Twitter è ufficialmente bloccato in Russia dal 4 marzo scorso, secondo l’agenzia d’informazione russa Interfax, e lo stesso vale anche per Facebook. Questo rende difficile per chi si trova nel paese mantenere i contatti e ricevere informazioni attraverso queste piattaforme.

Ma Twitter ha attivato un accesso tramite Tor che permette di eludere questo blocco restando ragionevolmente anonimi. Questo accesso funziona anche per altri paesi che bloccano Twitter, come la Cina, l’Iran o la Corea del Nord. 

L’annuncio di quest’attivazione è stato fatto piuttosto in sordina, tramite un tweet di Alec Muffett, uno degli informatici che ha collaborato con Twitter per creare l’accesso protetto e anonimo. Twitter ha semplicemente aggiunto la rete Tor alla versione inglese dell’elenco dei browser supportati, con molta discrezione.

This is possibly the most important and long-awaited tweet that I've ever composed.

On behalf of @Twitter, I am delighted to announce their new @TorProject onion service, at:https://t.co/Un8u0AEXeE pic.twitter.com/AgEV4ZZt3k

— Alec Muffett (@AlecMuffett) March 8, 2022

Per accedere a Twitter in questo modo è necessario procurarsi per prima cosa l’applicazione Tor Browser, che è un programma di navigazione Web ad alta sicurezza e privacy: quello che molti conoscono perché si usa per accedere al cosiddetto dark web. Tor Browser si trova presso Torproject.org ed è disponibile gratuitamente per Windows, macOS, Linux e Android in numerose lingue (per iOS c’è Onion Browser). Chi non ha accesso a Internet può ricevere Tor su qualunque supporto digitale. 

Esiste anche una versione completamente autonoma di Tor, denominata Tails, che si tiene su una chiavetta USB e non richiede di installare nulla. Se si avvia il computer con la chiavetta inserita, si attiva Tails, che contiene Tor; se si avvia il computer senza chiavetta, parte il sistema operativo normale, ossia Windows, macOS o Linux che sia. Questo consente di evitare di lasciare sul proprio computer tracce visibili della presenza di questi software, che potrebbero essere considerati sospetti. Tails si trova gratuitamente presso tails.boum.org.

Una volta installato Tor o avviato Tails (che a sua volta avvia Tor), per accedere a Twitter scavalcando filtri e blocchi si immette questo link, che come tutti i link di questo genere è chilometrico:

https://twitter3e4tixl4xyajtrzo62zg5vztmjuricljdp2c5kshju4avyoid.onion/

Usare Tor o Tails permette di accedere anche a Facebook a questo link:

https://www.facebookwkhpilnemxj7asaniu7vnjjbiltxjqhye3mhbshg7kx5tfyd.onion/

oppure questo per dispositivi mobili:

https://m.facebookwkhpilnemxj7asaniu7vnjjbiltxjqhye3mhbshg7kx5tfyd.onion/

come annunciato a maggio 2021 da Facebook.

Alec Muffett ha pubblicato inoltre su Github un vasto elenco di stazioni radio accessibili tramite Tor, come la BBC, Deutsche Welle, Radio Free Europe/Radio Liberty in numerose lingue. L’elenco include anche link Tor ai motori di ricerca, a Protonmail e al cosiddetto secure drop di Bloomberg, Al Jazeera, Financial Times e di molte altre testate internazionali. Il secure drop è un sito al quale è possibile inviare documenti, video o immagini in maniera sicura e protetta.

La BBC offre inoltre trasmissioni in onde corte su 15.735 kHz e 5875 kHz, ricevibili in Ucraina e in buona parte della Russia anche senza connessione a Internet dalle 22 a mezzanotte (ora dell’Ucraina).

La BBC ha inoltre attivato una pagina apposita di informazioni su come accedere alle sue trasmissioni via Internet e su come ricevere in modo sicuro Tor e Onion Browser se non è possibile raggiungere l’App Store di Apple o al Play Store di Google per scaricare queste applicazioni. Sempre la BBC segnala e mette a disposizione anche un’altra app, Psiphon, che consente di eludere filtri e blocchi. E molti utenti russi stanno installando software di tipo VPN nel tentativo di restare connessi al resto del mondo e sapere cosa sta accadendo realmente.

Nessuno di questi sistemi per aggirare le censure è perfettamente sicuro e infallibile, e quindi vanno tutti adoperati con molta prudenza, però intercettarli o bloccarli richiede un impegno di risorse tecniche e umane che potrebbe rivelarsi insostenibile, soprattutto se vengono usati da tantissime persone.

Una volta tanto, insomma, il dark web si dimostra utile per scopi positivi, ben diversi da quelli per i quali è conosciuto normalmente.

Fonti aggiuntive: Engadget, The Guardian, Il Post.

