Installare Tor Browser e verificarlo: Windows, Mac e Linux

Risorsa aggiuntiva per la lezione “Installare e verificare TOR Browser (Windows, macOS, Linux)” — corso Anonimato Online

Per installare Tor Browser nel modo giusto, il download conta quanto l’installazione. Una copia presa dal posto sbagliato può sembrare identica e lavorare contro di te. Questa risorsa ti mostra da dove arriva il browser autentico, che cosa dimostra la verifica della sua firma e come installarlo, controllarlo e avviarlo su Windows, Mac o Linux, con i tuoi tempi.

A. Perché conta

In questo corso la privacy è decidere che cosa gli altri sanno di te; l’anonimato è poter agire senza che ciò che fai venga ricondotto a chi sei. Tor Browser è uno degli strumenti principali per il secondo obiettivo: è progettato per rendere le tue visite più difficili da collegare a te. La risorsa precedente di questa sezione spiega come funziona. Questa si occupa di una domanda che viene prima, più silenziosa: il browser a cui stai per affidarti è quello autentico?

Qui la domanda pesa più che per altri programmi. Una copia modificata di uno strumento per l’anonimato può avere lo stesso aspetto dell’originale e fare il lavoro opposto, creando proprio i collegamenti che volevi allentare. Non lo capisci dalla finestra o dall’icona. Lo capisci da dove arriva il file e dalla sua firma.

Niente di tutto questo deve metterti ansia. La strada ufficiale è breve, è documentata da chi sviluppa il browser e la impari una volta sola. Le regole sull’uso di strumenti come Tor Browser variano da Paese a Paese: se hai dubbi su che cosa vale dove ti trovi, verifica prima di installarlo.

Cosa dicono le fonti

Il Tor Project, l’organizzazione senza scopo di lucro che sviluppa Tor Browser, scrive che il modo «più sicuro e semplice» per scaricarlo è il suo sito ufficiale (traduzione nostra), perché la connessione protetta da HTTPS rende molto più difficile manomettere il download. La home page del progetto è anche in italiano e il suo pulsante «Scarica Tor Browser», a novembre 2026, porta alla pagina download.torproject.org, che invece è in inglese. Per le reti in cui il sito è bloccato, le stesse pagine di supporto indicano dei mirror ufficiali, cioè copie del sito, e un servizio automatico chiamato GetTor.

Le pagine di supporto sono altrettanto chiare sulle copie a pagamento. Tor Browser è software libero e gratuito, e il Tor Project avverte che qualsiasi browser che chiede di pagare presentandosi come Tor Browser è un falso. Il consiglio è scaricarlo dalla pagina ufficiale e, dopo il download, verificarne la firma per essere sicuri di avere la versione autentica.

Non è un rischio teorico. Nel 2019 la Electronic Frontier Foundation (EFF), un’organizzazione statunitense per i diritti digitali, ha descritto una versione «trojanizzata» di Tor Browser, cioè modificata per nascondere codice malevolo, scoperta dai ricercatori di sicurezza di ESET. La copia falsa si diffondeva con finti avvisi di versione «non aggiornata», che portavano a siti con nomi simili a quello vero. Inviava inoltre ai siti uno user-agent personalizzato, la breve descrizione che ogni browser dà di sé, che secondo l’EFF ha permesso agli aggressori «di creare e seguire un’impronta molto specifica delle loro vittime» (traduzione nostra).

Gli strumenti per controllare una firma sono gratuiti e pubblici. Per Windows il Tor Project indica Gpg4win, un pacchetto di software libero il cui sito spiega che la sua realizzazione è stata sostenuta dall’Ufficio federale tedesco per la sicurezza informatica (BSI), l’autorità nazionale di cybersicurezza della Germania.

B. Concetti chiave

Sei idee che spiegano che cosa stai facendo a ogni passaggio, e perché.

