Le .onion, bien plus que le « dark web »
Quand on parle de sites en .onion, on pense immédiatement aux marchés illégaux et aux forums clandestins. Pourtant, de nombreuses organisations légitimes — BBC, New York Times, ProPublica, Facebook, Deutsche Welle — ont déployé leurs propres services onion. L'objectif n'est pas de se cacher, mais d'offrir à leurs utilisateurs des garanties de confidentialité et de sécurité que le web classique ne peut pas fournir.
Voici les raisons principales pour lesquelles un opérateur de site peut légitimement vouloir rendre son service accessible via Tor.
1. Chiffrement de bout en bout gratuit
L'un des avantages majeurs des services onion est le chiffrement intégral du trafic, du client jusqu'à l'hébergeur. Comme l'explique le Tor Project dans sa documentation officielle :
« Onion service traffic is encrypted from the client to the onion host. This is like getting strong SSL/HTTPS for free. »
Contrairement au HTTPS classique, où un nœud intermédiaire peut théoriquement intercepter ou rediriger le trafic (attaques de type man-in-the-middle, empoisonnement DNS), le protocole onion garantit que le trafic reste chiffré sur toute la chaîne, sans point de rupture.
2. Authentification native par clé cryptographique
L'adresse .onion elle-même est dérivée de la clé publique du service. Cela signifie que lorsqu'un utilisateur se connecte à une adresse onion, il a la garantie cryptographique que le serveur au bout de la connexion est bien celui qui possède la clé privée correspondante.
« When a user visits a particular onion, they know that the content they are seeing can only come from that particular onion. No impersonation is possible. » — Tor Project
Finis les attaques par spoofing DNS, les certificats SSL frauduleux ou les redirections malveillantes : l'identité du service est inscrite dans son adresse.
3. Masquage de l'adresse IP du serveur
Un service onion ne possède pas d'adresse IP publiquement accessible. Le protocole fonctionne comme un réseau overlay au-dessus de TCP/IP, et les adresses IP ne sont tout simplement pas utilisées dans le protocole. Le serveur ne se connecte qu'en sortie (connexions sortantes uniquement), ce qui le rend invisible depuis l'extérieur.
Cette propriété est précieuse pour :
- Les organisations de journalisme d'investigation (via SecureDrop) qui recueillent des fuites anonymes ;
- Les plateformes d'assistance aux victimes ;
- Les services internes d'entreprises accessibles à distance sans exposer d'infrastructure.
4. Contournement de la censure
C'est la raison qui a poussé la BBC à lancer son miroir Tor en octobre 2019. Dans des pays comme la Chine, l'Iran ou le Vietnam, l'accès au site de la BBC est régulièrement bloqué. Le miroir .onion permet aux internautes de ces pays de contourner le filtrage national.
« The BBC World Service's news content is now available on the Tor network to audiences who live in countries where BBC News is being blocked or restricted. » — BBC News
L'accès via Tor masque non seulement l'identité de l'utilisateur, mais aussi la nature du site visité, rendant le blocage beaucoup plus difficile à mettre en œuvre pour un État.
5. Traversée du NAT sans ouverture de port
Les services onion n'ont pas besoin de ports ouverts sur le pare-feu. Ils établissent uniquement des connexions sortantes, ce qui leur permet de « traverser » le NAT (Network Address Translation). C'est un avantage technique majeur pour les serveurs hébergés dans des environnements restreints : campus universitaires, réseaux d'entreprise, aéroports, etc.
6. Décharge des nœuds de sortie Tor
Quand un utilisateur de Tor visite un site HTTP classique, son trafic sort par un nœud de sortie, dont la bande passante est limitée. En proposant un service .onion, le trafic reste entièrement à l'intérieur du réseau Tor, sans transiter par un nœud de sortie. Comme l'a souligné le Pr Steven Murdoch (University College London) lors du lancement du miroir BBC :
« Onion services take load off scarce exit nodes, preserve end-to-end encryption [and] the self-authenticating domain name resists spoofing. »
Cela améliore les performances pour les utilisateurs de Tor et réduit la charge sur l'infrastructure bénévole du réseau.
Qui devrait envisager un service .onion ?
| Cas d'usage | Bénéfice principal |
|---|---|
| Médias (BBC, NYT, DW) | Contournement de la censure, accès pour les populations sous surveillance |
| Plateformes de signalement (SecureDrop) | Anonymat des sources, protection des lanceurs d'alerte |
| Services de soutien (lignes d'écoute, ONG) | Protection des utilisateurs vulnérables |
| Entreprises (accès distants, dashboards internes) | Masquage de l'IP, pas de port ouvert, authentification native |
| Sites de messagerie / email | Confidentialité du trafic, résistance à l'interception |
Limites et précautions
Déployer un service onion ne dispense pas des bonnes pratiques de sécurité :
- Gestion des clés : la clé privée du service est son identité. Si elle est compromise, le service doit être recréé avec une nouvelle adresse.
- Durcissement du serveur : le serveur sous-jacent doit rester sécurisé (mises à jour, isolation, segmentation).
- OpSec : un service onion mal configuré peut fuiter des informations sur l'infrastructure (logs, en-têtes, erreurs).
- Réputation : l'association à Tor peut susciter des interrogations, d'où l'importance de communiquer clairement sur les raisons du déploiement.
Conclusion
Loin d'être réservé au dark web criminel, le protocole .onion offre un ensemble de propriétés de sécurité — chiffrement de bout en bout, authentification cryptographique, masquage de l'IP, résistance à la censure — qui intéressent de plus en plus d'organisations légitimes. Avec des acteurs comme la BBC ou le New York Times en tête de file, le déploiement de miroirs onion s'inscrit dans une démarche de protection des utilisateurs et de défense de l'accès à l'information.