Pourquoi TOR ne garantit pas l’anonymat

Dernière modification le 27 août 2023

Comment fonctionne TOR ?

TOR utilise des serveurs appelés des nœuds entre votre ordinateur et le serveur cible qui héberge le site web que vous souhaitez accéder.

Admettons par exemple que vous souhaitez accéder à http://www.google.fr, nous l’appellerons le nœud E.

Vous êtes le nœud A, et vos données vont passer par le nœud B aussi appelé le nœud d’entrée, puis C et enfin D qui sont tous dispersés quelque part dans le monde.

Jusqu’à là c’est simple, notre adresse IP est masquée car Google ne verra que l’adresse IP du dernier nœud, qui aussi appelé le nœud de sortie (D), avant d’atteindre le serveur cible . Il verra donc uniquement l’adresse IP du nœud D.

Reprenons le tout sous forme schématique :

Les données entre le dernier nœud, donc ici D et le serveur cible (matérialisées par la couleur verte) ne sont pas chiffrées au sein du réseau Tor, car il faut naturellement que le serveur cible (Google ici) puisse les lire pour communiquer…

Ainsi, le point sensible du réseau se situe à ce niveau : le serveur de sortie peut être contrôlé par une personne malveillante, ou le trafic peut être observé avant d’arriver au serveur de destination.

La solution est bien entendu d’utiliser TLS (HTTPS) afin de chiffrer ces données entre le dernier nœud et le serveur. C’est le même principe que pour les VPN.

Le cas NSA

La NSA (National Security Agency), et sûrement pas qu’elle, utilise des serveurs nœuds aussi. Il leur est donc possible d’analyser le trafic.

Le trafic peut être enregistré mais encore faut-il qu’ils sachent de quel serveur les données proviennent. Nous avons en effet vu qu’un certain cheminement (aléatoire) se produit.

C’est pour cela que les serveurs de la NSA se synchronisent entre eux à l’aide d’un entête ou d’une structure spécifique.

Il n’est pas garanti à 100% qu’ils trouvent l’ordinateur initial mais la possibilité n’est pas non plus exclue pour autant.

Enfin, rappelez vous lorsque le FBI avait frappé fort en piratant un site web afin d’y injecter du code JavaScript malicieux :

« Une vulnérabilité dans Firefox 17 a été utilisée par la FBI pour arrêter un amateur de pornographie enfantine. Le réseau TOR lui-même n’a pas été compromis, mais un code JavaScript a été injecté dans certaines pages web visitées par les utilisateurs. Un malware était alors exécuté pour contaminer le pc des victimes. Ce même malware communiquait en dehors de Tor la véritable adresse IP de la cible, permettant cette fois de la localiser sans soucis.«

Ce code permettait de créer une connexion directe entre l’ordinateur initial et le serveur du FBI, donnant ainsi directement l’adresse IP de la personne recherchée.

Difficile de dire que cela soit un scandale, le FBI avait une bonne raison de procéder ainsi. Et l’on peut même se contenter du résultat.

Cela dit, le particulier qui ne fait rien de mal peut se sentir espionné de façon démesurée. Encore faudrait-il définir ‘rien de mal’ ?

Pour conclure ce point : les failles existent partout, et les autorités ont souvent des moyens techniques et humains pour prendre la main sur les technologies.

Le dark web, un lieu dangereux (?)

Ce que nous avons vu concerne certes des actes de surveillance plus ou moins ciblés. Mais cela était sans compter le fait qu’on peut se retrouver entouré de cybercriminels en naviguant sur le réseau TOR…

Loin de moi l’idée de vouloir effrayer, je me contenterai de vous citer les grands types de contenus que vous pouvez y trouver : services de piratage, arnaques, terrorisme, pornographie illégale, vente d’armes, vidéos de torture…etc. Pas convaincu que ce soit le lieu le plus intéressant du web pour un internaute « moyen » souhaitant « simplement » devenir anonyme…

Certains pourront rétorquer qu’on reste maître de ses choix et qu’on n’est pas obligé d’y lire ces contenus. C’est juste. Mais alors pourquoi risquer la surveillance et la baignade en eaux troubles alors qu’il existe des façons plus sûres et rapides d’anonymiser une connexion ? Voir plus bas.

Un mot sur les keyloggers

Vous pouvez utiliser TOR autant que vous voulez, si un programme malveillant s’exécute sur votre ordinateur, il récupérera toutes vos données sans aucun problème.

C’est le même principe que de se faire espionner par une caméra de surveillance derrière vous pendant votre navigation. L’anonymat est relatif et l’on parle de cela dans les détails dans l’article dédié : Être anonyme sur Internet

Note en passant : il ne s’agit pas ici que de viser TOR et uniquement lui. Cela concerne de manière générale tous les outils d’anonymisation et même tous les outils de sécurité ou systèmes utilisés.

Faut-il quand même utiliser TOR ?

L’idée n’est ici pas de dire que TOR est plus mauvais qu’un VPN, ou je ne sais quoi. C’est plutôt de dire qu’il n’y a pas forcément de meilleur service qu’un autre pour protéger son anonymat et que cela dépend plutôt des besoins de chacun.

Avantages de TOR :

Gratuit
Accès aux sites .onion
Anonymat technique suffisant
Lutte contre la censure

Désavantages de TOR :

Plus lent que les VPNs et bien sûr qu’une connexion classique
Risques divers (cités précédemment)
Adresses IP connues : possibilité de bloquer les visiteurs utilisant TOR
Accès limité par défaut au web via le navigateur TorBrowser

Quelle méthode alternative ?

Il serait exagéré de dire qu’un VPN garantit mieux l’anonymat que TOR.

Mais peut-être qu’ils « conviennent » mieux pour une utilisation classique d’Internet ? C’est effectivement une question de préférences, de praticité… et de budget.

Les VPN n’ont pas les désavantages de TOR : ils sont plus rapides, moins risqués et plus difficiles à repérer/bloquer. De plus, ils permettent de chiffrer toute la connexion du système par défaut : web, mais aussi mails, jeux vidéos, etc…

Mais ils sont payants ! Cet aspect commercial n’est pas forcément un désavantage non plus. Car il ajoute une responsabilité à l’éditeur : il doit tenir à la réputation de son business et reçoit les fonds pour maintenir son service à jour et sécurisé… C’est dans son intérêt donc d’être performant (aussi bien niveau fonctionnalités, vitesse et anonymat).

Mais cela n’exclut pas la possibilité qu’un service soit malveillant, ou que les autorités n’aient pas la main dessus.

Voici divers services VPNs testés et recommandés :