Rilevare i nodi di uscita TOR: come funzionano le exit list e dove arrivano i loro limiti

Le basi di TOR e dei nodi di uscita

La rete The Onion Router (TOR) offre anonimato instradando il traffico internet attraverso una sequenza di relay gestiti da volontari in tutto il mondo. L’utente si collega a un “entry node”, il traffico viene cifrato e inoltrato attraverso diversi “middle node” e, infine, lascia la rete tramite un “exit node” prima di raggiungere la destinazione su internet pubblico. Dal punto di vista del server di destinazione, l’indirizzo IP sorgente percepito è quello del nodo di uscita TOR.

TOR ha usi pienamente legittimi, soprattutto in contesti in cui privacy, sicurezza personale o libertà di accesso sono essenziali. La stessa anonimizzazione, però, può essere sfruttata anche per attività malevole: credential stuffing, frodi, scraping aggressivo o attacchi denial-of-service. Per chi difende reti, applicazioni e servizi digitali, riconoscere e interpretare il traffico proveniente da nodi di uscita TOR è quindi un tassello importante di una strategia di sicurezza più ampia.

Come funziona principalmente il rilevamento dei nodi di uscita TOR: il ruolo delle exit list

Il metodo più diffuso, e ancora oggi più basilare, per rilevare i nodi di uscita TOR si basa su liste pubbliche di indirizzi IP noti come TOR exit node. Queste liste sono mantenute sia dal TOR Project sia da diverse organizzazioni e vendor di sicurezza. Il principio è semplice: se l’indirizzo IP di una connessione in ingresso compare in una di queste liste, con alta probabilità si tratta di un nodo di uscita TOR.

Il consensus del TOR Project e le liste delle directory authority

Il TOR Project mantiene una directory dei relay attivi, inclusi i nodi di uscita. Queste informazioni sono interrogabili pubblicamente. Le directory authority, cioè un insieme di server considerati affidabili, raccolgono informazioni dai relay, costruiscono un documento di “consensus” e lo firmano. Il consensus include dettagli su ciascun relay, come indirizzo IP, capacità dichiarate, per esempio se può operare come exit node, e uptime.

Strumenti e servizi di sicurezza possono scaricare e analizzare regolarmente questi documenti di consensus per costruire una lista aggiornata degli indirizzi IP dei nodi di uscita TOR attivi. È la fonte più autorevole per questo tipo di dato.

Aggregatori di terze parti e blacklist

Oltre ai dati pubblicati direttamente dal TOR Project, esistono numerosi servizi di terze parti e vendor di sicurezza che compilano le proprie liste. Alcuni si limitano a replicare o aggregare i dati ufficiali, altri li arricchiscono con euristiche, osservazioni sul campo o segnali storici.

Queste liste spesso classificano gli IP per livello di rischio o offrono dati retrospettivi, aggiungendo contesto rispetto al semplice stato corrente. Molti firewall di rete, WAF e sistemi di intrusion prevention si integrano con queste fonti per bloccare o segnalare il traffico TOR.

Implementazione pratica

Per la maggior parte delle organizzazioni, implementare il rilevamento dei nodi di uscita TOR significa:

• Fetching: scaricare regolarmente liste IP aggiornate da fonti affidabili.
• Storing: mantenere queste liste in un formato efficiente per le interrogazioni, per esempio hash table o alberi di intervalli IP.
• Querying: confrontare gli indirizzi IP delle connessioni in ingresso con le liste memorizzate.
• Actioning: applicare policy come blocco, rate limiting o segnalazione del traffico identificato come proveniente da un nodo di uscita TOR.

I limiti del rilevamento basato sulle exit list

Le exit list sono indispensabili per il rilevamento di TOR, ma non sono una soluzione perfetta. Per team di sicurezza, ingegneri di rete e responsabili antifrode è importante conoscerne bene i limiti, così da evitare falsi sensi di sicurezza, lacune operative o falsi positivi.

Latenza e dati non sempre aggiornati

I nodi di uscita TOR sono dinamici. Possono andare online, sparire, cambiare indirizzo IP o modificare configurazione. I documenti di consensus del TOR Project vengono aggiornati frequentemente, in genere ogni ora, ma esiste sempre un ritardo tra il momento in cui un nodo diventa attivo, la comparsa del suo IP in una lista e l’ulteriore tempo necessario perché il vostro sistema scarichi ed elabori l’aggiornamento.

In questa finestra, un exit node non ancora censito può essere usato per aggirare i controlli. Per attacchi ad alto volume o campagne che cambiano rapidamente infrastruttura, anche un aggiornamento orario può risultare troppo lento.

