<metaname="description"content="URL: https://linuxfr.org/news/https-tor-vpn-de-quoi-est-ce-que-ca-protege-exactementTitle: HTTPS, Tor, VPN: de quoi est‐ce que ça protège exactement?...">
<divclass="col-main cell cell--auto"><!-- start custom main top snippet --><divid="results-container"class="search-result js-search-result"></div><!-- end custom main top snippet -->
Title: HTTPS, Tor, VPN: de quoi est‐ce que ça protège exactement?
Authors: Collectif
Ysabeau, antistress, mathrack, tisaac, Davy Defaud, ZeroHeure, voxdemonix, Arcaik, Xavier Claude, Nils Ratusznik, palm123, Yves Bourguignon, Nicolas Boulay, dzecniv, sebas, gle, Florent Zara, Trollgouin, Maderios, aurel, Bruno, Benoît Sibaud, Bisaloo, koon, Coles, Olivier HUMBERT, Pierre Tramal, Poupy-Le-Vicieux, jean_r et cracky
Date: 2018-03-02T17:03:21+01:00
License: CC by-sa
Tags: https, tls, tor, vpn, vie_privée, vie-privée et privacy
Score: 6</p>
<p>La dépêche « <ahref="/news/proteger-sa-vie-privee-sur-le-web-exemple-avec-firefox">Protéger sa vie privée sur le Web, exemple avecFirefox</a> » (février2018) a ouvert <ahref="/news/proteger-sa-vie-privee-sur-le-web-exemple-avec-firefox#comment-1731111">desquestions</a> sur la protection par HTTPS, Tor etVPN. Ces techniques protègent, mais contre quoi et dans quelles limites? Cet article essaie de l’expliquer plus en détails. N’ayez pas l’illusion d’être totalement protégés en utilisant l’une d’elles: soit, elle ne permet pas vraiment ce que vous croyez, soit il faut l’utiliser d’une certaine façon ou la compléter d’autres précautions pour avoir le résultat attendu.</p>
<p>En effet, pour bien dissimuler votre navigation il faut tenir compte des limites techniques. C’est comparable au chiffrement de vos courriels (même de bout enbout) qui peut être insuffisant pour dissimuler entièrement votre message à un espion. Parexemple, si vous chiffrez votre courriel, mais que celui-ci a pour objet «j’ai desmorpions» ou que vous l’adressez à <codeclass="language-plaintext highlighter-rouge">sos-morpions@sante.gouv.fr</code>, le contenu et les pièces jointes de votre message ont beau être chiffrés, un espion peut quand même en avoir une relativement bonne idée, car les <ahref="http://libre-ouvert.toile-libre.org/?article180/rassurez-vous-il-ne-s-agit-que-de-metadonnees-vraiment-mais-ne-s-agit-il-pas-que-de-votre-vie-privee-en-fait">métadonnées</a> et l’objet ne sont pas chiffrés.</p>
<p><imgsrc="https://live.staticflickr.com/2145/2333243258_a2d1976efd_b.jpg"alt="I feel like a secret detective, par binkle_28, sous CCBY-SA2.0"/><em>I feel like a secret detective, parbinkle_28, sousCCBY-SA2.0</em></p>
<hr/>
<hr/>
<p>#HTTPS</p>
<p>HTTPS n’a pas été conçu pour dissimuler l’identité (techniquement, le <em>hostname</em>, ou nom d’hôte) du site accédé.</p>
<h3id="fonctionnement-et-limites-du-procédé">Fonctionnement et limites du procédé</h3>
<p>HTTPS consiste à chiffrer les échanges HTTP avec <ahref="https://fr.wikipedia.org/wiki/Transport_Layer_Security">TLS</a> (originellement, du SSL). Toute la requête HTTPS est donc chiffrée, le chemin mais aussi le nom d’hôte (contenu dans l’en‑tête <codeclass="language-plaintext highlighter-rouge">Host</code>). Cependant, le nom d’hôte (l’adresse du site Internet) peut fuiter d’autres manières. Parexemple, parce que la requête DNS du nom est faite juste avant la requête HTTP. Mais ce qui le donne le plus souvent est l’extension <ahref="https://fr.wikipedia.org/wiki/Server_Name_Indication">SNI</a>, qui donne justement le nom en clair à l’initiation de la connexion TLS.</p>
<p>SNI n’a pas comme objectif principal de détruire la vie privée mais simplifie le fonctionnement quand la communication est chiffrée. Il permet à un serveur Web qui possède plusieurs certificats de présenter celui que le client attend. Il permet aussi à un répartiteur de charge d’envoyer la requête sur le bon serveur sans devoir déchiffrer le TLS (et peut donc gérer plus de connexions). Une nouvelle version, EncryptedSNI, permet justement de cacher ce nom de domaine. Elle est en cours de déploiement par les navigateurs et les serveursWeb.</p>
