Fond de Tor

L'Onion Router (Tor) est l'un des outils de confidentialité sur Internet les plus connus. Développé par diverses branches du département américain de la Défense au milieu des années 1990. Le terme « toupie à oignons » est utilisé pour aider à visualiser son fonctionnement. Le trafic réseau est acheminé vers le réseau Tor, puis rebondi via d'autres nœuds Tor à l'intérieur du réseau avant de ressortir dans le réseau clair (c'est-à-dire l'Internet ordinaire). Les paquets initiaux sont cryptés de manière redondante et chaque nœud Tor en cours de route déchiffre uniquement la couche dont il a besoin pour savoir quoi faire avec le paquet. Grâce à ce cryptage en couches, aucun nœud Tor ne connaît à la fois la source et la destination d'un paquet réseau.

Il existe une autre façon d’utiliser Tor. Au lieu de l’utiliser à la manière d’un VPN pour entrer, brouiller puis sortir de Tor, il est possible d’exécuter des services tels que des sites Web au sein du réseau Tor lui-même. Dans ce cas, le trafic réseau entre dans le réseau Tor, mais n’en sort jamais. Cet article couvrira les étapes de base impliquées dans la création d'un service Tor.

Il y a deux raisons principales d’exécuter un service caché Tor :

1. Pour exécuter un service que vous souhaitez masquer et rester caché et non lié à vous de quelque manière que ce soit. C'est leModèle de la Route de la Soie. La Route de la Soie était un marché illégal géré comme un service caché sur les réseaux Tor. Parce qu’ils vendaient des marchandises illégales, les opérateurs avaient tout intérêt à rester cachés. Cependant, il existe de nombreux sites légaux gérés par des personnes qui souhaitent rester cachées pour des raisons politiques ou autres.
2. Fournir à vos visiteurs un moyen sécurisé et anonyme de vous joindre, même si vous ne vous souciez pas que le site vous soit attribué. C'est leModèle Facebook. Facebook gère un service Tor à https://www.facebookcorewwwi.onion . Évidemment, il n’y a aucune tentative de cacher qu’il s’agit d’un service Tor Facebook ; dont les propriétaires et exploitants sont bien connus.

Bien que l’objectif de cet article soit ce dernier cas, les deux présentent de nombreux problèmes de sécurité opérationnelle (OpSec) que vous devrez résoudre. La simple configuration d’un serveur Web et l’installation de Tor ne suffiront probablement pas à séparer longtemps votre site et votre identité. L’importance que cela revêt pour vous est proportionnelle à votre niveau de paranoïa.

Installer le client Tor

Les services cachés de Tor ne sont accessibles que via les systèmes connectés à Tor. Tout comme vous auriez besoin de lancer un VPN pour accéder à certains contenus géobloqués, vous devrez lancer Tor pour accéder aux services cachés. Heureusement, l'installation et l'exécution du client Tor sont devenues extrêmement faciles grâce au travail acharné du projet Tor au fil des années.

Voir également: Meilleurs VPN pour Tor

Cet article ne concerne pas la configuration d’un client Tor sécurisé de bout en bout. Il nous suffit de faire fonctionner un client Tor pour passer à la création d'un service Tor caché. Par conséquent, une fois que vous avez suivi les instructions de configuration de base du client Tor dans cet article, vous souhaiterez peut-être consulter les Les recommandations du projet Tor pour utiliser correctement votre client Tor afin de préserver l'anonymat.

Il existe de nombreux clients Tor pour une grande variété de plateformes. Dave Albaugh a écrit Le guide ultime pour utiliser Tor pour la navigation anonyme qui contient une liste assez exhaustive. Dans cet article, nous allons simplement examiner l'installation du client Tor sur les systèmes d'exploitation ; Windows, macOS/OSX et Linux. De même, un service caché Tor peut être exécuté sous Windows ou sur tout système de type Unix et je m'en tiendrai à une configuration Linux de base.

Le moyen le plus simple de faire fonctionner le client Tor sur n’importe quel système est d’installer le Tor Browser Bundle. Il contient une version renforcée de Firefox et crée un proxy SOCKS5 sur le port hôte localhost 9150 que d'autres applications compatibles proxy telles que SSH peuvent utiliser. Nous aurons besoin de SSH protégé par Tor pour configurer notre service caché.

