Tor ou VPN : lequel choisir selon votre besoin ?

Tor et VPN : lequel vous faut-il réellement

Tor et un VPN acheminent tous deux votre trafic via des machines qui ne vous appartiennent pas, mais ils répondent à des besoins différents. Un VPN (virtual private network) transfère votre confiance de votre fournisseur d’accès à Internet vers une seule entreprise. Celle-ci voit alors votre adresse réelle et chaque destination que vous consultez. Tor répartit cette confiance entre trois relais exploités par des personnes différentes. Aucun relais ne connaît donc à la fois votre identité et votre destination. Faites votre choix en identifiant la partie à laquelle vous voulez dissimuler votre activité.

Si vous cherchez à vous protéger du réseau auquel vous êtes connecté, un VPN est l’outil adapté. Si vous cherchez à vous protéger du site web lui-même ou de toute personne pouvant obtenir les journaux d’une entreprise, Tor est l’outil adapté. La suite de ce guide détaille ces deux phrases.

Suivez une requête dans les deux architectures

Prenons une requête ordinaire : votre navigateur ouvre https://news.example.com. Dans les deux cas, TLS (Transport Layer Security) protège le contenu de la page ; aucun intermédiaire ne peut donc lire l’article. L’élément important est celui des métadonnées : qui connaît votre adresse IP, qui connaît la destination et qui peut associer ces deux informations. Un outil de confidentialité sert à dissocier ces deux éléments. Un VPN les confie à un autre intermédiaire. Tor les répartit.

Ce que voit chaque partie lorsque vous utilisez un VPN

Votre client chiffre chaque paquet et l’envoie à un point de terminaison. À partir de ce point, le trafic redevient ordinaire.

• Votre FAI (fournisseur d’accès à Internet) voit des paquets chiffrés entre votre ligne et l’adresse d’un seul serveur VPN. Il voit le volume et les horaires. Il ne voit pas le nom d’hôte de destination, tant que les requêtes DNS (domain name system) passent elles aussi dans le tunnel.
• L’opérateur VPN voit votre adresse IP réelle d’un côté et chaque adresse de destination de l’autre, avec les horaires et les tailles. Les deux moitiés de la correspondance aboutissent sur la même machine.
• La destination voit l’adresse de sortie du VPN, ainsi que tous les éléments d’identification envoyés par votre navigateur.

Un VPN ne crée donc pas d’anonymat. Il déplace l’observateur, de votre FAI vers votre fournisseur VPN. C’est un gain réel lorsque le réseau local pose problème ou lorsque votre FAI filtre ou revend les informations qu’il observe. Ce n’est aucunement un gain contre le site que vous consultez, car votre trafic arrive toujours sous la forme d’un flux unique provenant d’une entreprise qui sait exactement qui vous êtes et détient votre historique de paiement.

La promesse « no logs » constitue l’intégralité du produit, et c’est le seul élément que vous ne pouvez pas vérifier de votre côté. Vous pouvez vérifier que le tunnel est actif. Vous pouvez vérifier que le DNS ne fuit pas. Vous ne pouvez pas vérifier ce que l’opérateur écrit sur disque. C’est le compromis que vous acceptez : une entreprise, choisie par vous, qui détient une vue complète de la situation.

Vérifiez la fuite qui annule discrètement le tunnel :

resolvectl status
curl -s https://ifconfig.me; echo

L’adresse affichée par ifconfig.me doit être celle de la sortie VPN. Les serveurs DNS listés pour la liaison qui porte votre route par défaut doivent être ceux du résolveur du tunnel. S’ils indiquent encore votre routeur local à 192.168.1.1, vos recherches de noms sortent par la liaison locale en clair, car la route vers ce routeur est directement connectée et plus spécifique que la route par défaut du tunnel. Votre trafic est privé, mais pas la liste des sites que vous consultez. Les requêtes DNS qui sortent d’un tunnel WireGuard explique la procédure de correction.

Ce que voit chaque partie lorsque vous utilisez Tor

Tor construit un circuit composé de trois relais choisis dans une liste signée, le consensus, publiée par un petit nombre d’autorités d’annuaire. Votre client encapsule les données en couches, une par relais. Chaque relais supprime une couche, ne connaît que le prochain saut et transmet le reste. Ces couches empêchent toute personne sur le chemin de détenir les deux informations.

