Plubliée il y a quelques jours, une nouvelle vidéo explique simplement d’utilité et le fonctionnement du réseau Tor. De plus en plus populaire notamment depuis les révélation de Snowden, on peut parier sans trop se tromper que les nouvelles lois françaises concernant la censure et la surveillance des communications ne feront qu’élargir l’utilisation de ce logiciel libre.

Simple d’utilisation, le réseau permet de renforcer l’anonymat et de contourner les blocages de sites Internet. Vous êtes journaliste, militant-e, ou « simple » Internaute tenant à sa vie privée et à l’accès à Internet non censuré? Tor est fait pour vous!

Plus d’articles sur Tor

Lorsque l’on utilise Tor Browser, un Firefox modifié qui permet de se connecter au réseau Tor, le module NoScript autorise javascript par défaut. Et lorsque l’on a bien appris sa leçon, on sait que javascript c’est plutôt moche question sécurité. Mais le problème qui se pose alors, c’est que sans scripts, c’est souvent le site visité qui devient moche, voir inutilisable. Dilemme…

S’il n’y a comme d’habitude pas de solution miracle, mais la FAQ du site du projet Tor propose une explication à la question que vous vous étiez peut-être comme moi posée.

Premièrement, l’équipe souligne que l’importance qu’a pris javascript dans la construction des sites aujourd’hui porte le débat non plus uniquement sur la sécurité, mais aussi sur « l’accueil » des nouveaux utilisateurs de Tor. Si les sites sont à moitié fonctionnels ou ont l’air de ne pas être consultables par le biais Tor, le risque le plus probable est que ces personnes cessent tout simplement d’utiliser car ne sachant pas configurer NoScript, ce qui n’est évidemment pas souhaitable.

D’un autre côté, le problème de sécurité reste, mais il n’est pas nécessairement résolu non plus par des choix plus restrictifs de l’utilisateur. En effet, le fait de n’accepter que les scripts de quelques sites, pourrait s’avérer aussi parlant sur vos habitudes, et surtout votre indentité, qu’une bonne paire de cookies déposés sur votre ordinateur. Ouch! N’avais pas pensé à celle-là.

Les développeurs de Tor ont ainsi équipé le Torbutton (le petit oignon vert en haut à gauche) de fonctionnalités permettant de bloquer les scripts potentiellement dangereux. Et NoScript est toujours là pour s’occuper d’éventuelles attaques jouant sur les failles éventuelles du navigateur, même si les scripts sont autorisés.

Si vous le pouvez, il est donc toujours préférable de tout bloquer à l’aide de NoScripts, mais en cas de besoin, vos arrières sont assurés. Ça n’est pas une raison pour aller regarder des vidéos en flash non plus! 😉

Pour les plus consciencieux d’entre vous, il reste la solution du système live Tails, qui probablement renforcera encore vos chances d’augmenter votre sécurité et votre anonymat…

Moralité: les outils c’est bien, mais des outils et de la réflexion c’est mieux.

L’heure est très grave pour les Iraniens. Alors que le gouvernement de ce pays est réputé pour sa très grande dureté vis à vis de la liberté d’expression sur internet, et de la circulation des informations, la nouvelle est ici tombée hier, mais la chose aurait été constatée depuis le 7/02 : le trafic SSL/TLS (soit l’accès à des pages chiffrées marquées « https » par exemple), serait bloqué.

D’après Iran Media Research, ce sont les sites basés à l’étranger qui seraient concernés, notamment Google (ainsi que Gmail), Facebook, Twitter… Les raisons de ce durcissement seraient liées à l’approche de l’anniversaire, ce samedi, de l’arrestation de deux opposants, et donc à la possibilité de manifestations appelées par l’opposition.

Selon Reporters Sans Frontières, les Proxy et les VPN, permettant de contourner les systèmes de censure seraient eux aussi touchés. Notons que c’est également le cas de Tor.

