Routage en oignon et Tor : une sécurité fondée sur plusieurs relais
Le routage en oignon ne désigne pas, à lui seul, un réseau unique. C’est une méthode qui fait passer les données par plusieurs nœuds relais, chacun ne connaissant qu’une partie du trajet. Tor en est la mise en œuvre la plus connue : son logiciel construit des circuits Tor chiffrés entre l’utilisateur et sa destination.
Cette architecture vise à renforcer l’anonymat en ligne en séparant l’adresse de départ de la destination consultée. Elle ne rend toutefois pas toute activité invisible : la confidentialité des communications dépend aussi du chiffrement utilisé par le site, de l’appareil et des habitudes de la personne qui navigue.
Comment le chiffrement multicouche protège le trajet
Pour établir un circuit standard, le navigateur Tor sélectionne généralement trois relais : un relais d’entrée, un relais intermédiaire et un relais de sortie. Le client applique plusieurs couches de chiffrement, que chaque relais retire à son tour afin de transmettre les données au saut suivant.
Le relais d’entrée connaît l’adresse IP de l’utilisateur, mais pas la destination finale. À l’autre extrémité, le relais de sortie contacte le site et connaît cette destination, sans voir directement l’adresse IP de départ. Cette séparation des informations constitue le principe de sécurité central.
Imaginons Nadia, qui consulte un site d’information avec Tor. Son fournisseur d’accès peut détecter une connexion au réseau Tor, tandis que le site voit l’adresse du relais de sortie plutôt que celle de Nadia.
À retenir sur les relais :
- Entrée : adresse IP de l’utilisateur, mais destination inconnue
- Relais intermédiaire : étape de transmission entre deux relais
- Sortie : destination connue, mais adresse IP initiale masquée
Dépendance à l’infrastructure Tor : confiance répartie, limites réelles
Une fois le circuit établi, la protection dépend de l’infrastructure Tor : des relais gérés par des opérateurs distincts, du logiciel client et des mécanismes qui recensent les nœuds disponibles. Le routage en oignon n’opère donc pas dans le vide ; il s’appuie sur un réseau vivant, dont la disponibilité et la diversité influencent les garanties obtenues.
Ce que chaque acteur peut observer
Le tableau distingue les informations généralement visibles à différents endroits du trajet. Il ne signifie pas qu’un relais est automatiquement fiable : un opérateur peut observer le trafic qui passe par son propre nœud, mais ne reçoit pas, à lui seul, toute la carte de la connexion.
| Acteur | Information généralement visible | Limite de cette visibilité |
|---|---|---|
| Fournisseur d’accès | Connexion de l’abonné à Tor | La destination finale est masquée par le circuit |
| Relais d’entrée | Adresse IP de l’utilisateur et relais suivant | Le site consulté n’est pas directement révélé |
| Relais intermédiaire | Relais précédent et relais suivant | Il ne connaît normalement ni l’utilisateur ni la destination |
| Relais de sortie | Connexion vers le serveur de destination | L’adresse IP de départ reste séparée de ce saut |
| Site consulté | Adresse IP du relais de sortie | L’identité réelle n’est pas fournie par cette adresse seule |
Pourquoi HTTPS reste indispensable
Le chiffrement multicouche de Tor protège le trajet à l’intérieur du réseau, mais la connexion entre le relais de sortie et un site ordinaire doit aussi être protégée. Avec HTTPS, le contenu échangé reste chiffré entre le navigateur et le site ; sans lui, le relais de sortie peut voir les données non chiffrées.
Les protections à combiner :
- Navigateur Tor à jour, avec ses réglages de sécurité habituels
- HTTPS pour protéger le contenu jusqu’au serveur consulté
- Prudence avec les fichiers téléchargés et ouverts hors du navigateur
- Identités séparées pour éviter de relier navigation anonyme et comptes personnels
La répartition des rôles réduit le pouvoir d’un relais isolé, mais ne supprime pas les attaques capables d’observer plusieurs points du réseau.
Analyse de trafic : ce que les circuits Tor ne peuvent pas garantir
La séparation des relais protège contre plusieurs formes de surveillance, mais Tor ne promet pas l’anonymat absolu. Un adversaire capable d’observer simultanément le trafic à l’entrée et à la sortie peut comparer les horaires et les volumes de données pour tenter de relier les deux flux.
Un réseau à faible latence face à la corrélation
Pour rester utilisable en navigation, Tor transmet les données sans les mélanger longuement à celles de nombreux autres utilisateurs. Cette faible latence facilite les échanges interactifs, mais laisse subsister des motifs temporels. L’analyse de trafic peut alors exploiter des rafales ou des séquences de paquets, sans nécessairement déchiffrer leur contenu.