<p>Le HTTPS ne cache pas non plus l’adresse IP de destination.</p>
<h3id="attaque-de-lhomme-du-milieu">Attaque de l’homme du milieu</h3>
<p>Il est relativement aisé de procéder à une attaque [[MITM]] et ainsi d’accéder au contenu de la communication enclair: votre employeur qui a installé le certificat de son autorité de certification interne sur votre poste (vous chiffrez alors sans le savoir avec la clé de votre employeur…), votre FAI ou une agence gouvernementale qui a accès aux certificats d’une autorité supposée de confiance, etc. Le système de «sécurité» de votre employeur peut aussi être obsolète, on a pu voir des boîtes noires communiquer en SSL et non plus en TLS vers Internet, ce qui peut entraîner des fuites de données en plus de celle extraite du serveur mandataire (proxy) menteur.</p>
<h2id="exemples">Exemples</h2>
<p>Mettons de côté l’attaque par déchiffrement décrite ci‑dessus, et supposons qu’un espion qui ne peut pas déchiffrer ma communication souhaite en savoir plus sur mes activités en ligne, voici des exemples de ce qu’il pourra observer.</p>
<p>Lorsque je navigue en HTTPS sur Wikipédia, cet espion qui intercepterait ma requête saurait que j’accède à l’encyclopédie et pourrait en déduire que je la consulte. L’espion ne pourrait cependant pas pouvoir savoir quelle page de Wikipédia je consulte. Par conséquent, il ne pourrait pas savoir sur quel sujet je me renseigne étant donné que Wikipédia est un site généraliste.</p>
<p>En revanche, dans le cas où je me connecte, toujours en HTTPS, à un site spécialisé, le sujet qui m’occupe pourrait être déduit de la thématique du site car l’identité du site est elle‑même connue. Parexemple, le sujet qui m’intéresse pourrait être inféré à partir de l’identité du site si je consulte <codeclass="language-plaintext highlighter-rouge">www.j-ai-des-morpions.org</code>.</p>
<h2id="conseil-technique">Conseil technique</h2>
<p>L’extension multi‐navigateur <ahref="https://www.eff.org/https-everywhere/">HTTPSEverywhere</a>, développée (sous licence libre GPL version2+) collaborativement par l’<em>Electronic Frontier Foundation</em> (<ahref="https://supporters.eff.org/donate">pagededon</a>) et <em>TheTorProject</em> (<ahref="https://donate.torproject.org/pdr">pagededon</a>), permet de recourir, à chaque fois que cela est possible, àHTTPS.</p>
<p>Cela évite:</p>
<ul>
<li>d’une part, que le contenu transféré puisse être lu par ceux qui les intercepteraient (exemple: vos identifiants et mot de passe deconnexion);</li>
<li>d’autre part, que ce contenu puisse être modifié par ces mêmes personnes.</li>
</ul>
<p>Mais, si vous souhaitez dissimuler l’identité du site accédé, cette technique doit être couplée à l’une de ces deux techniques: Tor ou VPN et qu’un serveur tiers puisse prendre facilement la place du serveur que vous voulez visiter (dans le cas d’un DNS menteur, parexemple).</p>
<h1id="tor">Tor</h1>
<p>Tor, est un réseau décentralisé qui permet de faire passer sa connexion par un circuit composé de trois relais (serveurs) différents. Ainsi le premier sait uniquement d’où vient le trafic, l’intermédiaire ne sait rien, et le dernier sait uniquement où va le trafic. Par conséquent, nul ne peut connaître à la fois l’expéditeur et le destinataire.</p>
<p>Tor n’est pas limité au Web uniquement, mais permet l’utilisation de tout protocole réseau basé sur <ahref="https://fr.wikipedia.org/wiki/Transmission_Control_Protocol">TCP/IP</a>.</p>
<p>Le recours à Tor peut recouvrir deuxhypothèses:</p>
<ol>
<li>l’accès à un site Web «classique» (c’est-à-dire extérieur àTor) en passant par le réseau Tor pour bénéficier d’un anonymat renforcé;</li>
