La magia del nome Avalon evoca la visione di una terra perduta; un meleto incantato; un territorio della Dea, essenza trasformatrice del mondo. Ne è via d’accesso la città di Glastonbury, i cui confini ospitano molteplici tradizioni religiose. Storicamente fu il luogo d’origine del cristianesimo in Inghilterra, grazie all’edificazione dell’abbazia benedettina di Glastonbury, fondata nell’VIII secolo. Nell’era moderna però è diventata centro di nuove spiritualità, che si nutrono sia di antiche mitologie sia del pensiero ecologico ed eco-femminista. Glastonbury è una terra sacra, dove le varie esperienze culturali e spirituali hanno proliferato, imparando a convivere. Nel suo libro Avalon. La via segreta al sogno arturiano (Tre Editori, 1996), la scrittrice e mistica Dion Fortune scrisse:

Quale che possa essere la spiegazione, l’esperienza dimostra che nei luoghi sacri esiste un potere che rinvigorisce la vita interiore e infonde all’anima nuovo entusiasmo e nuova ispirazione. Laddove forti emozioni spirituali sono state vissute per lunghi periodi da generazioni successive di uomini o donne devoti, soprattutto se fra costoro vi sono stati coloro che possono essere considerati santi, l’atmosfera del luogo s’impregna di forze superiori, e le anime sensibili, capaci di rispondere, rimangono profondamente commosse allorché vi si recano.

Glastonbury può apparire come un’isola in un mare di nebbia, le cui costruzioni si radunano attorno alla collina rotonda del tor, un mistero paesaggistico che risale all’epoca neolitica. Il suo nome arcaico, Ynis Witrin, significa Isola di Vetro, poiché sorge su una landa per lungo tempo soggetta a inondazioni. Nella città riflessa sotto il velo acquoreo, il nostro piano di realtà si immergeva, perdendosi in un altro universo. Viaggiando indietro nel tempo potremmo approdare sulle sponde del mare interno che novemila anni fa, dopo l’innalzamento del livello delle acque oceaniche, inondò quest’area.

Nel centro cittadino incontriamo la più antica biblioteca europea esoterica; il tempio della Dea, situato nello stesso cortile della biblioteca; uno dei primi pub d’Inghilterra, il George Pilgrim Inn, locanda per i pellegrini dell’epoca Tudor; e le rovine dell’abbazia benedettina, dove, al principio del XII secolo, i monaci rinvennero i presunti resti mortali di re Artù e la regina Ginevra.

Nei terreni dell’abbazia e nel cortile della chiesa di St. John si trovano poi due biancospini speciali, che a loro volta derivano dal Biancospino Sacro o di Glastonbury, che ha la particolarità di fiorire due volte durante l’anno, in inverno e in primavera, e che secondo la leggenda nacque sulla Wearyall Hill, una collina nel sud-ovest della città, dal bastone di Giuseppe di Arimatea, colui che si occupò delle spoglie di Gesù e che fu il primo portatore del Graal, la coppa che figura sia nell’ultima cena sia dopo la crocifissione, quale recipiente dove fu raccolto il sangue di Cristo.  Il biancospino fu abbattuto alla stregua di un simbolo superstizioso nel XVII secolo, durante la guerra civile, e, piantato nuovamente nel secolo scorso, fu vandalizzato nel 2010. Nella leggenda del Graal la tradizione cristiana rielabora credenze preesistenti, connesse al culto delle acque materne e della terra rinvigorita dalle sue correnti sotterranee ed emerse. Per quanto improbabile un viaggio di Giuseppe di Arimatea in Inghilterra, Glastonbury è una sede perfetta per i miti del Graal: l’acqua sgorga in due sorgenti, a Chalice Well, rossa e metallica;  e a White Spring, bianca e calcarea.  Bianco e rosso sono i colori della vita caratteristici del mondo soprannaturale celtico. Una mucca rossa con le orecchie bianche è senz’altro fatata, forse una dea in incognito, e rossi e bianchi sono i cani delle mute spettrali.  Sono colori soglia che ci indicano l’avvicinarsi di eventi e creature straordinarie, sono acqua-sangue, acqua-latte provenienti dal corpo del divino femminile.

Dalle sorgenti possiamo salire al tor, la collina percorsa da un labirinto preistorico, che si dipana a spirale in sette livelli. Sulla vetta si innalza la torre di San Michele, unico resto della chiesa in legno distrutta da un terremoto nel 1275, e successivamente ricostruita in pietra. San Michele è il guardiano dei confini dove si affollano demoni e spiriti. Più in generale si noterà che i luoghi dove il santo appare sono stati (e sono) dimore fatate. E il tor è abitato o almeno visitato dalle fate. Nel suo Viaggio nella natura sacra di Avalon, Kathy Jones scrive che all’interno è

pieno di tunnel e caverne. Si dice che coloro che trovano gli ingressi segreti spariscono dentro di essi talvolta per anni. Queste sono le caratteristiche tradizionali delle colline cave che costituiscono gli ingressi al mondo della fate.

Secondo una leggenda è la dimora di Gwynn ap Nudd capo dei Tylwyth Teg, il popolo fatato, e sovrano di Annwn, l’oltretomba della mitologia gallese, terra inferiore appartenente alla Dea che, nella veste di Crona, guida attraverso la morte.

Mi sono recata al tor di Glastonbury fra le pecore al pascolo e i molti altri visitatori in ogni periodo dell’anno. C’è sempre vento, lassù. La bellezza si unisce alle storie determinandone l’unicità. Si attivano gli occhi della mente e della memoria. Come percepiamo vivo un paesaggio? Osservandone le esistenze vegetali, animali, minerali, immergendoci nella sua storia fantastica, personificandolo in creature che svaniscono e riappaiono alla periferia dello sguardo. Qualcosa di simile avviene nel culto della Dea, conoscibile in questo luogo attraverso le nove Morgen, donne metamorfiche che incarnano i misteri di Nolava, Signora di Avalon.  Kathy Jones ha dedicato loro un libro particolare, Le Nove Morgen. Le Nove Sorelle di Avalon, dove è al centro la discussione sulla loro natura: sacerdotesse umane, creature divine, ombre. Accompagnano i testi le suggestive fotografie di Daniela Seefelder, che raffigurano le Morgen con le loro maschere di corvo. Per le fotografie hanno posato nove donne, precedentemente coinvolte nella rappresentazione teatrale dedicata alle custodi della Dea. L’atto artistico ridefinisce la realtà: noi siamo le creature del nostro sogno e siamo quanto il mondo viene sognando… a nostra insaputa.

La presenza di nove donne magiche è un tema ricorrente e transculturale.  Nove fanciulle rimescolano il Calderone magico secondo la mitologia gallese; nove sono le Muse del mito greco; nove madri generano il dio scandivano dell’arcobaleno; nove sorelle danzano fra la terra e il cielo nella tradizione mongola; in una pittura rupestre della Catalogna, risalente a circa diecimila anni fa, nove danzatrici circondano un uomo dal fallo eretto e, infine, sono frequentemente nove i megaliti ritrovati in cerchio nelle brughiere britanniche: nove fanciulle pietrificate. Le Morgen vengono descritte per la prima volta nel Medioevo da Geoffrey di Monmouth nel suo poema epico Vita Merlini. Qui le nove sorelle, guidate da Morgen la Fey regnano sull’Isola Fortunata, l’Isola delle Mele, dove risanano le ferite spirituali.

Le Morgen rappresentano e simboleggiano i poteri della Signora, della sua terra e del suo popolo. (…) Manifestano l’essenza muliebre incarnandosi nella natura, nel tempo atmosferico e nel genere femminile in senso universale. Si rivelano a Glastonbury/Avalon nelle forme di piante e alberi, animali e uccelli. In particolare, appaiono in stormi di corvi oppure emergono dal regno ultraterreno di Avalon con sembianze di donne, sia incorporee sia reali. Si manifestano come fiori, tronchi e rami d’albero. Si presentano nelle mutazioni del tempo atmosferico come nubi, sole, vento, pioggia, tempesta, tuoni, lampi, ghiaccio, neve, nonché in tutte le loro varie combinazioni.

La Jones lascia invariati i nomi delle Morgen, ma le ricolloca poeticamente in una ruota stagionale, dove le fasi dell’anno terrestre corrispondono alle età umane, ad animali, elementi e piante. Ecco le sorelle con alcuni dei loro simboli: Thitis che cura le ferite dell’infanzia quando l’inverno volge alla primavera, Donna Salice, Neve, Donna Cigno che porta il fuso da cui la vita si dipana; Cliton che cura la tristezza nell’equinozio primaverile, Donna Nocciolo con una bacchetta magica fra le mani, Raggio di Sole, Donna Lepre; Thetis che cura le ferite d’amore nella luce del mese di maggio, Donna Biancospino, Nuvola, Donna Puledro, porta con sé uno specchio che riflette i sentimenti; Gliten che porta la compassione nel solstizio d’estate, Donna Airone, Donna Quercia, Pioggia che solleva il calice delle sorgenti; Glitonea che guarisce dalla cupidigia nel primo raccolto della tarda estate, Donna Frassino, Tessitrice della tela, Donna Cerbiatto;  Moronoe che guarisce la paura del fallimento nel principio dell’autunno, schiarisce la mente nel cristallo, Rovo, Donna Faggio, Donna Volpe e Merlo; Mazoe che guarisce la rabbia, taglia l’inutile con il suo falcetto nella stagione dei morti, Donna Tasso, Donna Falco, Tuono e Ombra notturna; Tyronoe che aiuta ad affrontare la paura della dissoluzione finale nel solstizio d’inverno, Vecchia Signora del Gelo dietro un ventaglio di piume, Donna Agrifoglio, Donna Gufo; e infine Morgen La Fey, Custode di Misteri, Nebbia, Donna Melo che imbandisce la tavola per le comunità, dissipa l’ignoranza, ci rende responsabili di quello che amiamo.  I doni delle Morgen non sono facili. Sono sfide che lanciano gracchiando come i corvi del pensiero che si nutrono degli occhi dei morti.  Ci guidano nel divenire compagne di noi stesse (o noi stessi), dando forma agli spettri e affrontandoli, restituendoci ai ritmi del mondo che armonizzano l’intimo e l’universale.

Il libro della Jones con i suoi racconti ed esercizi pratici per contattare le Morgen, è relativo ad Avalon e al suo genius loci, qui ripartito in nove donne incantate. Ma credo che la lezione profonda di ogni incontro là fuori sia quella di modificare la nostra percezione affinché, tornando in posti familiari, possiamo provare a interagire immaginativamente con loro, conferendo alle piante o alle colline un po’ della nostra umanità, mentre ci disumaniamo nelle lotte quotidiane delle altre forme di vita. Lo scopo di ogni viaggio non è sapere dove approderemo, ma lasciarci coinvolgere dalle figure sul cammino, apprendere da loro la via del ritorno, reinventando le madri che ci attendono, che sono le stesse di un tempo così come sono gli stessi gli animali e alberi, ma ora li vediamo quali inesauribili fonti di conoscenza, cura, appartenenza. Possiamo fare tesoro delle nove Morgen di Avalon, emblematiche di un luogo sacro, per rendere dignità a ogni luogo, avvicinandoci al paesaggio come a una regina o una strega sapiente, recitando per lei una poesia di nomi e vite, chiamandola sorella.

Il recente intervento del segretario di Stato Hillary Clinton sulla libertà di internet è un segno del forte interesse del Dipartimento di Stato Usa verso l’utilizzo di internet per promuovere riforme politiche in società chiuse ed autoritarie. E’ naturale che il Dipartimento di Stato guardi ai progetti di sistemi per eludere la censura su internet. Il New York Times segnala che un gruppo di senatori chiede al Segretario di utilizzare i fondi esistenti a sostegno dello sviluppo dei programmi per aggirare la censura, tra cui Tor, Psiphon e Freegate.