La fonte ufficiale, e solo quella

Il Tor Browser autentico per computer arriva dalla pagina di download del Tor Project, che offre versioni per Windows, macOS e GNU/Linux. Se quella pagina è bloccata sulla tua rete, il Tor Project indica i mirror ufficiali, raggiungibili tramite l’EFF o La Cebolla, e GetTor, che risponde a un’email o a un messaggio Telegram con i link al download. Annunci nei motori di ricerca, siti di condivisione di file, edizioni «più veloci» o «pro» e link ricevuti nei messaggi non fanno parte dell’elenco.

Perché ti riguarda: La fonte decide tutto il resto. Un file autentico preso da un indirizzo ufficiale si può poi controllare; un file preso da un sito sconosciuto parte con una domanda a cui forse non sai rispondere.

La firma digitale e il file .asc

Accanto a ogni download il Tor Project offre un piccolo file di firma, con lo stesso nome e l’estensione .asc, indicato con il link «Sig». È una firma OpenPGP, uno standard aperto per firmare e cifrare: una specie di sigillo matematico che gli sviluppatori applicano con la loro chiave privata. Secondo il Tor Project, la firma «garantisce che un pacchetto sia stato generato dai suoi sviluppatori e non sia stato manomesso» (traduzione nostra).

Perché ti riguarda: Se anche un solo byte del programma d’installazione cambia dopo la firma, per un sito falso o un download danneggiato, la verifica non va a buon fine. È qualcosa che puoi controllare da te, invece di fidarti sulla parola.

La chiave di firma e la sua impronta

Per controllare il sigillo, il tuo computer ha bisogno della chiave pubblica degli sviluppatori. L’impronta di una chiave (in inglese «fingerprint») è una lunga sequenza di lettere e numeri che identifica una sola chiave. A novembre 2026 la pagina di verifica del Tor Project indica per la chiave di firma dei Tor Browser Developers l’impronta EF6E286DDA85EA2A4BA7DE684E2C6E8793298290. Confrontala con la pagina ufficiale stessa, non con una copia, compresa questa.

Perché ti riguarda: La verifica dimostra che un file è stato firmato con una certa chiave e non è stato modificato da allora. Vale quanto la chiave con cui la fai: per questo la chiave deve arrivare dal Tor Project, non dallo stesso posto di un download dubbio.

Che cosa la verifica non fa

Una firma valida ti dice che la tua copia è quella pubblicata dagli sviluppatori. Non ti rende anonimo e non controlla se il tuo computer è in buona salute. Non dice nulla nemmeno su ciò che fai una volta aperto il browser: le prossime risorse di questa sezione si occupano delle abitudini e dei controlli che contano lì.

Perché ti riguarda: Conoscere il limite di un controllo evita che diventi una falsa sicurezza. Risponde molto bene a una domanda, e solo a quella.

Lo strumento che fa il controllo

Le firme si controllano con GnuPG (GNU Privacy Guard), un software libero che si usa da riga di comando, cioè da una finestra di testo in cui scrivi le istruzioni. Il Tor Project spiega che su Windows puoi installarlo con Gpg4win e su macOS con GPGTools, il cui pacchetto oggi si chiama GPG Suite. Su Linux, aggiunge, di solito è già installato.

Perché ti riguarda: Installi lo strumento di controllo una volta sola e puoi riusarlo per ogni nuova versione, e per altri programmi che pubblicano firme nello stesso modo.

Il primo avvio e la finestra «Connect to Tor»

Quando avvii Tor Browser per la prima volta, spiega il Tor Project, compare la finestra «Connect to Tor» (connettiti a Tor). Le pagine ufficiali descrivono l’interfaccia in inglese, quindi qui trovi i nomi inglesi: nella versione italiana del browser possono essere tradotti. «Connect» di solito funziona senza altre impostazioni; «Configure Connection» serve per le reti censurate o che usano un proxy; l’interruttore «Always connect automatically» riusa le tue scelte la volta successiva. Se Tor è bloccato dove ti trovi, una funzione chiamata Connection Assist può suggerirti un bridge (ponte), un punto d’accesso alternativo alla rete.

Perché ti riguarda: Vedere la schermata di connessione, e scegliere di connetterti, fa parte di un’installazione corretta. Se non la vedi mai, qualcosa è diverso dall’esperienza ufficiale, e vale la pena notarlo.