Un site prétend d’ailleurs permettre de vérifier quels sont les sites bloqués: http://www.blockediniran.com/

Page Google en Iran le 9/02

Tor contre-attaque

Les hacktivistes du réseau Tor ont un lourd passif de soutien aux militants opprimés par les dictatures, notamment en Iran. L’outil est fréquemment utilisé pour contourner les systèmes de censure et rétablir les communications privées, loin des regards indiscrets de l’État.

Pour répondre à cette nouvelle urgence, les membres de la Fondation Tor proposent en test, un outil nommé obfsproxy, et dont l’objectif est de dissimuler le chiffrement du trafic. En clair ( 😉 ), il s’agira de faire passer la communication comme étant non-chiffrée, et donc non détectée. C’est effectivement l’un des points faibles du chiffrement: ça se voit! Andrew Lewman de la fondation explique:

« L’idée est de faire ressembler votre Ferrari à une Toyota en mettant une carrosserie de Toyota au dessus de la Ferrari. »

Le principe consisterait donc à faire passer un protocole pour un autre (masquer du SSL en XMPP par exemple, XMPP étant censé être du chat).
Selon les premiers retours d’utilisateurs, malgré quelques bugs, obfsproxy fonctionnerait dans le pays.

Comment participer?

Voici des liens vers les procédures pour participer au projet obfsproxy proposé par la Fondation Tor. Les pages sont en anglais donc, dans l’urgence, désolé pour celles et ceux qui ne comprennent pas cette langue.
https://www.torproject.org/projects/obfsproxy-instructions.html.en

Le billet de la liste Tor avec quelques instructions supplémentaires importantes:
https://lists.torproject.org/pipermail/tor-talk/2012-February/023070.html

Une fois encore, je vous propose une extension de Firefox sous licence libre…
Et oui, sans même considérer les questions politiques (ou philosophiques, n’ayons pas peur des mots :P) qui peuvent motiver l’utilisation de logiciels libres, il me semble que du point de vue de la sécurité, il est toujours préférable de pouvoir comprendre comment les choses fonctionnent. C’est grâce à la mise à disposition de tous du code source que les différentes communautés du libre ont la capacité d’analyser les programmes, d’en déceler plus facilement les failles, mais aussi les éventuelles fonctionnalités nocives pour les usagers et leur vie privée.

La présence de cette extension pour Firefox dans le projet Tor Browser est à mon sens un certain gage de qualité et permet je pense d’accorder un certain crédit à l’initiative. L’Electronic Frontier Foundation (EFF) qui développe cet addon est de plus réputée pour le travail qu’elle effectue sur la question des libertés numériques des internautes. Le projet Tor auquel elle participe en est une illustration.

HTTPS Everywhere vous permettra donc de naviguer sur le web en privilégiant les sessions sécurisées SSL (d’où le https).
Quel intérêt? Et bien l’immense majorité de vos connexions sur le net sont en général en « clair ». Cela signifie qu’il est tout à fait possible de les intercepter et de les lire, surtout si vous êtes sur du Wifi.
Contrairement à ce qui se raconte et ce que peut sous-entendre le site de l’EFF à première vue, ce programme ne chiffre rien du tout. Si vous voulez parler anglais avec quelqu’un, il sera plus productif de vous adresser à une personne qui comprend cette langue… C’est la même chose pour le dialogue entre votre ordinateur et un serveur. Si le site n’est pas prévu pour proposer une connexion sécurisée, envoyer des données chiffrées ne mènera nul part!
L’extension se contente donc de vous rediriger sur les pages de sites chiffrées lorsqu’elles existent, et c’est déjà pas mal.

