Accedere tramite Tor dice al sito chi sei, non dove

L’indirizzo di uscita cambia, il nome dell’account no, e il sito costruisce da anni un profilo di quell’account. Accedere tramite Tor rimuove un segnale, la tua posizione di rete abituale, e lascia intatto il resto del quadro. Vale ancora qualcosa, e non è anonimato nei confronti del servizio con cui ti sei appena autenticato. La distinzione è facile da enunciare e facile da dimenticare sotto pressione.

Che cosa rivela l’accesso stesso

Un accesso riuscito è una dichiarazione deliberata che questa sessione appartiene a quell’account. Dal lato del servizio, tutto ciò che segue è attribuibile all’account, comprese le pagine visitate, i messaggi inviati e le ore del giorno in cui l’account compare.

Tor cambia ciò che la destinazione può osservare del tuo percorso di rete: invece del tuo indirizzo vede un relè di uscita. Non cambia ciò che hai detto al sito autenticandoti, e non rende due accessi dallo stesso account privi di relazione.

I collegamenti all’interno dell’account funzionano allo stesso modo. Un indirizzo di recupero, un numero di telefono, un metodo di pagamento salvato o un soprannome riutilizzato altrove si legano tutti all’identità con cui hai effettuato l’accesso, qualunque percorso abbiano fatto i pacchetti.

Un nuovo circuito non è un nuovo account

Il browser Tor offre due azioni diverse che le persone trattano come una sola. Un nuovo circuito per il sito cambia il percorso dei relè usato per quella destinazione e lascia intatto lo stato privato del browser. Nuova identità è più ampia: cancella lo stato del browser, chiude l’attività e ricomincia da zero, il che è un’operazione diversa con conseguenze diverse.

Nessuna delle due azioni chiede all’altra parte di dimenticare qualcosa. I cookie già emessi, un token di sessione detenuto dal sito o un’impronta del dispositivo raccolta all’accesso descrivono ancora lo stesso visitatore dopo il cambio di percorso.

Quindi un indirizzo di uscita nuovo non viene letto come una persona nuova da un servizio che conosce l’account. Viene letto come lo stesso account che arriva da altrove, ed è esattamente il modello che i sistemi antifrode sono costruiti per notare. Quel modello non è un difetto del sito. È il sito che fa il lavoro che gli hai chiesto accedendo, e le uniche sorprese vengono dall’aspettarsi il contrario.

Che cosa vede ancora l’uscita

Il relè di uscita trasporta il tuo traffico in chiaro a meno che la destinazione usi HTTPS, ed è per questo che i controlli dei certificati del browser su questo percorso contano di più, non di meno. Un’uscita malevola è un avversario realistico per il traffico non cifrato, e una pagina di accesso è il posto peggiore per incontrarla.

HTTPS protegge il contenuto dall’uscita e non fa nulla per l’account con cui hai scelto di autenticarti. Le due protezioni coprono osservatori diversi e nessuna sostituisce l’altra.

Aspettati i controlli dell’account

I servizi rispondono di routine a un’uscita Tor con una verifica aggiuntiva: un captcha, una conferma via e-mail o una sospensione temporanea. È una reazione normale a un intervallo di origini condiviso e già abusato, non la prova che la sessione sia stata compromessa.

La risposta utile è completare una volta la verifica supportata. Cambiare circuito ripetutamente finché un avviso non scompare non ti insegna nulla sull’account e può sembrare peggio dell’avviso originale. Spreca anche l’unica cosa che stavi proteggendo.

Se una verifica non può essere completata, è un’informazione sulla politica del servizio, e la decisione da prendere è se vale la pena raggiungere l’account senza il tunnel. Entrambe le opzioni sono legittime; fingere che l’ostacolo sia un difetto non lo è.

Decidi quale obiettivo hai davvero

Ci sono due obiettivi che le persone confondono: proteggere il percorso verso un’identità nota e impedire che attività separate vengano unite. Tor serve bene il primo. Il secondo richiede di non accedere affatto, o di accedere solo con un’identità creata per quello scopo e mai mescolata alla prima.

Dai un nome all’obiettivo prima di scegliere lo strumento. Se l’account deve essere usato, la descrizione onesta della configurazione è un percorso privato verso un account noto, e l’affermazione sulla privacy dovrebbe limitarsi a ciò che questo protegge davvero.