C. Un esempio concreto: i due computer di Marco

Marco ha 22 anni, studia all’università a Milano e passa buona parte delle serate a giocare. Il computer fisso usa Windows; il portatile, per lo studio, usa Linux. Dopo la sezione di questo corso su sorveglianza e censura ha deciso che voleva un browser per leggere di alcuni temi senza che quelle visite stessero accanto agli account di gioco e agli accessi dell’università.

La sua prima ricerca gli ha mostrato un annuncio che prometteva un Tor Browser «più veloce, con funzioni di privacy in più». Un amico, su un forum di videogiochi, ha condiviso un link diretto a un’altra copia. Marco è stato sul punto di cliccare su entrambi. Poi si è ricordato che lo scopo era ridurre i collegamenti con lui, e che una copia impossibile da controllare sarebbe stata uno strano punto di partenza.

Che cosa è cambiato quando Marco ha seguito la strada ufficiale

Si è preso una serata, una tazza di tè e nessuna scadenza:

• È andato sul sito del Tor Project scrivendo lui l’indirizzo e ha scaricato il programma d’installazione per Windows insieme al suo file di firma .asc.
• Su Windows ha installato Gpg4win, ha importato la chiave degli sviluppatori come descrive la pagina ufficiale e ne ha confrontato l’impronta con quella della pagina prima di controllare il file.
• Sul portatile Linux GnuPG c’era già. Il primo tentativo è fallito con il messaggio «No such file or directory» (file o cartella inesistente): aveva copiato il nome di file d’esempio delle istruzioni invece di usare il nome del suo download. La pagina del Tor Project cita proprio questo errore.
• Quando entrambi i controlli hanno mostrato una firma valida della chiave dei Tor Browser Developers, ha installato il browser sui due computer, ha visto la finestra «Connect to Tor» e ha premuto «Connect».

Non ha segnalato il link del forum né si è preoccupato dell’annuncio. Li ha semplicemente ignorati e si è annotato che il prossimo aggiornamento sarebbe arrivato dal browser stesso. Le due installazioni, insieme, hanno richiesto meno tempo di quanto si aspettasse.

D. Provaci tu: installare Tor Browser e verificarlo (40 minuti)

Cinque passi su un solo computer. I tempi sono larghi per la prima volta; una seconda installazione, su un altro sistema, è molto più rapida. Le pagine ufficiali che segui sono in inglese: se qualcosa nelle istruzioni è cambiato da quando questa risorsa è stata scritta, segui le istruzioni ufficiali.

Passo 1 — Trova la pagina ufficiale e la chiave (5 minuti)

• Scrivi tu l’indirizzo del Tor Project, oppure segui il link della sezione E, invece di usare un annuncio nei risultati di ricerca o un link ricevuto in un messaggio.
• Apri in un’altra scheda la pagina del Tor Project «Verify Tor Browser’s signature» (verificare la firma di Tor Browser) e tienila aperta: la seguirai nel passo 4.
• Annota gli ultimi otto caratteri dell’impronta della chiave di firma indicata lì, così potrai riconoscerla dopo.

Passo 2 — Scarica il browser e la sua firma (5 minuti)

• Nella pagina di download per computer scegli il tuo sistema: Windows (un file .exe), macOS (un file .dmg) o Linux (un archivio .tar.xz).
• Scarica anche il file di firma corrispondente, indicato con «Sig» accanto a ogni download. Tieni i due file nella stessa cartella.
• Se il sito del Tor Project non si apre sulla tua rete, usa i mirror ufficiali o GetTor descritti nella sua pagina «Downloading», mai una copia trovata a caso.

Passo 3 — Prepara lo strumento di controllo (10 minuti)

• Windows: scarica Gpg4win dal link della pagina di verifica del Tor Project e avvia il suo programma d’installazione.
• macOS: installa GPG Suite di GPGTools, anche qui dal link di quella pagina.
• Linux: apri un terminale e controlla che GnuPG sia presente; di solito c’è già.