Installation du navigateur Tor pour Windows

Pour installer le client Tor pour Windows, visitez directement le site Tor. Assurez-vous de télécharger depuis le vrai site torproject.org . Il existe de nombreux adversaires de Tor et donc de nombreuses versions compromises du client Tor sur Internet. Le téléchargement directement depuis torproject.org garantit que vous obtiendrez une version exempte de falsification. Il existe également une signature GPG pour chaque téléchargement sur le site Tor que vous pouvez comparer avec votre téléchargement pour encore plus de confiance.

Cliquez sur le bouton Télécharger et sélectionnez la version Windows :

Double-cliquez sur le fichier téléchargé pour démarrer le processus d'installation. Il vous sera demandé de sélectionner une langue et un emplacement d'installation, comme tout autre processus d'installation Windows standard. Une fois l'installation terminée, vous verrez un nouveau navigateur Tor sur votre bureau.

Le processus de première exécution vous demandera de quel type de configuration Tor vous aurez besoin. Remarquez comment leConnexion directel'option a unConnecterbouton tandis que lepont ou proxy locall'option a unConfigurerbouton.

Dans la plupart des cas, l’option de connexion directe fonctionnera techniquement, mais il existe deux situations dans lesquelles vous souhaiterez peut-être choisir la deuxième option. Une connexion directe garantira toujours l’anonymat, mais il sera évident pour un observateur que vous utilisez Tor, ce que vous ne souhaitez peut-être pas. De plus, certains FAI et réseaux peuvent bloquer activement les connexions Tor, ou vous devrez peut-être configurer un proxy pour accéder à Tor. Si l'un de ces éléments s'applique, vous souhaiterez sélectionner la deuxième option pour configurer un pont ou configurer un proxy.

Configuration du pont et du proxy

En sélectionnant oui à cette question, vous ouvrirez un écran où vous pourrez activerdes ponts. Les nœuds Tor sont publiés, donc toute personne souhaitant bloquer l'accès à Tor sur son réseau doit simplement bloquer les requêtes destinées à ces nœuds connus. UNpontest simplement un nœud Tor non publié, donc les connexions vers celui-ci ne seront probablement pas bloquées car ce n'est pas un nœud connu. Sauf si vous avez besoin de spécifier vos propres ponts, sélectionnez l'option.

Vous serez ensuite redirigé vers la page de configuration du proxy.

Si vous répondez non à cette question, vous contournerez l'écran de configuration du pont et vous mènerez directement à l'écran de configuration du proxy.

Entrez vos informations de proxy spécifiques et cliquez sur leConnecterbouton. Vous serez connecté au réseau Tor et le navigateur Tor se lancera.

Cliquez sur le lien pour confirmer que vous êtes connecté. L'adresse IP que vous voyez affichée ne doit pas être la vôtre.

Si vous êtes intéressé par le nœud de sortie qui vous a été attribué, cliquez sur le lien pour en savoir plus.

Installation du navigateur Tor pour macOS/OSX

Pour installer le client Tor sur macOS/OSX, visitez le véritable page de téléchargement du projet Tor et sélectionnez l'option.

Vous serez invité à ouvrir le fichier image et à le déplacer vers votre dossier d'applications :

Vous pourrez alors trouver l’application Tor Browser dans le Launchpad. Le processus de première exécution vous fera parcourir le même assistant de pont et de proxy que la version Windows. Une fois que vous avez terminé correctement, cliquez sur leConnecterbouton. Le navigateur Tor se lancera. Cliquez sur le lien pour vous assurer qu'il fonctionne correctement et affiche une autre adresse IP.

Installation du navigateur Tor pour Linux

Le navigateur Linux Tor est un exécutable binaire unique qui n'a aucun processus d'installation.

Extrayez le fichier tar compressé et il créera un répertoire avec un fichier nommé. Exécutez ce fichier à partir du shell ou double-cliquez dessus dans votre gestionnaire de fichiers pour lancer le navigateur Tor. Cela lancera le processus de première exécution désormais familier qui vous permettra de configurer tous les ponts ou proxys dont vous pourriez avoir besoin, puis de vous connecter à Tor. Des instructions détaillées sur cette configuration se trouvent dans leInstallation du navigateur Tor pour Windowssection de cet article.

