Tor è sicuro? Tor contro una VPN, onestamente (2026)
“Tor è sicuro?” è una delle domande più comuni sulla privacy - e la risposta onesta è per lo più sì, con riserve reali. Tor è una rete di anonimato gratuita e rispettata, usata da giornalisti, ricercatori e persone attente alla privacy in tutto il mondo. Ma non è magia, e usarlo male può minare la protezione che offre. Questa guida spiega cosa protegge davvero Tor, dove è carente e come si confronta con una VPN.
La risposta breve
- Tor è sicuro da usare e legale nella maggior parte dei Paesi. È open source, verificato e gestito da una rispettata organizzazione no-profit.
- Non è invincibile. Tor nasconde da dove ti connetti, ma il tuo comportamento, gli exploit del browser e il sito di destinazione possono comunque smascherarti.
- Tor e una VPN risolvono problemi diversi - e a molte persone una VPN serve meglio per la privacy di tutti i giorni.
Come funziona Tor (e perché ciò lo rende abbastanza sicuro)
Tor (“The Onion Router”) invia il tuo traffico attraverso almeno tre relay gestiti da volontari prima che raggiunga il sito web. Ogni relay conosce solo il salto precedente e quello successivo, quindi nessun singolo relay vede contemporaneamente chi sei e cosa stai facendo. Quel routing a strati (a “cipolla”) è ciò che dà a Tor una forte anonimato contro un osservatore che sorveglia un singolo punto.
Dove Tor è carente
Il design di Tor ha limiti reali e ben documentati:
- Velocità. Il routing attraverso tre relay rende Tor lento - va bene per navigare, frustrante per lo streaming o i download di grandi dimensioni.
- Nodi di uscita. Il traffico lascia la rete Tor attraverso un nodo di uscita. Se visiti un sito non HTTPS, quel gestore di uscita potrebbe vedere il tuo traffico. (Usa sempre HTTPS; il Tor Browser aiuta.)
- Non protegge tutto. Tor anonimizza il traffico che passa attraverso di esso. Accedi a un account personale, abilita gli script o scarica un file che poi apri fuori da Tor, e puoi de-anonimizzarti.
- Può attirare l’attenzione. In alcune reti, il semplice uso di Tor è visibile (anche se i bridge aiutano), pur essendo legale.
Gli exploit del browser sono il rischio vero, non la rete
Il punto qui sopra sugli exploit del browser non è teorico, e il luglio 2026 ne ha dato un esempio da manuale. CVE-2026-10702 è una falla nel compilatore JIT (just-in-time) JavaScript di Firefox, nel modo in cui tracciava l’aliasing di memoria attorno all’operazione MObjectToIterator. Il risultato: esecuzione di codice arbitrario dentro il processo di rendering del browser, innescata da nient’altro che la visita di una pagina. Mozilla l’ha classificata High e corretta in Firefox 151.0.3; erano interessate le versioni dalla 147 alla 151.0.2. Nebula Security l’ha divulgata e ha pubblicato materiale di exploit funzionante mirato a una build Android ARM64.
Perché riguarda Tor: il browser Tor è Firefox. È costruito sul ramo ESR di Firefox, quindi la sua esposizione dipende da quale versione ESR porta ogni release: Tor Browser 15.0.19, uscito il 21 luglio 2026, è stato rebasato su Firefox 140.13.0esr. Per essere precisi su ciò che è accertato e ciò che non lo è: i ricercatori che hanno divulgato la falla non hanno pubblicato l’elenco esatto delle versioni di Tor Browser colpite, e al 28 luglio 2026 non risultava pubblicamente alcun uso contro utenti reali. Diffida di qualunque affermazione che vada oltre.
La lezione è strutturale, non legata a una singola CVE. Qui la rete Tor ha protetto perfettamente l’anonimato dei suoi utenti; il punto debole era il browser che ci sta sopra. Un exploit del renderer esegue codice sulla tua macchina, dove può leggere quello che stai facendo prima ancora che raggiunga la rete: esattamente la classe di attacco contro cui tre relay non possono nulla.
Due cose riducono davvero questo rischio:
- Aggiornare. Tor Browser si aggiorna da solo per impostazione predefinita: non disattivare l’opzione e controlla Menu > Aiuto > Informazioni su Tor Browser dopo ogni falla pubblicata.
- Alzare il cursore di sicurezza. Un bug del JIT non può scattare se JavaScript non gira mai. Il livello Safest di Tor Browser «disabilita JavaScript per impostazione predefinita su tutti i siti»; Safer lo disabilita «su tutti i siti non HTTPS». Safest rompe buona parte del web moderno, ed è esattamente lo scambio che vale la pena fare quando la posta in gioco è reale.
