Thomas : Bonjour à tous et à toutes. Vous êtes toujours à l’écoute de Radio RMLL. Ici, c’est Thomas qui vous parle. Nous sommes avec Lunar du projet Tor. Lunar, est-ce que tu peux nous rappeler un peu ce que c’est Tor ?

Lunar : Tor [1] est un réseau d’anonymisation des connexions sur Internet et de contournement de la censure. Ce sont 6000 relais à travers le monde que font tourner entre 3 et 4000 bénévoles. En fait, on va faire rebondir les connexions à travers trois de ces relais, chaque fois qu’on va se connecter à un site, plutôt que de s’y connecter directement et ce processus de rebonds va faire deux choses :
il va empêcher notre fournisseur d’accès de savoir quels sont les sites qu’on visite, ce qui l’empêche de nous surveiller, ce qui l’empêche, éventuellement, de censurer les sites auxquels on a le droit d’accéder ou pas ;
et, de l’autre côté, les sites qu’on visite ne vont pas pouvoir connaître la connexion internet qu’on utilise, donc notre adresse.
Ce sont les deux propriétés que va donner Tor aux gens qui l’utilisent.

Thomas : Et ça a démarré comment ?

Lunar : En fait, Tor c’est le routage en oignon, c’est pour ça que le logo de Tor c’est un oignon. Les premières recherches sur le routage en oignon datent de 96, c’est vraiment très vieux et ensuite, le projet en lui-même, dans sa forme actuelle, a dix ans cette année.

Thomas : D’accord. Et au niveau du développement, ça s’est développé assez vite ?

Lunar : Ce qui est intéressant dans l’histoire du projet Tor [2], c’est qu’on a commencé avec quelque chose qui était un projet de recherche, qui cherchait à résoudre un problème théorique : comment séparer le routage de l’identification ? C’est le nom un peu pompeux que les chercheurs utilisent et, petit à petit, on s’est rendu compte que c’est un réseau d’anonymisation, donc, pour que ça fonctionne, on a besoin que tout le monde l’utilise.
Une des racines du projet Tor, c’est le laboratoire de recherche de la Navy des États-Unis. La Navy ne peut pas faire son propre réseau d’anonymisation, parce que, sinon, quand on voit une connexion qui sort du réseau de la Navy, on se dit « Ah c’est la Navy ! ». Il faut que tout le monde se mélange, donc, parmi les gens qui utilisent Tor, il y a sûrement autant de gens de la Navy que des journalistes, que des particuliers qui ne veulent pas être fichés par les agences de pub, que des gens qui contournent la censure en Chine. Vraiment, tout un tas de gens différents utilisent Tor.
Avant, on était vraiment sur une technologie qui était une affaire de spécialistes, c’est-à-dire qu’utiliser Tor, c’était compliqué, il fallait configurer non pas un logiciel mais trois, il fallait faire attention à ne pas faire d’erreurs. À l’heure actuelle, pour utiliser Tor, la façon la plus simple, c’est un navigateur web, qui s’appelle le Tor Browser [3], on a une version pour Linux, une version pour Mac OS X, une version pour Windows. C’est un logiciel libre, le téléchargement est gratuit, il suffit d’aller sur le site du Tor Project. On l’installe en deux clics, on le lance, et hop !, une fenêtre de navigation s’ouvre, qui ressemble à celle de Firefox parce que Tor Browser est basé sur Firefox, et il suffit d’utiliser ce navigateur-là plutôt qu’un autre. On passe par le réseau Tor et on est protégé par le réseau Tor dans sa navigation web.

Thomas : Là, tu parlais de différents usages derrière. Au niveau de la question des usages, est-ce que ça pose parfois des problèmes en termes juridiques ou au niveau politique, etc. ? Est-ce que vous avez déjà des retours à ce niveau-là ?

Lunar : Disons qu’en fait Tor n’est pas différent d’Internet, qui n’est pas différent de la vie. Tor est un outil de communication. Les gens utilisent des outils de communication pour communiquer sur ce qu’ils font. Dans ce monde, il y a des gens qui font des trucs nuls, illégaux, répréhensibles ou moralement condamnables. Et puis, il y a des gens qui font des trucs chouettes, légitimes, importants ou, juste, qui communiquent avec leurs amis. En fait, c’est un outil de communication qui va être utilisé pour communiquer.