Cliquer sur l'icône en forme d'oignon à côté de la barre d'adresse du navigateur révélera des informations sur Tor.circuitqui a été établi pour vous. Lecircuitest l'itinéraire via Tor qu'a emprunté votre demande. Par exemple, pour consulter le site Web Comparitech du Canada, je suis entré sur le réseau Tor en France, j'ai rebondi à travers l'Allemagne et je suis sorti sur le réseau clair aux Pays-Bas.

Configurer un service Tor

Les services Tor utilisent une structure d'URL spécifique. Sur le net, nous sommes habitués à voir des domaines de premier niveau (TLD) tels que .com, .net et une myriade d'autres. Un TLD qui n'existe pas dans le réseau clair est .onion et, à l'inverse, c'est le seul TLD qui existe dans le réseau Tor. Cela signifie que si vous essayez de vous connecter à un service Tor tel que le site Tor de Facebook à l'adresse https://www.facebookcorewwwi.onion sans être connecté à Tor, vous ne pourrez pas le faire. En raison de cette convention de dénomination, certaines personnes appellent les services Tor.

Considérations de sécurité lors de l'installation

Nous allons maintenant mettre en place un service Tor en utilisant un VPS Linux bon marché. Voici la première leçon d'OpSec : comme je ne suis pas intéressé par le modèle de la Route de la Soie, j'achète simplement un VPS auprès d'un fournisseur de cloud qui m'associera pour toujours d'une manière ou d'une autre à ce serveur. Vous devez utiliser un serveur qui reflète votre niveau de préoccupation quant à votre association.

Une autre considération est que la connexion à ce serveur avec l'adresse IP de votre FAI vous associera à ce service. Si cela vous préoccupe, il existe deux manières principales de contourner ce problème. Si vous disposez d'une autre méthode appropriée pour vous connecter à ce système sans utiliser SSH, vous pouvez configurer vos services Tor en utilisant cette méthode et ne jamais avoir à vous en soucier. Mais, si vous n'avez aucun moyen de vous connecter à ce serveur autre que SSH, vous pouvez utiliser le proxy SOCKS5 fourni par le navigateur Tor pour acheminer votre trafic SSH. L’une ou l’autre méthode devrait empêcher l’adresse IP de votre FAI d’être associée à ce serveur.

SSH en utilisant le proxy Tor

Si vous utilisez PuTTY, vous pouvez le configurer dans le volet Proxy :

Sous Linux ou macOS, vous pouvez utiliser SSH avec l'argument ProxyCommand en utilisant les bons $SERVERIP et $USERNAME pour votre serveur. Utiliser une adresse IP au lieu de n'importe quel nom d'hôte que vous avez créé devrait éviter les fuites DNS :

|_+_|

Je vois ceci dans les logs du serveur :

|_+_|

Et nous pouvons consulter le Tor Atlas pour confirmez que l'adresse IP 65.19.167.131 est un nœud de sortie Tor aux États-Unis, donc tout semble bien.

Une fois Tor installé sur le serveur, vous pouvez également décider de configurer un service SSH Tor puis de vous connecter en utilisant le nom .onion de votre service. Cette commande ressemble à ceci et depuis que les proxys Tor le demandent, l'adresse IP de l'hôte local est visible dans les journaux SSH.

|_+_|

Remarque : si vous utilisez une alternative à PuTTY , recherchez leur documentation pour obtenir le même résultat.

Installer Tor

Ajoutez le référentiel Tor à vos sources d'installation. Tor peut être disponible dans les dépôts de vos distributions, mais il peut devenir obsolète. Il est probablement préférable de créer un fichier de dépôt tel que/etc/yum.repos.d/tor.repoavec le dépôt réel du projet Tor en utilisant les entrées suivantes :

|_+_|

Ensuite installez Tor :

|_+_|

Vous pouvez trouver les packages Debian et Ubuntu dans le https://deb.torproject.org/torproject.org/dists/ annuaire; mettez à jour la configuration ci-dessus si nécessaire pour votre distribution.