Passo 4 — Verifica la firma (10 minuti)

• Segui la pagina ufficiale passo per passo: spiega come scaricare dal Tor Project la chiave degli sviluppatori, salvarla in un file di chiavi (un «keyring») e controllare il download con il suo file .asc. Copia i comandi, ma sostituisci i nomi di file d’esempio con quelli dei tuoi file.
• Prima di fidarti del risultato, controlla che l’impronta della chiave coincida con quella della pagina ufficiale.
• Cerca una riga che dice «Good signature from» (firma valida da) seguita dalla chiave di firma dei Tor Browser Developers. Se l’importazione della chiave dà un errore, la pagina dice che non puoi proseguire finché non hai capito perché. Se il controllo non riporta una firma valida, non installare: scarica di nuovo dalla pagina ufficiale.

Passo 5 — Installa, avvia e controlla gli aggiornamenti (10 minuti)

• Windows (10 o 11): fai doppio clic sul file .exe e completa la procedura d’installazione. macOS (dalla versione 10.15): fai doppio clic sul file .dmg e segui i passaggi sullo schermo. Linux: estrai l’archivio, apri la cartella di Tor Browser e fai clic sul file start-tor-browser.desktop.
• Al primo avvio leggi la finestra «Connect to Tor», poi premi «Connect», oppure «Configure Connection» se la tua rete lo richiede.
• Apri il menu principale (≡) e cerca il segnale che un aggiornamento è pronto: secondo il Tor Project, un cerchio verde con una freccia verso l’alto. Quando compare, nel menu trovi la voce «Update available – restart now» (aggiornamento disponibile, riavvia ora).

Un’installazione verificata vale più di tre fatte in fretta: ora sai com’è fatta la strada autentica.

Già trattato nel corso Sicurezza Online

Scaricare app in sicurezza: decidere prima di installare
Spiega l’abitudine generale di partire dalla fonte ufficiale, dal negozio o dal sito del produttore, prima di installare qualsiasi app; questa risorsa aggiunge un modo per dimostrare, con una firma, che uno specifico strumento per l’anonimato è quello autentico.

E. Video, articoli e altre risorse

Prima le istruzioni del Tor Project, poi il contesto e lo strumento di controllo. La home page del Tor Project è in italiano; le pagine di download e di supporto, il rapporto dell’EFF e il sito di Gpg4win sono in inglese.

Pagine ufficiali del Tor Project

Tor Project — Tor Project | Anonimato in rete
La home page in italiano: che cosa fa Tor Browser e il pulsante «Scarica Tor Browser» che porta alla pagina di download ufficiale.
https://www.torproject.org/it/

Tor Project — Download Tor Browser for Desktop
La pagina di download ufficiale per Windows, macOS e Linux, con un file di firma accanto a ogni download (in inglese).
https://download.torproject.org/tor-browser-for-desktop/

Tor Project — Downloading
Perché il sito ufficiale è la fonte più sicura, e quali mirror ufficiali e quale servizio GetTor usare se è bloccato (in inglese).
https://support.torproject.org/tor-browser/getting-started/downloading/

Tor Project — Verify Tor Browser’s signature
La verifica passo per passo per Windows, macOS e Linux, l’impronta della chiave di firma e il risultato atteso (in inglese).
https://support.torproject.org/tor-browser/getting-started/verifying-tor-browser/

Tor Project — First launch
Che cosa offre la finestra «Connect to Tor» e che cosa fare se Tor è bloccato dove ti trovi (in inglese).
https://support.torproject.org/tor-browser/getting-started/first-launch/

Tor Project — Updating
Come Tor Browser ti avvisa che un aggiornamento è pronto e perché restare aggiornato conta per l’anonimato (in inglese).
https://support.torproject.org/tor-browser/getting-started/updating/

Contesto e strumenti

Electronic Frontier Foundation — Phony HTTPS Everywhere Extension Used in Fake Tor Browser
Il racconto, del 2019, di un Tor Browser falso diffuso con finti avvisi di aggiornamento e siti dal nome simile (in inglese).
https://www.eff.org/deeplinks/2019/10/phony-https-everywhere-extension-used-fake-tor-browser

Gpg4win — About Gpg4win
Che cosa contiene il pacchetto gratuito per Windows che controlla le firme e il sostegno ricevuto dal BSI tedesco (in inglese).
https://gpg4win.de/about.html

Link verificati a novembre 2026. Se un indirizzo cambia, cercare il titolo sul sito dell’ente di solito aiuta a ritrovarlo.

