Vortexmind: free your mind Tu ne cede malis sed contra audentior ito

TOR Network – Anonimato in rete

Avrete certamente sentito tutti parlare di tecniche di analisi del traffico. Tramite queste tecniche, chiunque può spiare la vostra attività in internet. Questo può avvenire (in linea teorica) ogni volta che non adottate particolari precauzioni, quali ad esempio HTTP over SSL (per capirci, quando vi connettete a server con il metodo https://), oppure ad esempio se create una rete sicura (come una Virtual Private Network). Non utilizzando mezzi crittografati, è possibile che determinate persone ascoltino parte del vostro traffico dati, oppure che si mettano in mezzo spacciandosi per chi non sono intercettando tutto quello che inviate.

Il problema principale è che queste tecnologie non sono quasi mai di immediata fruizione, specie per chi non ha le necessarie competenze per comprendere l'importanza e la criticità di questa problematica.

Inoltre, anche crittografando i dati, le informazioni di indirizzamento applicate ad ogni pacchetto-dati in rete (come per le cartoline: potreste scrivere un messaggio in codice che solo il vostro amico capirebbe, ma l'indirizzo lo dovete scrivere giusto!) rimangono in chiaro, e questo perchè altrimenti la rete non potrebbe funzionare, per sua struttura intrinseca. Dall'analisi di queste intestazioni di indirizzo si possono comunque ricavare moltissimi dati sulle vostre abitudini.

Utilizzando comunicazioni cifrate di certo non siete mai garantiti al 100%, perchè è sempre possibile forzare la cifratura. Certo però il livello di protezione aumenta in maniera evidente: un ladro avrebbe buon gioco a svaligiare una casa lasciata con le porte e le finestre aperte, mentre sicuramente avrebbe qualche difficoltà in più a entrare in una casa protetta da allarmi, telecamere, sensori e cani appositamente addestrati per staccare le palle agli intrusi.

Dopo questa fantastica metafora, passiamo a spiegare che cos'è TOR. Userò il loro incipit, che è molto chiaro:

Tor è uno strumento per migliorare la sicurezza e la protezione su Internet delle persone e delle aziende. Tor rende anonimi la navigazione e la pubblicazione su internet, l'instant messaging, IRC, SSH e altro ancora. Inoltre, Tor offre una piattaforma su cui gli sviluppatori di software possono costruire nuove applicazioni che ne sfruttino le caratteristiche di anonimato, protezione e sicurezza.

Come Funziona?

Senza entrare nei tecnicismi (una dettagliata panoramica la trovate qui), si sfrutta il concetto di Onion Routing: invece di inviare informazioni nel modo canonico (ovvero in chiaro tra i vari nodi fino a destinazione), i vostri dati vengono passati su un circuito virtuale crittografato gestito dai server TOR. Questo circuito non è mai fisso, ma viene variato periodicamente ed è composto da un gran numero di nodi. In questo modo un eventuale "analista" avrebbe grandissima difficoltà a ricostruire da dove e dove sono diretti i pacchetti (che per di più sono crittografati). Il routing tra i nodi della rete è next-hop based: nella pratica questo significa che i server ricevono pacchetti da un nodo e li passano al prossimo nodo nel percorso, senza sapere mai qual'è il percorso complessivo di quel pacchetto dati.

In questo modo nessuno vi può spiare, nemmeno se un server della rete TOR venisse compromesso e iniziasse ad effettuare operazioni "malvagie" (ad esempio, far finta di essere un normale nodo della rete TOR per poi ascoltare tutto il traffico passante). Ogni minuto infatti i circuiti virtuali vengono distrutti e ricostruiti in modo diverso dal precedente.

Bisogna puntualizzare: TOR da solo NON risolve tutte le problematiche di privacy e autenticazione. La rete TOR di per sè fornisce connessioni anonime in uscita e fornitura di hidden-services (ad esempio, un web-server anonimo).

Riporto quanto è scritto nella pagina di documentazione

Tor non può risolvere tutti i problemi di anonimato. Si focalizza solo sulla protezione del trasporto dei dati. E' necessario utilizzare software di supporto specificamente scritto per il protocollo utilizzato se non si vuole che il sito che si visita possa identificare il visitatore. Per esempio, si puo usare un proxy web come Privoxy mentre si naviga in internet per bloccare i cookie e le informazioni sul browser utilizzato.

Inoltre, per proteggere il proprio anonimato, è bene fare attenzione. Non fornire il proprio nome o altre informazioni nei moduli compilati sul web. Esser consapevoli del fatto che, come tutte le reti anonimizzatrici abbastanza veloci da permettere la navigazione web, Tor non fornisce protezione contro gli attacchi end-to-end: se l'attaccante può osservare il traffico in partenza dal proprio computer, e può anche osservare il traffico in arrivo alla destinazione, può utilizzare delle analisi statistiche per scoprire che i due capi fanno parte dello stesso circuito.

L'osservazione sull'attacco end-to-end, in parole povere significa che se il vostro PC è compromesso (perchè avete un trojan, oppure uno spyware, o qualsiasi altro malware) qualsiasi cosa farete, TOR o non TOR, sarete compromessi.

Come installare il tutto

Se siete utenti Windows: andate alla pagina di download, e scaricate il bundle Tor & Privoxy & Vidalia. Le istruzioni di installazione sono semplicissime e le trovate qui. Se usate Firefox, dopo aver installato questo software, vi consiglio anche l'estensione FoxTor.
Se siete utenti di altri sistemi operativi, saprete sicuramente come cavarvela da soli

Avvertenze

La rete TOR è gestita da volontari, che forniscono gentilmente la propria banda per realizzare il servizio. Usare la rete per fini illegali (ad esempio fare spamming, scaricare files, rompere le balle al prossimo) danneggerebbe l'intero servizio (e probabilmente attirerebbe su di voi le ire di qualche smanettone pronto a distruggere il vostro PC in pochi secondi). Scambiare files di grosse dimensioni tramite la rete TOR è contro la netiquette. Usate queste tecnologie con giudizio! Inoltre, se volete, potete contribuire al funzionamento della rete diventando un nodo della rete, oppure con donazioni monetarie (tutte le informazioni qui)