Ma première étape dans l’examen de l’anonymat est l’usage du TBB et du réseau Tor. Tor est sorti en 2002 et a depuis évolué en un outil utilisé par des millions de personnes dans le monde. Tor permet aux utilisateurs de naviguer sur internet, de discuter avec d’autres personnes et d’accéder à des “sites cachés” (des sites web avec .onion accolé à la fin, qui ne peuvent généralement pas être consultés dans un navigateur normal sur l’internet classique). Le réseau Tor est utilisé par des militants des droits et libertés, des défenseurs de la confidentialité comme moi, des lanceurs d’alerte, des journalistes et même des criminels qui font des choses illégales comme vendre de la drogue. À cause de ce dernier point, je n’aime pas le fait que Tor protège si bien les individus contre le risque de se faire prendre, mais je trouve aussi que c’est un formidable outil pour protéger votre vie privée dans un monde où nous sommes constamment surveillés et observés. C’est une position difficile : d’un côté de la rivière, vous avez des gens qui se battent littéralement pour leur droit aux libertés et à la liberté d’expression, mais de l’autre côté de la rivière, vous avez des gens qui font des choses ridiculement illégales.
Pour comprendre comment Tor fonctionne, vous devriez d’abord regarder cette image publiée par l’EFF :
En gros, vous vous connectez à un réseau qui est routé à travers trois serveurs distincts partout dans le monde avant d’envoyer des données depuis votre ordinateur vers un site web, puis de renvoyer les données dudit site vers votre système. Ces serveurs sont appelés des “nœuds” et garantissent que vos données sont entièrement chiffrées pendant leur transit vers le site de destination. Si le site auquel vous vous connectez via Tor n’utilise pas HTTPS (certificat SSL pour le chiffrement), alors la connexion entre le dernier nœud (nœud de sortie) et le serveur du site web ne sera pas chiffrée, mais vous resterez anonyme pour le site.
Le chiffrement qui a lieu se fait au niveau du paquet, voyez :
Ce qui signifie que les informations ne sont pas consultables même si elles sont interceptées en cours de route. Il existe quelques attaques connues contre les sites .onion, mais beaucoup d’entre elles relèvent d’une mauvaise configuration du serveur qui héberge le site. Un exemple parfait serait un service caché connu sous le nom de doxbin. Le serveur sur lequel il était hébergé a été saisi après 3 mois d’attaques par déni de service visant à localiser précisément son emplacement.
Pour plus d’informations sur les différentes attaques contre les services cachés de Tor, voir : https://www.google.com/search?q=.onion+attacks. Google, et probablement votre fournisseur d’accès à internet, surveillent vraisemblablement les résultats de recherche. Il serait intéressant de savoir à quoi ressemble exactement cette journalisation. Vous pouvez aussi taper “Attacks on Tor” ou “.onion attacks” dans Searx.me, un moteur de recherche qui respecte davantage la confidentialité. La seule attaque que je connaisse contre les utilisateurs de Tor consiste à exploiter les plugins qu’ils ont installés, JavaScript/Flash dans le navigateur, ou à les profiler et à récolter des bribes d’informations à leur sujet au fil du temps. Il pourrait toutefois exister des exploits zero-day à la disposition d’organismes gouvernementaux dont nous ne savons rien. Alors utiliser un VPN derrière Tor n’est pas une si mauvaise idée.
Pour tirer le meilleur parti de Tor, vous devriez vous reporter à la section sur les navigateurs, aux extensions à installer et aux préférences à changer dans votre about:config. Mais je voudrais vous METTRE EN GARDE : installer un tas d’extensions augmente vos chances d’être touché par des exploits et accroît aussi activement votre empreinte. L’idée derrière l’usage de Tor pour gagner en anonymat est d’être comme tout le monde, alors vous contenter de désactiver JavaScript/Flash tout en laissant le reste plutôt ordinaire est probablement votre meilleur pari. Les gens derrière Tor l’ont développé pour être sûr et anonyme dès une installation neuve, donc la seule chose que vous ayez vraiment à faire est de passer en revue les paramètres pour profiter des fonctionnalités intégrées.