Come funziona l'onion routing senza tecnicismi
Immagina il routing a cipolla come un sistema postale in cui la busta stessa è costruita a strati e ogni strato si apre solo in uno specifico ufficio postale. Il mittente prepara un messaggio, poi lo avvolge in tre o più buste sigillate. Ogni busta contiene un’istruzione di consegna che solo un relay può leggere. Nessun relay vede mai contemporaneamente sia il mittente sia la destinazione finale.
L’analogia della busta a strati
Chi legge per la prima volta può immaginarlo così: scrivi una lettera, la metti in una cassetta chiusa a chiave, poi infili quella cassetta dentro un’altra cassetta chiusa a chiave e ripeti il procedimento. Ogni cassetta ha una chiave diversa e ogni chiave è in mano a un corriere diverso. Indirizzi solo la scatola più esterna al primo corriere. Quel corriere apre la scatola esterna, trova dentro una scatola più piccola chiusa a chiave e vede un indirizzo che gli dice dove spedirla. Non vede mai la tua lettera originale e non scopre mai che la scatola più interna arriverà infine a un determinato server di mercato.
- SigillaturaIl mittente cifra il messaggio più volte, partendo dallo strato più interno. Ogni strato di cifratura è indirizzato a un relay diverso.
- Primo relayIl primo relay rimuove solo il proprio strato di cifratura. Vede il mittente e il relay successivo, ma non la destinazione né il contenuto del messaggio.
- Relay intermediOgni relay elimina uno strato e inoltra il resto ancora cifrato. Un relay intermedio vede solo il salto precedente e quello successivo.
- Relay di uscitaIl relay finale rimuove l’ultimo strato protettivo e invia il messaggio originale a destinazione. Vede la destinazione ma non il mittente originale.
- RispostaIl percorso funziona al contrario per le risposte, con nuove istruzioni a strati create dal mittente originale.
La proprietà fondamentale è la separazione delle informazioni. Un relay sa chi ha inviato qualcosa; un altro relay sa che cosa è stato richiesto; un terzo sa dove è arrivato. Poiché nessun singolo relay possiede tutti e tre i dati, collegare un acquirente a una specifica visita al mercato richiede di violare ogni salto simultaneamente o di controllare gran parte del percorso.
In termini tecnici, la cifratura TLS opera tra l’utente e ciascun relay, mentre gli strati a cipolla forniscono una cifratura annidata all’interno di quel trasporto. Un relay non può leggere uno strato che appartiene al salto successivo. Non si tratta di nascondere che qualcuno usa la rete Tor; si tratta di rendere difficile ricostruire il percorso stesso.
La struttura a strati spiega perché si verificano ritardi: ogni pacchetto deve essere decifrato e inoltrato da più relay, ciascuno dei quali può trovarsi in un paese diverso.
Cosa nasconde davvero l'onion routing agli occhi esterni
Un presupposto comune dei principianti è che l’onion routing funzioni come una sorta di “mantello” che nasconde tutto. In pratica nasconde un insieme specifico e ristretto di fatti di instradamento — e lascia invariate altre tracce. Pensa a una busta sigillata: chiunque può vedere che una lettera è stata spedita e quando, ma non il nome sul foglio interno né l’intero percorso fatto attraverso il sistema postale.
Il fatto nascosto più importante è l’associazione con la destinazione. Il tuo provider internet vede che ti sei connesso alla rete Tor, ma non vede quale servizio nascosto hai poi aperto. Allo stesso modo, la destinazione vede una richiesta che arriva attraverso un circuito anonimo, non il tuo indirizzo IP locale, l’impronta del browser o il nome della rete domestica.