Tecniche di evasione

Gli attori malevoli cercano costantemente modi per superare i meccanismi di rilevamento. Una tecnica rilevante consiste nell’operare nodi di uscita TOR “non listati” o privati. Questi nodi potrebbero non dichiararsi come exit node alle directory authority di TOR, oppure essere configurati in modo da non comparire nei consensus pubblici. È una tecnica più avanzata, ma efficace contro difese basate esclusivamente sulle liste.

Un’altra forma di evasione consiste nell’usare proxy dopo l’uscita da TOR, offuscando potenzialmente l’origine TOR reale se il proxy intermedio non è già riconosciuto come IP sospetto o malevolo.

Falsi positivi e falsi negativi

• Falsi positivi: un utente legittimo potrebbe gestire un nodo di uscita TOR dalla propria rete domestica, scenario meno comune ma possibile. Se il suo IP compare in una exit list e successivamente si collega direttamente al vostro servizio, non tramite TOR, potrebbe essere classificato in modo errato. Più spesso, un indirizzo IP che in passato era un exit node ma non lo è più può generare falsi positivi se la lista è obsoleta. Inoltre, alcuni nodi di uscita condividono spazi IP con provider hosting legittimi, creando possibili ambiguità.
• Falsi negativi: sono il problema più frequente. Come visto, un nodo nuovo o privato non comparirà nelle liste e il traffico TOR potrà passare inosservato.

Contesto limitato

La presenza di un IP in una exit list dice che quell’indirizzo è un nodo di uscita TOR, ma dice poco altro. Non chiarisce l’intento dell’utente, non fornisce una posizione geografica realmente affidabile oltre alla registrazione dell’IP e non quantifica il rischio al di là dello stato TOR. Per decisioni più sfumate, serve ulteriore intelligence.

Oltre le exit list: rafforzare il rilevamento TOR

Per superare i limiti di un rilevamento basato solo sulle liste, i team di rete e sicurezza combinano di solito questo approccio con altri segnali di IP intelligence:

• Analisi ASN (Autonomous System Number): molti nodi di uscita TOR sono ospitati in datacenter e cloud provider con ASN ben riconoscibili. Non tutti gli IP appartenenti a questi ASN sono exit node, naturalmente, ma il dato può essere un forte indicatore di correlazione. Allo stesso modo, se un IP appartiene a un ASN tipicamente associato a connettività residenziale ma si comporta come un nodo di uscita TOR, è un elemento da osservare con attenzione.
• Analisi dell’hostname rDNS: il record reverse DNS (rDNS) di un IP può talvolta rivelare pattern utili. I provider hosting usano spesso convenzioni di naming coerenti. Alcuni nodi di uscita TOR possono essere riconoscibili da specifici pattern rDNS, o dalla loro assenza.
• Tipo di range hosting: distinguere tra indirizzi datacenter, residenziali e mobili aggiunge un contesto fondamentale. La maggior parte dei nodi di uscita TOR si trova in range datacenter. Un IP che mostra caratteristiche da datacenter e compare anche in una lista TOR rafforza la confidenza del rilevamento. Un IP residenziale che opera come exit node, meno comune ma possibile, richiede invece una valutazione più cauta.
• Reputazione IP e risk score: le piattaforme avanzate di IP intelligence combinano molti segnali, tra cui attività malware, spam, tentativi di brute force e stato proxy/VPN, in un punteggio di rischio complessivo. Un IP identificato come nodo di uscita TOR avrà di norma un risk score elevato, ma anche un punteggio alto senza presenza in una exit list può indicare un nuovo nodo TOR non ancora censito, un proxy sospetto o altre attività malevole.
• Analisi comportamentale: osservare i pattern di connessione, per esempio cambi rapidi dell’IP sorgente, volumi anomali di richieste da un singolo IP o salti geografici inattesi, aiuta a completare il quadro. Un IP che cambia spesso stato rispetto a TOR, o un client che ruota rapidamente tra IP presenti in exit list, può indicare automazione o abuso.

Conclusione

Il rilevamento dei nodi di uscita TOR è una componente importante della cybersecurity moderna e si basa in larga parte sull’uso di exit list pubbliche. Queste liste, soprattutto quando derivate direttamente dal TOR Project, offrono il segnale iniziale più autorevole. Tuttavia, chi progetta sistemi di difesa deve considerare con attenzione i loro limiti: latenza negli aggiornamenti, possibilità di evasione e mancanza di contesto operativo.

Combinando il rilevamento basato su liste con altri segnali di IP intelligence, come analisi ASN, rDNS, classificazione dei range hosting e risk score completi, le organizzazioni possono costruire difese più solide e adattive contro il traffico proveniente da TOR. Per esplorare questi segnali in modo pratico, è possibile verificare qualsiasi IP con lo strumento gratuito di lookup disponibile su guarda.net.