Ho passato buona parte degli ultimi due anni studiando i sistemi di elusione della censura su internet. Con i colleghi Hal Roberts e John Palfrey ho eseguito uno studio che mette a confronto i punti di forza e di debolezza dei diversi strumenti. Gran parte del nostro sforzo è finalizzato al coordinamento tra gli sviluppatori di questi strumenti e chi ha bisogno di questi strumenti per pubblicare contenuti sensibili.

Sono del tutto convinto che abbiamo bisogno di strumenti anticensura solidi, anonimi e di facile utilizzo. Ma credo anche che abbiamo bisogno di molto di più di semplici strumenti per aggirare la censura e temo che i tecnologi e i finanziatori si concentrino solo su questo aspetto della libertà su internet a scapito degli altri. Mi chiedo se stiamo studiando abbastanza le limitazioni fondamentali dei sistemi di elusione e se stiamo ragionando anche su cosa la libertà sul web possa fare per gli utenti in società non democratiche.

A questo proposito lancio una provocazione: Non possiamo eludere la censura su internet.

Non voglio dire che i sistemi di aggiramento della censura non funzionano. Abbiamo provato diversi sistemi di elusione in nazioni dove funziona la censura e abbiamo scoperto che la maggior parte di questi riesce a recuperare materiali bloccati dal firewall cinese e da sistemi simili. C’è qualche problema legato alla privacy, alla dispersione di dati, alla resa di alcuni tipi di contenuti e soprattutto l’usabilità e la performance, ma i sistemi funzionano e riescono a eludere la censura. Quello che però voglio dire è che non possiamo permetterci di utilizzare gli strumenti esistenti per “liberare” tutti gli utenti internet cinesi, anche se tutti volessero davvero essere “liberati”.

I sistemi anticensura hanno tutti uno stesso modello operativo: agiscono come proxy per permettere di raggiungere contenuti bloccati. Un utente viene bloccato nell’accesso a un sito dal suo Isp o dall’Isp di quell’Isp. Se vuole leggere una pagina di Human Rights Watch, non riesce a visualizzarla perché l’indirizzo Ip di quella pagine è su una “black list”. Così indirizza il suo browser verso un altro indirizzo Ip per ottenere dal server di Hrw quella pagina. Così, se quell’indirizzo non è bloccato, riesce a ricevere la pagina via proxy. Nell’operazione il proxy funziona come un service provider. La sua capacità di fornire un servizio adeguato ai suoi utenti è legato all’ampiezza di banda, sia in fase di accesso al sito che di scaricamento dei contenuti. E la banda larga costa.

Alcuni sistemi hanno cercato di ridurre questi costi cercando di condividerli tra alcuni volontari – Psiphon nella sua forma originaria utilizzava computer di alcuni volontari in tutto il mondo come proxy e utilizzava la loro banda per accedere a internet. In molti paesi, però, le connessioni sono asimmetriche, ottimizzate per lo scaricamento di contenuti ma molto più lente quando si tratta di inviare contenuti. Psiphon non è più basata principalmente su proxy ospitati da volontari. Tor sì, ma i nodi di Tor sono speso ospitati su server di università e società che hanno ampia disponibilità di banda. Maproprio la disponibilità di banda rimane uno dei maggiori vincoli all’uso di Tor. Gli strumenti attualmente più usati – servizi VPN come Relakks e Witopia – chiedono in pagamento agli utenti cifre annue significative per le spese legate alla banda larga.

Ipotizziamo che sistemi come Tor, Psiphon e Freegate ricevano finanziamenti aggiuntivi dal Dipartimento di Stato. Quanto costerebbe fornire accesso via proxy per la Cina, per esempio? In Cina ci sono 384 milioni di utenti di internet, il che significa avere un Isp in grado di gestire più di 25 volte gli utenti del più grosso Isp Usa. La Cina consuma 866.367 Mbps di banda larga secondo CNNIC. Non è facile stimare quanto gli Isp paghino per la banda larga, anche se i prezzi convenzionali sono tra 0,05 e 0,10 dollari per gigabit. Sulla base di un prezzo di 5 centesimi, il costo per portare internet in Cina sarebbe di 13,6 milioni al mese, 163,3 milioni l’anno solo per la banda larga, senza contare i costi dei proxy server, dei router, degli amministratori di sistema. Rispetto a queste cifre, i 45 milioni che i senatori Usa chiedono alla Clinton sembrano una cifra irrisoria.

C’è un’altra complicazione: non stiamo parlando solo di gestire un Isp, ma di gestire un Isp di cui con ogni probabilità verrà fatto un cattivo uso. Gente che fa spam, truffatori e altri criminali su internet usano proxy server per condurre le loro attività in modo da proteggere la loro attività. Wikipedia si riserva il diritto di bloccare utenti che usino proxy per editare le voci, dopo che molti utenti hanno utilizzato i proxy per aggirarne le regole. Gli operatori proxy devono quindi trovare un punto di equilibrio: affinché i proxy siano utili, le persone devono saperli usare per accedere a siti come Wikipedia o YouTube, ma se li usano per abusare dei siti visitati, i proxy vengono bloccati.

Sono scettico sul fato che il Dipartimento di Stato possa o voglia di finanziare o attivare un Isp che possa essere utilizzato da milioni di utenti simultaneamente, molti dei quali lo userebbero per commettere frodi o mandare spam. Le persone che finanziano proxy non sanno cosa questi possono fare in questo senso: invece pensano che i proxy siano usati solo in specifiche circostanze, per accedere a contenuti bloccati. Questo è il problema. Uno stato come la Cina blocca molti contenuti: secondo Donnie Dong cinque dei dieci siti più popolaro nel mondo sono bloccati in Cina. Tra questi YouTube e Facebook, che occupano molta banda a livello di pesantezza dei download che di lunghezza delle sessioni. Forse potremmo fare da ISP per la Cina se fornissimo accesso solo verso Human Rights Watch, non certo se fornissimo accesso a YouTube. Gli operatori proxy hanno affrontato questo tipo di questioni quando hanno mezzo dei limiti all’utilizzo dei loro strumenti: alcuni bloccano YouTube o contenuti pornografici, altro limitano l’uso da parte di alcune persone. Nel decidere chi o che cosa bloccare gli operatori danno la loro risposta a una questione complessa: Che parti di internet vogliamo aprire alle persone che vivono in società autoritarie?

Non è una questione semplice. Immaginiamo di riuscire a fare traffico tramite proxy verso paesi come Cina, Iran o Myanmar, e di riuscire a mantenere questi proxy accessibili e liberi (non è semplice). Abbiamo ancora dei problemi. La gran parte del traffico è domestico. In Cina stimiamo che il 95% del traffico è interno al paese. E la censura agisce soprattutto a livello domestico. Come documentato da Rebecca MacKinnon, in Cina i contenuti user generated vengono censurati con modalità complesse e decentrate. Quindi una gran parte di materiali controversi non viene pubblicato sia perché viene bloccato, sia perché gli autori temono che venga bloccato o cancellato l’account del loro blog. Se gli autori cinesi avessero per esempio accesso a Blogger, potrebbero pubblicare lì.

Nel promuovere la libertà su internet dobbiamo valutare strategie per contrastare la censura nelle società chiuse. Dobbiamo quindi affrontare anche la “censura soft”, l’utilizzo degli spazi pubblici da parte dei regimi autoritari che sponsorizzano blogger filo-governativi e spargono commenti favorevoli (Evgeny Morozov ci offre una visione molto cupa sull’uso autoritario dei social media in “How dictators watch us on the web”).

Dobbiamo anche affrontare la crescente minaccia alle conversazioni online. Quando la Turchia blocca YouTube per evitare che cittadini turchi vedano video che diffamano Ataturk, non fa vedere quel contenuto a 20 milioni di navigatori turchi. Quando qualcuno lancia un denial of service distribuito (DDoS) nei confronti di Irrawaddy (giornale online molto critico nei confronti del governo di Myanmar), ne inibisce  la lettura a tutti. I sistemi di elusioni possono permettere ai turchi di superare il blocco su YouTube, ma non aiutano gli americani o i birmani a vedere Irrawaddy quando è sotto un DDoS o un attacco di hacker.

Gli editori di contenuti controversi stanno realizzando che non devono solo affrontare censure mediante sistemi nazionali di filtraggio, ma anche mediante una serie di attacchi tecnici e legali mirati a rendere inaccessibili i loro server. Ci sono diversi metodi con cui gli editori possono aumentare la resistenza dei loro siti agli attacchi DDoS o ai filtri. Per evitare il blocco in Turchia, YouTube può aumentare il numero degli indirizzi Ip che conducono al server; può mantenere una mailing list per fornire agli utenti gli indirizzi Ip non bloccati con cui poter accedere a YouTube oppure creare un’applicazione che, una volta scaricata, fornisce indirizzi Ip non bloccati agli utenti di YouTube. Sono tutti sistemi utilizzati dai siti spesso bloccati in stati autoritari. Ma YouTube non adotta queste misure per almeno due motivi.

In primo luogo ha sempre cercato di trattare con le nazioni che filtrano internet piuttosto che contrapporsi combattendo i filtri, anche se adesso la politica potrebbe cambiare dopo che Google ha annunciato la sua intenzione di non voler collaborare con la censura in Cina.

In secondo luogo YouTube non ha alcun incentivo economico a essere sbloccata in Turchia. Addirittura il blocco in Turchia potrebbe rappresentare un vantaggio economico. I siti fondati su contenuti user generated si reggono sulla pubblicità. E gli utenti pubblicitari sono più interessati agli utenti Usa (che hanno carte di credito, maggiore disponibilità e maggior facilità a spendere online) che non agli utenti in Cina o Turchia. Alcuni sospettano che l’introduzione di versioni leggere di servizi come Facebook sia diretta agli utenti nei paesi in via di sviluppo, che difficilmente creano reddito. Sul piano economico potrebbe quindi essere difficile convincere questi servizi a continuare a essere presenti in paesi autoritari, dove già hanno difficoltà nel vendere pubblicità.

Sintetizzando:

• Aggirare la censura su internet è difficile e costosa. Può facilitare l’invio di spam ed il furto di identità.
• Aggirare la censura mediante proxy dà semplicemente accesso ai contenuti internazionali, non si risolve il problema della censura interna.
• Aggirare la censura non offre una difesa contro attacchi  DDos o altri attacchi agli editori e pubblicatori di contenuti.

Per capire come promuovere la libertà su internet, dovremmo iniziare a riflettere su come pensiamo che internet possa cambiare le società chiuse. E sul motivo per cui riteniamo che essa debba essere una priorità per gli Usa o la diplomazia mondiale. Io credo che il lavoro sulla censura sia motivata dalla convinzione che la capacità di condividere informazioni sia un diritto umano di base. L’art. 19 della Dichiarazione Universale dei Diritti Umani stabilisce che “tutti hanno il diritto alla libertà di opinione e di espressione incluso il diritto di non essere molestato per la propria opinione e quello di cercare, ricevere e diffondere informazioni e idee attraverso ogni mezzo e senza riguardo a frontiere”. Internet è il sistema più efficace inventato finora dall’uomo per cercare, ricevere e diffondere informazioni e idee, e quindi dobbiamo garantire che tutti abbiano libero accesso a internet.

