Tor Browser : comment trois relais empêchent de savoir qui tu es et ce que tu visites en même temps

Un VPN (voir l'article dédié) déplace la confiance vers un seul fournisseur, qui voit techniquement tout le trafic qui passe par lui. Tor Browser repose sur une idée différente : répartir cette confiance entre plusieurs relais indépendants, dont aucun ne détient jamais l'information complète à lui seul.

Le routage en oignon, le principe central

Tor, pour "The Onion Router" (le routeur en oignon), fait transiter chaque connexion par trois relais différents plutôt qu'un seul. Avant l'envoi, la connexion est chiffrée en plusieurs couches successives, une par relais prévu sur le trajet, un peu comme les pelures superposées d'un oignon. Chaque relais ne retire qu'une seule couche de chiffrement, juste assez pour savoir où transmettre la connexion ensuite, sans jamais voir le contenu réel ni l'ensemble du trajet.

Pourquoi aucun relais seul n'a l'information complète

Le relais d'entrée connaît l'adresse IP réelle de la personne qui se connecte, mais ne sait pas quel site elle cherche à visiter au bout du chemin. Le relais du milieu ne connaît ni l'un ni l'autre : il se contente de transmettre la connexion entre le relais d'entrée et le relais de sortie. Le relais de sortie, lui, voit le site final visité, mais ignore complètement qui a initié la connexion à l'origine. Cette séparation délibérée, développée à l'origine par le laboratoire de recherche de la marine américaine avant d'être rendue publique, puis maintenue aujourd'hui par la Tor Project, une organisation à but non lucratif, garantit qu'aucun acteur unique sur ce trajet, ni même l'ensemble des relais pris séparément, ne peut relier une identité à une destination sans compromettre plusieurs relais différents en même temps.

Les adresses .onion, l'anonymat pour le serveur aussi

Tor permet aussi d'héberger des services accessibles uniquement via une adresse en .onion, invisible pour un navigateur classique et absente des moteurs de recherche traditionnels. Ce mécanisme protège l'anonymat dans les deux sens : pas seulement celui de la personne qui visite un site, mais aussi celui de l'organisation qui l'héberge, un usage réel pour des rédactions de presse dans des pays où la censure est active, ou pour des plateformes de signalement sécurisé de journalistes.

Ce que Tor ne chiffre pas : le trafic après le nœud de sortie

Un point souvent mal compris mérite d'être clarifié : Tor anonymise le trajet de la connexion, il ne chiffre pas automatiquement le contenu échangé avec le site final. Si ce site n'utilise pas lui-même le HTTPS (voir l'article sur le phishing pour ce que ce chiffrement garantit), le relais de sortie voit passer le contenu en clair, exactement comme n'importe quel intermédiaire réseau non fiable le ferait. Des relais de sortie malveillants, mis en place volontairement pour observer ou modifier ce trafic non chiffré, ont déjà été identifiés et retirés du réseau par le passé. La règle reste simple : Tor protège le "qui parle à qui", pas automatiquement le contenu de ce qui est dit, qui dépend toujours du chiffrement propre au site visité.

Le cas Harvard, une leçon sur ce que Tor protège vraiment

Un incident survenu en 2013 illustre bien une autre limite, différente, de Tor. Un étudiant de Harvard avait envoyé une fausse alerte à la bombe via Tor pour éviter de passer un examen final. Techniquement, le réseau Tor n'a jamais été compromis dans cette affaire : l'université n'a eu besoin que de consulter les journaux de connexion de son propre réseau Wi-Fi, et a remarqué qu'un seul appareil avait utilisé Tor à peu près au moment de l'envoi du message. Être la seule personne à utiliser Tor sur un réseau surveillé et restreint a suffi, à elle seule, à réduire la liste des suspects à une poignée de personnes, sans qu'il ait été nécessaire de percer le moindre chiffrement. La leçon dépasse ce cas précis : l'anonymat que Tor procure sur le trajet réseau ne protège pas contre une déduction faite à partir du contexte dans lequel il est utilisé.

Le compromis vitesse, le prix de l'anonymat

Faire transiter chaque connexion par trois relais séparés, potentiellement situés sur des continents différents, ajoute un délai réel par rapport à une connexion directe. Tor Browser reste, de ce fait, sensiblement plus lent qu'un navigateur classique ou qu'un VPN, un compromis assumé en échange du niveau de séparation qu'aucun VPN seul ne peut offrir.

Points de vigilance

• Utiliser Tor reste légal dans la grande majorité des pays, même si certains régimes très restrictifs en bloquent ou surveillent activement l'usage
• Se connecter à un compte personnel identifiable (email, réseau social) via Tor annule une bonne partie de l'anonymat recherché, puisque le service visité connaît alors directement l'identité de la personne malgré le trajet anonymisé
• Comme le rappelle le cas Harvard, le contexte d'utilisation (être un cas isolé sur un réseau restreint et surveillé) peut trahir une identité sans qu'aucune faille technique ne soit en cause

Pour qui

Tor Browser s'adresse à quiconque a besoin d'une séparation forte entre son identité réseau et les sites qu'il visite, journalistes, sources sensibles, ou simplement toute personne soucieuse de ne pas laisser une seule entité centraliser l'ensemble de son historique de navigation. Ce n'est pas un outil pensé pour la vitesse ni pour l'usage quotidien généraliste, mais pour les situations où cette séparation compte réellement plus que le confort.