• Votre FAI voit du trafic chiffré vers un relais guard. Les adresses des relais sont publiques : votre FAI peut donc savoir que vous utilisez Tor. Il ne peut pas savoir ce que vous consultez.
• Le relais guard voit votre adresse IP réelle. Il ne voit pas la destination, car la partie du message qui nomme le site est encore chiffrée pour les relais suivants.
• Le relais intermédiaire voit un guard d’un côté et un exit de l’autre. Il ne voit ni votre identité ni la destination. Il sert à empêcher le guard et l’exit de communiquer directement.
• Le relais exit voit la destination et le trafic lorsqu’il quitte le réseau. Il voit l’adresse du relais intermédiaire, pas la vôtre. Avec HTTPS, il connaît le nom d’hôte et les métadonnées de la connexion, mais pas le contenu de la page.
• La destination voit l’adresse du relais exit, qui figure dans les listes publiques d’exits, ainsi que les informations transmises par votre navigateur.

Vous relier au site nécessite de contrôler le guard et l’exit au même moment. C’est le fonctionnement en une phrase. C’est aussi pourquoi votre client conserve le même guard pendant plusieurs mois au lieu d’en choisir un nouveau à chaque démarrage : renouveler constamment le point d’entrée donnerait à un relais malveillant plusieurs occasions de devenir votre guard.

Les circuits ne sont pas permanents. Les nouvelles connexions passent sur un nouveau circuit environ toutes les dix minutes, tandis qu’un flux déjà ouvert reste sur le circuit utilisé au départ. Un téléchargement long et un onglet ouvert quinze minutes plus tard sortent généralement par des relais exit différents.

Installez-le et vérifiez le chemin :

sudo apt update && sudo apt install -y tor
systemctl status tor@default
journalctl -u tor@default -n 20
curl --socks5-hostname 127.0.0.1:9050 https://check.torproject.org/api/ip

Le journal doit atteindre Bootstrapped 100% (done): Done. curl doit afficher {"IsTor":true,"IP":"..."} avec une adresse que vous ne reconnaissez pas : il s’agit de votre exit actuel. Si IsTor vaut false, la requête n’est jamais passée par le proxy. La version de Tor fournie par les paquets Ubuntu peut être en retard par rapport à la version actuelle ; le Tor Project publie son propre dépôt apt si vous devez suivre la version upstream.

Une subtilité se trouve dans cette commande. --socks5 demande à curl de résoudre lui-même le nom d’hôte, puis d’envoyer l’adresse obtenue à travers le proxy. Votre resolver habituel connaît donc tous les noms que vous consultez. --socks5-hostname envoie le nom à Tor et laisse l’exit le résoudre. Le tunnel est identique, mais la fuite est complètement différente. Tor Browser et torsocks gèrent correctement ce point. Les outils configurés manuellement ne le font souvent pas.

Tor ne transporte que des flux TCP. Il ne peut pas transporter UDP ; ping 1.1.1.1 ne passe donc jamais par lui, et un protocole VPN basé sur UDP ne peut pas fonctionner à l’intérieur de Tor. Tout programme qui ignore sa configuration de proxy utilise simplement votre route habituelle avec votre adresse habituelle, sans aucun avertissement. C’est pourquoi un Tor au niveau du système se met en place avec un proxy transparent sur une machine distincte, et non avec une variable d’environnement.

Où va réellement la confiance

Un VPN concentre la confiance. Une seule entreprise détient votre identité, vos données de facturation et l’ensemble de votre profil de trafic réseau. Votre protection repose sur sa promesse de ne pas conserver les journaux. Tant que cette promesse est tenue, l’architecture est claire, rapide et facile à comprendre. Si elle n’est plus tenue, à cause d’une réquisition judiciaire, d’une compromission ou d’un mensonge, la protection disparaît complètement et concerne tout votre trafic réseau en même temps.

Tor répartit la confiance. Trois parties qui, pour l’essentiel, ne se connaissent pas détiennent chacune un fragment. Pris isolément, ce fragment a peu de valeur. Le système n’exige pas que toutes ces parties soient honnêtes. Elles doivent être suffisamment indépendantes. En contrepartie, vous acceptez une vitesse moindre, l’utilisation de TCP uniquement et un réseau où certains relais sont certainement administrés par des personnes qui aimeraient vous surveiller. La réponse de Tor face à un relais hostile est simple : un seul relais ne suffit jamais.

