Tor : Les lacunes et faiblesses du réseau anonyme
Le réseau Tor est de plus en plus populaire avec la prise de conscience collective vis-à-vis de la protection des données personnelles sur internet. Je vous ai déjà proposé des articles sur le réseau Tor lui-même ou sur le Dark-Net en général, mais je ne vous ai pas encore parlé des défauts du « Projet Tor ». Et des défauts il y en a… Je vous propose de découvrir sur cette page en 8 points pourquoi ce réseau est loin d’être parfait en terme de protection de la vie privée de ses utilisateurs…
Cet article est inspiré du blog restoreprivacy.com qui traite des questions de vie privée sur internet en anglais.
Aujourd’hui, de nombreuses personnes utilisent le réseau Tor pour lancer des alertes, faire passer des informations dans des pays répressifs ou plus généralement pour échapper à une surveillance d’état généralisée sur internet.
Selon Roger Dingledine (Co-fondateur de Tor) et d’autres développeurs clés de Tor, il est très important pour le gouvernement Américain que, les personnes qui ont besoins d’anonymat sur internet adoptent massivement Tor, pour utiliser Tor à leurs propres fin. Et cet objectif a été largement remplis : Tor est largement utilisé dans de nombreux pays pour sécuriser un accès à internet.
Mais Tor est-il vraiment un outil fiable en terme de vie privée ?
1. Tor est compromis (et n’est plus anonyme)
Les personnes qui font la promotion de Tor sur internet oublient souvent de préciser que les gouvernements peuvent s’ils le souhaitent dé-anonymiser un utilisateur sans difficulté.
En 2013, le Washington Post avait publié un article disant que des agences gouvernementales américaines avaient découvert comment retrouver l’identité des utilisateurs Tor sur une « grande échelle » :
Depuis 2006, selon une étude de 49 pages simplement intitulée « Tor » l’agence aurait travaillé sur plusieurs méthodes qui, si elles réussissaient, permettraient à la NSA de dévoiler le trafic anonyme à «grande échelle» – en surveillant efficacement les communications entrantes et sortantes du réseau Tor, plutôt qu’en essayant de les suivre à l’intérieur. Un type d’attaque par exemple, identifierait les utilisateurs par des différences minimes dans les heures d’horloge de leurs ordinateur.
D’autres sources rapportent que des agences gouvernementales coopéraient avec des chercheurs pour « casser » ou exploiter Tor pour dé-anonymiser ses utilisateurs :
Puis, en juillet, des conférenciers très attendus à la conférence sur le piratage Black Hat ont été brutalement annulés. Alexander Volynkin et Michael McCord, universitaires de l’Université Carnegie Mellon (CMU), ont promis de révéler comment un kit de 3 000$ pourrait révéler l’identité des adresses IP des services cachés de Tor, ainsi que de leurs utilisateurs.
Sa description ressemblait étrangement à l’attaque documentée par le projet Tor au début du mois. La méthode de Volynkin et McCord permettrait de dé-anonymiser les utilisateurs de Tor grâce à l’utilisation de vulnérabilités récemment révélées et à une «poignée de serveurs puissants». En outre, la paire a affirmé avoir testé les attaques en condition réelles.
Donc, en 2015 deux chercheurs avaient déjà réussi à faire vaciller l’anonymat du réseau Tor pour quelques 3000$ de budget…
En 2016, on apprenait finalement que ces chercheurs avaient été commandités par le gouvernement Américain pour trouver les failles du réseau Tor :
ARS Technica écrira en Février 2016 :
Un juge fédéral à Washington a confirmé ce que l’on soupçonnait déjà fortement: des chercheurs de la Carnegie Mellon University (CMU) de l’ingénierie logicielle ont été embauchés par le gouvernement fédéral pour mener des recherches sur les failles de Tor en 2014.
L’année suivante, en 2017, plus de preuves sont apparues pour montrer comment le FBI pouvait surveiller les activités des utilisateurs du réseau.
La méthode qui permet au FBI de découvrir l’adresse IP des utilisateurs Tor reste confidentielle. En 2017, le bureau d’investigation a refusé d’expliquer comment ils avaient obtenu les informations permettant ainsi à un réseau de pédophiles utilisant le réseau Tor de repartir libres. D’après le Tech Times :
Dans ce cas, le FBI a réussi à violer l’anonymat promis par Tor et les moyens utilisés pour rassembler les preuves sur le Dark Web constituent un sujet sensible. La technique est précieuse pour le FBI, le gouvernement préférerait donc compromettre cette affaire plutôt que de divulguer le code source utilisé.
« Le gouvernement doit maintenant choisir entre la divulgation d’informations classifiées et le rejet de son acte d’accusation », a déclaré la procureure fédérale Annette Hayes.
L’info est lancée : Le FBI, et probablement d’autres agences gouvernementales peuvent retrouver les utilisateurs anonymes du réseau Tor.
Utiliser le réseau Tor n’est donc pas conseillé si vous voulez rester anonyme vis-à-vis des gouvernements.