La portée de cette menace dépend des capacités de l’adversaire et de la durée de l’observation. Un relais isolé ne voit qu’une partie du parcours ; un acteur capable de surveiller plusieurs points dispose d’une meilleure possibilité de comparaison. Cela ne revient pas à casser le chiffrement, mais à exploiter les caractéristiques du réseau.
Limites selon la menace :
- Relais isolé : visibilité limitée à une portion du circuit
- Observateur local : détection possible de l’usage de Tor
- Surveillance étendue : risque accru de corrélation temporelle
- Appareil compromis : protection réseau insuffisante contre un logiciel malveillant
Les habitudes peuvent révéler l’identité
Une connexion Tor ne neutralise pas les informations qu’un utilisateur choisit lui-même de fournir. Se connecter à une adresse courriel nominative, réutiliser un pseudonyme habituel ou publier des détails personnels peut relier une activité à une identité réelle.
Pour Nadia, l’adresse IP masquée ne changerait rien si elle se connectait à son compte professionnel habituel. La protection technique doit donc s’accompagner d’une séparation des usages et d’une attention particulière aux téléchargements, aux extensions et aux réglages du navigateur.
Services onion : la dépendance à Tor jusque côté serveur
Le réseau Tor peut aussi protéger l’emplacement d’un service, et pas seulement celui de son visiteur. Un service onion est accessible par une adresse en .onion et uniquement à travers Tor ; son adresse repose sur une identité cryptographique plutôt que sur un nom de domaine public classique.
Rendez-vous chiffré sans relais de sortie
Pour rejoindre un service onion, le client récupère des informations de connexion publiées par le service, puis vérifie leur authenticité. Le client et le serveur établissent ensuite des circuits distincts vers un point de rendez-vous, qui relaye leur échange sans connaître directement leurs adresses IP respectives.
Le trafic reste dans le réseau Tor : il ne passe pas par un relais de sortie vers l’Internet public. Cette organisation fournit un chiffrement de bout en bout et peut permettre d’héberger un service derrière un réseau où l’ouverture de ports entrants est impossible.
Atouts des services onion :
- Adresse IP du service non exposée au visiteur
- Authentification liée à l’adresse cryptographique du service
- Échanges maintenus à l’intérieur du réseau Tor
- Accès possible sans connexion entrante classique vers le serveur
Une protection qui repose toujours sur le réseau
Les services onion renforcent la confidentialité, mais leur disponibilité dépend des relais, du logiciel et de la bonne configuration des deux extrémités. Ils ne protègent pas un serveur piraté, un ordinateur infecté ou des données publiées volontairement par leur propriétaire.
Une organisation qui reçoit des documents sensibles doit donc protéger son système de stockage et limiter l’accès aux fichiers, en plus de proposer une adresse onion. Tor masque certains liens réseau ; il ne remplace pas les mesures de sécurité internes.
Sécurité des réseaux : choisir Tor selon son besoin
Les limites de l’analyse de trafic invitent à comparer Tor aux autres outils avec précision. Un VPN et Tor ne reposent pas sur le même modèle de confiance : le VPN concentre le passage du trafic chez un fournisseur, tandis que Tor répartit les informations entre plusieurs relais.
Tor ou VPN : deux usages distincts
Un VPN peut protéger une connexion sur un Wi-Fi public et masquer les destinations au fournisseur d’accès, mais son opérateur peut voir des éléments du trafic. Avec Tor, aucun relais ordinaire ne doit connaître simultanément l’utilisateur et la destination ; en contrepartie, les circuits ajoutent de la latence.
| Critère | Tor | VPN |
|---|---|---|
| Modèle de confiance | Informations réparties entre plusieurs relais | Confiance concentrée auprès du fournisseur |
| Adresse visible par le site | Adresse du relais de sortie | Adresse de sortie du VPN |
| Usage courant | Anonymat en ligne et accès à des services onion | Protection pratique d’une connexion réseau |
| Limite notable | Latence et risque de corrélation ciblée | Dépendance aux pratiques du fournisseur |
Adopter des gestes adaptés au niveau de risque
Le bon choix dépend de ce que l’on cherche à protéger. Pour une navigation où l’identité et les destinations doivent être séparées, Tor apporte une architecture utile ; pour sécuriser rapidement une connexion publique, un VPN peut répondre à un besoin différent.
Dans les deux cas, il faut garder les logiciels à jour et éviter de confondre anonymat et impunité. La robustesse du routage en oignon tient autant à la diversité de l’infrastructure Tor qu’à la manière dont chaque personne l’utilise.
Pratiques utiles pour réduire les risques :
- Utiliser le navigateur Tor officiel plutôt qu’un navigateur ordinaire configuré manuellement
- Maintenir le système et le navigateur à jour
- Éviter les connexions aux comptes personnels pendant une session anonyme
- Vérifier le chiffrement HTTPS avant de transmettre des informations sensibles