<li>l’accès à une version du site proposée au sein même de Tor (un tel site est doté d’une adresse en <em>.onion</em>) pour bénéficier d’un anonymat encore accru et/ou contourner la censure desites.</li>
</ol>
<h2id="exemple">Exemple</h2>
<p>Sans quitter Tor, vous pouvez vous rendre sur Facebook à l’adresse <ahref="https://en.wikipedia.org/wiki/Facebookcorewwwi.onion">https://facebookcorewwwi.onion</a>. C’est l’adresse d’un serveur qui appartient à Facebook et qui n’est accessible que depuis le réseau Tor. L’on sait que Facebook peut servir à mobiliser, à informer et à s’informer dans les pays répressifs: ce serveur peut permettre de contourner une éventuelle censure (plus<em><ahref="https://www.lemonde.fr/pixels/article/2014/11/07/facebook-s-invite-sur-le-reseau-anonyme-tor_4518801_4408996.html">ici</a></em>).</p>
<p>##Conseil technique
Il est facile de mal utiliser Tor. Par exemple, si les requêtes de DNS passent par le réseau «normal», on peut en déduire ce que vous tentez de joindre.</p>
<p>C’est pourquoi il est très fortement conseillé d’utiliser le <ahref="https://www.torproject.org/download/download-easy.html.en">Tor Browser</a>, un navigateur libre, multi‐système et développé par le <ahref="https://torproject.org/"><em>TorProject</em></a>. Il est basé sur <ahref="https://donate.mozilla.org/fr/">FirefoxESR</a> et développé grâce à la collaboration (notamment financière) deMozilla. Il inclut pardéfaut des extensions comme HTTPS Everywhere (évoquée ci‑avant) uBlockOrigin ou NoScripts, visant à protéger la vie privée et à supprimer les traces que vous pourriez laisser sur leWeb.</p>
<p>Il faut aussi rappeler que les nœuds de sorties peuvent voir le trafic à destination des sites que vous visitez. Celui-ci peut intercepter votre trafic s’il est en clair (parexemple, si vous n’utilisez pas HTTPS).</p>
<h2id="dons">Dons</h2>
<p>Si vous souhaitez soutenir Tor, enFrance, vous <ahref="https://nos-oignons.net/Donnez/index.fr.html">pouvez faire undon</a> à l’association <ahref="https://nos-oignons.net/">Nosoignons</a>, qui maintient un certain nombre de nœuds de sorties. Vous pouvez aussi donner directement au <ahref="https://donate.torproject.org/pdr">TorProject</a>.</p>
<p>#VPN (Virtual Private Network)</p>
<p>Un VPN fait «sortir» votre connexion Internet (pas seulement le Web) à une autre adresse par un tunnel chiffré. Il est donc impossible d’intercepter des communications en clair à la sortie de votre machine.</p>
<p>##Explications techniques
Votre machine établit un tunnel chiffré avec un serveur VPN et route tout le trafic par le tunnel, sauf le trafic chiffré lui-même (eh oui, sinon ça ne marcheraitpas).</p>
<p>Le serveur VPN se charge alors d’acheminer votre trafic à bon port via sa connexion Internet. Tout le trafic sur votre interface réseau se résumera à une connexion <ahref="https://fr.wikipedia.org/wiki/User_Datagram_Protocol">UDP</a> ou <ahref="https://fr.wikipedia.org/wiki/Transmission_Control_Protocol">TCP</a>, au choix, à un seul serveur (celui du service VPN).</p>
<p>Dans le cas d’<ahref="https://fr.wikipedia.org/wiki/OpenVPN">OpenVPN</a>, c’est le serveur qui décide des routes à configurer sur le client.</p>
<p>Même si l’on en parle souvent pour changer d’adresse IP, un réseau privé virtuel (<em>Virtual Private Network</em>) peut fournir un réseau local virtuel. Donc, vous pouvez par exemple installer un serveur chez vous, mettre un VPN dessus et, une fois connecté, accéder à votre réseau comme si vous étiez à la maison.</p>
<p>Attention au <ahref="https://www.dnsleaktest.com/results.html">DNSLeak</a>: si vous contactez les serveurs DNS de votre FAI, ça revient à leur donner les sites que vous visitez… autant rester enHTTPS!</p>
<p>##Exemples
Si vous achetez un abonnement chez un fournisseur de VPN par crainte de voir vos données capturées par les méchants FAI, le VPN permettra effectivement de cacher votre trafic de votre FAI. Sur Internet, votre adresse IP publique aura changé. Cependant, c’est maintenant l’opérateur du service VPN qui peut regarder votre trafic!</p>
