Nœuds de sortie Tor : pas toujours une menace
Un nœud de sortie Tor est le dernier relais d’un circuit Tor, le serveur dont l’adresse IP publique est vue par les sites web lorsqu’un utilisateur de Tor s’y connecte. Le trafic d’un nœud de sortie est anonymisé par conception, ce qui le fait paraître inhabituel, mais il n’est pas automatiquement malveillant, et le traiter comme tel bloque de nombreuses personnes légitimes.
Comment fonctionne un circuit Tor
Tor construit un circuit de trois relais. Le garde d’entrée connaît la véritable adresse IP de l’utilisateur mais pas la destination. Le relais intermédiaire ne connaît que ses voisins. Le relais de sortie déchiffre la dernière couche et envoie la requête au serveur de destination ; il connaît donc la destination mais pas qui la demande. Chaque saut ajoute une couche de chiffrement, d’où le terme de routage en oignon. Aucun relais ne voit les deux extrémités de la conversation.
La conséquence pour l’exploitant d’un site est que l’adresse cliente visible est celle du relais de sortie, pas celle de l’utilisateur. Un nœud de sortie peut transporter le trafic de milliers de personnes en même temps, ce qui explique qu’une même adresse puisse sembler naviguer sur des sites de nombreux pays en quelques minutes, et qu’une recherche de pays ou de ville la concernant décrive l’emplacement d’hébergement du relais, pas celui d’un visiteur. Pour en savoir plus sur la raison pour laquelle la localisation décrit un réseau et non une personne, voir pourquoi la localisation IP se trompe sur les personnes.
Qui utilise réellement Tor
Des journalistes y protègent leurs sources, des personnes vivant dans des pays restrictifs l’utilisent pour atteindre des sites bloqués, et des personnes soucieuses de leur vie privée l’emploient pour éviter le pistage. Ces utilisateurs représentent une part significative du trafic Tor, et une règle qui refuse tout le réseau les traite en suspects à cause de l’outil qu’ils ont choisi. Les abus existent aussi : le credential stuffing, le scraping et le spam peuvent tous utiliser Tor, car il est gratuit et facile. Le résumé honnête est que le réseau est mixte, et que l’indicateur renseigne sur la route, pas sur l’intention.
Détecter le trafic Tor
Les relais de sortie sont publiés dans l’annuaire du réseau Tor ; la détection consiste donc à rechercher l’adresse dans une liste des adresses de sortie actuelles. Le piège est la fraîcheur, car les relais rejoignent et quittent le réseau en permanence, comme expliqué dans pourquoi les listes statiques de sorties Tor deviennent obsolètes. La recherche d’IP d’ipto renvoie un indicateur is_tor, avec des flux de menaces actualisés toutes les 6 heures, et vous pouvez tester une adresse dans le vérificateur de VPN, Tor et proxy. Un résultat négatif signifie « non connu comme Tor », pas une garantie.
La même réponse comprend aussi is_abuser, is_vpn et is_datacenter, plus l’asn et l’organisation propriétaire. Les lire ensemble est tout l’intérêt : is_tor: true avec is_abuser: false décrit une route de confidentialité sans mauvais historique connu, ce qui appelle un traitement différent d’une adresse Tor qui figure aussi dans des flux d’abus. Le vérificateur d’abus d’IP montre comment cette réputation est corroborée par plusieurs sources au lieu de reposer sur une seule.
Exploiter un relais de sortie
Les exploitants de nœuds de sortie portent une charge particulière, car les plaintes pour abus concernant tout ce que font leurs utilisateurs atterrissent sur l’adresse de l’exploitant. Beaucoup publient sur l’adresse IP du relais un avis expliquant qu’il s’agit d’un nœud de sortie Tor et que l’exploitant ne contrôle pas le trafic, et font transiter les plaintes par les données de contact du registre. Si vous enquêtez sur un abus provenant d’une adresse de sortie, la recherche WHOIS d’IP montre l’enregistrement du registre et le contact abus du bloc, qui est généralement un hébergeur ou une organisation qui exploite sciemment des relais. Y signaler l’incident est plus utile que de l’escalader ailleurs, puisque l’exploitant ne peut pas voir qui était l’utilisateur individuel.
Gérer le trafic Tor avec bon sens
La bonne politique dépend de ce que vous protégez. Un site d’actualités public a peu de raisons de traiter les visiteurs Tor différemment des autres, alors qu’un formulaire de paiement ou un parcours de récupération de compte a de bonnes raisons d’ajouter de la friction. Des options situées entre autoriser et refuser :
- Appliquer des limites de débit plus strictes aux adresses Tor sur les points de terminaison de connexion, d’inscription et de recherche.
- Afficher un défi ou exiger un second facteur pour les actions sensibles au lieu de rejeter la requête.
- Laisser passer la navigation en lecture seule tout en restreignant la création de compte ou le paiement.
- Intégrer l’indicateur Tor dans une décision composite, par exemple la valeur de 0 à 100 du vérificateur de score de fraude, plutôt que d’agir uniquement sur lui.
- Journaliser le signal qui a conduit à chaque décision afin de pouvoir examiner les faux positifs.
Des exigences réglementaires ou contractuelles imposent parfois de bloquer les réseaux d’anonymisation, par exemple pour la conformité en matière de licences ou de sanctions, et c’est une décision commerciale légitime. Prenez-la simplement délibérément, en sachant qu’elle exclura aussi des personnes qui n’ont rien fait de mal, et qu’un blocage fondé sur une liste périmée sera erroné dans les deux sens.