.

Il secondo problema è la condivisione dell’indirizzo. L’indirizzo di uscita di una VPN commerciale è condiviso contemporaneamente da molti clienti, quindi da solo non identifica una persona. L’indirizzo del tuo VPS è usato soltanto da te. Ogni richiesta che parte da quell’indirizzo proviene da te, oggi e il mese prossimo, e l’indirizzo non cambia. Una destinazione può quindi costruire un profilo delle tue attività nell’arco di mesi, senza usare alcun cookie.

Questo non significa che una VPN self-hosted sia una soluzione scadente. È molto efficace per cifrare il traffico su una rete che non controlli e per raggiungere i tuoi servizi da qualsiasi posizione. Semplicemente, non è uno strumento per l’anonimato; usarla in questo modo è l’errore. Per una descrizione chiara di ciò che il provider può e non può vedere direttamente sulla macchina, leggi quanto è realmente sicuro l’hosting VPS.

Cosa non risolvono né Tor né una VPN

• Fingerprinting del browser. User agent, dimensioni dello schermo, fuso orario, font installati, lingua e rendering del canvas producono insieme un valore spesso univoco, che consente di riconoscerti attraverso ogni indirizzo IP che utilizzi. Tor Browser contrasta questo problema facendo apparire i propri utenti identici tra loro e ridimensionando la finestra secondo incrementi fissi. Il tuo browser normale, se usato dietro un proxy SOCKS, mantiene il proprio fingerprint e i propri cookie.
• Accesso agli account. Non appena accedi a un account che conosce il tuo nome, il livello di rete non è più rilevante. Un accesso da casa e un accesso tramite Tor allo stesso account collegano le due sessioni.
• Tutto ciò che l'endpoint registra comunque: ciò che digiti, ciò che acquisti e ciò che cerchi.
• Correlazione end-to-end. Chi monitora contemporaneamente la tua linea e l'exit node può confrontare la temporizzazione e il volume dei pacchetti, quindi associare le due estremità. Tor dichiara esplicitamente di non proteggere da un avversario in grado di osservare entrambi i lati.

È possibile usare Tor e una VPN insieme?

Tor su VPN significa che la VPN si connette per prima e Tor opera al suo interno. Il provider Internet vede quindi soltanto la VPN, mentre il relay guard vede l'indirizzo della VPN invece del tuo. Tuttavia, hai anteposto a un sistema progettato proprio per evitare questa correlazione un'azienda che conserva il tuo nome e i dati della tua carta. Questa configurazione è utile in una sola situazione: quando usare Tor sulla tua connessione è rischioso e non hai alternative migliori.

La VPN su Tor, in cui il traffico esce dalla rete Tor e accede quindi a un account VPN, è più difficile da configurare e generalmente offre risultati peggiori. A quell'account è associato il tuo storico dei pagamenti, quindi hai collegato un'identità stabile a un traffico che fino a un momento prima era anonimo.

Se l'obiettivo è soltanto nascondere l'uso di Tor al provider Internet, la soluzione supportata è un bridge: un punto di ingresso che non compare nel consenso pubblico, combinato con un pluggable transport come obfs4 o Snowflake, che rende il traffico difficile da classificare. Tor Browser include entrambi e non è necessario affidare il tuo nome a una terza azienda.

FAQ

Tor è solo una VPN gratuita?

No. Una VPN instrada il traffico attraverso un unico server gestito da un'unica azienda, che vede il tuo indirizzo reale e ogni destinazione. In questo modo sostituisce il tuo ISP con un provider scelto da te. Tor lo instrada attraverso tre relay gestiti da persone diverse: il guard vede te ma non il sito, mentre l'exit vede il sito ma non te. Tor supporta inoltre solo TCP, è sensibilmente più lento e viene bloccato o sottoposto a verifiche da molti siti web. Non è quindi un sostituto diretto di una VPN per l'uso quotidiano.

Il mio ISP può sapere che uso Tor?

Per impostazione predefinita, sì. Gli indirizzi dei relay sono pubblicati nel consenso pubblico, quindi il provider può vedere che ti connetti a un guard relay noto. Non può vedere quali siti raggiungi. Per nascondere l'utilizzo di Tor, Tor Browser offre bridge con un transport pluggable come obfs4 o Snowflake. Questi si connettono tramite un punto di ingresso che non compare nell'elenco pubblico. Anche una VPN davanti a Tor nasconde Tor al tuo ISP, ma comunica lo stesso fatto all'operatore della VPN.

Eseguire una VPN sul mio VPS rende anonimo il mio traffico?

No. Il server è noleggiato a tuo nome e pagato con la tua carta. I registri di fatturazione del provider collegano quindi già quell'indirizzo a te, e una richiesta al provider è sufficiente per consultarli. Inoltre l'indirizzo è utilizzato solo da te. Tutto ciò che lo lascia appartiene quindi a una sola persona e resta collegabile a te finché mantieni il server. Una VPN self-hosted è uno strumento efficace per la privacy contro la rete locale, ma uno strumento debole per l'anonimato contro chi può chiedere informazioni al provider.

Perché i siti web mi bloccano o mostrano CAPTCHA quando uso Tor?

Perché gli indirizzi dei relay exit sono pubblici e condivisi da moltissime persone. Gli abusi commessi da uno qualsiasi di questi utenti vengono quindi associati all'indirizzo che stai utilizzando temporaneamente. Le content delivery network attribuiscono a questi indirizzi una reputazione negativa e rispondono con una verifica, un 403 Forbidden oppure un modulo di registrazione che rifiuta l'invio. Non puoi risolvere il problema dal tuo lato. Un nuovo circuito ti assegna un exit diverso, che talvolta ha una reputazione migliore.

Se uso una VPN, le mie query DNS possono comunque fuoriuscire dal tunnel?

Sì, ed è un problema comune. Con un full tunnel e senza un resolver configurato per l'interfaccia del tunnel, il client continua a utilizzare il resolver appreso dalla rete locale. La route verso quel resolver è on-link e quindi ha la precedenza sulla route predefinita del tunnel. Le query escono quindi in chiaro, mentre tutto il resto è cifrato. Esegui resolvectl status e verifica che il server DNS indicato per il link che trasporta la route predefinita sia il resolver del tunnel e non il router locale.