Se crediamo che l’accesso a internet possa cambiare le società chiuse in un modo particolare, possiamo stabilire un ordine di priorità per i diversi aspetti di internet. La nostra teoria del cambiamento ci aiuta a capire a cosa dobbiamo garantire l’accesso. Le teorie elencate di seguito raramente sono dichiarate pubblicamente, ma credo che esse sottendano a molto del lavoro dietro alla lotta alla censura

La teoria dell’informazione soppressa. Se riusciamo a fornire l’informazione negata alle persone dai regimi autoritari, queste si solleveranno e sfideranno i regimi. Potremmo chiamarla la “teoria dell’Ungheria ‘56”: allora le notizie di rivolte contro i governi comunisti nel mondo, diffuse in Unghera da Radio Free Europe, hanno spinto gli ungheresi a sollevarsi contro il regime. Io di solito la definisco come “teoria della Corea del Nord” perchè credo che la Corea del Nord potrebbe essere un luogo dove l’informazione potrebbe portare alla rivoluzione (su quanto poco siano informati del mondo esterno i nordcoreani e sul mondo visto da Seul si veda l’articolo di Barbara Demick sul NYTimes “The Good Cook“). Ma la stessa Corea del Nord è meno isolata dal punto di vista informativo di quanto possiamo ritenere. E’ possibile quindi che l’informazione sia una condizione necessaria, ma non sufficiente, per la rivoluzione politica. E’ anche possibile che noi sopravvalutiamo il potere dell’informazione negata, soprattutto perché è estremamente difficile bloccare l’informazione in un epoca di connessione.

La teoria della rivoluzione di Twitter. Se i cittadini di paesi chiusi possono utilizzare i potenti strumenti di comunicazione resi disponibile da internet, potranno unirsi e rovesciare i loro oppressori. E’ la teoria che ha indotto il Dipartimento di Stato a chiedere a Twitter di rinviare un blocco programmato durante le proteste seguite alle elezioni iraniane. Anche se è improbabile che le tecnologie di connessione possano portare alla caduta del regime iraniano, esistono anche esempi di segno contrario, come il ruolo avuto dai telefonini nella rivolta contro il presidente Estrada nelle Filippine. C’è molto entusiasmo attorno a questa teoria, ma le analisi più attente ne segnalano i limiti. I canali di comunicazione aperti online tendono a essere compromessi velocemente, a essere utilizzati per la disinformazione e per il controllo degli attivisti. E quando la situazione sfugge di mano, i regimi non esitano a staccare la spina dei network.

La teoria della sfera pubblica. La comunicazione in rete potrebbe non portare immediatamente alla rivoluzione, ma fornire un nuovo spazio dove una nuova generazione di leader può pensare e parlare liberamente. Sul lungo periodo la capacità di creare una nuova sfera pubblica, parallela a quella controllata dallo stato, darà vigore a una nuova generazione di attori sociali. Marc Lynch ha indicato come esempio il ruolo dei samizdat, media clandestini dell’ex Unione Sovietica, che sono stati probabilmente più importanti come spazio di libera espressione che non come canali di diffusione di informazioni.

Dalla teoria accettata dipendono le scelte politiche. Se riteniamo che sia critica la diffusione dell’informazione – che sia all’opinione pubblica o a piccoli gruppi influenti – concentreremo i nostri sforzi su sistemi come Voice of America o Radio Free Europe. Si tratta di un approccio molto efficiente, ma sfortunatamente abbiamo un lungo track record che dimostra che questa forma di lotta alla censura non apre magicamente i regimi chiusi, suggerendo che questa strategia potrebbe rivelarsi povera.

Se adottiamo la teoria della rivoluzione di Twitter, dobbiamo focalizzarci sui sistemi che consentono comunicazioni rapide all’interno di network fidati. Il che significa strumenti come Twitter o Facebook, ma probabilmente anche tool come LiveJournal e Yahoo!Groups che fondano il loro servizio sull’esclusività, permettendo a piccoli gruppi di organizzarsi al di fuori del controllo delle autorità. Se invece puntiamo sull’approccio della sfera pubblica, puntiamo sulle tecnologie che permettono la comunicazione e il dibattito pubblico – blog, Twitter, YouTube e virtualmente tutto ciò che va sotto l’etichetta di Web 2.0.

Cosa significa tutto questo in relazione a come il Dipartimento di Stato dovrebbe allocare i propri investimenti per promuovere la libertà su internet? Ecco alcune implicazioni delle questioni coinvolte:

• Dobbiamo continuare a sostenere gli sforzi per superare le censure, almeno nel breve termine. Ma dobbiamo liberarci dell’idea che possiamo “risolvere” la censura con l’elusione. Dobbiamo proseguire in attesa di trovare migliori soluzioni tecniche e politiche, non perché pensiamo di abbattere il Grande Firewall spendendo di più.
• Se vogliamo che più gente usi strumenti per aggirare la censura, dobbiamo trovare il modo per renderli sostenibili economicamente. Deve essere una parte di una strategia complessiva e dobbiamo sviluppare strategie che siano sostenibili e che siano in grado di fornire accesso a costo basso o nullo agli utenti in paesi chiusi.
• Allo stesso tempo dobbiamo sciogliere il nodo dell’uso di questi strumenti per mandare spam, organizzare truffe e rubare dati. Dobbiamo trovare una soluzione che protegga le reti contro gli abusi pur mantenendo la possibilità dell’anonimità, con un equilibrio difficile da trovare.
• Dobbiamo spostare i nostri sforzi dal semplice permettere agli utenti sotto regimi autoritari di accedere a contenuti bloccati all’aiutare gli editori a raggiungere il pubblico. Nel fare questo possiamo guadagnare questi editori come alleati ma anche inaugurare una nuova classe di soluzioni tecniche.
• Se il nostro obiettivo è permettere alle persone in società chiuse di accedere alla sfera pubblica online o di utilizzare strumenti online per organizzare proteste, dobbiamo coinvolgere nella conversazione anche gli amministratori di questi strumenti. Il segretario Clinton sostiene che dovremmo fare della libera conversazione una parte dell’identità americana. Dobbiamo risolvere il fatto che rendere le piattaforme internet resistenti ai blocchi ha un costo per i gestori e che attualmente questi non hanno alcun ritorno economico per fornire servizi a questi utenti.
• Il governo Usa dovrebbe trattare i filtri internet – così come gli attacchi DDoS o di hacker aggio – alla stregua di barriere al commercio. Gli Stati Uniti dovrebbero fare forti pressioni perché paesi aperti come Francia o Australia resistano alle tentazioni di restringere l’accesso a internet, dal momento che il loro comportamento aiuta Cina e Iran a sostenere che la loro censura è in linea con le regole internazionali. E dobbiamo fissare dei vincoli rigidi del Tesoro Usa per rendere difficile che società come Microsoft o progetti come SourceForge operino in paesi chiusi. Se crediamo nella libertà di internet, un primo passo è quello di ripensare queste politiche in modo da non colpire i normali utenti di internet.

Il rischio nel dare retta alle richieste del Segretario Clinton è che noi aumentiamo la nostra velocità, marciando però nella direzione contraria. Adottando l’obiettivo della libertà su internet, è giunto il momento di chiederci quali obiettivi vogliamo raggiungere e di mettere a punto di conseguenza la nostra strategia.

—

Articolo Originale: Beyond circumvention di Ethan Zuckerman, 22/2/2010 – licenza Creative Commons Attribution 3.0 United States
Pubblicato su NòVA100 Review – traduttore non noto – NDR: la traduzione è stata lievemente modificata nelle parti meno scorrevoli e sono stati aggiunti i link originali

Ho bisogno del lavoro prezioso di una (o più) persona volontaria che riveda la traduzione e mi segnali:

1. refusi, errori di ortografia e di impaginazione – è la cosa più apprezzata e di semplice esecuzione, grazie!
2. frasi non scorrevoli, troppo ambigue, sbagliate – tieni conto che sono testi tecnici;
3. scelte stilistiche grossolane e discutibili – come sopra, bassa priorità ed importanza.

Se hai anche solo 5 minuti da dedicare, prendi una delle pagine qui sotto e segnalami nei commenti tutti i problemi che trovi. Il tuo contributo è prezioso, grazie!

Aggiornamento 12/10/2009: ringrazio marnon, saretta, alanina, sparz, Laura, Add3r, fabo, shatzy per il loro contributo, ho cancellato dalla lista le pagine completate. Se nei commenti oltre alle correzioni mi segnali anche il link al tuo sito, lo citerò con piacere.

Pagine principali: le più lette e importanti, comincia da qui!

1. index.html.it
2. easy-download.html.it
3. finding-tor.html.it
4. download.html.it
5. docs/tor-doc-windows.html.it
6. bridges.html.it
7. torbrowser/index.html.it
8. torbrowser/split.html.it

Pagine secondarie: utili per chi vuole approfondire

• overview.html.it
• torusers.html.it
• faq.html.it
• documentation.html.it
• docs/tor-doc-relay.html.it
• verifying-signatures.html.it
• docs/tor-doc-osx.html.it
• donate.html.it

Pagine marginali:  molto specifiche, poco lette

• faq-abuse.html.it
• tshirt.html.it
• projects/index.html.it
• hidden-services.html.it
• tordnsel/index.html.it
• sponsors.html.it
• trademark-faq.html.it
• docs/tor-doc-web.html.it
• docs/tor-doc-unix.html.it
• docs/tor-hidden-service.html.it
• people.html.it
• mirrors.html.it
• download-unix.html.it
• contact.html.it
• running-a-mirror.html.it
• volunteer.html.it
• torbrowser/details.html.it
• research.html.it

Anche 3 minuti del tuo tempo sono preziosi. Quel che faccio per il Tor Proejct è lavoro volontario non pagato, altrettanto è il  contributo che vorrai dare, per il quale sarà dato credito.

Se ti stupisci per tutti gli strafalcioni che trovi, sappi che sono esclusivamente di mia responsabilità, ma che sono nati da un aggiornamento incrementale di ciascuna pagina nell’arco di almeno 4 anni.Per maggiori informazioni sulla traduzione di Tor, leggi le translation guidelines.

Aggiornamento 8/10/2009: segnalato anche da Sami Ben Gharbia per Global Voices e lì pubblicato in html e pdf.

Di Ethan Zuckerman – originale – traduzione italiana di Jan Reister

Introduzione

Una delle soddisfazioni di lavorare per Global Voices è stata la possibilità di collaborare con persone che esprimono le loro opinioni nonostante le forze che cercano di metterle a tacere. Ho lavorato con autori che volevano scrivere in rete su argomenti politici o personali, ma che per farlo dovevano essere certi che i loro scritti non potessero essere collegati alla loro identità. Questi autori sono attivisti dei diritti umani in decine di paesi, personale umanitario in paesi dal regime autoritario e whistleblower in aziende e governi.

Ho scritto una guida tecnica al blogging anonimo pubblicata su Global Voices qualche mese fa, in cui descrivevo alcuni metodi per tenere un blog in modo anonimo. Da allora ho tenuto workshop in tante parti del mondo ed ho apprezzato un particolare insieme di strumenti – Tor, WordPress e vari account gratuiti di posta elettronica – che usati insieme possono offrire un alto livello di anonimato. Questa guida non esamina diverse direzioni di lavoro, ma ne propone una nel dettaglio spiegandola passo passo.

Puoi saltare le sezioni “perché” della guida, se hai fretta o se non ti interessa conoscere sempre i motivi di ogni cosa. In futuro spero di poter impaginare meglio le sezioni “perché” in modo da poterle comprimere ed espandere a piacere, abbreviando così l’intero documento.

Se nel documento sono stato poco chiaro od ho commesso errori, lasciamelo detto nei commenti – questa è una bozza che spero di perfezionare. Se pensi che sia utile e vuoi redistribuirla, fallo pure: è soggetta a una Creative Commons 2.5 Attribution license, che significa che puoi pure stamparla su delle tazzine da caffé e venderle, se pensi che ci sia un mercato per guadagnarci qualcosa. [NdT: la traduzione è soggetta a licenza Creative Commons BY-NC-SA]

Avvertenza

Se segui esattamente queste istruzioni ridurrai notevolemente la possibilità che si riesca a collegare la tua identità con i tuoi scritti in rete con metodi tecnologici-ad esempio, quando un organo dello stato o la polizia ottengono i dati da un Internet Service Provider. Purtroppo non posso garantire che questi metodi funzionino in ogni circostanza, né accetto alcuna responsabilità, civile o penale, qualora l’uso o l’abuso di queste istruzioni ti causasse problemi legali, civili o personali.