Elle fonctionne par défaut pour Google Search, Wikipedia, Scroogle, Mozilla, Amazon, Twitter, Facebook, bit.ly, GMX, WordPress.com blogs, The New York Times, Paypal, EFF, Tor, Ixquick et bien d’autres. La liste sera évidemment trop courte pour les explorateurs de la toile mais elle constitue un bon point de départ.
Grâce à cette page, il vous sera possible d’élargir la liste des sites pris en charge par HTTPS Everywhere. On regrettera cependant la relative difficulté de l’opération pour les novices ainsi que les explications uniquement disponibles en anglais. Mais bon, on peut pas tout avoir!

Pour télécharger HTTPS Everywhere: rendez-vous sur le site de l’Electronic Frontier Foundation.

Comment aborder la question de l’anonymat sur internet sans parler de Tor?
Le nom de ce logiciel libre ne fait pas référence au dieu du tonnerre scandinave mais il s’agit de l’acronyme de « The Onion Router » (le routage en oignon).
Il s’agit probablement de l’initiative la plus aboutie pour les internautes qui souhaitent naviguer sereinement sur le web.
Attention (MAJ du 16/10/11) : Il est difficile de savoir dans quelle mesure le réseau Tor est fiable actuellement en raison d’une découverte de chercheurs français.

MAJ du 2/06/14: Pas de nouvelles, bonnes nouvelles, Tor resterait la solution la plus efficace pour garantir un niveau acceptable d’anonymat, de l’avœu même de la NSA cette année.

Tor est un logiciel libre proposant de procurer un niveau d’anonymat assez élevé aux internautes. Son utilisation concerne tant le surf sur le web que l’envoi de mails, l’utilisation de tchats etc.
La technologie qu’il utilise est issue de recherches militaires et continue aujourd’hui d’être utilisée par les autorités, comme cela fût le cas pour l’armée américaine pendant la guerre en Irak.
Journalistes, militants, particuliers, entreprises, militaires… etc. utilisent Tor pour limiter les possibilités d’être tracés.

Le fonctionnement du réseau

Tor repose donc sur un réseau d’ordinateurs. Chaque utilisateur peut s’il le souhaite, s’enregistrer, et faire de son poste un « nœud », un relais dans le réseau.

Fig 1. Image modifiée. Original issu du site du projet Tor

Lorsque vous vous connectez via Tor pour accéder à un site, le client Tor (le logiciel que vous avez installé), va télécharger sur un serveur la liste des « nœuds ». Ce premier transfert d’informations est chiffré.

Fig 2. Image modifiée. Original issu du site du projet Tor

C’est à partir de cette liste de nœuds que le client Tor va définir un chemin aléatoire vers le serveur du site web que vous souhaitez consulter.
Là encore, les informations qui passent par le réseau sont chiffrées. Il n’est pas possible de les connaître même pour le propriétaire d’un ordinateur faisant partie du réseau et du chemin emprunté (flèches vertes).
Entre le dernier nœud et le serveur du site que vous souhaitez consulter (ici représenté par le serveur de bob), les informations sont transmises en « clair » afin que la requête soit compréhensible.

 Fig 3. Image modifiée. Original issu du site du projet Tor

 Le chemin est automatiquement modifié par Tor lorsque vous accédez à d’autres pages web afin de limiter les possibilités de vous identifier par d’autres moyens.

Le système de chiffrement

Pour que tout cela soit efficace, il est nécessaire de chiffrer un certain nombre d’informations afin que l’on ne puisse pas retrouver l’origine de la requête (votre ordinateur).

Source: xmco.fr

Dans l’exemple ci-dessus, l’utilisateur Y souhaite se connecter au site xmcopartners.com par le biais du réseau Tor. Le premier paquet de données indiquant notamment le site à consulter, est représenté ici par le cylindre blanc « data ».

Les « nœuds » du réseau Tor B,C,F et A ont chacun une clé publique (dont le chiffrage est représenté respectivement par les couleurs orange, bleu turquoise, jaune et bleu).