Lorsque le VPN est le bon outil

• Vous ne faites pas confiance au réseau local : hôtel, aéroport, centre de conférence ou routeur du propriétaire. L’opérateur ne voit qu’un tunnel chiffré, et rien de plus.
• Vous voulez accéder à vos propres machines ou sortir depuis une adresse IP fixe que vous contrôlez.
• Vous avez besoin de rapidité et d’UDP : appels vidéo, jeux, transferts volumineux, sauvegardes.
• Vous voulez une adresse stable que les sites ne soumettent pas à des contrôles supplémentaires. Les nœuds de sortie Tor sont bloqués ou confrontés à des CAPTCHA sur une grande partie du Web.

Cette liste justifie l’utilisation de votre propre VPN sur un VPS plutôt que l’achat d’un abonnement. Un serveur WireGuard que vous configurez vous-même vous fournit un tunnel dont la politique de journalisation est définie dans un fichier de configuration qui vous appartient. Si vous voulez le même tunnel avec une gestion des clés entre appareils par-dessus, consultez la différence entre WireGuard classique et Tailscale. Chacune de ces solutions est excellente pour les cas de cette liste. Aucune ne répond au besoin de la suivante.

Quand Tor est le bon outil

• Votre adversaire inclut le site de destination ou toute personne pouvant exiger des enregistrements auprès d’une seule entreprise.
• Vous consultez ou publiez un contenu qui pourrait vous porter préjudice s’il était associé à votre connexion.
• Vous voulez un service onion : le trafic ne quitte jamais le réseau, aucun relais de sortie n’est utilisé et l’adresse du serveur reste masquée.
• Vous acceptez les pages lentes, les CAPTCHA et les 403 Forbidden occasionnels.

Utilisez Tor Browser, et non votre navigateur habituel configuré pour utiliser le port 9050. Le navigateur assure la moitié de la protection, et la section suivante explique pourquoi.

Pourquoi un VPS que vous louez est moins efficace qu’un VPN commercial pour l’anonymat

C’est un point que beaucoup de gens comprennent à l’envers. Un VPS que vous louez est un contrat de location à votre nom. L’adresse e-mail utilisée lors de l’inscription, la carte bancaire, les factures et les tickets de support sont tous enregistrés dans la base de données d’une même entreprise, à côté de cette adresse IP. Personne n’a besoin de compromettre quoi que ce soit pour relier l’adresse à votre identité. Cette association est déjà enregistrée, conservée pour des raisons comptables ordinaires et accessible à toute personne capable d’adresser une demande juridiquement contraignante au fournisseur.

Le deuxième problème vient du nombre d’utilisateurs. L’adresse de sortie d’un VPN commercial est partagée au même moment par de nombreux clients. Cette adresse seule ne permet donc pas d’identifier une personne. L’adresse de votre VPS vous est réservée. Chaque requête qui en sort vient de vous, aujourd’hui comme le mois prochain. Comme l’adresse ne change pas, un site de destination peut établir un profil sur plusieurs mois sans utiliser de cookies.

Cela ne rend pas un VPN auto-hébergé inutile. Il est très efficace pour chiffrer votre trafic sur un réseau que vous ne contrôlez pas et pour accéder à vos propres services depuis n’importe où. Ce n’est simplement pas un outil d’anonymat, et c’est l’erreur de l’utiliser comme tel. Pour une présentation simple de ce que votre fournisseur peut ou ne peut pas voir directement sur la machine, consultez la sécurité réelle de l’hébergement VPS.

Ce que ni Tor ni un VPN ne corrigent

• L’empreinte du navigateur. Votre user-agent, la taille de l’écran, le fuseau horaire, les polices installées, la langue et le rendu du canvas se combinent en une valeur souvent unique. Cette valeur vous suit avec chaque adresse IP que vous utilisez. Tor Browser limite ce risque en faisant en sorte que ses utilisateurs aient tous une apparence identique et en redimensionnant la fenêtre par paliers fixes. Votre navigateur habituel derrière un proxy SOCKS conserve son empreinte et ses cookies.
• La connexion à un compte. Dès que vous vous connectez à un compte qui connaît votre nom, la couche réseau ne joue plus aucun rôle. Une connexion depuis votre domicile et une connexion via Tor au même compte associent les deux sessions.
• Tout ce que le endpoint enregistre de toute façon : ce que vous avez saisi, ce que vous avez acheté et ce que vous avez recherché.
• La corrélation de bout en bout. Une personne qui surveille simultanément votre ligne et le nœud de sortie peut comparer les horaires et le volume des paquets, puis mettre les deux extrémités en correspondance. Tor indique clairement qu’il ne protège pas contre un adversaire capable de voir les deux côtés.