Nasconde
il fatto che due specifici capi della comunicazione siano collegati
Nasconde
il tuo indirizzo IP alla destinazione finale
Nasconde
il tuo schema di utilizzo del servizio al provider internet
Non nasconde
il fatto che stai usando Tor
Ciò che resta illeggibile per un osservatore della rete è la mappatura dei contenuti: la stessa persona può inviare più richieste, ma un osservatore non può provare che quelle richieste appartengano a un’unica sessione o a un unico account di mercato. Questo spezza la forma più semplice di correlazione — collegare la posizione fisica di un acquirente a un annuncio specifico del mercato.
Nella stessa infrastruttura del mercato, gli operatori vedono un visitatore anonimo, ma non la rete domestica, la città approssimativa ricavata dall’IP o il provider del visitatore. Per questo gli account venditore persistenti e i sistemi di reputazione diventano un sostituto dell’identità: il mercato può dire “questo account ha una storia”, ma non può dire “questo account è questa persona”.
L’onion routing nasconde il percorso della connessione, non il tuo comportamento dopo il caricamento della pagina. Se inserisci il tuo indirizzo di casa o un nome riutilizzato in un modulo del mercato, quei dati scritti non sono affatto protetti dall’instradamento.
Perché i gestori dei market scelgono l'onion routing per l'infrastruttura
La maggior parte dei siti comuni risiede su un server con un indirizzo pubblico: un IP che dice a qualunque osservatore esattamente quale macchina, in quale datacenter, sta servendo la pagina. Per chi gestisce un market, quell’indirizzo non è solo un dettaglio tecnico. È la prima cosa che gli investigatori chiedono al provider di hosting di consegnare, e diventa il luogo fisico in cui una squadra di sequestro può entrare e staccare la spina.
Prima e dopo: da vetrina visibile a ingresso nascosto
| Parametro | Server web pubblico | Hidden service onion |
|---|---|---|
| Posizione del server | Rintracciabile da DNS e IP | Non esposta tramite l’indirizzo onion ;; Percorso di rimozione | Il provider di hosting riceve una richiesta legale | Nessun host centrale da contattare ;; Sequestro fisico | La squadra individua la macchina in affitto | L’indirizzo della macchina resta ignoto ;; Catena identitaria | IP → dati di fatturazione → operatore | Rimossa dal percorso della richiesta |
Prima dell’onion routing, rimuovere un market significava trovare una macchina e un provider. Dopo l’onion routing, il “sito” diventa un identificatore di servizio senza una mappa automatica verso un hardware fisico. Gli investigatori possono ancora indagare, ma non possono iniziare leggendo l’etichetta con l’indirizzo pubblico dal pacchetto.
Perché questo cambia il rischio per l’operatore
Un hidden service offre all’operatore una distanza infrastrutturale. Il server può essere spostato da una macchina in affitto a un’altra senza che il market cambi il proprio indirizzo .onion. Il nome del market resta stabile; l’hardware sottostante no. Questa separazione rende molto meno efficace il vecchio modello di rimozione — sequestrare un rack, spegnere un dominio.
Nessun contatto con il provider
Le società di hosting non sono nel percorso e non ricevono semplici richieste legali legate al nome onion
Rilocabilità della macchina
Lo stesso indirizzo onion può puntare a un hardware fisico diverso dopo una ridistribuzione
Impronta pubblica ridotta
L’operatività quotidiana non richiede più di esporre l’IP di un datacenter
La stessa logica vale per mirror e infrastrutture chiave: se più macchine eseguono la stessa logica di hidden service, rimuoverne una non mette necessariamente a tacere il market. La ridondanza è strutturale. Il market è una coppia di chiavi e un insieme di indirizzi, non un singolo rack in una città.
Non leggere “infrastruttura nascosta” come “infrastruttura non rintracciabile.” Nasconde l’esposizione a livello di indirizzo e aumenta il costo della rimozione fisica, ma non rende l’operatore invisibile a ogni forma di indagine.
Gli operatori lasciano comunque tracce attraverso flussi di pagamento, stile di scrittura nei forum, errori software ed errori umani. L’onion routing elimina un importante percorso di scoperta; non li elimina mai tutti.