Queste indicazioni non impediscono che tu possa essere individuato tramite altri metodi tecnici, come il keystroke logging (l’installazione sul tuo computer di un programma che registra ogni tasto che batti) o la sorveglianza tradizionale (leggere lo schermo del tuo computer con una telecamera o un teleobiettivo). In realtà, la maggior parte delle persone viene identificata con mezzi non tecnologici a partire da ciò che scrive: talvolta scrive qualche indizio sulla sua vera identità, o si confida con qualcuno che si rivela inaffidabile. Non posso aiutarti su questo fronte, se non esortandoti a fare attenzione ed ad usare l’intelligenza. Per una guida migliore alle cose necessarie per essere “attenti e intelligenti” consiglio “How to blog safely” di EFF.

Ed ora le spiegazioni tecniche:

I – Scrivere da computer condivisi con altri

Se scriverai principalmente da computer condivisi (come i pc negli internet café) o se non puoi installare software su di un computer, segui le indicazioni qui sotto per usare Tor Browser Bundle senza dover installare permanentemente alcun software.
Se invece scriverai prevalentemente dal tuo computer personale, dove puoi installare software, vai per favore al capitolo II.

Tor Browser Bundle per Windows (per tutti i dispositivi portatili e penne USB)

Consigliamo di scaricare Tor Browser Bundle per Windows, un ottimo pacchetto Tor preconfigurato con un browser Mozilla Firefox a sé stante per penne USB o per qualsiasi dispositivo portatile (schede SD, hard disk, schede compact flash). Tor Browser è una versione open source di un browser portatile, sviluppato dal Progetto Tor. E’ una versione molto personalizzata per il browser Firefox con Tor, Vidalia, il caching proxy Polipo, Firefox e Torbutton già installati. E’ progettato per essere messo su una chiavetta USB ed usare Tor da computer condivisi dove non è consentito installare software.

a) Scarica il Tor Browser Bundle. Dal sito web del Progetto Tor scarica il pacchetto nella tua lingua su di un computer dove poter salvare il file. Inserisci la tua penna USB e copia il Tor Browser Bundle. Con questa penna USB e qualsiasi computer dove sia possibile inserirla, potrai usare un browser protetto da Tor. Sul computer condiviso, chiudi il browser attivo. Inserisci la penna USB, trovane i file sul Desktop e fai doppio clic su Start Tor Browser.exe. Apparirà in breve tempo la finestra di Vidalia.

Ricorda che puoi scaricare il Tor Browser Bundle dal sito web del progetto Tor o scegliere il pacchetto nella tua lingua preferita dalla pagina di download del Tor Browser Bundle.

b) Estrai il file nella tua penna USB, apri la cartella “Tor Browser” e fai clic su “Start Tor Browser”. Dopo essersi collegato alla rete Tor, il browser Firefox con supporto Tor partirà automaticamente e visiterà la Tor Test Page. Controlla che ci sia il messaggio “Congratulazioni. Stai usando Tor.”.
Altrimenti otterrai il messaggio “Spiacente. Non stai usando Tor. Se stai cercando di usare un client Tor, leggi il sito web di Tor ed in particolare le istruzioni per configurare il client Tor.”

II – Scrivere dal proprio computer personale

Se scriverai principalmente dal tuo computer personale, su cui puoi installare software, segui queste istruzioni.

1: maschera il tuo indirizzo IP

Ogni computer in Internet ha o condivide un indirizzo IP. Questi indirizzi non sono degli indirizzi fisici, ma possono permettere ad un bravo amministratore di sistema di rintracciare il tuo indirizzo reale. In particolare, se lavori per un ISP puoi facilmente associare un indirizzo IP al numero di telefono che ha usato quell’IP in un certo momento. Così, prima di qualsiasi operazione anonima in Internet, bisogna mascherare il nostro IP.

Cosa fare se vuoi tenere un blog dal computer di casa o del lavoro:

a) Installa Firefox. Scaricalo dal sito di Mozilla ed installalo sul computer principale che usi.

Perché?

Internet Explorer ha dei discreti problemi di sicurezza che possono compromettere la tua sicurezza in rete. Questi problemi tendono a restare irrisolti molto più a lungo in IE che in altri browser. (Non ci credi? Chiedilo a Bruce Schneier) E’ il browser più vulnerabile allo spyware che si scarica inavvertitamente da siti web. Inoltre, molti degli strumenti per la privacy sviluppati ora sono stati scritti specificamente per funzionare con Firefox, come Torbutton, che useremo nei passi successivi.

b) Installa Tor. Scarica il programma dal sito web Tor. Se nel tuo paese l’accesso al sito web principale di Tor è bloccato, ci sono alcuni mirror in altri posti da cui scaricarlo. Puoi anche consultare la cache di Google per leggervi la pagina dei mirror cercando “site:torproject.org mirrors“.
Scegli l’ultima versione stabile per la tua piattaforma e scaricala sul tuo desktop. Segui le istruzioni indicate con un link a destra accanto alla versione scaricata. Installerai due pacchetti software e dovrai effettuare alcune modifiche alla tua installazione di Firefox.

Nel caso che la tua connessione a internet blocchi l’accesso al sito web Tor, puoi richiedere un pacchetto spedendo una email al robot “gettor” all’indirizzo gettor (AT) torproject (DOT) org. Nota bene: le email per gettor @ torproject . org devono provenire da un account Gmail, altrimenti non avranno risposta. Scegli uno dei seguenti nomi di pacchetti e scrivilo nel corpo dell’email:

• tor-im-browser-bundle
• windows-bundle
• panther-bundle
• tor-browser-bundle
• source-bundle
• tiger-bundle

Poco dopo l’invio dell’email, riceverai una risposta dal robot “gettor” col software richiesto in un file zip. Apri il file zip e verifica la firma.

Perché?

Tor è una rete molto sofisticata di proxy server. Essi richiedono le pagine web al tuo posto, in modo che il server web di destinazione non veda l’indirizzo IP originale del computer che ha richiesto la pagina. Usando Tor, usi a cascata tre particolari proxy server per recuperare ciascuna pagina web. Le pagine vengono cifrate nel passaggio tra i server Tor, ed anche quando uno o due dei server nel circuito fossero compromessi, sarebbe molto difficile capire quale pagina web stavi leggendo o su quale pagina stavi scrivendo.
Tor installa anche un altro software, Privoxy, che aumenta la sicurezza del tuo browser bloccando cookie ed altro software che consentirebbe il tracciamento. Blocca inoltre molta della pubblicità che si trova sul web.

c) Il pacchetto installa anche il plugin Firefox Torbutton. Chiederà semplicemente di potersi installare. Fai clic su “Installa Ora”, riavvia Firefox ed è pronto:

Perché?

Impostare manualmente Tor significherebbe doversi ricordare di cambiare le preferenze del browser ed usare un proxy server. E’ un processo lungo che spesso ci si dimentica di completare. Con Torbutton basta un clic del mouse ed è anche facile sapere se si sta usando o meno Tor, cosa molto utile.

Troverai che Tor rallenta l’uso del web – dipende dalle richieste Tor che vengono istradate attraverso tre proxy prima di raggiungere il web server di destinazione. Alcuni – me compreso – usano Tor solo quando è importante nascondere la propria identità, e lo spengono se non serve – con Torbutton è molto facile.

d) Attiva Tor in Firefox e provalo. Con Tor attivo, visita questo indirizzo). Se ottieni questo messaggio: “Congratulazioni. Stai usando Tor.”, allora tutto è stato installato correttamente e sei pronto per il prossimo passo.

Altrimenti otterrai il messaggio “Spiacente. Non stai usando Tor. Se stai cercando di usare un client Tor, leggi il sito web di Tor ed in particolare le istruzioni per configurare il client Tor.”

Perché?

E’ sempre bene verificare che il software installato funzioni, specie quando è così importante come Tor. La pagina che visiti controlla da quale indirizzo IP proviene la tua richiesta. Se proviene da un nodo Tor conosciuto, Tor funziona correttamente ed il tuo IP è nascosto – altrimenti, c’è qualcosa che non va e dovresti capire perché Tor non funziona correttamente.

Cosa fare se Tor non si connette mai?

Se hai difficoltà a collegarti alla rete Tor, leggi la FAQ sui problemi di funzionamento di Tor Nel caso in cui la tua connessione ad Internet blocchi l’accesso alla rete Tor, e nel caso che l’icona di Vidalia sia sempre gialla, puoi considerare l’uso dei bridgerelay. E’ il secondo passo logico per collegarsi alla rete Tor.

I bridge relay (https://www.torproject.org/bridges) (o “bridges”) sono relay Tor non elencati nella directory principale Tor. Non essendocene una lista completa, anche se il tuo ISP filtrasse le connessioni verso tutti i relay Tor conosciuti, probabilmente non riuscirebbe a bloccare tutti i bridge. Se sospetti che ti venga bloccato l’accesso alla rete Tor, puoi provare ad usare i bridge.

Puoi avere un bridge spedendo una email, da un account gmail, contenete “get bridges” nel corpo del messaggio, all’indirizzo bridges @ torproject . org . In breve riceverai una risposta automatica contenente i bridge. Si possono ottenere dei bridge anche da qui: https://bridges.torproject.org/

Apri il pannello di controllo di Vidalia, vai a Impostazioni > Rete e fai clic su “Il mio ISP blocca le connessioni alla rete Tor”. Aggiungi uno alla volta l’indirizzo di ciascun bridge incollandolo nella finestra “Aggiungi un bridge” e facendo clic sul segno “+”.

2: Crea un indirizzo email nuovo e difficile da rintracciare.

Molti servizi web, compresi quelli che ospitano blog, richiedono un indirizzo email per poter comunicare con i loro utenti. Per i nostri scopi questo indirizzo email non può essere collegato a informazioni personali e identificanti, come l’indirizzo IP che usiamo per iscriverci al servizio. Perciò ci serve un nuovo account email da creare usando Tor, facendo attenzione che nessun dato usato – nome, indirizzo etc. – sia collegabile a noi. NON devi usare un indirizzo email esistente – è probabile che ti ci sia iscritto da un indirizzo IP non nascosto, ed in genere i fornitori di webmail conservano l’indirizzo IP usato per la creazione.

a) Scegli un fornitore di webmail – Consigliamo Riseup.net e Gmail, ma fintanto che usi sempre Tor potresti anche usare anche Yahoo o Hotmail. Puoi anche registrarti un account webmail gratuito e rapido con fastmail.fm.

Perché?

La webmail è il modo migliore per creare un indirizzo email “usa e getta” che puoi usare per iscriverti ai servizi e poi ignorare. Molti utenti però usano la webmail anche come loro email principale. Se anche tu lo fai, è importante capire i punti di forza e di debolezza dei diversi fornitori di posta.

Hotmail e Yahoo hanno entrambi una “funzione di sicurezza” che disturba parecchio chi ama la privacy. Includono entrambi l’indirizzo IP del computer usato per inviare la posta. Ciò è comunque irrilevante se accedi a questi servizi via Tor, dato che l’indirizzo IP sarà un indirizzo IP Tor e non il tuo indirizzo. Inoltre Hotmail e Yahoo non offrono accesso sicuto (https) alla webmail – ancora, questo conta poco finché usi Tor ogni volta che usi questi servizi email. Ma molti utenti vogliono controllare la posta in circostanze in cui non hanno Tor a disposizione – per il tuo account email principale vale la pena scegliere un fornitore che abbia accesso https alla webmail.