<p>Il est donc crucial de bien <ahref="https://le-routeur-wifi.com/pourquoi-pas-utiliser-vpn-gratuits/">serenseigner sur la politique de protection desdonnées</a> du fournisseur VPN que vous choisirez. Certains fournisseurs de service VPN (souvent gratuits) procèdent en effet au même type de récolte/revente des données que les FAI: passer par leur service revient donc à ne rien utiliser dutout!</p>
<p>Si l’idée vous prenait d’utiliser un réseau Wi‑Fi public qui n’est pas chiffré, comme on en trouve dans certains bars, cafés, restaurants, gares et aéroports, alors les communications enclair (sanscrypto) peuvent être interceptées et analysées. La meilleure solution, c’est, soit d’éviter ces connexions, soit d’utiliser des protocoles de communications chiffrés avec vérification de la clé (parexemple, HTTPS signé ou SSH). Dans la plupart des cas, les conditions d’utilisation de ces points d’accès devraient vous refroidir. Mais si vous devez absolument utiliser des connexions non chiffrées, alors un VPN est le bienvenu pour protéger vos communications.</p>
<p>##Conseil technique</p>
<ul>
<li>utiliser ce <ahref="https://github.com/Angristan/OpenVPN-install">script pour installer OpenVPN</a> ou <ahref="http://www.pivpn.io/">PiVPN</a>;</li>
<li>dans le futur, <ahref="https://en.wikipedia.org/wiki/WireGuard">WireGuard</a> sera peut-être une solution intéressante; pour le moment, il n’en existe encore qu’une version expérimentale ducode.</li>
</ul>
<h1id="utilisation-conjointe-de-tor-et-dehttps">Utilisation conjointe de Tor et deHTTPS</h1>
<p>Pour voir l’effet de l’utilisation conjointe de Tor et de HTTPS, consultez<ahref="https://www.eff.org/pages/tor-and-https">cesite</a>. Ci‑dessous, la traduction des instructions que vous trouverez en anglais sur lesite.</p>
<p>Les données potentiellement visibles comprennent: le site que vous visitez (<em>site.com</em>), votre nom d’utilisateur et mot de passe (<em>user/pw</em>), les données que vous transmettez (<em>data</em>), votre adresse IP (<em>location</em>) et si vous utilisez ou nonTor (<em>tor</em>):</p>
<ul>
<li>cliquez sur le bouton «Tor» pour voir les données visibles par les espions lorsque vous utilisez Tor; le bouton devient vert pour indiquer que Tor estallumé;</li>
<li>cliquez sur le bouton «HTTPS» pour voir les données visibles par les espions lorsque vous utilisez HTTPS; le bouton devient vert pour indiquer que HTTPS estactivé;</li>
<li>lorsque les deux boutons sont verts, vous voyez les données visibles par les espions lorsque vous utilisez les deuxoutils;</li>
<li>lorsque les deux boutons sont gris, vous voyez les données visibles par les espions lorsque vous n’utilisez aucun des deuxoutils.</li>
</ul>
<h1id="annexe-i2p-linvisible-internet-project">Annexe: I2P, l’Invisible Internet Project</h1>
<p><ahref="https://geti2p.net">I2P</a> est une autre solution pour surfer de manière anonyme. Quand l’objectif de Tor est d’abord d’accéder à l’Internet «normal» de manière anonyme et ensuite de pouvoir se connecter à des sites accessibles seulement au réseau Tor (<em>Tor hidden services</em>), I2P permet, quant à lui, en premier lieu, d’accéder aux sites <codeclass="language-plaintext highlighter-rouge">.i2p</code> (ainsi que d’en publier) et, dans une moindre mesure, (il existe moins de portes de sorties) d’accéder à tout l’Internet. Quelques applications sont également accessibles: forum, tchat, partage de documents, téléchargement de torrents ou courriel interne auréseau.</p>
<p>Vu de loin, I2P fonctionne sur les mêmes principes que Tor, par couches de chiffrement successives. Basé sur un fonctionnement pair à pair, I2P est plus décentralisé. Ainsi, sa recherche initiale de pairs ne repose pas sur une liste connue à l’avance, et est adéquate pour un téléchargement detorrents.</p>
