obfs4, Snowflake o WebTunnel: scegliere un bridge Tor nel 2026
Quando un censore blocca i punti d'ingresso di Tor che tutti conoscono, la risposta pratica è un bridge: un relay tenuto fuori dal directory pubblico di Tor, abbinato a un trasporto collegabile che cambia l'aspetto della connessione sul filo. Tre trasporti portano la maggior parte di questo carico nel 2026: obfs4, Snowflake e WebTunnel. Risolvono lo stesso problema — far sembrare una connessione Tor traffico consentito — ma differiscono parecchio per come si ottengono, come si nascondono e quanto sono veloci. Scegliere male raramente significa fallire subito; di solito significa che un bridge che funzionava ieri la prossima settimana smette di funzionare.
Cosa hanno in comune i bridge
Il manuale del Browser Tor descrive i bridge come relay esclusi dal directory pubblico di Tor, così che un censore non possa elencarli come fa con i relay ordinari; il travestimento lo gestisce il trasporto collegabile davanti al relay. I tre tipi principali seguono questo schema, e tutti e tre si possono selezionare o richiedere dalle impostazioni di connessione del Browser Tor, come documenta la sezione del manuale sull'elusione della censura insieme alle opzioni integrate. L'altra proprietà comune è meno rassicurante: un bridge è un indirizzo IP come qualsiasi altro e, se un censore lo conosce, può bloccarlo come qualsiasi altro. La disponibilità non è immunità. Per questo la distribuzione ha un suo lavoro di ingegneria — rdsys, la riscrittura di BridgeDB da parte di Tor, esiste per decidere quali righe di bridge arrivano a quali utenti.obfs4, lo standard consolidato
obfs4 avvolge il traffico Tor in byte dall'aspetto casuale e senza firma stabile, ed è quello con la traiettoria operativa più lunga dei tre. La documentazione comunitaria di Tor riassume il compromesso in una riga quando confronta i trasporti: obfs4 è veloce e collaudato, ma difficile da distribuire. La casualità tiene contro il fingerprinting di protocollo, ma l'indirizzo del bridge resta esposto allo scanning, e più a lungo una riga circola, maggiore è la probabilità che un censore l'abbia già catalogata. Per questo le lamentele su obfs4 raramente riguardano la velocità; la lamentela è che i bridge molto usati e di lunga vita tendono a smettere di funzionare. Per una spiegazione passo passo di come obfs4 costruisce le sue connessioni, vedete il nostro articolo precedente.Snowflake, assemblato con volontari
Snowflake prende una strada diversa per sopravvivere. Il punto d'ingresso è un proxy gestito da un volontario, e il traffico è vestito da WebRTC, la famiglia di protocolli dietro le chiamate video e vocali del browser. Il sito del progetto descrive un traffico instradato attraverso proxy gestiti da volontari in paesi non censurati — un travestimento che rende costoso per un censore intervenire, perché bloccarlo significa bloccare gli schemi di traffico delle videochiamate di tutti i giorni. La configurazione è la più semplice delle tre: Snowflake è incluso nel Browser Tor come trasporto selezionabile, e il progetto recluta capacità tramite un componente aggiuntivo del browser. Il prezzo è la prestazione. I proxy dei volontari variano in banda e vanno e vengono, e la documentazione comunitaria di Tor classifica Snowflake come l'opzione più lenta del trio. Aspettatevi una latenza più alta e meno prevedibile di quella di un bridge dedicato, con la qualità di ogni sessione che dipende dal volontario che la sta portando in quel momento.WebTunnel, Tor travestito da HTTPS
WebTunnel è il più recente dei tre; l'implementazione di riferimento sul GitLab di Tor risale ad agosto 2022. Si basa su HTTPT, un protocollo di tunneling costruito su HTTP, e la documentazione comunitaria descrive l'intento senza giri di parole: travestire il traffico Tor da navigazione web HTTPS. Di fronte all'ispezione approfondita dei pacchetti mette il censore davanti alla scelta più difficile possibile, perché filtrare WebTunnel significa degradare il HTTPS ordinario, l'unico protocollo che la maggior parte delle reti non può permettersi di rompere. I costi stanno dal lato dell'operatore: montare un bridge WebTunnel richiede un server Linux con accesso root, un nome di dominio, record DNS, un certificato TLS valido e un proxy inverso come NGINX, Caddy o Apache, con Docker come alternativa. La stessa documentazione avverte che i bridge appoggiati a un dominio costano denaro e possono diventare un singolo punto di guasto. Per l'utente tutto questo non conta: un bridge WebTunnel arriva come una riga da incollare nel campo dei bridge.Aspettative realistiche
- obfs4: il più veloce e il più collaudato. Prendete righe nuove attraverso il flusso di richiesta del Browser Tor e aspettatevi che quelle popolari vengano bloccate col tempo.
- Snowflake: configurazione più facile e un travestimento che cavalca il traffico delle videochiamate, al prezzo di una velocità più lenta e variabile.
- WebTunnel: la risposta più forte al fingerprinting di protocollo, dipendente da operatori disposti a mantenere domini e certificati.