Riseup.net offre una webmail con elevata sicurezza. Supportano la cifratura con PGP (Pretty Good Privacy) – molto utile se sei in corrispondenza con persone che usano PGP anch’esse. Puoi richiedere un account gratuito su www.riseup.net e chiedere ai tuoi corrispondenti di fare altrettanto.

Gmail ha alcune funzionalità di sicurezza interessanti anche se non si propone come un servizio di email sicuro. Se visiti questo indirizzo speciale https://mail.google.com/mail tutta la sessione con Gmail viene cifrata con https. Puoi anche visitare https://mail.google.com/mail/h/ che è una webmail Gmail sicura con interfaccia Basic HTML. (Io consiglio di segnare questo indirizzo nei segnalibri ed usarlo per tutte le sessioni Gmail.) Gmail non inserisce l’indirizzo IP nell’intestazione dell’email e puoi avere supporto PGP usando FireGPG, un’estensione Firefox che aggiunge crittografia forte a Gmail. FireGPG ha un’interfaccia per decifrare, cifrare, firmare e verificare la firma al testo di qualsiasi pagina web tramite GnuPG.

Un’avvertenza a tutti gli utilizzatori di account webmail – stai affidando tutta la tua posta all’azienda che gestisce il servizio. Se l’azienda viene compromessa da hacker, o se viene costretta dal governo a rivelare informazioni, altri avranno accesso al testo di tutte le email che hai ricevuto e spedito. L’unica alternativa è scrivere le tue email in un editor di testo, cifrarle sul tuo computer con PGP ed inviarle a qualcuno che usi PGP pure lui. Questo livello di sicurezza è al di là di ciò che la maggioranza di noi desidera e richiede, ma è importante ricordare che ti stai fidando di un’azienda che potrebbe non avere a cuore i tuoi stessi interessi. Yahoo in particolare ha la pessima abitudine di passare informazioni al governo cinese – alcuni dissidenti cinesi stanno facendo causa all’azienda per la comunicazione illegale dei loro dati. E’ qualcosa a cui pensare quando si deve scegliere di chi fidarsi…

b) Avvia Tor nel tuo browser, o avvia Tor Browser dalla tua penna USB. Visita il sito di email di tua scelta e iscriviti per un nuovo account. Non usare informazioni personali che ti possano identificare – pensa di diventare una persona dal nome banale in un paese con molti utenti web, come gli USA o il Regno Unito. Scegli una password robusta (almeno dodici caratteri, con almeno un numero e un carattere speciale) per l’account e scegli un nome utente simile al nome che userai per il tuo blog.

c) Controlla di riuscire fare login al servizio email ed invia una email di prova (non ad un indirizzo tuo o di conoscenti) con Tor attivo. Di solito Tor cambia circuito ogni 10 minuti e ciò potrebbe disturbare le operazioni della webmail, così puoi dedicare massimo 10 minuti a scrivere ogni email.

3: registra il tuo nuovo blog anonimo

a) Avvia Tor nel tuo browser, o avvia Tor Browser dalla tua penna USB. Visita WordPress.com ed iscriviti per un nuovo account facendo clic sul link “Sign Up Now!”. Usa l’indirizzo email appena creato e crea un nome utente che sarà parte dell’indirizzo del tuo blog: ilnomechescegli.wordpress.com

b) WordPress invierà un link di attivazione al tuo account webmail. Usa il browser con Tor per leggere quella email e fare clic sul link di attivazione. Così WordPress sa che hai usato un indirizzo email attivo e che può comunicarti aggiornamenti del servizio – il risultato è che renderanno pubblico il tuo blog e ti invieranno la tua password. Devi controllare ancora la webmail per recuperare la password.

c) Sempre usando Tor, fai login nel tuo nuovo blog usando username e password. Fai clic su “Il Mio Account” e su “Modifica Profilo”. Cambia la tua password con una password forte che riesci a ricordare bene. Aggiungi pure delle informazioni al tuo profilo… basta che non siano collegabili a te!

4: Scrivi sul tuo blog

a) Scrivi il tuo articolo offline. E’ un buon metodo per non perdere un post se il browser si blocca o il collegamento a Internet cade, ma serve anche a scrivere i propri articoli in un luogo più privato di un internet café. Un semplice editor come Blocco Note per Windows è spesso la scelta migliore. Salva i tuoi articoli come file di testo (dopo avere scritto sul blog ricordati di cancellarli completamente dal tuo computer con strumenti quali Eraser o Ccleaner che sono disponibili in molte lingue e cancellano i file temporanei automaticamente da tutti i browser installati e da altre applicazioni).

b) Avvia Tor, o usa Tor Browser dalla tua penna USB e fai login su WordPress.com. Fai clic su “Articoli > Add New” per scrivere un nuovo post. Copia e incolla l’articolo dal tuo file di testo alla finestra del post. Metti un titolo e scegli le categorie che vuoi.

c) Prima di fare clic su Pubblica c’è un passaggio cruciale. Fai clic sulla voce a destra che dice “Pubblica subito o Modifica“. Scegli una data di qualche minuto nel futuro – idealmente, scegli un intervallo casuale e usa un tempo diverso ogni volta. Questo ritarderà la pubblicazione del post sul tuo blog – WordPress non renderà pubblico il post finché non arriverà il momento indicato.

Modificando l’ora di pubblicazione ci si protegge da una tecnica per determinare la tua identità. Immagina di scrivere su un blog detto” alt=”” />

Modificando l’ora di pubblicazione questo attacco è più difficile per l’Internet Service Provider. Avrebbe bisogno anche dei log del server WordPress, che sono molto più difficili da ottenere. Si tratta di una protezione molto facile che aumenta la propria sicurezza.

5: Copri le tue tracce

a) Cancella in modo sicuro le bozze dell’articolo fatte sul tuo laptop o computer di casa. Se ti serve una penna USB per portare l’articolo all’internet café, devi cancellare anche quella. Non basta mettere il file nel cestino e svuotarlo – devi usare uno strumento di cancellazione sicura come Eraser o Ccleaner che sovrascrivono il vecchio file con dati che lo rendono impossibile da recuperare. Sul Macintosh questa funzione è nativa – metti un file nel cestino e seleziona “Vuota il cestino in modalità sicura” dal menu del Finder.

b) Cancella la cronologia di navigazione, i cookie e le password da Firefox. Dal menu Strumenti, seleziona “Elimina i dati personali”. Spunta tutte le opzioni e fai clic su “okay”. Potresti configurare Firefox per cancellare automaticamente questi dati ogni volta che esci – puoi farlo in “Modifica > Preferenze > Privacy” e spunta la voce che dice “Elimina sempre i dati personali alla chiusura di Firefox”. Se non puoi installare programmi sul computer, usa lo strumento IE Privacy Cleaner dalla penna USB per cancellare i dati temporanei del browser.

Perché?

E’ facile capire quali siti web hai visitato esaminando la cronologia del browser. Un esame più approfondito può rivelare la cronologia dai file di cache, che contengono le versioni delle pagine visitate. Questi dati vanno cancellati da un computer pubblico, in modo che il prossimo utente non li trovi. E vanno eliminati anche dal proprio computer, in modo che se venisse perso, rubato o sequestrato non sia possibile essere messi in relazione agli articoli che abbiamo scritto.

Alcune osservazioni conclusive:

• Non basta proteggersi mentre si scrive sul proprio blog. Se scrivi commenti su altri blog usando il nome del tuo blog anonimo, devi farlo usando Tor. Le piattaforme di blog registrano l’IP dei commenti – se non usi Tor, inviti chiunque gestisca quel sito a rintracciare il tuo IP ed il tuo computer. Tor è come un preservativo: non fare blogging insicuro.
• Anche se sei anonimo, puoi sempre abbellire il tuo blog. La voce “Aspetto” in WordPress ha molte opzioni da provare – template diversi, foto e personalizzazioni. Ma sii estremamente cauto se usi le tue foto – una foto contiene moltissime informazion su di te (se è stata fatta in Zambia, prova il fatto che eri in Zambia).
• Se sei veramente preoccupato della tua sicurezza, fai un altro passo per configurare il browser Firefox e disabilita Java. C’è un brutto difetto di sicurezza nella versione più recente di Java, che permette all’autore di uno script malizioso di capire qual’è l’indirizzo IP del tuo computer anche se stai usando Tor. Noi non ce ne curiamo troppo perché non pensiamo che WordPress.com o Google usino questi script, ma è qualcosa da considerare seriamente se usi Tor per altre ragioni. Per disattivare Java, vai in “Modifica > Preferenze > Contenuti” e togli la spunta ad “Attiva Java” (Tor Browser Bundle disattiva Java di default).

• Se sei l’unica persona del tuo paese ad usare Tor, è ovvio che l’utente che accede agli indirizzi IP legati a Tor è sempre lo stesso. Se vuoi usare Tor e ti preoccupa che un ISP indaghi sull’uso di Tor, potresti incoraggiare degli amici ad usare Tor – ciò crea quello che i crittografi chiamano “traffico di copertura”. Puoi anche usare Tor per visitare vari siti web, non solo scrivere sul tuo blog. In entrambi i casi significa che Tor viene usato per altre ragioni oltre a postare sul tuo blog anonimo, così se nei log di un ISP un utente accede a Tor ciò non indurrà automaticamente l’ISP a pensare che stia accadendo qualcosa di brutto.

Un’ultima considerazione sull’anonimato: Se non hai veramente bisogno di essere anonimo, non esserlo. Se il tuo nome è associato alle tue parole, è più facile che la gente prenda sul serio ciò che scrivi. Tuttavia, alcune persone hanno bisogno di restare anonime, ed è per questo che esiste questa guida. Solo, per favore non usare queste tecniche se non ne hai davvero bisogno.

fine. —

Tra gli interventi della puntata:

Privacy in Rete: cos’è Tor?
Jan Reister ci illustra cos’è Tor e come può aiutarci a proteggere il nostro anonimato in Rete. Per chi fosse interessato: il progetto Tor; per scaricare il software: pagina di download Tor.

L’anonimato è un diritto tutelato dalla Costituzione
Marco Calamari, responsabile del Progetto Winston Smith, ci parla dell’anonimato e di come esso vada tutelato. Anche nel Web.

Intercettazione e Data Retention nel Web
Luca Lupària, docente di Diritto Penale presso l’Università di Teramo, ci parla di intercettazione e data retention.

L’intelligence nell’epoca di Internet
Alessandro Zanasi, docente di Knowledge Management e Data Mining presso l’Università di Bologna, ci illustra come sono cambiate le strategie dell’intelligence con la Rete e quali sono le tecniche per poter analizzare i dati raccolti.

La privacy e il controllo dei dati online
Giovanni Ziccardi, docente di Informatica Giuridica presso l’Università Statale di Milano, ci parla di diritto all’anonimato e delle strategie di controllo attuate dai governi per controllare informazioni personali.

Come dice il nome stesso, gli incontri degli Alcolisti Anonimi sono anonimi. Non occorre firmare nulla, né mostrare un documento d’identità, e nemmeno rivelare il proprio vero nome. Ma gli incontri non sono privati. Chiunque può parteciparvi. E chiunque è libero di riconoscervi: dal viso, dalla voce, dalle storie che raccontate. L’anonimato non vuol dire privacy.

Ciò è ovvio e poco interessante, ma molti sembrano dimenticarsene quando utilizzano un computer. Pensano “è sicuro” e si dimenticano che “sicuro” può voler significare molte cose diverse.
Tor è uno strumento gratuito che permette di usare Internet in modo anonimo. Sostanzialmente, entrando in Tor si entra a far parte di una rete di computer sparsa in tutto il mondo: le macchine appartenenti alla rete si passano il traffico Internet in modo casuale prima di inviarlo alla destinazione prescelta. Immaginatevi una ristretta cerchia di persone che si passano delle lettere.

