1Cosa prova davvero un indirizzo onion prima ancora che la pagina si carichi?
Un indirizzo onion dimostra esattamente una cosa prima che arrivi anche un solo byte del contenuto della pagina: il servizio con cui stai per parlare possiede la chiave privata corrispondente a quell'indirizzo. Un hostname onion v3 non è una stringa casuale ma una chiave pubblica ed25519 troncata: l'indirizzo stesso è un impegno crittografico. In pratica significa che il client Tor può verificare l'handshake con il server senza affidarsi ad alcuna autorità di certificazione, record DNS o directory attendibile che rivendichi la proprietà del nome. La prova avviene a livello di connessione, non a livello di contenuto; dice «questa è la macchina che ha generato questo indirizzo» e deliberatamente non dice nulla sul fatto che la macchina sia onesta, aggiornata o persino quella che l'utente intendeva raggiungere. Comportarsi come se l'indirizzo confermasse più di questo è l'equivoco più comune nella sicurezza operativa onion.
1L'utente digita l'URL onionil client Tor lo interpreta come chiave pubblica, non come nome da risolvere
2Il client costruisce un circuito a 3 hopsi connette al servizio tramite un punto di rendezvous derivato dall'indirizzo
3Il servizio dimostra il possessofirma l'handshake con la chiave privata corrispondente alla chiave pubblica dell'indirizzo
4Vengono stabilite chiavi di sessione simmetrichesolo dopo che la prova ha avuto successo
5Il contenuto della pagina inizia a fluirecrittografato all'interno di un canale che l'indirizzo stesso ha autenticato
Il meccanismo alla base di tutto ciò è il passaggio dai cosiddetti indirizzi v2 «significativi per gli esseri umani» agli indirizzi v3. Un onion v2 usava RSA e un descrittore di servizio nascosto che un'autorità di directory poteva in linea di principio manomettere in certi punti; un onion v3 usa chiavi ed25519 e un design più semplice e auto-autenticante. L'indirizzo codifica direttamente la chiave pubblica: i primi 56 caratteri della chiave codificata in base32 diventano l'hostname, e la chiave completa viene usata nel protocollo di introduzione. Poiché il client conosce già la parte pubblica prima di connettersi, può pretendere la prova che l'altra estremità conosca la parte privata. Quella prova è integrata nell'handshake di tipo Noise che Tor usa per i servizi onion, quindi un server sbagliato o che finge di essere qualcun altro non può completare il saluto. Un attaccante che controlla soltanto il percorso di rete — un nodo di uscita, un guard compromesso, un ISP ostile — vede solo traffico crittografato e non possiede alcuna chiave che gli permetterebbe di impersonare la destinazione.
Un'analogia utile: l'indirizzo onion funziona come l'impronta digitale di una chiave PGP scritta su un biglietto da visita. Mostrarti il biglietto di persona non dimostra che la persona sia competente o amichevole; ti permette solo di verificare, quando in seguito ricevi un messaggio firmato, che il messaggio proviene da chi ha generato quell'impronta. Allo stesso modo, un indirizzo onion in stile Torzon consente al client di vincolare la sessione a una specifica coppia di chiavi, ma non può rivelare se l'operatore ha copiato la chiave su un secondo server, ha lasciato un backup su un portatile compromesso o ha semplicemente deciso di gestire una truffa con una chiave che in precedenza si era comportata bene.
ed25519
un veloce schema di firma a curva ellittica usato per generare coppie di chiavi per servizi onion v3
indirizzo onion v3
una stringa base32 di 56 caratteri che codifica una chiave pubblica e funge da identificatore di servizio auto-autenticante
handshake
lo scambio iniziale in cui un server dimostra il possesso di una chiave privata prima che venga concordata una chiave di sessione
livello di contenuto
tutto ciò che viene consegnato dopo che la connessione crittografata è stata stabilita; l'indirizzo non dimostra nulla su questo livello
Importante
Non trattare una connessione riuscita a un indirizzo onion noto come prova che la pagina che volevi sia quella che si carica. L'indirizzo autentica il socket, non l'operatore e non il contenuto.
2Perché gli utenti trattano un URL onion come prova di identità quando Tor non l'ha mai promesso?
Gli utenti di Tor trattano un URL .onion come prova d'identità perché importano nel sistema il modello mentale del clearnet, quello del "nome di dominio come àncora del marchio", mentre Tor lega gli indirizzi a chiavi crittografiche, non a entità legali, gestori o reputazioni stabili. In un browser normale, example.com ha significato perché DNS, autorità di certificazione e registrar creano insieme una catena che dice questo nome appartiene a una specifica parte del mondo reale. Su Tor, l'indirizzo stesso deriva da una chiave pubblica, quindi prova solo che chi serve la pagina controlla quella chiave privata — nulla su chi sia, dove sia o se si tratti dello stesso gruppo che controllava la chiave la settimana scorsa.