Le client Tor de l’utilisateur Y va donc télécharger les clés publiques de chacun des nœuds du réseau et dans l’exemple présent, va chiffrer sa requête avec quatre couches différentes. La première couche de chiffrement correspond à la clé du dernier relais (A), la seconde à l’avant dernier (F), la troisième au relais C, et enfin la dernière au relais B.
Ainsi, lorsque les données seront transmises, le nœud B pourra déchiffrer la couche du dessus (orange) avec sa clé privée, le nœud C la suivanteet ainsi de suite jusqu’au dernier nœud A qui transmettra le paquet initial en « clair » avec la demande de la page xmcopartners.com au serveur web Z.

Pour le serveur Z, c’est le nœud A qui a émis la requête et non l’utilisateur Y.

Tout au long du trajet, il est en raison de ce système, impossible de connaître l’identité de l’utilisateur Y ainsi que la destination du paquet.
Par exemple, le nœud C sait uniquement que les données viennent du nœud B, et doivent être transmises au nœud F.
Le contenu ne peut pas être connu non plus puisqu’il est toujours chiffré avec des clés publiques qui ne sont pas en relation avec la clé privée de ce relais.

Ne pas foncer tête baissée!

Évidemment, il va falloir changer vos habitudes de navigation. Comme expliqué, les données restent transmises en clair entre le dernier nœud et le serveur du site. L’anonymat est ainsi garanti, mais pas la confidentialité. Si vous envoyez un mail et signez avec votre nom et votre prénom, vous ne serez évidemment pas anonyme! (simple, mais à préciser quand même. On ne sais jamais!). Idem pour les messages sur les forum etc. Toutes les données sont à la fin transmises exactement comme si vous ne passiez pas par Tor, à la différence près que l’on ne peut pas dire à priori que vous en êtes l’expéditeur.
Chiffrer les données au départ, avant même de passer par le réseau peut-être une solution pour augmenter la confidentialité.

Pour un plus haut degré d’anonymat, il n’est pas conseillé d’utiliser Tor pour aller sur les mêmes sites que vous consultez quotidiennement. Il serait possible à l’aide de données statistiques, de faire des recoupements et potentiellement de vous identifier.

Des mises à jour sont régulièrement proposées. Il est donc conseillé de les surveiller afin de garder un logiciel le plus sécurisé possible.
Bien que cela soit l’une des propositions les plus performantes, Tor n’en est toujours pas à sa version 1.0. Cela signifie, de l’aveu même de ses concepteurs, qu’il n’est pas infaillible. Ceux-ci mettent d’ailleurs en garde les personnes ayant besoin d’un niveau d’anonymat maximal.

Pour approfondir ses connaissances et limiter les risques, vous pouvez consulter les sites suivants:
http://free.korben.info/index.php/Discussion:TOR
https://www.torproject.org/download/download.html.fr#Warning

Comment utiliser Tor?

Pour justement limiter le nombre d’erreurs lors de la navigation, je vous conseille de télécharger Tor Browser.
Il s’agit certainement de la solution la plus simple et la plus sécurisée pour naviguer sur le web (seul le navigateur Firefox qui y est embarqué est configuré pour utiliser Tor, mais rien ne vous empêche de paramétrer d’autres logiciels, comme un client IRC par exemple). Il n’y a rien à installer et un mini navigateur Firefox est inclus dans le programme. Vous serez ainsi sûr de ne pas confondre les sessions « classiques » et sessions Tor ou de ne pas faire d’erreurs en configurant votre navigateur.

Le Firefox qui est fourni intègre déjà l’extension No script. Elle permet de bloquer en particulier le javascript qui peut être utilisé pour vous identifier. Étant très répandu notamment avec le web 2.0, ne soyez pas surpris si toutes les pages ne s’affichent pas forcément aussi bien que vous pourriez l’espérer.

Ce logiciel réserve encore bien des surprises mais ce sera peut-être l’objet d’un autre article!

Site du projet Tor: https://www.torproject.org/index.html.fr