Tor contro una VPN
Vengono spesso confusi, ma proteggono cose diverse:
| Tor | VPN | |
|---|---|---|
| Obiettivo | Anonimato (nascondere chi sei) | Privacy da ISP/rete + mascheramento IP |
| Modello di fiducia | Nessuna singola parte vede tutto | Ti fidi di un fornitore (sceglilo senza log) |
| Velocità | Lenta | Veloce |
| Costo | Gratuito | A pagamento (alcuni piani gratuiti) |
| Uso quotidiano | Navigazione sensibile | Privacy generale, streaming, Wi-Fi pubblico |
Una VPN instrada il tuo traffico attraverso un unico server cifrato: nasconde la tua attività al tuo ISP e alla rete locale e maschera il tuo IP, a piena velocità - ma devi fidarti che il fornitore non registri log. Tor distribuisce la fiducia su molti relay per un anonimato più forte, ma lentamente. Per la privacy quotidiana della maggior parte delle persone - Wi-Fi pubblico, bloccare il tracciamento dell’ISP, cambiare regione - una VPN affidabile senza log è la scelta pratica; Tor è lo strumento per esigenze di anonimato davvero sensibili.
Quindi, Tor è sicuro? In conclusione
Sì - Tor è sicuro e affidabile per ciò per cui è progettato: l’anonimato. Usa il Tor Browser ufficiale, attieniti a HTTPS, non accedere ad account identificativi e non aspettarti velocità. Sii solo chiaro su cos’è: Tor nasconde chi sei al costo delle prestazioni, mentre una VPN offre una rapida privacy quotidiana dal tuo ISP e dalla rete. Molte persone usano una VPN ogni giorno e ricorrono a Tor quando l’anonimato conta davvero. Per il quadro più ampio, vedi Tor Browser e cos’è la crittografia.
Domande frequenti
È illegale usare Tor?
Nella maggior parte dei Paesi, no - usare Tor è perfettamente legale, e su di esso fanno affidamento giornalisti, ricercatori, attivisti e persone comuni attente alla privacy. Alcuni regimi autoritari lo limitano o lo monitorano. Tor è uno strumento; ciò che è illegale è l’attività illegale, indipendentemente dallo strumento. Usare Tor per navigare normalmente non è un reato nelle democrazie.
Tor è più sicuro di una VPN?
Proteggono cose diverse, quindi “più sicuro” dipende dal tuo obiettivo. Tor offre un anonimato più forte perché nessuna singola parte vede sia la tua identità sia la tua destinazione. Una VPN offre una privacy quotidiana più veloce e pratica, ma richiede di fidarsi di un fornitore. Per l’anonimato sensibile, Tor; per la privacy generale e la velocità, una VPN affidabile senza log. Alcune persone li combinano.
Posso essere tracciato mentre uso Tor?
È molto più difficile, ma non impossibile. Puoi essere de-anonimizzato accedendo ad account personali tramite Tor, abilitando script rischiosi, con exploit del browser o scaricando file che apri fuori da Tor. Visitare siti non HTTPS espone il traffico al nodo di uscita. Usare il Tor Browser ufficiale con le impostazioni predefinite e HTTPS riduce drasticamente questi rischi.
Tor Browser è stato colpito dalla falla JIT di Firefox del luglio 2026?
In parte, e la risposta onesta è che le informazioni pubbliche si fermano prima di un elenco di versioni. CVE-2026-10702 è un bug del compilatore JIT di Firefox, classificato High da Mozilla, corretto in Firefox 151.0.3 e che riguarda le versioni dalla 147 alla 151.0.2. Tor Browser è costruito sul ramo ESR di Firefox e non sulla linea principale, e i ricercatori che hanno divulgato la falla non hanno pubblicato quali release di Tor Browser contenessero il codice vulnerabile. Al 28 luglio 2026 non era documentato alcuno sfruttamento contro utenti reali. La condotta pratica non dipende dalla risposta: tieni attivi gli aggiornamenti automatici e porta il cursore di sicurezza su Safest, che disabilita JavaScript su tutti i siti e toglie quindi del tutto il JIT dalla superficie di attacco.
Dovrei usare una VPN con Tor?
Puoi, ed è un’opzione per modelli di minaccia specifici - per esempio, una VPN senza log può nascondere al tuo ISP il fatto che stai usando Tor. Per la maggior parte degli utenti aggiunge complessità per poco guadagno, e una configurazione errata può nuocere anziché aiutare. Se vuoi soprattutto privacy quotidiana e velocità, una VPN da sola di solito basta; se hai bisogno di anonimato profondo, il Tor Browser da solo è ben progettato per questo.