2. Les développeurs de Tor coopèrent avec les agences gouvernementales Américaines
Les utilisateurs de Tor seraient surpris de savoir à quel point les développeurs du projet Tor coopèrent avec les agences gouvernementales américaines.
La journaliste américaine Yasha Levine, a été en mesure de clarifier cette coopération en posant ses questions directement à son gouvernement (FOIA).
Dans ces échanges rendus publiques par la journaliste, le co-fondateur de Tor Roger Dingledine mentionne la coopération du DOJ américain (Department Of Justice) et du FBI, ainsi que la mise en place de « Backdoors ».
Je vous laisse le lien vers le document complet ici.
Dans un autre échange rendu public, un développeur de Tor (Steven Murdoch) avait découvert une faille avec la façon qu’utilisait Tor pour gérer le chiffrage TLS. Cette vulnérabilité rendait l’identification des utilisateurs de Tor plus simple et cela pourrait intéresser les gouvernements. Connaissant les problèmes que cela pourrait causer, Steven a décidé de garder ces fichiers confidentiels.
8 Jours plus tard, Roger Dingledine renseignait 2 agents du gouvernements à propos de cette faille…
La faille a ensuite été rendue publique par Tor… 4 ans après que son co-fondateur en ait parlé au FBI.
Il existe d’autre documents publics montrant de nombreux échanges entre les développeurs du projet Tor et les agences gouvernementales Américaines.
3. Un mandat ? Pas besoin avec Tor !
Un autre cas intéressant concernant le Projet Tor, date de 2016 quand le FBI a pu infiltrer le réseau Tor pour démanteler un groupe de pédophiles.
D’après le Tech Times :
Le FBI (Federal Bureau of Investigation) aux US, peut espionner les utilisateurs qui utilisent le navigateur Tor pour rester anonymes sur le Web.
Le juge Henry Coke Morgan, Jr. de la Cour de district américaine, a déclaré que le FBI n’avait pas besoin d’un mandat pour pirater le système informatique d’un citoyen américain. La décision du juge de district a trait à une opération du FBI appelée Opération Pacifier, qui visait un site de pornographie enfantine appelé PlayPen sur le Dark Web.
L’accusé a utilisé Tor pour accéder à ces sites Web. L’agence fédérale, avec l’aide d’outils de piratage informatique en Grèce, au Danemark, au Chili et aux États-Unis, a pu attraper 1 500 pédophiles au cours de l’opération.
Bien que cette affaire ait permis la capture de dangereux pédophiles, cela met aussi en avant les vulnérabilités de Tor en tant qu’outil d’anonymat plébiscité et utilisé par les journalistes, les lanceurs d’alertes et les opposants politiques du monde entier.
Dans ce cas le juge a bien précisé que « Le FBI n’avait pas besoin d’un mandat pour pirater le système informatique d’un citoyen américain »(cela vous laisse imaginer les précautions prises par ces services pour les étrangers). Cela ouvre la porte pour de l’espionnage de masse via le réseau Tor par toutes les agences américaines, et bien sûr cela remet largement en question la pertinence d’utiliser les services de Tor pour les personnes voulant diffuser une information dangereuse.
4. Tor fondé par le gouvernement américain
J’ai oublié de mentionner plus tôt, quelque chose qui va probablement vous faire me regarder sous un jour nouveau. J’ai un contrat avec le gouvernement des États-Unis pour créer une technologie d’anonymat et la déployer. Ils ne voient pas cela comme une technologie d’anonymat, bien que nous utilisions ce terme. Ils y voient une technologie de sécurité. Ils ont besoin de ces technologies pour pouvoir rechercher les personnes qui les intéressent, pour pouvoir disposer de lignes d’informations anonymes, leur permettant d’acheter des produits à des personnes sans que les autres pays déterminent ce qu’ils achètent, combien ils achètent et où ça va, ce genre de chose.
— Roger Dingledine, co-fondateur de Tor, Discours de 2004
Cet extrait à lui seul devrait faire réfléchir tous les lanceurs d’alerte avant d’utiliser Tor.
Le réseau Tor date des années 90 quand le Bureau National Naval et DARPA ont voulu créer un réseau anonyme à Washingtown DC. Ce réseau baptisé « Routeur Onion » transmettait les requêtes de point en point avant d’atteindre un point de sortie (ça vous rappelle quelque chose ?).
En 2002, la version Alpha de Tor Project sortait, développée par Paul Syverson (Office of Naval Research), Roger Dingledine et Nick Mathewson tous les deux sous contrat pour DARPA. Ce trio travaillant avec le gouvernement Américain, a développé Tor jusqu’à aujourd’hui.
5. Tor est financé par le gouvernement américain
Je vous l’avais déjà expliqué dans mon article de présentation de Tor : Le projet Tor est financé par le gouvernement Américain !
Le tout est de savoir si ce sponsoring est bénéfique ou nuis à la garantie d’anonymat de Tor.
Après une étude des échanges financiers entre Tor et le gouvernement américain, Yasha Levine déclare :
En termes simples: les données financières ont montré que Tor n’était pas l’organisation anti-État qu’elle prétendait être à la base. C’est une entreprise militaire. Elle possédait même son propre numéro de référence contractuel militaire au gouvernement des US.