Di tanto in tanto una lettera lascia il gruppo, spedita verso una certa destinazione. Se non potete vedere che cosa avviene all’interno di quella cerchia, non potrete stabilire chi ha inviato una qualsiasi lettera basandovi sull’osservazione delle lettere che lasciano il gruppo.
Ho tralasciato parecchi dettagli, ma questo è in sostanza il principio di funzionamento di Tor.

Viene chiamato “onion routing”, e fu inizialmente sviluppato al Naval Research Laboratory. Le comunicazioni fra i nodi di Tor sono cifrate in un protocollo a strati (di qui l’analogia con la cipolla), ma il traffico che lascia la rete Tor è in chiaro. Deve esserlo.

Se volete che il vostro traffico Tor sia privato, dovrete criptarlo. Se volete che sia autenticato, dovrete anche firmarlo. Il sito Tor dice persino:

“Sì, la persona che gestisce il nodo di uscita può leggere i byte che entrano ed escono da quel nodo. Tor rende anonima l’origine del vostro traffico, e garantisce la cifratura di tutto ciò che si trova all’interno della rete Tor, ma non cripta magicamente tutto il traffico di Internet”.

Tor ‘anonimizza’, niente più.

Dan Egerstad è un ricercatore di sicurezza svedese, che gestiva cinque nodi Tor. Nell’agosto 2007 ha pubblicato un elenco di 100 credenziali email (indirizzi IP di server, account email e le rispettive password) di ambasciate governi e ministeri di tutto il mondo; dati ottenuti effettuando lo sniffing del traffico in uscita alla ricerca di nomi utente e password dei server di posta.

L’elenco contiene soprattutto ambasciate del terzo mondo: Kazakhstan, Uzbekistan, Tajikistan, India, Iran, Mongolia, ma figurano anche un’ambasciata giapponese, l’ufficio di richiesta dei visti britannico nel Nepal, l’ambasciata russa in Svezia, l’Ufficio del Dalai Lama e svariati gruppi di Hong Kong per i Diritti Umani. E questa è solo la punta dell’iceberg: Egerstad ha ottenuto anche un migliaio di conti aziendali con lo stesso metodo di sniffing. Davvero preoccupante.

Presumibilmente molte di queste organizzazioni stanno utilizzando Tor per nascondere il proprio traffico di rete dalle spie dei loro paesi. Ma dato che chiunque può aggiungersi alla rete Tor, gli utenti di Tor passano necessariamente il proprio traffico a organizzazioni di cui potrebbero non fidarsi: svariate agenzie d’intelligence, gruppi di hacker, organizzazioni criminali e così via.

È semplicemente inconcepibile che Egerstad sia la prima persona ad aver effettuato questo tipo di intercettazione; Len Sassaman ha pubblicato uno studio su tale attacco qualche mese fa. Il prezzo che si paga per l’anonimato è esporre il proprio traffico a persone infide.
Non sappiamo realmente se gli utenti di Tor esposti fossero i legittimi proprietari degli account o se si sia trattato di hacker introdotti in quegli account con altri mezzi e che si stavano servendo di Tor per cancellare le proprie tracce. Ma di certo molti di questi utenti non hanno compreso che anonimato non significa privacy. Il fatto che la maggior parte degli account elencati da Egerstad fossero di piccoli paesi non sorprende: proprio da quei paesi c’è da aspettarsi una serie di pratiche di sicurezza più deboli.

È difficile conseguire un anonimato completo. Come possiamo essere riconosciuti in un incontro di Alcolisti Anonimi, così si può essere riconosciuti anche in Internet. Vi sono molte ricerche volte a rompere l’anonimato in generale, e quello di Tor nello specifico, ma in alcuni casi non è neanche necessario fare grossi sforzi. L’anno scorso, AOL ha reso pubbliche 20.000 query di ricerca anonime come strumento di ricerca. Non è stato molto difficile risalire alle persone partendo dai dati.

Un progetto di ricerca chiamato Dark Web, finanziato dalla National Science Fundation, ha persino tentato di identificare scrittori anonimi dal loro stile:

“Uno degli strumenti sviluppati da Dark Web è una tecnica chiamata Writeprint, che estrae automaticamente migliaia di caratteristichemultilingue, strutturali e semantiche per determinare chi sta creando contenuti ‘anonimi’ online.Writeprint può esaminare un post in un forum online, per esempio, e confrontarlo con altri scritti trovati altrove in Internet. Analizzando queste caratteristiche specifiche, può stabilire con più del 95% di accuratezza, se quell’autore ha prodotto altri contenuti in passato”.

E se il vostro nome o altre informazioni che possano identificarvi si trovano in solo uno di quegli scritti, è possibile risalire a voi.

Come tutti gli strumenti di sicurezza, Tor viene utilizzato sia da persone oneste che da malintenzionati. Perversamente, proprio il fatto che qualcosa si trovi all’interno della rete Tor significa che qualcuno, per qualche ragione, vuole nasconderlo o nascondere il proprio operato.
Finché Tor sarà un magnete che attira traffico “interessante”, Tor attirerà anche coloro i quali vogliono intercettare quel traffico, specialmente perché più del 90% degli utenti di Tor non lo cripta.

Questo articolo è precedentemente apparso su Wired.com. Traduzione italiana a cura di Communication Valley

L’installazione del router Tor è ora a portata di mano, con pochi piccoli passi: Marco Calamari con la nuova lezione spiega come attivare il sospirato strumento di tutela e difesa della privacy. Ecco cosa fare

La scorsa settimana molte persone si sono fatte un’idea più precisa di cosa è un router Tor e di cosa significa decidere di crearne uno, sia dal punto di vista filosofico e morale, sia da quello legale. Prima di proseguire parlando di tecnica, è necessaria una precisazione che penso risponderà ad alcuni dubbi espressi sul forum della settimana scorsa. Per quanto riguarda l’ampia esperienza del nostro gruppo e degli amministratori di router Tor con cui siamo in contatto, l’unica tipologia di interazione avvenuta con indagini di polizia in Italia è stata quella descritta nella scorsa rubrica.

Questo non puo’ ovviamente escludere che siano avvenute, o possano avvenire, altri tipi di interazioni, come ad esempio perquisizioni e sequestri di materiale informatico che la magistratura ha l’autorità di far eseguire quando ritenga che possano sussistere ipotesi di reato. Per quanto ci è noto, negli ultimi due anni c’è stato un unico caso, avvenuto in Germania, in cui almeno 3 operatori sono stati oggetto di perquisizioni nell’ambito di una stessa indagine che pare riguardasse (non è nemmeno il caso di dirlo) una questione di pedopornografia, e che non ha portato nessuna imputazione e tantomeno condanna degli operatori Tor coinvolti.
Nello stesso periodo, come tutti sappiamo, ci sono state invece migliaia di perquisizioni e di sequestri di materiale informatico legate a semplici scambi di mail rilevanti per indagini di polizia, a copia di materiale protetto da copyright e per utilizzo illegale di reti peer-to-peer.

È comunque senz’altro vero che esistono passatempi decisamente più tranquilli che gestire un router Tor, come ad esempio collezionare etichette di vino, o farsi semplicemente e su scala industriale gli affari propri e basta. Ma rientriamo in tema; alcune persone, sperabilmente molte, avranno preso in considerazione l’impresa di realizzare un router Tor, e sono percio’ in attesa di questa puntata; altre magari avranno preso la palla al balzo e, valendosi delle ottime istruzioni sia per Windows che per Linux, reperibili sul sito Tor di EFF, si sono già messe all’opera.

Quasi tutti avranno notato che lavoro abitualmente solo su Linux, e che dove necessario descrivo le applicazioni in ambiente Windows “per differenza”. Con gioia degli utenti con solo “finestre”, oggi invertirò il mio punto di vista, descrivendo l’installazione di un router Tor in ambiente Windows. Questa scelta non è dovuta solo al numero degli utenti Redmond-centrici, ma soprattutto alla disponibilità di un bundle (un gruppo di programmi, che si configura praticamente da solo come client, ed in maniera elementare come server). Gli utenti *nix e GNU/Linux d’altra parte sono abbastanza smaliziati per poter seguire queste semplicissime istruzioni, e se specialmente usano Debian sono distanti solo un paio di apt-get dal risultato.

Poche volte in vita mia mi sono trovato di fronte ad un’applicazione server cosi bene integrata e leggera come il bundle Tor/Privoxy/Vidalia/TorButton scaricabile da questa pagina.

L’installazione e l’avvio sono indolori; è pero’ d’obbligo ricordare che dovete trovarvi su un’ADSL flat, con un IP pubblico e che non sia filtrata. Servono infatti due porte TCP, di solito 9001 e 9030 (ma si possono cambiare) raggiungibili da Internet. Tor è comunque in grado di verificarlo da solo, come potete vedere facendo attenzione ai messaggi di log quando farete partire il vostro nodo come server. Per renderle raggiungibili è necessario anche avere un nome host pubblico, ma questo non è un problema.

Bastano infatti pochi minuti per registrare gratuitamente il vostro su uno dei tanti provider come ad esempio DynDNS ed installare il client dyndns che “battezzerà” l’indirizzo ip dinamico del vostro PC con un nome a vostra scelta. Vi ricordo che la lista e-privacy è come sempre a disposizione per indicazioni e chiarimenti.

Appena terminata l’installazione, eseguita selezionando la lingua italiana (caso raro ma piacevole) Tor, Privoxy e Vidalia partiranno automaticamente e vi si presenterà la finestra del pannello di controllo di Vidalia, che permette di gestire anche Tor. Aprite le finestre dei log, della mappa e della banda, lanciate il vostro Firefox, ben configurato nelle precedenti lezioni (non vorrete mica usare Internet Explorer, vero?) e vi troverete davanti ad un desktop come questo:

Prima di proseguire, abbiate cura di controllare che sia possibile raggiungere Internet sia normalmente che attraverso la rete Tor, collegandovi all’oramai notissimo Torcheck e cambiando stato utilizzando il pulsante di TorButton.
Ponete un occhio ai messaggi di log che scorrono durante la navigazione e seguite l’apertura e la chiusura delle connessioni utilizzando la mappa zoomabile. Per vedere sulla mappa la rappresentazione di uno dei quattro circuiti che in ogni momento Tor tiene aperti per voi e che sono elencati sotto la mappa, vi basterà selezionarli con il mouse.

Allora ci siamo; attiviamo l’iperguida e diventiamo server. Nel pannello di controllo di Vidalia:

Cliccate sull’icona Server e spuntate l’anonima casellina “Scambia traffico per la rete Tor” che vi si presenterà. Inserite un nickname per il vostro server ed un indirizzo di posta per contatti amministrativi (ambedue facoltativi). Non spuntate per adesso la casella “Copia la directory del server”; vedremo poi perché.
Andate ora sulla linguetta “Limiti di banda”:

e selezionate il valore 256K. Non preoccupatevi per la vostra banda, è un valore di picco che non viene mai raggiunto. In ogni caso, se notaste prolungati rallentamenti potete diminuirlo, avendo cura di non scendere sottoi i 150K.

Infine, giusto per volare un po’ più bassi, selezionate la linguetta “Policy delle uscite”

e togliete il segno di spunta da “altri servizi”. Anche su questo torneremo prossimamente.
Un click sull’icona Salva ed abbiamo finito.

Contrariamente a quella del Millennium Falcon, se l’Impero non vi ha nel frattempo intercettato filtrato, la vostra iperguida sarà in piena attività, ed il vostro router Tor starà fornendo privacy a centinaia di navigatori.

Ora è il momento di leggersi religiosamente tutta l’ottima documentazione italiana presente sul sito e se necessario chiedere lumi ad amministratori navigati. Nella prossima puntata un po’ di dettagli e di tuning.