Jetez un oeil à/etc/tor/torrcdéposer. Le strict minimum dont vous aurez besoin pour être activé dans ce fichier est le suivant :

|_+_|

Vous souhaiterez peut-être également acheminer vos requêtes DNS via Tor. Cela forcera tous vos DNS à passer par Tor en ajoutant ceci à votre fichier torrc (utilisez une valeur pour VirtualAddrNetworkIPv4 qui a du sens sur votre serveur) :

|_+_|

Pour que cela fonctionne, vous devrez également demander à votre serveur de résoudre le DNS sur l'hôte local. Cela peut être fait en modifiant le/etc/resolv.confpour dire à votre système de résoudre en utilisant l'hôte local au lieu des serveurs de noms pour lesquels il est configuré pour le moment.

|_+_|

Redémarrez ensuite votre résolveur :

|_+_|

Vous trouverez plus d'informations sur le DNS et le proxy en général sur le Page du projet Tor ici.

Préparation du service proprement dit (web, SSH)

Un service Tor peut être littéralement n’importe quel type de service que vous verriez fonctionner sur le net. Je vais utiliser un serveur Web comme exemple, en utilisant l'élégant serveur Web Nginx (prononcé ). Tor s'exécutera devant Nginx et proxy toutes les requêtes. J'utilise CentOS pour ces instructions, donc la plupart de ces commandes fonctionneront pour n'importe quelle distribution basée sur Red Hat. Vous pouvez utiliserapte à obtenirau lieu deMiamsur les systèmes basés sur Debian tels qu'Ubuntu, et les fichiers que je mentionne peuvent se trouver dans des emplacements légèrement différents.

Installez Nginx à l'aide du gestionnaire de packages de votre distribution.

|_+_|

Rappelez-vous que Tor va proxy les requêtes pour le serveur Web. Cela signifie que Nginx ne doit écouter que sur les ports localhost. Si Nginx écoute également sur les interfaces réseau connectées à Internet, vous courez le risque que votre service caché soit disponible sur le net. Pour lier Nginx à l'hôte local uniquement, recherchez le fichier default.conf et mettez à jour la strophe du serveur par défaut. Dans les distributions basées sur RPM, le fichier de configuration par défaut se trouve généralement ici :

|_+_|

Ajouterhôte localà la valeur par défautécouterdirective donc cela ressemble à ceci :

|_+_|

Redémarrez Nginx :

|_+_|

Testez à la fois le port localhost 80 et le port accessible par Internet 80. Sur le serveur lui-même :

|_+_|

Hors du serveur :

|_+_|

Même s'il peut y avoir des fuites d'informations dans ces en-têtes qui doivent être traitées, la configuration de la connexion semble bonne. Plus d'informations sur les en-têtes dans la section OpSec plus tard.

L'étape suivante consiste à demander à Tor d'écouter le trafic sur l'interface réseau externe sur le port 80, puis de transmettre ce trafic par proxy à votre installation Nginx locale.

|_+_|

Ajoutez les lignes suivantes à la fin. Le format duPort de service cachéLa directive est le port sur lequel Tor doit accepter les connexions, puis l'IP:PORT vers lequel envoyer la requête par proxy. Dans ce cas, nous voulons que Tor écoute sur le port HTTP standard 80, puis renvoie par proxy vers notre instance Nginx sur le port 80 de l'hôte local. Vous pouvez en déduire que vous pouvez également proxy des back-ends distincts et pas seulement des services locaux avec Tor.

|_+_|

Redémarrez le serveur :

|_+_|

Pour connaître le nom de votre nouveau service HTTP Tor, regardez dans lenom d'hôtedossier duHiddenServiceDirspécifié dans le fichier torrc. Il s'agit du nom réel du service HTTP généré pour cet article, mais il ne fonctionnera probablement plus au moment de la publication :

|_+_|

|_+_|

Dans environ 10 minutes, cela fonctionnera sur Tor et vous pourrez l’afficher dans le navigateur Tor.

Notez les différents circuits Tor utilisés par un service oignon. Il ne quitte pas Tor vers Internet comme le faisait l’exemple précédent d’utilisation de Tor pour accéder au site Comparitech. En effet, les sites .onion résident uniquement sur Tor.