<p>Tor est beaucoup plus utilisé, la question se pose de savoir si I2P pourrait passer à l’échelle. Tor a fait l’objet de plus de recherche et son chef de projet est connu. À l’inverse, les développeurs d’I2P sont uniquement connus par leurs pseudonymes et ils considèrent ne pas avoir eu assez de revues de code par la communauté scientifique pour valider le système et passer officiellement à la fameuse version1.</p>
<p>C’est en évaluant les différences et le niveau de sécurité désiré que l’on opte pour l’une ou l’autre solution.</p>
<p>Le client officiel est en Java et il existe le client <ahref="https://github.com/PurpleI2P/i2pd">i2pd</a>, écrit enC++ pour une meilleure consommation des ressources.</p>
<h1id="annexe-internet-ne-sarrête-pas-aunavigateur">Annexe: Internet ne s’arrête pas aunavigateur!</h1>
<p>Si vous utilisez Debian et le gestionnaire de paquets <ahref="https://fr.wikipedia.org/wiki/Advanced_Packaging_Tool">APT</a>, vous utilisez peut‐être le protocole HTTP pour contacter un dépôt et ainsi récupérer les mises àjour et les paquets àinstaller. Cependant, cette utilisation est potentiellement risquée (<ahref="https://fr.wikipedia.org/wiki/Attaque_par_rejeu">attaque parrejeu</a>, <em>cf.</em><ahref="https://unix.stackexchange.com/questions/317698/yum-install-http-is-this-safe">1</a> et<ahref="https://isis.poly.edu/~jcappos/papers/cappos_mirror_ccs_08.pdf">2</a> ou <ahref="https://fr.wikipedia.org/wiki/Attaque_de_l%27homme_du_milieu">attaque de l’homme dumilieu</a>, <em>cf.</em> le récent <ahref="https://lists.debian.org/debian-security-announce/2019/msg00010.html">CVE-2019-3462</a>). Le paquet <ahref="https://packages.debian.org/search?keywords=apt-transport-https">apt-transport-https</a> permet de chiffrer la partie HTTP de ce trafic Internet. Si vos miroirs habituels sont compatibles, ouvrez votre fichier <codeclass="language-plaintext highlighter-rouge">/etc/apt/sources.list</code> et remplacez <codeclass="language-plaintext highlighter-rouge">http</code> par<codeclass="language-plaintext highlighter-rouge">https</code>:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>deb https://foo distro main
</code></pre></div></div>
<p>Les paquets <ahref="https://packages.debian.org/search?keywords=apt-transport-tor">apt-transport-tor</a> et <ahref="https://packages.debian.org/search?keywords=onionbalance">onionbalance</a> vous permettent de faire passer les mises à jour et les paquets par le réseau Tor. Ainsi, pour<em>Stretch</em>, votre fichier <codeclass="language-plaintext highlighter-rouge">/etc/apt/sources.list</code> devrait simplement contenir:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>deb tor+http://vwakviie2ienjx6t.onion/debian stretch main
deb tor+http://vwakviie2ienjx6t.onion/debian stretch-updates main
deb tor+http://sgvtcaew4bxjd7ln.onion/debian-security stretch/updates main
</code></pre></div></div>
<p>N.D.A.: par sécurité, vous devriez vérifier les adresses en vous appuyant sur d’autressources! <ahref="https://onion.debian.org/">https://onion.debian.org/</a></p>
<p>Vous pouvez également utiliser l’extension expérimentale <ahref="https://trac.torproject.org/projects/tor/wiki/torbirdy">TorBirdy</a> pour le client de messagerie Thunderbird. Ainsi, la connexion entre votre machine et votre serveur de messagerie transitera par le réseau Tor. Votre serveur de courriel n’aura donc pas connaissance de votre localisation.</p>
<p>Si le service Tor est actif, vous pouvez utiliser <ahref="https://gitweb.torproject.org/torsocks.git/refs/">torsocks</a> (vérifiez dans les dépôts de votre distribution) pour forcer un logiciel à faire passer son trafic par Tor, parexemple:</p>
<divclass="language-plaintext highlighter-rouge"><divclass="highlight"><preclass="highlight"><code>torsocks clawsmail [options de clawsmail]