Buon lavoro.

—

Pubblicato su Punto Informatico Anno XII n. 2879 di venerdì 16 novembre 2007

Licenza Creative Commons Attribuzione-Non commerciale-Condividi allo stesso modo 2.5 Italia

Un excursus sulle tecnologie di anonimizzazione. Dopo aver compreso cosa è Tor e come si usa, e con quali tutele e cautele, ora è il momento di vedere come contribuire al suo funzionamento

Fino ad ora abbiamo considerato l’uso di Tor solo come applicazione (in gergo “client”), e descritto e risolto alcuni problemi elementari che possono compromettere l’alto livello di sicurezza e privacy ottenibile con il suo utilizzo. La rete Tor non è simile alle reti paritetiche P2P in cui tutti nodi sono uguali. I client Tor per funzionare non si connettono tra di loro ma devono obbligatoriamente connettersi a dei server, o più propriamente a dei “router” Tor.

I Router Tor non stanno lì fuori nella Rete perché ce li mettono i provider; il mestiere dei provider è fare business e l’anonimato, come anche la vicenda di Zero Knowledge ha dimostrato, non lo è. Non li ha nemmeno prescritti il medico e non sono nati sotto i cavoli. C’è qualcuno che ha deciso di metterceli e di fare anche la fatica di farceli restare.

Infatti, anche se tendiamo a dimenticarcelo, in Rete tutte le cose interessanti (ed anche quelle meno interessanti o decisamente brutte) ci sono perché qualcuno ce le ha messe, spesso volontariamente e senza essere pagato, anzi investendo il proprio tempo ed i propri soldi. Molti navigatori sembrano invece convinti di avere il diritto di prendere a man bassa senza mai dare niente, o che “dare” significhi inserire qualche post demenziale in un forum o creare un blog pieno di applet ed effetti speciali e presto abbandonarlo (non me ne vogliano i miei amici blogger che ne mantengono alcuni pieni dei migliori contenuti della Rete – sono purtroppo una minoranza).

I router Tor sono come certe bestiole simpatiche, semplicissimi da installare ma difficili da mantenere, e qualche rara volta possono anche mordervi, proprio come un cucciolo. Sono semplici da installare perché se state già usando Tor per navigare, avete già installato tutto il software necessario. È solo questione di fare un semplice cambiamento di configurazione, dopo aver controllato che il proprio PC sia sempre raggiungibile da Internet. Infatti potete “pubblicare” un router Tor solo se da Internet gli altri server possono raggiungervi. Il che vuol dire che non dovete trovarvi su una rete privata (in gergo “NATtata“) e dovete avere una connessione permanente (ADSL) tariffata flat (altrimenti poveri voi!) e non filtrata.

Solo a titolo esemplificativo, risulta che la maggior parte degli utenti Telecom Italia possono essere raggiunti, mentre la maggior parte degli utenti Fastweb sono nattati e, trovandosi in una rete privata non possono essere raggiunti da Internet. “Your mileage may vary” quindi fatevi i vostri controlli.

Ma prima di parlare di questioni tecniche ci servono un pizzico di filosofia e di leggi.

Davvero volete realizzare qualcosa col vostro e regalarlo agli altri, a gente che non avete mai visto e che non vedrette mai? Perché è questo che farete; regalerete una parte della vostra ADSL e del vostro tempo ad altri sconosciuti, tra cui anche coloro che fino ad ora l’hanno regalata a voi. Benissimo, ma nel momento stesso in cui iniziate questo cammino, vi caricate anche di una responsabilità. Un router Tor che duri poche ore o pochi giorni, oppure che si blocchi in continuazione non solo non è di nessuna utilità, ma è addirittura dannoso. Se non avete le possibilità materiali o la costanza di non stancarvi è meglio non farne di niente.

E visto che un server Tor deve stare acceso in continuazione, ne avete la possibilità?
O vi piace tanto fare quei videogame per cui è necessario fare reboot in continuazione? In questo caso potrebbe essere necessario dotarvi di un secondo pc, anche senza monitor e di modestissime prestazioni. Potete permettervi il (modesto) aumento della bolletta Enel dovuto al vostro pc sempre acceso giorno e notte? Puo’ costarvi anche 50-100 euro in più all’anno. Ed avete pensato anche al rumore? Il vostro pc è in un luogo dove non arreca disturbo, nemmeno la notte?

In questo potrebbe venirvi in aiuto realizzare una PBox, Privacy Box. Trovate qui la descrizione di alcuni prototipi e qui una mail list in cui chiedere lumi in caso di difficoltà.

Bene. Se tutti queste problemi sono per voi superabili c’è un’altra questione di cui occuparsi; la più importante di tutte, l’aspetto legale. Infatti per gestire un router, ed in particolare un nodo di uscita dalla rete Tor (il tipo più utile alla rete Tor stessa) ci si deve preoccupare anche di problemi di responsabilità legali, analoghi a quelli da affrontare prima di mettersi alla guida di un motorino.

Esattamente come per le Poste e la rete autostradale, anche la rete Tor puo’ essere utilizzata da malintenzionati od anche da veri e propri criminali. Regalare libertà e privacy a tutti “costringe” anche a non poter escludere nessuno, nemmeno i cattivi. Applicazioni per la privacy come Tor, infatti, possono funzionare solo se rendono impossibile qualsiasi tentativo di controllo, localizzazione o censura, e non ammettono mezze misure. Non esiste una “privacy abbastanza buona”.
O la privacy è totale o non esiste, proprio come una ragazza non puo’ essere “abbastanza” incinta; o lo è o non lo è. Yoda sarebbe certamente d’accordo.

Chi fosse interessato a questo tipo di considerazioni può andarsi a leggere la vicenda reale di Jap, un’applicazione per la privacy che finì per essere controllata (a fin di bene?) dalla polizia tedesca. Magari avrà fatto catturare dei criminali, ma di certo non ha offerto privacy “reale” ai suoi inconsapevoli utenti.

Mettere in rete un server Tor espone a responsabilità di tipo legale. Badate bene, responsabilità, non necessariamente conseguenze. Il fatto è che ovviamente se qualcuno usa il vostro router per accedere, ad esempio, a contenuti controversi, la connessione avrà il vostro IP, e se durante un’indagine si tentasse di ricostruire all’indietro una connessione passata attraverso il vostro ipotetico router vi potrebbero essere chieste spiegazioni. A maggior ragione se il vostro router fosse di “uscita”, tutte le connessioni fatte attraverso esso avrebbero come indirizzo quello della vostra ADSL.
Quanto segue è la mia opinione personale, ma come forse alcuni dei miei 22 lettori ricorderanno, io faccio l’ingegnere e non l’avvocato, quindi prendete tutto con beneficio d’inventario. Nella legislazione italiana esistono a riguardo due leggi significative, la legge Gasparri, o Testo Unico delle Comunicazioni ed il cosiddetto decreto Pisanu.
Nel loro complesso sanciscono due cose. L’obbligo di identificare gli utenti di un servizio pubblico di accesso alla Rete, e l’obbligo di conservare i log identificativi delle comunicazioni realizzate tramite il servizio stesso.

Secondo l’interpretazione letterale (e più comune) dei testi, l’obbligo di identificazione degli utenti sussiste solo per i fornitori diretti di accesso alla Rete, quali Internet provider commerciali oppure fornitori di accesso gratuito aperto al pubblico, come un bar od una palestra che regalino l’accesso wireless ai loro clienti.
Chi gestisce un router Tor tuttavia non fornisce accesso a fini di lucro o pubblico, perché non ha utenti identificabili, e perché le connessioni provengono solo da altri client o router Tor e non sono distinguibili tra loro perché criptate ed anche affasciate (più connessioni separate che diventano una sola).

Inoltre i router Tor non hanno informazioni utili per il tracciamento, normalmente non salvano i log, ed anche se li si salvasse essi non contengono di per sè informazioni utili per il tracciamento di una particolare connessione. Quindi, sempre secondo l’opinione e l’esperienza di chi scrive, l’unica conseguenza che potrebbe accadere al gestore di un router Tor è quella di ricevere da parte di una Autorità giudiziaria (di solito la Polizia Postale e delle Comunicazioni) la richiesta di fornire i dati di una certa connessione o tutti i log del server, che viene recapitata presso il domicilio del titolare dell’abbonamento ADSL da un messo oppure direttamente da personale coinvolto nelle indagini.

L’unica risposta possibile a richieste di questo tipo consiste nello spiegare che l’origine della connessione è un server Tor, che non è l’origine della connessione tracciata e che non è possibile risalire al suo originatore; eventualmente (se per maggiore sicurezza fossero stati conservati) potrebbe essere fornita la parte degli (inutili) log Tor richiesti.

Puo’ essere utile, per rispondere “a priori” riducendo la possibilità di ricevere la richiesta, dotare i router Tor di una pagina web che spieghi l’impossibilità di fornire informazioni e ne motivi tecnicamente e legalmente le ragioni. A conoscenza di chi scrive, questo in Italia è avvenuto poche volte (probabilmente una sola) nei parecchi anni di funzionamento di una trentina di router italiani. Ovviamente la lista del Progetto Winston Smith (pubblica, ma per postare dovete iscrivervi) è disponibile per fornire consigli e delucidazioni.

È quindi opportuno che una attività di gestione di un router Tor, attività fino ad oggi assolutamente legale in Italia, sia svolta solo da persone maggiorenni e tramite una connessione a loro intestata od intestata ad altra persona che sia assolutamente d’accordo. Questo per evitare di essere generosi sulla pelle degli altri.

Bene, spero che questa breve chiacchierata abbia chiarito le idee a molti e dato degli spunti di riflessione a parecchi. Per oggi quindi basta così e niente dettagli tecnici fino alla prossima rubrica. I frettolosi od i decisi possono comunque trovare molte informazioni sulla pagina di installazione del server sul sito Tor gestito in collaborazione da EFF e dal Progetto Tor

—

Pubblicato su Punto Informatico n. 2874 di venerdì 9 novembre 2007

Licenza Creative Commons Attribuzione-Non commerciale-Condividi allo stesso modo 2.5 Italia

La difesa dell’anonimato in rete e l’autotutela sono alla portata di tutti: terzo step nell’utilizzo di Tor, alla conquista di Privoxy. Pochi clic per un nuovo mondo
Fino ad ora abbiamo considerato l’uso di Tor come applicazione isolata, e descritto e risolto alcuni problemi elementari che possono compromettere il livello di privacy ed anonimato raggiungibile con il suo uso. Oggi affronteremo il problema da un punto di vista diverso: porremo al centro dell’attenzione non i software che girano all’interno del PC, ma piuttosto il flusso di informazioni che si muove tra il PC ed internet, indipendentemente dai programmi che lo generano.

Chi seguendo queste chiacchierate avesse installato Tor per la prima volta, si sarà probabilmente accorto che anche i siti di download più popolari di Tor come ad esempio quello di EFF propongono, accanto ai file di installazione di Tor, alcuni bundle, che contengono oltre a Tor anche altri programmi, tra cui immancabilmente Privoxy.

Che cos’è Privoxy?
Questa è facile. Privoxy è un proxy filtrante.
E perché ne abbiamo bisogno? Tor non è già lui un proxy?
Facciamo un passo indietro. Tra il nostro PC ed i server cui accediamo via Internet esiste un flusso di informazioni fatto di richieste e risposte alle richieste. Senza perdita di generalità possiamo continuare a pensare alla normale navigazione web fatta con un browser come Firefox. Usare Tor durante la navigazione “devia” questo flusso e lo costringe a fare delle tappe intermedie attraverso la rete dei router Tor prima di raggiungere la destinazione finale; questi passaggi intermedi rendono difficile correlare le richieste che raggiungono i server web e le relative risposte con l’utente che le ha generate.