Presupposto
URL nel clearnet
Indirizzo onion
;; A cosa si lega l'identificatore
a un nome di dominio registrato e a una catena di certificati TLS
a una chiave pubblica crittografica derivata dalla chiave d'identità del servizio
;; Chi garantisce il legame
registrar, gestori DNS, autorità di certificazione e il sistema legale che li sostiene
solo il servizio stesso, firmando con la chiave privata corrispondente
;; Cosa significa "stesso indirizzo" nel tempo
lo stesso intestatario legale controlla ancora il nome, a meno che non sia avvenuto un trasferimento
la stessa chiave privata è ancora in uso, oppure qualcun altro ne è entrato in possesso
;; Una terza parte può revocare o riassegnare l'identificatore
sì, tramite azioni del registrar o del DNS
no, a meno che la chiave stessa non venga compromessa o abbandonata
;; Cosa verifica davvero l'utente prima di fidarsi della pagina
che il certificato TLS corrisponda al dominio e che il dominio si risolva come previsto
che l'indirizzo corrisponda alla stringa base32 attesa e che la pagina si carichi attraverso il circuito Tor
Il presupposto errato entra in gioco nel momento del riconoscimento. Gli utenti salvano un indirizzo onion, lo rivedono più tardi e trattano la ripetizione come prova che dietro ci sia lo stesso gestore. Questo ragionamento funziona nel clearnet perché un dominio è una risorsa scarsa e regolata per legge: se fornitore-fidato.example si carica, l'utente può ragionevolmente presumere che sia coinvolto lo stesso intestatario, o almeno che un'acquisizione abbia lasciato una traccia pubblica documentata. Su Tor, una stringa di indirizzo identica significa solo che la stessa chiave d'identità è attiva. Se la chiave di un mercato è stata copiata, diffusa, venduta o sequestrata, l'indirizzo è ora legato a chiunque possieda quella chiave — e la stringa dell'indirizzo non apparirà visivamente diversa.
Strato più esterno — aspettativa dell'utente — "Ho digitato la stessa stringa, quindi sto parlando con lo stesso servizio con cui ho parlato prima."
Strato intermedio — legame reale di Tor — la stringa è una codifica deterministica di una chiave pubblica, e la connessione viene autenticata rispetto a quella chiave durante l'handshake del servizio nascosto.
Strato più interno — realtà non verificata — la chiave privata potrebbe aver cambiato proprietario, essere stata clonata da un gruppo di phishing o essere stata riutilizzata da servizi concorrenti, e l'indirizzo non dà alcun segnale su tutto questo.
Un secondo presupposto errato deriva dal modo in cui gli utenti condividono gli indirizzi. Quando qualcuno incolla un URL onion in un post su un forum o in una nota salvata, sta distribuendo il riferimento a una chiave pubblica. Nel clearnet, condividere un URL comporta pochi rischi perché il sistema dei domini offre più controlli indipendenti: l'utente può esaminare il certificato, consultare il WHOIS o cercare la pagina ufficiale. Con i servizi onion, la stringa condivisa è spesso l'unico identificatore disponibile. Non c'è un registrar da interrogare, nessun registro di trasparenza dei certificati da consultare e nessuna tutela legale se l'indirizzo dovesse puntare a un impostore. L'indirizzo diventa, in pratica, l'intera identità del servizio — anche se il protocollo stesso non è mai stato progettato per trattarlo come un nome stabile.
La conseguenza pratica: gli utenti dovrebbero trattare un URL onion come un team di sicurezza tratta una chiave host SSH grezza — un punto di partenza necessario per l'autenticazione, non un'identità completa. La stringa prova che l'endpoint possiede una determinata chiave. Non dice nulla sul fatto che quella chiave appartenga all'operazione prevista, che il gestore sia affidabile o che il servizio non sia stato silenziosamente sostituito da quando l'utente ha salvato il collegamento.
Consiglio
Quando ti accorgi di pensare "riconosco questo indirizzo, quindi è sicuro", ripercorri la logica al contrario: l'indirizzo prova solo il possesso della chiave; il riconoscimento è una proprietà della tua memoria, non della continuità del servizio onion.
3Come i servizi in stile Torzon usano riferimenti firmati invece di URL statici per estendere la prova?