Da cosa non ti protegge l'onion routing
L’onion routing nasconde solo il percorso tra il tuo dispositivo e un server. Non trasforma un’azione incauta in un’azione sicura. Un URL di un market ricevuto tramite un messaggio non affidabile o un risultato di ricerca può puntare a un mirror di phishing identico nell’aspetto, ma che invia le credenziali di accesso a un aggressore. L’onion routing anonimizzerà con zelo la tua connessione verso la destinazione sbagliata.
Il malware è un altro confine. Se un dispositivo sta già eseguendo un keylogger, un registratore dello schermo o uno strumento di accesso remoto, la rete Tor non può impedire a quel software di vedere ciò che l’utente digita o clicca. Il livello di privacy si trova sotto il dispositivo, non al suo interno.
Il comportamento di pagamento lascia tracce al di fuori del livello di rete. Il percorso onion routing può essere perfetto, mentre il metodo usato per finanziare un wallet, l’exchange utilizzato o lo schema degli output in una transazione rivelano informazioni commercialmente utili. L’anonimato di rete e l’anonimato finanziario sono problemi separati.
Il tracciamento a livello di venditore segue una regola diversa. Un venditore che spedisce beni fisici ha bisogno di un indirizzo. Se l’imballaggio, la grafia, i dettagli di reso o le abitudini di ordine ripetute creano uno schema, quello schema esiste a prescindere da come l’ordine è arrivato alla pagina del market.
Tratta l’onion routing come un camuffamento stradale, non come un’armatura. Nasconde da dove proviene un’auto, ma non cosa c’è dentro l’auto, cosa digita il conducente a una sosta o cosa c’è scritto sul pacco lasciato alla porta.
- Mirror di phishing
- Una copia falsa di una pagina di accesso di un market progettata per rubare le credenziali ai visitatori che non riescono a distinguerla dall’indirizzo reale
- Keylogger
- Software che registra le sequenze di tasti su un dispositivo, indipendentemente dal percorso di rete scelto in seguito dall’utente
- Traccia di pagamento
- La sequenza visibile di movimenti del wallet e interazioni con gli exchange che rimane anche quando il percorso di navigazione è anonimizzato
Il guasto più comune non è un attacco al protocollo onion routing. È un utente che si collega alla pagina sbagliata da una fonte non verificata, oppure che utilizza un dispositivo già compromesso.
Usare correttamente quella privacy: consigli pratici per chi inizia
La privacy offerta dall’onion routing funziona solo quando il lettore la tratta come un livello di trasporto, non come uno scudo personale. La rete nasconde dove entra il traffico e dove esce, ma non può correggere gli errori commessi prima che la connessione inizi o dopo che sia terminata. Un’analogia utile è quella di un tunnel ferroviario sigillato: il tunnel nasconde il treno mentre è al suo interno, ma non chi ha comprato il biglietto, quale carico è stato caricato o dove cammina il passeggero dopo essere sceso alla stazione.
Dalla privacy di rete alla privacy comportamentale
L’ordine mentale corretto è: riconoscere prima l’indirizzo reale, poi connettersi, quindi agire come se ogni azione fuori dal percorso cifrato fosse visibile. Un indirizzo onion corretto è privo di significato se l’utente lo ottiene da una fonte non verificata, perché un indirizzo sostituito può condurre a un server che sembra identico ma registra tutto. Tratta l’indirizzo come si tratta una chiave fisica: copiarlo da un post casuale su un forum è come accettare una chiave da uno sconosciuto vicino alla porta.