Pouvez-vous utiliser Tor et un VPN ensemble ?

Avec Tor sur VPN, le VPN se connecte d’abord, puis Tor s’exécute à l’intérieur de cette connexion. Votre FAI ne voit alors que le VPN, et le relais guard voit l’adresse du VPN au lieu de la vôtre. Vous placez toutefois une entreprise qui détient votre nom et les informations de votre carte devant un système conçu précisément pour éviter cela. Cette configuration est utile dans une seule situation : lorsque l’utilisation de Tor est dangereuse sur votre ligne et que vous n’avez pas de meilleure option.

Avec un VPN sur Tor, le trafic quitte le réseau Tor avant d’entrer dans un compte VPN. Cette configuration est plus difficile à mettre en place et généralement moins efficace. Le compte VPN est associé à votre historique de paiement. Vous rattachez ainsi une identité stable à un trafic qui était anonyme quelques instants auparavant.

Si votre seul objectif est de dissimuler l’utilisation de Tor à votre FAI, la solution prévue est un bridge : un point d’entrée qui ne figure pas dans le consensus public, associé à un pluggable transport comme obfs4 ou Snowflake, qui rend le trafic difficile à classifier. Tor Browser fournit les deux, et aucune entreprise tierce n’a besoin de connaître votre nom.

FAQ

Tor est-il simplement un VPN gratuit ?

Non. Un VPN fait passer votre trafic par un serveur exploité par une seule entreprise, qui voit votre adresse réelle et chaque destination. Il remplace donc votre FAI par le fournisseur que vous avez choisi. Tor fait passer le trafic par trois relais exploités par des personnes différentes : le guard vous voit, mais ne voit pas le site, tandis que l’exit voit le site, mais pas votre identité. Tor fonctionne aussi uniquement avec TCP, il est nettement plus lent et de nombreux sites web le bloquent ou imposent des vérifications. Il ne remplace donc pas directement un VPN pour les usages courants.

Mon FAI peut-il savoir que j’utilise Tor ?

Par défaut, oui. Les adresses des relais sont publiées dans le consensus public. Votre fournisseur peut donc voir que vous vous connectez à un guard relay connu. Il ne peut pas voir les sites que vous consultez. Pour masquer l’utilisation de Tor elle-même, Tor Browser propose des bridges avec un transport enfichable comme obfs4 ou Snowflake. Ceux-ci se connectent par un point d’entrée qui ne figure pas dans la liste publique. Un VPN placé devant Tor la masque également à votre FAI, mais transmet cette même information à l’opérateur du VPN.

L’utilisation d’un VPN sur mon propre VPS me rend-elle anonyme ?

Non. Le serveur est loué à votre nom avec votre carte bancaire. Les données de facturation du fournisseur associent donc déjà cette adresse à votre identité, et une demande adressée au fournisseur suffit pour les obtenir. Cette adresse n’est utilisée que par vous. Tout ce qui en sort appartient donc à une seule personne et reste corrélable tant que vous conservez le serveur. Un VPN auto-hébergé est un outil de confidentialité efficace contre le réseau local, mais un outil d’anonymat limité contre toute personne pouvant interroger votre fournisseur.

Pourquoi les sites web me bloquent-ils ou affichent-ils des CAPTCHA quand j’utilise Tor ?

Parce que les adresses des exit relays sont publiques et partagées par un très grand nombre de personnes. Les abus commis par l’un de ces utilisateurs sont donc associés à l’adresse que vous utilisez temporairement. Les réseaux de diffusion de contenu évaluent défavorablement ces adresses et répondent par un challenge, un 403 Forbidden ou un formulaire d’inscription qui refuse l’envoi. Rien de votre côté ne permet de supprimer ce problème. Un nouveau circuit vous attribue un autre exit, qui bénéficie parfois d’une meilleure réputation.

Si j’utilise un VPN, mes requêtes DNS peuvent-elles quand même fuir ?

Oui, c’est fréquent. Avec un full tunnel et sans resolver configuré pour l’interface du tunnel, votre client continue d’utiliser le resolver fourni par le réseau local. La route vers ce resolver est directement accessible sur le lien et prend donc le pas sur la route par défaut du tunnel. Vos requêtes sortent alors en clair, tandis que le reste du trafic est chiffré. Exécutez resolvectl status et vérifiez que le serveur DNS indiqué pour le lien qui porte votre route par défaut est le resolver du tunnel, et non celui de votre routeur local.