Continuando ad utilizzare il modello a flusso di informazioni possiamo evidenziare due tipi di rischi per la privacy.

Il primo ed il più banale è quello di una parziale “deviazione” di questo flusso, normalmente incanalato nella rete Tor attraverso il nostro proxy Tor locale, che faccia uscire direttamente alcune informazioni su Internet, compromettendo così la privacy della navigazione. Questo esempio non è scelto a caso, perché è stato un problema delle prime release di Tor.
In pratica, quando usiamo Tor diciamo al nostro browser “usa Tor come proxy socks” ovvero “fai passare tutto attraverso Tor”.
Alcuni browser ed applicazioni Internet, certi più di altri, possono non onorare completamente questa richiesta.

La prima operazione che il browser deve compiere prima di stabilire la connessione che gli abbiamo richiesto è quella di prendere il nome del server contenuto nell’indirizzo della pagina richiesta e tradurlo nell’IP verso cui aprire la connessione. Per far questo deve aprire una diversa connessione verso un server particolare di cui già conosce l’indirizzo (il server DNS) al quale inviare il nome dell’host e riceverne il corrispondente IP. In alcuni casi questa nuova richiesta non veniva fatta passare da Tor e quindi diventava banale per un attaccante correlare l’IP di chi aveva appena richiesto l’indirizzo di un certo sito con il richiedente di una connessione anonima che arrivava immediatamente dopo allo stesso sito.
In certi casi (tipicamente bachi del browser) queste richieste potevano passare all’esterno di Tor.

Il secondo, e ancor più grave problema, è quando nel flusso di informazioni passano dati che possono far identificare l’utente. Le connessioni fatte attraverso Tor sono normali sessioni HTTP od HTTPS. Il server a cui vengono effettuate le richieste, e nel caso che si usi l’HTTP non criptato anche il router Tor di uscita e chi è in grado di sniffare il traffico, possono intercettare e raccogliere tutto quello che viene trasmesso.
Se l’utente accede a delle informazioni su un suo sito personale ma gestito da un provider, o per distrazione invia dati personali riempiendo un form, magari con il numero della sua carta di credito, il suo anonimato viene irrimediabilmente compromesso.

Il problema può essere risolto, od almeno grandemente mitigato, installando (in termini tecnici: concatenando) un secondo proxy a Tor, Privoxy appunto.
In questo caso il browser non manda più i dati direttamente a Tor, ma li invia a Privoxy, che può esaminarli ed eventualmente modificarli prima di inviarli in Rete; può così ad esempio rimuovere il nome ed il cognome dell’utente che per qualsiasi motivo fossero finiti nel flusso dei dati. Analogamente può essere configurato per intercettare la pagina in arrivo da Tor e rimuovere tutti gli script Javascript, in modo che anche se il browser fosse impostato per eseguirli il problema sia risolto “alla radice”.

Se installate Tor con il bundle dal sito di EFF vi ritroverete con Privoxy già installato e configurato, ed avrete anche Torbutton ed un pannello informativo molto utile che si chiama Vidalia, che permette di visualizzare, anche geograficamente, il routing di Tor attraverso la Rete.

Privoxy ha un dettagliatissimo pannello di controllo raggiungibile dall’indirizzo http://config.privoxy.org (indirizzo che usando Privoxy non è su Internet ma sul vostro pc!)

da cui è possibile verificare lo stato del proxy, controllare il dettaglio delle azioni compiute su una certa pagina, configurare azioni predefinite o crearne di nuove, abilitare o disabilitare opzioni.

ed infine accedere alla documentazione.

Un esercizio molto interessante che consiglio a tutti è di creare ed abilitare un filtro che sostituisca sistematicamente una parola nelle pagine in arrivo. Nel file di configurazione ce ne è uno predefinito (solo da abilitare).
Possono essere eseguite anche altre azioni più sofisticate come rimuovere le immagini provenienti da siti di pubblicità basandosi sulla loro dimensione in pixel, oppure sostituire i gif animati con il loro primo fotogramma, per evitare quella pagine frenetiche piene di animazioni.

Infine vale la pena di ricordare che, dopo averlo installato, anche un proxy filtrante funziona comunque molto meglio se c’è qualcosa collegato tra la tastiera e la sedia; niente può sostituire un po’ di attenzione e di accortezza da parte dell’utente.

Oggi abbiamo individuato una soluzione efficace ed utilissima ad una parte degli errori e delle distrazioni che si possono commettere navigando anonimamente in Rete con Tor; la prossima volta parleremo dell’installazione di un server Tor.

—
Pubblicato su Punto Informatico Anno XII n. 2869 di mercoledì 31 ottobre 2007

Licenza Creative Commons Attribuzione-Non commerciale-Condividi allo stesso modo 2.5 Italia

Roma – Qualche settimana fa la prima lezione di guida di Tor è stata accolta con interesse dai miei 23 lettori; il diluvio di fatti importanti accaduti in questi giorni pero’ aveva richiesto che Cassandra Crossing si occupasse di altri temi. Ma ogni promessa è debito, quindi eccoci qui. Come ai tempi della scuola guida pero’, lezioni pratiche vanno alternate con lezioni teoriche, quindi oggi la “lezione” sarà meno divertente perché tocca alla teoria, anzi alla teoria di base. Niente crittografia od algoritmi però, ma solo una importantissima riflessione su quello che accade realmente nel PC quando navighiamo.
La normale navigazione con un browser (useremo nuovamente Firefox come esempio) è molto più complessa di quello che sembra.
Un sacco di cose accadono “dietro le quinte” all’insaputa dell’utente che non si interessi specificamente all’aspetto informatico; un buon motivo per interessarsene almeno un po’ è appunto la difesa della propria privacy. Chi naviga percepisce distintamente di avere “il controllo” della situazione, di essere l’attore del processo in corso, di essere colui che “fa succedere” le cose.

Orbene, non è esattamente cosi; anzi non è proprio così.
Anzi non è affatto così.

Quando navigate, l’unico vostro ordine è quello di scegliere il prossimo link da visualizzare. A questo punto il browser apre un collegamento HTTP verso il server e richiede una certa pagina. Quello che viene trasmesso dal server al vostro browser sono una serie di informazioni che gli fanno compiere certe azioni.

Ai vecchi tempi della rete queste informazioni erano soltanto comandi HTML e file grafici. Il browser non sapeva fare altro che interpretare questi comandi, leggere le immagini e rappresentarli (il termine corretto è “renderizzare”) sul vostro schermo. Nessuna altra azione era possibile perché i vecchi browser (ricordate Mosaic?) sapevano fare solo questo.
Oggi fortunatamente/purtroppo le cose sono molto cambiate. I browser sanno fare un sacco di cose in più, conoscono e possono eseguire “programmi” scritti in vari linguaggi (javascript, java e vbscript sono alcuni di essi) e possono quindi compere tutte le azioni eseguite da essi sul vostro computer; in termini tecnici possiedono interpreti o runtime interni per questi linguaggi.

Cosa significa questo? Che se la pagina che il server decide di mandarvi in risposta alla vostra richiesta contiene un programma (tecnicamente uno script od un applet) scritto in uno di questi linguaggi, esso verrà eseguito dal browser che compirà le azioni richieste dal programma stesso. Normalmente si tratta di azioni che hanno lo scopo di visualizzare una pagina web più “ricca” di contenuti, e di renderne alcuni attivi.

Gli interpreti ed i runtime dei browser normalmente hanno delle limitazioni su cio’ che possono fare; ad esempio non possono passare un comando direttamente al sistema operativo, od accedere in maniera incontrollata al disco del PC. Ma gli interpreti hanno bachi che permettono di compiere anche azioni non previste, e le azioni previste possono spesso essere usate in maniera “creativamente dannosa”.

Ad esempio, un applet Java puo’ aprire una connessione ad Internet, ma solo al dominio da cui l’applet stesso è stato scaricato. Questo permette ad un server maligno di ottenere l’IP di un utente Tor; il server maligno vede arrivare la connessione da un router Tor, gli invia un applet con un identificativo casuale che, una volta eseguito dal browser, apre una nuova connessione verso il server stesso e gli invia l’identificativo. La nuova connessione viene fatta al di fuori della rete Tor e quindi rivela l’IP del PC, e l’identificativo restituito permette di associare l’IP reale alla connessione anonima. Voilà.

In realtà questo attacco non è più possibile con una configurazione di Tor “moderna” ma se ne possono realizzare di simili, solo tecnicamente più sofisticati. Ecco perché, se si desiderano connessioni anonime, è necessario disabilitare tutti gli interpreti interni al browser (Java e Javascript) rinunciando quindi a vedere correttamente tutte le pagine che contengono script. È un prezzo da pagare.

Ma c’è dell’altro. I browser moderni sono scritti con una architettura a plugin, che permette di installare applicazioni scritte da terze parti dentro il browser stesso. Queste applicazioni, senza aver bisogno di script inviati dal server, possono eseguire tutte le azioni che desiderano, limitate solo da quelle ammesse dal browser.

Esempi di plugin che probabilmente tutti possiedono nel proprio browser sono Flashplayer, Realplayer, Shockwave, Quicktime, Media Player. Tutti questi plugin possono contattare il server di origine od un altro server a piacere, molti di essi possono anche installare legalmente ulteriori applicazioni arbitrarie nel vostro browser.

Vi sembra impossibile? Allora dovreste provare a leggere gli accordi di licenza che approvate durante l’installazione o quando comprate il sistema operativo! Ma lasciamo perdere questo aspetto perché il discorso richiederebbe non un articolo ma una serie di articoli a parte. Facciamo solo un paio di esempi.

Il plugin, quando eseguito, si collega normalmente con un server dell’azienda che lo produce per verificare la presenza di aggiornamenti; in questa situazione puo’ tranquillamente (e legalmente) trasmettere dati che annullano il vostro anonimato. Anche senza considerare questa funzione, il plugin usato ad esempio per visualizzare un filmato scaricato da un server puo’ eseguire una richiesta di collegamento inserita nel filmato stesso, e siamo daccapo.

Questi sono solo alcuni dei motivi per i quali la navigazione con Tor deve dovrebbe essere eseguita con un browser diverso da quello normalmente usato, configurato “castrando” tutto cio’ che puo’ portare all’esecuzione di contenuti attivi scaricati dal server con cui ci colleghiamo.
Quindi non solo disabilitare Java, Javascript e VBscript, ma anche cancellare tutti i plugin ed i player add-on, e lasciare solo il minimo necessario di estensioni, come ad esempio TorButton.

In Firefox ad esempio, lo potete fare nel menù Tools/Add-on:

in figura potete vedere sia la pagina da cui si scaricano gli add-on che la finestra da cui si gestiscono (e cancellano!)

Far questo significa ovviamente rinunciare ad una parte delle pagine e dei siti che non funzionano senza queste opzioni; è, come dicevamo, un prezzo da pagare per poter mantenere la propria privacy e/o il proprio anonimato.

Ovviamente esistono soluzioni intermedie che portano a quantità di anonimato e sicurezza intermedie, ma anche questo sarebbe un discorso amplissimo, e ne parleremo un’altra volta.
Esiste, per la gioia di chi vuol faticare poco, una soluzione ad una buona parte dei problemi suaccennati; si chiama Privoxy e moltissime installazioni di Tor per fortuna ve la installano automaticamente.
Ma questa… questa è un’altra storia, per un’altra puntata. Se Frattini, Gentiloni e soci faranno il ponte e non avranno altre alzate di ingegno, potrebbe anche essere pubblicata la prossima settimana.

Pubblicato su Punto Informatico Anno XII n. 2866 di venerdì 26 ottobre 2007

Licenza Creative Commons Attribuzione-Non commerciale-Condividi allo stesso modo 2.5 Italia