- Indirizzo onion
- un nome host lungo e non memorizzabile che termina in
.onione identifica un servizio solo all’interno della rete di onion routing - Nodo di uscita
- il relay finale in cui il traffico lascia la rete cifrata per raggiungere un server ordinario; vede la destinazione ma non l’IP di origine se il circuito funziona come previsto
- Attacco di correlazione
- un tentativo di collegare tempi o volumi di traffico tra due punti, che l’onion routing riduce ma non elimina quando un osservatore può vedere entrambe le estremità
Una volta stabilita la connessione, ogni abitudine al di fuori della rete diventa più importante della cifratura stessa. Riutilizzare lo stesso nome utente, menzionare un fuso orario locale o inviare fondi da un indirizzo collegato a un exchange noto erode l’anonimato fornito dal livello di routing. Il routing protegge il tunnel, non la persona che si trova alle sue due estremità.
Cosa non dovrebbero dare per scontato i lettori alla prima esperienza
Il presupposto più pericoloso è che un lucchetto verde, un indirizzo di servizio nascosto o una connessione riuscita significhino che la controparte sia onesta. L’onion routing nasconde la posizione, non la reputazione e non l’intento. Un market può gestire un servizio onion valido e comunque rifiutarsi di svincolare l’escrow, registrare ogni interazione sul proprio server o sparire con i fondi.
Prima di compiere qualsiasi azione che crei una registrazione permanente, chiediti come apparirebbe la registrazione a un osservatore in grado di vedere sia l’ingresso nella rete sia la successiva conversazione al riguardo.
Non trattare l’assenza di un messaggio di errore come una prova di sicurezza: la rete può funzionare correttamente mentre l’utente sta parlando con la persona sbagliata.
La soglia pratica è quindi ristretta. Usa indirizzi verificati, tieni il percorso cifrato separato dalla navigazione ordinaria, evita di riutilizzare identificativi o tracce di pagamento e tratta ogni messaggio come se fosse destinato a sopravvivere alla sessione. Ciò che l’onion routing offre non è l’invisibilità, ma un insieme più ridotto di margini osservabili; il resto della superficie resta sotto il controllo dell’utente.
Domande frequenti
Il routing a cipolla rende un darknet market completamente anonimo per acquirenti e venditori?
No. Il routing a cipolla nasconde il percorso di rete e la connessione tra un utente e un sito, ma non rende una persona non identificabile se accede a un account personale, riutilizza un nome utente già noto o invia un pagamento attraverso un canale tracciabile. Protegge il livello di trasporto, non il contenuto né le abitudini operative dell’utente.
Che cosa può vedere esattamente un osservatore esterno quando qualcuno visita un market tramite routing a cipolla?
Un osservatore come un fornitore di accesso a Internet vede solo che l’utente è connesso alla rete Tor, non quale servizio onion sta visitando. Il gestore del market vede che è arrivato un visitatore, ma non il suo indirizzo IP reale. Tuttavia il gestore può comunque vedere qualsiasi informazione che il visitatore invia volontariamente, come un messaggio, i dettagli di un ordine o il nome di accesso.
Perché i gestori dei market gestiscono la loro infrastruttura come servizi onion invece che come normali siti web?
I servizi onion permettono ai gestori di accogliere visitatori senza esporre l’indirizzo IP reale del server né la posizione fisica dell’hosting. Questo riduce il rischio di una rapida chiusura, blocca molte forme di sorveglianza a livello di rete e mantiene il market raggiungibile anche se un dominio clearnet viene sequestrato o bloccato. Sposta l’esposizione dal livello di rete alla sicurezza operativa e alla configurazione del software.
Quali sono i più grandi errori di privacy che chi legge per la prima volta dovrebbe evitare quando usa il routing a cipolla?
Non riutilizzare nomi, indirizzi email o password della propria vita normale e non disattivare le impostazioni di Tor Browser né installare plugin aggiuntivi. Evitare di scaricare file inviati da sconosciuti e non aprirli mai al di fuori di un ambiente sicuro e isolato. Il routing a cipolla nasconde il punto da cui ci si collega, ma non può salvarti da malware, errori umani o dalla diffusione di dettagli identificativi in testo semplice.