 

È una domanda ricorrente quando faccio lezione di sicurezza e privacy nelle scuole: quanto è sicuro usare Tor per navigare in modo anonimo?

La risposta breve è “molto, se fai molta attenzione”. Il problema è proprio l’attenzione: anche se si usa Tor, basta un passo falso per non essere più anonimi. Chi sta pensando che basti installare Tor per fare tutto quello che vuole impunemente, per proteggere la propria sfera personale o eludere sorveglianze commerciali o governative, sbaglia.

Partiamo dalle basi. Tor è un browser, concepito inizialmente dalla Marina degli Stati Uniti, che ci serve per due cose fondamentali: nascondere dove ci troviamo, in modo che i siti visitati non sappiano da dove siamo collegati, e rendere difficile per qualcuno sorvegliare le nostre attività di navigazione nel corso del tempo.

Tor prende la nostra richiesta di visitare un sito, la cifra con della crittografia molto forte, e la passa a caso a un relay, ossia un computer che offre il servizio Tor. Qualunque computer può farlo. Questo relay passa la richiesta a un altro relay a caso, cifrando di nuovo i dati, e così via, fino alla destinazione, che quindi non ha modo di sapere chi siamo e da dove ci colleghiamo.

Ma attenzione: se fate acquisti online usando una carta di credito o altro strumento di pagamento che include la vostra identità, siete comunque identificabili. Se scaricate tramite Tor un file e quel file viene trovato sul vostro computer, siete comunque identificabili. Se andate su un forum usando Tor e usate lì il vostro account, che è associato alla vostra mail, siete comunque identificabili.

C’è anche un altro rischio poco conosciuto nell’uso di Tor: la rete Tor è piccola. I relay di uscita attivi, quelli che si collegano al sito che volete visitare, in qualunque dato momento sono circa un migliaio in tutto il mondo (trovate i dati presso Metrics.torproject.org). Questo vuol dire che un criminale (o un governo) che vuole sorvegliare il traffico su Tor non deve fare altro che attivare qualche centinaio di relay, sapendo oltretutto che chi usa Tor ha qualcosa da proteggere o da nascondere e quindi il traffico su Tor è particolarmente interessante. Non è teoria: è già successo, come raccontano Sophos e Intego.

Se poi usiamo Tor per visitare una pagina in http anziché in https, questi relay di uscita ostili possono non solo leggere il traffico, ma possono anche alterarlo. Questo succede soprattutto nel mondo delle criptovalute.

Morale della storia: non pensate di poter semplicemente installare Tor per poi lanciarvi a commettere vandalismi o trollaggi credendo di essere invisibili e invincibili. Se non siete esperti, lascerete delle tracce che vi incastreranno. Se ci tenete a proteggere la vostra riservatezza, studiatelo a fondo e chiedete aiuto agli esperti.

Ma le VPN?

C’è chi obietta che per navigare in anonimato basta usare una VPN, senza le complicazioni e i rallentamenti tipici di Tor. Non è così, e per una ragione molto semplice: se usate una VPN, chi gestisce la VPN vede tutto il vostro traffico. Avete semplicemente spostato il punto di (potenziale) raccolta dei dati: invece del vostro provider Internet, che forse conoscete, vi siete affidati a un gestore di VPN che sta chissà dove e si guadagna da vivere facendo chissà cosa. Scegliete bene il vostro fornitore di VPN e non affidatevi al primo che trovate in giro. Chiedetevi sempre qual è il suo tornaconto, specialmente se il servizio è offerto gratuitamente.

Non c’è nessun problema di selezione di fornitori, invece, se si usa una VPN semplicemente per eludere le restrizioni geografiche adottate da alcuni siti. Se volete vedere un trailer di un film che viene pubblicato in modo da limitarne la fruizione a uno specifico paese, potete usare una qualsiasi VPN che faccia sembrare che siete in quel paese. Molti siti di giornali statunitensi, per esempio, non sono accessibili dall’Europa perché dovrebbero implementare misure di compatibilità con il GDPR che per loro sono solo un costo ingiustificabile. Il Salt Lake Tribunal, per citarne uno, mostra agli europei questa schermata:

 

Ma la navigazione privata?

Anche questa è una domanda ricorrente: i browser hanno una funzione di navigazione in incognito o privata, e molti la usano pensando che li renda anonimi. Non è così.

La navigazione privata offerta dai browser è anonima per il dispositivo che usate, non per il resto di Internet. In altre parole, se la usate il computer o tablet o telefonino non conserva ricordo o traccia della navigazione fatta: nella cronologia di navigazione non rimane nulla. Ma i siti che visitate sanno da dove vi collegate (in particolare sanno il vostro indirizzo IP, che è tutto quello che serve per identificarvi). E se scaricate un file durante la navigazione privata, il file rimane sul dispositivo e vi può incastrare. 