Un riferimento firmato estende la fiducia perché non dipende da un singolo URL statico che un aggressore può sostituire in un elenco di directory copiato. Il servizio pubblica invece una breve attestazione, spesso un blocco di testo contenente l’indirizzo onion attuale, una finestra di validità e una firma prodotta con una chiave distribuita attraverso un canale separato. La firma si verifica in locale; non devi fidarti della pagina in cui hai trovato il riferimento.
La logica è di causa ed effetto su tre livelli. Primo, l’indirizzo onion ti offre già un endpoint di canale cifrato, ma non dice nulla su chi controlla quell’endpoint in questo momento. Secondo, un riferimento firmato lega quell’endpoint a una chiave che persiste attraverso le rotazioni degli indirizzi. Terzo, poiché la verifica avviene sul tuo computer, il luogo in cui leggi il riferimento può essere ostile o compromesso senza avvelenare automaticamente il risultato.
Come funziona in pratica un’attestazione in stile canary
1Ottieni la chiave pubblica a lungo termine del servizio da una fonte vecchia e indipendentequesta è l’ancora
2Trova un riferimento firmato attuale, spesso vicino a una voce di directory o in un file di note separatoquesta è l’affermazione
3Verifica la firma contro la chiave di ancoraggioquesto è il controllo
4Confronta l’indirizzo onion dentro il testo firmato con l’indirizzo che stai per aprirequesta è la corrispondenza
5Apri l’indirizzo solo se tutti i nodi precedenti sono riuscitiquesta è l’azione
Il blocco firmato contiene di solito almeno tre campi: l’indirizzo onion, un timestamp di scadenza e una riga avviso opzionale che può dire qualcosa come “nessun sequestro, nessun cambio di personale”. Se la firma verifica ma l’indirizzo è diverso da quello che intendevi visitare, qualcosa non va. La prova non è assoluta; dimostra solo che chiunque controllasse la chiave a lungo termine ha anche avallato quell’indirizzo al momento della firma.
Passo 1Salva la chiave di verifica del servizio quando la confermi per la prima volta attraverso un canale di cui hai motivo di fidarti separatamente dalle directory onion.
Passo 2Ogni volta che una directory o un elenco ti dà un nuovo indirizzo, cerca un riferimento firmato allegato a esso o pubblicato nelle vicinanze.
Passo 3Esegui il controllo della firma con uno strumento locale o uno script prima di inserire qualsiasi credenziale o caricare la pagina in un profilo del browser legato alla tua identità.
Passo 4Controlla il campo di scadenza. Un riferimento che dichiara di essere valido per mesi ma è stato firmato molto tempo fa va considerato obsoleto o volutamente fuorviante.
Caratteristica
Solo URL onion statico
Riferimento firmato
Cosa dimostra
che stai indirizzando un descrittore valido di servizio nascosto Tor
che una chiave a lungo termine nota ha avallato questo indirizzo entro una finestra dichiarata ;; Cosa lo rompe
Consiglio
Se conservi un solo indirizzo onion statico per servizio, sei a un segnalibro obsoleto di distanza da un clone. Tieni la chiave di verifica separata dall’elenco degli indirizzi.
Importante
Un riferimento firmato dentro lo stesso documento dell’indirizzo di cui garantisce è debole. Conserva la chiave di ancoraggio su un supporto diverso: un gestore di password, un file di note fuori dal profilo del browser o un pezzo di carta in un luogo sicuro.
Lo scopo di estendere la prova attraverso riferimenti firmati non è rendere l’indirizzo “più anonimo”. L’anonimato viene dal percorso della rete Tor, non dall’URL. Il riferimento firmato rende l’indirizzo più difficile da sostituire, proteggendoti dall’attacco basato sull’indirizzo più comune: essere reindirizzato silenziosamente verso un servizio sosia che cattura la tua passphrase e si comporta come quello vero per qualche ora. Se non puoi verificare la firma, tratta l’indirizzo come non verificato, anche se la pagina si carica perfettamente e mostra un logo familiare.
4Dove si rompe la prova dell'indirizzo e cosa dovrebbe controllare davvero un utente attento?
Anche la configurazione più pulita della prova d’indirizzo crolla quando la stessa chiave ed25519 firma un secondo servizio, quando gli utenti salvano un mirror e lo trattano come una sede permanente, o quando l’endpoint stesso è già ostile. Ciò che un utente dovrebbe davvero verificare è meno “è questo l’indirizzo giusto” e più “l’indirizzo ha _cambiato ciò che dimostra_ da quando ho smesso di fidarmi?”.