F. Il Framework Cyber Welfare: Competenze, Consapevolezza, Comportamento Sicuro

Questa risorsa si colloca nel Framework Cyber Welfare sul pilastro Competenze, livello FL3 – Autonomo: procurarti uno strumento per l’anonimato dal posto giusto e confermare, da solo, che è autentico.

Competenze

• Trovare la pagina di download ufficiale e le alternative ufficiali se è bloccata.
• Controllare la firma di un file con la chiave degli sviluppatori, usando GnuPG sul tuo sistema.
• Installare Tor Browser su Windows, macOS o Linux e leggere la finestra «Connect to Tor».

Consapevolezza

• Capire che una copia modificata di uno strumento per l’anonimato può creare i collegamenti che dice di eliminare.
• Sapere che cosa dimostra una firma valida, e che cosa no.
• Riconoscere nelle edizioni a pagamento, «più veloci» o «pro» di uno strumento gratuito un segnale d’allarme.

Comportamento Sicuro

• Scaricare gli strumenti di sicurezza e di anonimato solo dagli sviluppatori o dai mirror ufficiali.
• Fermarti, invece di installare comunque, quando un controllo non va a buon fine.
• Lasciare che il browser si aggiorni da sé, senza cercare nuove versioni altrove.

G. Domande su cui fermarti

• Da dove arrivavano davvero gli ultimi programmi che hai installato, e avresti potuto controllarne qualcuno?
• Se un amico ti mandasse il link al download di uno strumento per la privacy, come gli risponderesti senza farlo sentire ingenuo?
• Quali altri programmi che usi pubblicano una firma o un codice di controllo che non hai mai guardato?

H. Cosa fare adesso

Le raccomandazioni (R) e le misure di sicurezza (MS) del database Cyber Welfare che si applicano più direttamente qui.

1. Procurati il browser autentico

• R25 — Verificare l’autenticità di un’app prima di installarla: parti dalla fonte, non dal primo risultato: per Tor Browser vuol dire la pagina di download ufficiale o i suoi mirror ufficiali, e una firma che risulta valida con la chiave degli sviluppatori.
• Ignora edizioni a pagamento, annunci e link al download ricevuti da altri. Sul telefono, il Tor Project indica per Android Google Play, F-Droid o il proprio sito, e dice che per iOS non esiste un Tor Browser.

Impegno minimo: prima della prossima installazione, apri la pagina di verifica del Tor Project e leggila una volta, dall’inizio alla fine.

2. Mantienilo autentico nel tempo

• R6 — Tieni aggiornato il software: la protezione che lavora mentre non ci pensi: il Tor Project avverte che usare un Tor Browser non aggiornato ti espone «a vulnerabilità gravi e alla deanonimizzazione» (traduzione nostra), cioè al rischio che le tue attività tornino a essere collegate a te. Accetta l’aggiornamento dal menu principale (≡) quando compare.
• Considera ogni richiesta di aggiornamento che arriva da una finestra a comparsa, da un annuncio o da un messaggio, fuori dal browser, un motivo per fermarti e tornare al sito ufficiale.

Impegno minimo: la prossima volta che Tor Browser ti segnala un aggiornamento disponibile, installalo in giornata.

In breve

• Per installare Tor Browser in sicurezza parti dalla pagina di download del Tor Project, dai suoi mirror ufficiali o da GetTor, e da nient’altro.
• Il file di firma .asc ti permette di confermare che la tua copia è quella pubblicata dagli sviluppatori e che non è stata alterata.
• Una firma valida dimostra che il file è autentico; da sola non ti rende anonimo.
• Aggiornare dal browser stesso lo mantiene autentico e attuale, senza dover cercare di nuovo un download.

Scopri altre risorse aggiuntive dei corsi online del Programma Proteggi la Tua Privacy Digitale.