Lors d’une recherche de fonds pour le projet en 2005, Tor indique même que ses donateurs auront « un pouvoir d’influence sur la direction des recherches et développement ».
6. Tor : un outil du gouvernement américain
Le gouvernement des États-Unis ne peut pas créer un système d’anonymat pour tout le monde et l’utiliser ensuite uniquement pour eux. Parce que chaque fois qu’une connexion serait établie, les gens diraient: «Oh, c’est un agent de la CIA qui regarde mon site Web», s’ils sont les seuls à utiliser le réseau. Il faut donc que d’autres personnes utilisent le réseau pour qu’elles se mélangent.
— Roger Dingledine, co-fondateur de Tor, Discours de 2004
Ce que cette déclaration implique est très sérieux : Si vous utilisez le réseau Tor, vous aidez directement le gouvernement américain. Votre trafic sert en fait à masquer le trafic des agents du renseignement américain comme l’explique Dingledine.
L’objectif original – et actuel – de Tor est de dissimuler l’identité en ligne des agents et des informateurs du gouvernement américain lorsqu’ils sont sur le terrain: collecte de renseignements, mise en place d’opérations d’infiltration, accès aux ressources de renseignement humaines d’un moyen de faire rapport à leurs gestionnaires – ce genre de choses . Cette information est disponible, mais elle n’est pas très connue et les promoteurs ne la soulignent certainement pas.
Vous n’entendrez jamais les personnes qui font la promotion de Tor dire à quel point il est important pour le gouvernement américain de pousser le plus de monde possible à utiliser ce réseau d’anonymat. C’est un sujet tabou que les avocats de Tor préfèrent éviter.
7. N’importe-qui peut gérer un nœud Tor : un hacker, un espion ou une agence gouvernementale
Lorsqu’on découvre le principe du réseau, sa nature axée autours de la décentralisation semble être un gros point positif. Mais bien qu’il y ait des avantages à la décentralisation, celle-ci amène aussi son lot de problèmes… Le principal étant que n’importe-qui peut opérer les nœuds du réseau Tor qui vont servir à router le trafic. Il est arrivé plusieurs fois que des personnes mal intentionnées aient mis en place un nœud Tor pour récupérer des informations sur ses utilisateurs.
Un étudiant de 22 ans avait, il y a quelques années, mis en place un réseau de nœuds Tor compromis un peu partout dans le monde (sur des serveurs distants) pour récupérer des informations sur les utilisateurs. Penser que les agences gouvernementales du monde entier n’en ont pas tiré parti serait naïf…
La question fondamentale est qu’il n’existe pas de véritable mécanisme de contrôle de la qualité permettant de contrôler les opérateurs de nœuds Tor. Non seulement il n’y a pas de mécanisme d’authentification pour la configuration des nœuds, mais les opérateurs eux-mêmes peuvent également rester anonymes.
8. Les nœuds Tor compromis existent bel et bien
Comme si les nœuds Tor contrôlés par le gouvernement ne suffisent pas, vous devez également prendre en compte les nœuds Tor malveillants.
En 2016, un groupe de chercheurs a présenté un document intitulé «HOnions: vers la détection et l’identification des HSDir de Tor ayant un comportement déplacé», décrivant comment ils ont identifié 110 relais Tor malveillants.
Au cours de la dernière décennie, des infrastructures de protection de la vie privée telles que Tor se sont avérées très efficaces et largement utilisées. Cependant, Tor reste un système pratique avec une variété de limitations et ouvert à l’abus. La sécurité et l’anonymat de Tor reposent sur l’hypothèse que la grande majorité de ses relais sont sains et ne se comportent pas mal. Plus particulièrement, la confidentialité des services cachés dépend du bon fonctionnement des répertoires de services cachés (HSDirs). Dans ce travail, nous introduisons le concept d’Honney Onions (HOnions), un cadre permettant de détecter et d’identifier les HSDirs compromis et qui espionnent. Après le déploiement de notre système et sur la base de nos résultats expérimentaux sur une période de 72 jours, nous détectons et identifions au moins 110 relais de ce type. De plus, nous révélons que plus de la moitié d’entre eux étaient hébergés sur une infrastructure cloud et ont retardé l’utilisation des informations apprises pour éviter une traçabilité facile.
Comment (bien) utiliser Tor ?
Il reste possible d’utiliser Tor de manière plus sécurisée si vous voulez absolument accéder à un site ou service sur un site en .onion.
Pour cela, je vous conseille d’utiliser un VPN en plus du navigateur Tor. Toute votre connexion internet passe par le VPN rendant votre connexion anonyme et le réseau Tor vous permet d’ajouter une couche de protection et d’accéder aux sites onion du réseau.
Il est possible de configurer une connexion VPN à plusieurs niveaux avec Tor, la configuration que je vous conseille est la suivante :
Vous => VPN => Tor => Internet
Faites bien attention de choisir un VPN qui n’est pas installé dans un pays faisant partie d’une Alliance de surveillance, qui pourrait transmettre des informations de connexion à des agences gouvernementales sur demande.