Importante
Il riutilizzo della chiave è il fallimento più silenzioso: se il gestore riutilizza la chiave onion per un’istanza di prova o per un clone, una pagina di phishing firmata con quella stessa chiave supererà un controllo superficiale dell’indirizzo. Una chiave riutilizzata non significa che l’endpoint sia benigno — significa che chi detiene la chiave l’ha anche distribuita in un posto che non puoi controllare.
La stanchezza da rotazione crea il secondo cedimento. Quando un servizio cambia spesso i riferimenti firmati, gli utenti smettono di confrontare il nuovo riferimento con altro che non sia l’ultimo che hanno visto. Quella catena può essere avvelenata presto e poi propagarsi in modo pulito per settimane. L’utente ha la sensazione di seguire una catena firmata; in pratica sta solo confermando che lo stesso aggressore ha pubblicato gli ultimi due link.
Cosa può e cosa non può fare una verifica attenta
Prima del primo uso, fissa l’indirizzo .onion che hai visto in almeno due riferimenti firmati indipendenti, non due mirror della stessa pagina.
Controlla se il servizio pubblica un’impronta della chiave separata dall’indirizzo; un indirizzo onion da solo non è un’impronta.
Tratta qualsiasi “nuovo mirror ufficiale” pubblicato solo dentro la vecchia pagina come non verificato finché non è firmato da una chiave esistente che hai già.
1L’utente salva un mirroril file locale diventa l’unica fonte di verità
2L’aggressore avvelena quel mirror in silenzioil contenuto cambia mentre l’URL resta identico
3L’utente confronta il riferimento “nuovo” con la pagina avvelenatail controllo convalida la continuità dell’aggressore
4L’utente si fida del clone a lungo terminela prova d’indirizzo è diventata prova di cattura
L’avvelenamento del mirror funziona proprio perché gli utenti confondono “stesso indirizzo” con “stesso gestore”. Se l’endpoint è compromesso — tramite un server sequestrato, un insider o un host malevolo — l’indirizzo onion continua a dimostrare crittograficamente che il sito è lo stesso sito che hai visitato prima. Non può dimostrare che il sito sia ancora controllato dalla persona di cui ti fidavi in origine. L’indirizzo dimostra la continuità della chiave, non la continuità dell’intento.
Importante
Nessuna prova d’indirizzo — riferimento firmato, firma PGP, onion fissato o altro — sopravvive a un endpoint compromesso. Se il server è ostile, la pagina può mentire sulla propria firma, mostrare un finto rituale di verifica e continuare a servire la sua vecchia chiave. L’unica domanda che resta è se noti il cambiamento di comportamento.
In pratica, un utente attento dovrebbe controllare la stabilità del rituale di verifica stesso: il servizio insiste sullo stesso metodo di firma nello stesso punto del flusso, oppure quel rituale è diventato improvvisamente più semplice? Quando un mercato sotto pressione semplifica il proprio passaggio di prova, quel cambiamento è spesso il primo segno visibile dall’esterno che l’endpoint non appartiene più al suo gestore originale.
Domande frequenti
In che modo un indirizzo onion può fungere da prova senza rivelare chi gestisce il servizio?
Un indirizzo onion deriva dalla chiave pubblica del servizio, quindi la connessione stessa verifica che hai raggiunto il detentore della chiave che ha generato quell’indirizzo. Questo fornisce una prova crittografica dell’endpoint, non una prova dell’identità reale o dell’onestà di chi lo gestisce.
Perché le persone considerano un URL onion noto una prova più solida rispetto al link di un normale sito web?
Perché l’indirizzo lega il servizio a una chiave crittografica, rendendo l’impersonificazione molto più difficile rispetto alla copia di un dominio del surface web. Tuttavia, un link onion memorizzato o ampiamente condiviso può comunque essere sostituito da una copia dannosa se gli utenti non controllano attentamente l’indirizzo completo.
In che modo i riferimenti firmati estendono la prova oltre la semplice condivisione dello stesso URL?
Un servizio può firmare un messaggio che fa riferimento a un nuovo indirizzo o a un mirror e gli utenti possono verificare quella firma rispetto alla chiave pubblica dell’onion originale. Questo permette alla prova di sopravvivere alla rotazione degli indirizzi, ma funziona solo se l’utente ha ottenuto la chiave originale da una fonte affidabile.
Cosa dovrebbe controllare un utente attento quando un indirizzo onion sembra sospetto?
Confrontare l’intera stringa onion carattere per carattere con una fonte nota e affidabile e prestare attenzione a cambiamenti nella chiave di firma del servizio o a reindirizzamenti inattesi. Un utente malintenzionato può ospitare un servizio simile con una chiave diversa, quindi l’indirizzo stesso prova la chiave, non la reputazione che vi sta dietro.