Pourquoi une liste statique de sorties Tor devient obsolète
Une liste d’IP de nœuds de sortie Tor est une liste des adresses publiques par lesquelles le trafic Tor quitte le réseau et atteint les sites web ordinaires, et une copie enregistrée une fois commence à se dégrader immédiatement. Les relais de sortie sont gérés par des bénévoles, ils rejoignent et quittent le réseau et changent d’adresse en permanence ; toute liste figée dans un fichier ou codée en dur dans une règle de pare-feu s’éloigne donc de la réalité en quelques heures.
Pourquoi la liste change si vite
Le réseau Tor publie environ toutes les heures un consensus qui liste les relais actuellement en fonctionnement et les drapeaux qu’ils portent, dont le drapeau Exit. Les relais sont exploités par des particuliers, des universités, des organisations à but non lucratif et des clients d’hébergeurs, et beaucoup tournent sur des serveurs virtuels loués qui sont résiliés, reprovisionnés ou déplacés entre fournisseurs. Quand un relais s’arrête, son adresse retourne dans un pool d’hébergement et peut être attribuée à un client entièrement différent. Quand une nouvelle sortie apparaît, elle est inconnue de votre copie tant que vous ne récupérez pas la liste à nouveau.
Les politiques de sortie ajoutent une autre difficulté. Un relais peut être une sortie pour certains ports et pas pour d’autres, et un opérateur peut modifier la politique sans changer l’adresse. Une liste qui n’enregistre que des adresses ne peut pas représenter cette nuance ; elle surestime donc ce que fait chaque IP tout en manquant les nouveaux venus.
Ce qui dysfonctionne avec une liste périmée
Il y a deux modes de défaillance, et les deux vous coûtent. Le premier est celui des faux négatifs : une sortie démarrée récemment ne figure pas dans votre liste, de sorte que le trafic que vous vouliez traiter différemment passe sans être signalé. Le second est celui des faux positifs, généralement les plus dommageables. Une adresse qui était une sortie est maintenant un client d’hébergement ordinaire, une petite entreprise ou une ligne résidentielle, mais votre liste figée l’étiquette toujours comme Tor. De vrais utilisateurs sont soumis à un défi ou bloqués pour quelque chose qu’ils ne font pas, et personne ne le remarque car la règle semble correcte dans la configuration.
Les listes périmées incitent aussi à bloquer des plages entières pour compenser les lacunes. Cela multiplie les faux positifs, car les voisins d’un relais dans une plage d’hébergement sont souvent des services sans rapport. Pour un contexte plus large sur les raisons pour lesquelles un indicateur Tor seul est un mauvais motif de refus d’accès, voir les nœuds de sortie Tor expliqués.
À quoi ressemble une approche plus fraîche
La solution n’est pas une correspondance astucieuse ; c’est un court intervalle d’actualisation et un moyen de faire vieillir les entrées. Récupérez la liste selon un calendrier, remplacez-la de façon atomique au lieu d’ajouter indéfiniment, et traitez l’âge des données comme une partie de la réponse. Si votre dernière actualisation réussie est plus ancienne que votre tolérance, repliez-vous vers une réponse plus souple, comme un défi, plutôt qu’un blocage strict.
ipto le fait en tant que service : les flux de menaces VPN, Tor et abus sont actualisés toutes les 6 heures, et les jeux de données d’IP et d’ASN quotidiennement. Une recherche d’IP renvoie is_tor à côté de is_vpn, is_abuser et is_datacenter ; vous lisez donc l’état actuel à chaque requête sans avoir à maintenir un fichier. Vous pouvez essayer une adresse dans le vérificateur de VPN, Tor et proxy, ou parcourir les listes publiées sur la page des flux de menaces pour voir à quoi ressemblent les données actuelles.
Même six heures ne sont pas du temps réel, et il faut être honnête à ce sujet. Un relais démarré il y a une heure peut ne pas encore figurer dans les données, et un relais arrêté peut rester signalé jusqu’à la prochaine actualisation. Un résultat négatif signifie « non connu comme Tor », pas « certainement propre ».
Utiliser les données Tor sans trop s’y fier
Comme la liste est toujours légèrement fausse, construisez des décisions qui tolèrent l’erreur. Combinez l’indicateur Tor avec d’autres éléments au lieu d’agir uniquement sur lui. Le vérificateur d’abus d’IP recoupe plusieurs flux, ce qui aide à distinguer un visiteur soucieux de sa vie privée d’une adresse qui se comporte réellement mal, et le vérificateur de score de fraude intègre plusieurs signaux dans une valeur unique de 0 à 100 sur laquelle vous pouvez fixer un seuil.
- Mettez les recherches en cache pour moins que l’intervalle d’actualisation du flux, pas pour des jours.
- Préférez un défi, une limite de débit ou une étape de vérification supplémentaire à un blocage permanent.
- Journalisez le signal qui a déclenché une action afin de pouvoir examiner plus tard les faux positifs.
- Revérifiez les adresses que vous aviez bloquées ; une ancienne décision sur une IP peut ne plus s’appliquer.
Le point essentiel est simple : le réseau Tor est une cible mouvante, et la propriété utile d’une liste Tor est sa fraîcheur plutôt que sa taille. Traitez tout instantané statique comme un enregistrement historique, et préférez des données avec une cadence d’actualisation annoncée sur laquelle vous pouvez raisonner.