Vous pouvez maintenant ajouter plus de services tels qu'un service Tor SSH ou autre. Installez simplement le service que vous souhaitez utiliser, puis ajoutez les deux directives HiddenService à votre torrc et redémarrez Tor.

|_+_|

|_+_|

Redémarrez Tor pour générer les clés de service et le nom :

|_+_|

Connectez-vous en SSH depuis une autre machine en utilisant votre nom d'oignon :

|_+_|

|_+_|

Une fois que vous avez confirmé que vous pouvez utiliser SSH en utilisant le nom d'oignon, c'est le bon moment pour désactiver SSH du réseau clair. Décommentez cette ligne dans votre fichier /etc/ssh/sshd_config :

|_+_|

Et changez-le pour lire :

|_+_|

Et redémarrez SSH :

|_+_|

Gardez votre service caché caché (OpSec)

La sécurité opérationnelle (OpSec) est le concept selon lequel la collecte d’informations facilement disponibles et apparemment sans rapport peut générer des informations très spécifiques. Tor lui-même est extrêmement efficace pour anonymiser le trafic, mais les humains sont terribles en OpSec. Grâce à cela, de nombreuses personnes qui ont utilisé Tor à des fins malveillantes ont été identifiées avec succès.

L’affaire Tor la plus médiatisée est probablement celle Site Tor du marché noir de la Route de la Soie . Les administrateurs des deux générations de ce site ont été arrêtés ainsi que certains vendeurs. Même si les détails ne seront probablement jamais entièrement connus, dans la plupart des cas, l’anonymat est brisé par une OpSec bâclée plutôt que par une faiblesse de Tor lui-même. Cependant, il existe des cas où le réseau Tor lui-même peut avoir été compromis.

Certains rapports indiquent que des adversaires de Tor exploitent des nœuds Tor. L’idée étant que si un adversaire exploitait suffisamment de nœuds de relais et de sortie, une analyse du trafic à grande échelle pourrait être effectuée pour identifier les utilisateurs individuels. L'opération Onymous du FBI qui a détruit Silk Road 2.0 ainsi que 400 autres sites utilisait probablement des nœuds Tor dans le cadre de sa collecte de données d'enquête. Un certain nombre de relais Tor qui étaient modifié pour changer les en-têtes afin de révéler des informations sur le flux de trafic est apparu dans le réseau Tor avant les arrestations. Il a également été noté que 129 des 400 sites étaient hébergés par un seul fournisseur d’hébergement Web. Cela peut signifier que le fournisseur d'hébergement a un OpSec médiocre, ou cela peut signifier qu'il a coopéré avec les forces de l'ordre en fournissant des informations sur le serveur interne qui ne sont pas disponibles pour les utilisateurs normaux de Tor.

Quoi qu’il en soit, si vous souhaitez rester dissocié de votre service caché Tor, vous avez une très grande tâche devant vous. Le budget et la détermination de votre adversaire seront très probablement le facteur déterminant du succès plutôt que les mesures que vous prendrez personnellement. Mais ce n’est pas une raison pour être négligent. Ben Tasker a écrit un article réfléchi article sur Tor OpSec qui mérite d'être lu. Voici quelques éléments que vous devriez examiner pour vous assurer que vous ne divulguez pas d’informations pouvant être utilisées pour vous identifier.

Sécurité opérationnelle technique

La sécurité est mieux réalisée en couches ; il n’existe pas de modèle de sécurité miracle. Nous le voyons dans l’architecture Tor dans la mesure où aucun nœud ne dispose de suffisamment d’informations pour compromettre un utilisateur. De même, lors de la configuration de votre serveur et de vos services Tor, vous ne devez pas vous fier à leur configuration en fonction de votre cas d'utilisation particulier.

Pare-feu

Nous avons configuré nos deux exemples de services Tor pour qu'ils écoutent uniquement sur l'interface localhost. Cela devrait suffire à les empêcher d’être disponibles sur le net. Mais des choses peuvent arriver et échapper à votre contrôle, il est donc logique d'ajouter une couche de sécurité et un pare-feu sur l'ensemble du serveur sur tous les ports. Cela empêchera vos services de devenir soudainement disponibles sur le réseau clair en raison d'une mise à niveau erronée ou d'une erreur humaine.

En-têtes d'application

Il y a deux raisons d’éliminer autant d’en-têtes que possible dans tous vos services. Premièrement, ils peuvent divulguer des informations sur votre système qui peuvent aider à identifier où il se trouve. Deuxièmement, même s’ils ne divulguent pas d’informations spécifiques de ce type, toutes les données peuvent être utilisées pour tenter d’identifier un serveur et de le corréler ensuite avec un autre serveur connu pour l’identifier.