Usate la navigazione privata soltanto se volete adoperare temporaneamente i vostri account sul dispositivo di qualcun altro e non volete lasciargli le vostre informazioni, se volete visitare un sito senza che si ricordi delle vostre preferenze, o se non volete lasciare traccia della navigazione sul vostro dispositivo. Ma ricordate che Internet vi vede anche se navigate “in incognito”.

C’è molto panico in Rete per l’annuncio che il Congresso statunitense ha deciso di smantellare le norme sulla riservatezza della navigazione online degli utenti: in sintesi, si dice, i fornitori di accesso a Internet (i provider) d’ora in poi saranno liberi di vendere ai pubblicitari la cronologia dei siti visitati dai propri abbonati, senza dover chiedere permessi a nessuno (men che meno agli abbonati stessi). È partita una corsa generale per procurarsi contromisure informatiche per tutelarsi da questa nuova profilazione potenzialmente imbarazzante e si parla molto di VPN e di Tor. Vale la pena di fare un po’ di chiarezza.

Prima di tutto, niente panico! Il provvedimento riguarda soltanto gli Stati Uniti e comunque le norme statunitensi ora smantellate in realtà non erano ancora entrate in vigore, per cui i provider americani erano già liberi di vedere quali siti vengono visitati da un utente e condividere la sua cronologia con i pubblicitari.

In secondo luogo, non è detto che usare una VPN migliori le cose. Una VPN (Virtual Private Network) è un’applicazione che fa passare tutto il vostro traffico Internet attraverso i computer di un’azienda fornitrice. La vostra navigazione sembra quindi provenire da quell’azienda e il vostro provider non può sapere che siti visitate, perché il collegamento dal vostro dispositivo all’azienda che offre la VPN è cifrato. Ma questo significa che tutta la vostra navigazione passa attraverso il fornitore della VPN, che a sua volta potrebbe venderla o leggerla per esempio per ricattarvi se visitate siti discutibili. Usare una VPN gratuita o fornita da sconosciuti, insomma, rischia di ridurre la vostra privacy di navigazione.

Se decidete di adottare una VPN per qualunque ragione, scegliete quindi fornitori di buona reputazione che non archiviano la cronologia di navigazione, come per esempio Freedome, TunnelBear o PIA. Potreste anche usare il browser Opera, che ha un’opzione per navigare con una VPN inclusa.

Tor, invece, è un browser che maschera piuttosto efficacemente l’origine delle vostre navigazioni, e ci sono anche prodotti come Invizbox che fanno passare automaticamente tutto il vostro traffico, su tutti i vostri dispositivi, attraverso Tor oppure una VPN, ma il servizio è spesso lento in maniera esasperante.

In realtà la nostra cronologia di navigazione è già piuttosto protetta per il semplice fatto che moltissimi siti oggi usano automaticamente il protocollo cifrato HTTPS al posto di HTTP: in parole povere, se usate HTTPS il vostro provider può sapere quale sito avete visitato, ma non può sapere quale pagina del sito avete consultato. Se fate una ricerca in Google con HTTPS, il vostro provider sa che avete consultato Google, ma non sa che cosa gli avete chiesto.


Fonti aggiuntive: Lifehacker, New York Times.

Se usate Firefox oppure Tor, il browser noto per le sue funzioni di anonimizzazione, vi conviene aggiornarli appena possibile: sono state infatti rilasciate delle nuove versioni che correggono una falla che consente di tracciare e identificare gli utenti. La cosa è piuttosto imbarazzante, specialmente per chi usa Tor con il preciso intento di non farsi tracciare e identificare.

La versione aggiornata e corretta di Tor è la 6.0.7; quella di Firefox è la 50.0.2.

In dettaglio, la falla consente a un aggressore (o a un sorvegliante) di ricevere l’indirizzo IP e il MAC address della vittima e funziona se la vittima usa Firefox o Tor non aggiornati su un computer dotato di Windows. Le versioni Mac OS e Linux di Firefox e Tor non sembrano avere la stessa vulnerabilità in forma sfruttabile, secondo i dati raccolti finora.

Un aspetto interessante di questa falla è che probabilmente è stata scoperta dall’FBI, che l’ha usata per alcuni anni per rintracciare gli utenti di alcuni siti altamente illegali, ma ora il software che consente di sfruttarla è stato reso pubblico ed è utilizzabile da qualunque malintenzionato, con possibilità di ricatto notevoli, visto che molti utenti adoperano Tor proprio per navigare in modo anonimo.

Se siete utenti Tor, fra l’altro, vale la pena di cogliere l’occasione per impostarlo a un livello di sicurezza più alto: lanciatelo, aggiornatelo, cliccate sull’icona della cipolla e scegliete le impostazioni di sicurezza, portando il loro livello almeno a medio-alto.


Fonti: Ars Technica, Mozilla.org, Torproject.org.