Vous pouvez supprimer la chaîne de version Nginx en utilisant la directive server_tokens dans la section serveur, emplacement ou http de votre fichier de configuration Nginx.

|_+_|

Je l'ai mis dans la section serveur :

|_+_|

Maintenant, la version n'existe plus :

Vous pouvez aller plus loin avec Nginx en utilisant le En-têtes Plus module . Avec lui, vous pouvez définir ou supprimer une plus grande variété d'en-têtes.

SSH

Une considération particulière avec SSH est l’empreinte digitale d’identification du serveur. Lorsque vous vous connectez pour la première fois à un serveur SSH, vous êtes averti que votre système ne peut pas confirmer l'identité du système distant, l'empreinte digitale de la clé du serveur vous est présentée et vous êtes invité à ce que vous souhaitez faire. La plupart d'entre nous l'acceptent et la clé publique du serveur est alors stockée dans notrehôtes_connusdéposer. Les tentatives ultérieures de connexion à ce service ne nous demandent plus :

|_+_|

Cette ligne est ajoutée à mon fichier Know_hosts :

|_+_|

Ainsi, la prochaine fois que je me connecterai, cette étape ne sera pas effectuée :

|_+_|

Le problème réside dans mon fichier known_hosts. Depuis que je me suis connecté à mon serveur plus tôt en utilisant l'adresse IP publique et mon proxy Tor, j'ai déjà une entrée pour cette empreinte d'oignon sous une adresse IP différente :

|_+_|

C'est un corrélateur assez puissant. Il est presque certain que l'adresse IP 170.75.162.213 héberge mon service Tor à oxxcatqaha6axbcw.onion sur la base de ces informations.

Ce ne sont là que deux exemples de façons dont votre service peut être pris en compte pour une identification ultérieure. Il n’existe probablement aucun moyen d’énumérer toutes les manières possibles d’identifier votre service, mais les en-têtes et le comportement des applications sont de bons sujets généraux à examiner.

OpSec comportementale

Il existe également des moyens non techniques de lier votre service à vous.

Temps de disponibilité

La disponibilité de votre service peut être surveillée. De nombreux services Tor ne sont pas hébergés dans des centres de données traditionnels et ne sont disponibles que sporadiquement. La corrélation des cycles de disponibilité peut donner des indices sur le fuseau horaire ou l’horaire de travail de l’opérateur.

Données du compte

Il ne sert à rien d’utiliser Tor pour l’anonymat si vous accédez à un site et que vous vous connectez ensuite avec des informations identifiables. Ross Ulbricht, reconnu coupable du redoutable pirate Roberts de la Route de la Soie (v 1.0), a été momentanément distrait par des agents du FBI dans une bibliothèque et un autre agent du FBI a saisi son ordinateur portable et a couru . Ulbricht était connecté à son compte Silk Road DRP. De toute évidence, Ulbricht avait déjà été identifié et piégé, mais ce petit peu d'ingénierie sociale a permis au FBI de l'attraper connecté au compte de la personne recherchée.

Corrélation de nom d'utilisateur

De nombreuses personnes utilisent des identifiants ou des pseudonymes sur Internet pour cacher leur véritable identité. Dans certains cas, ils sélectionnent une poignée dès le début et ont simplement tendance à s’y tenir, ou du moins à la réutiliser de temps en temps. C'est une mauvaise OpSec.

Bien que cela n’ait rien à voir spécifiquement avec Tor, cela constitue un bon exemple de la manière dont les données historiques des comptes peuvent être utilisées pour identifier des personnes. Administrateur de messagerie d'Hillary Clinton Paul Combetta a été ciblé par les utilisateurs de Reddit en tant qu'utilisateur « stonetear » qui sollicitait des informations sur la manière de modifier les destinataires des e-mails au moment où la nouvelle du serveur de messagerie privé de Clinton a fait surface. Il existe une histoire longue et facile à retracer de l'utilisation de Combetta par ce pseudo, ce qui signifie qu'il n'a fourni presque aucun anonymat.

Comme pour les problèmes technologiques OpSec, il n’y a probablement aucune limite au type de comportement qui peut être collecté et corrélé pour identifier l’opérateur d’un service Tor. Votre adversaire devra simplement manquer d’idées et d’argent avant vous.