Thomas : Et vous, vous n’investissez pas, vous n’êtes pas dans l’idée du contournage de la censure ?

Lunar : Si. C’est un des usages de Tor qui est crucial pour nous. C’est un outil de contournement de la censure. C’est utilisé par des gens en Chine, par des gens en Iran, par des gens en France parce leur entreprise les empêche d’accéder à leur boîte Gmail, ce qui, parfois, les empêche de bosser, alors qu’ils ont envie de bosser, alors ils installent Tor dans leur bureau et ils se connectent à leur compte Gmail. L’idée, c’est que n’importe qui doit pouvoir accéder à l’information disponible.

Thomas : D’accord. On va faire un petit lien avec autre chose. C’est Nos oignons, c’est ça ?

Lunar : Dans plusieurs endroits à travers le monde se sont montées des associations pour participer au réseau Tor, mais plus du côté logiciel et développement mais du côté relais. C’est ce que j’expliquais au début, le réseau Tor est constitué de 6000 relais à travers le monde. Donc, plutôt que chaque personne fasse son petit relais dans son coin, eh bien mettre de l’argent en commun, récolter des dons de façon à monter des associations qui vont pouvoir aller chercher des contrats dans des centres d’hébergement de données, avec des gros serveurs qui ont des gros tuyaux, c’est ce qui fait que le réseau Tor marche mieux, va plus vite, parce qu’on a plus de capacité pour accueillir et relayer les informations des gens. L’association qu’on a montée en France, sur ce principe-là, s’appelle Nos oignons [4]. On a commencé à travailler là-dessus en 2012 et ça fait un peu plus d’un an qu’on est sous la forme associative.

Thomas : Et au niveau de la question juridique ?, tu m’en parlais avant l’émission, avant l’interview.

Lunar : Un des aspects de ce système de relais, il y en a trois, c’est que le dernier relais de la chaîne, celui qui va se connecter au site Internet qu’on visite, c’est celui que le site va voir. C’est donc ce relais-là qui peut être pris à partie en disant « Ah !, mais c’est vous qui attaquez mon serveur ! », si jamais des gens lancent des attaques à travers le réseau Tor. Du coup, au sein de Nos oignons, nous avons travaillé avec un avocat et notre position c’est de dire qu’on n’est pas à l’origine des communications qu’on transporte, on ne les sélectionne pas et on ne les modifie pas. C’est un statut qui est défini par la Directive européenne du 8 juin 2000 sur le commerce électronique, qui s’appelle le statut de « Mere conduit », de simple transport [5]. Ce statut dit que non seulement on n’a pas à enregistrer ce qui se passe, mais qu’on n’a même pas le droit, c’est-à-dire qu’on ne doit pas regarder les informations qu’on transporte, sauf si jamais on a des exceptions et, en France, l’exception c’est si la police demande de mettre une écoute. En tout cas, nous pensons qu’être un nœud de sortie Tor, c’est être un simple tuyau, mais on n’a encore jamais eu à le prouver au niveau judiciaire, il n’y a pas eu de procès.
Donc, l’idée de monter Nos oignons, c’était pour faire tourner nos sorties et c’était aussi de monter une association qui ne fait que ça, faire tourner nos sorties. Donc, pour un juge, ce sera plus simple d’évaluer notre activité, au regard de ce qu’on pense qu’elle est, plutôt que si c’est un particulier où il faut éventuellement démêler la moralité du particulier, pourquoi il fait ça, quelle est sa vie, quel est son travail. Nous sommes une association avec un seul et unique but, ça devrait donc être plus simple, pour un juge, de faire le travail, de dire si c’est un simple tuyau ou si ce n’est pas un simple tuyau ? Et clairement, si ça arrive à un moment donné, nous sommes prêts à remonter jusqu’aux instances européennes pour essayer au maximum de valider notre théorie, parce que, sinon, ça veut dire que ce sera très difficile de continuer à aider des personnes à protéger leur intimité sur Internet à travers Tor.

Thomas : D’accord. Et, au niveau des poursuites judiciaires, etc., est-ce qu’il y en a déjà eu autre part dans le monde ?

Lunar : Récemment, la semaine dernière, il y a eu un jugement en première instance d’un opérateur qui est en Autriche et qui, effectivement, a été jugé responsable de ce que les gens ont fait avec son relais. C’est une première instance et, à priori, on va essayer d’offrir tout le soutien nécessaire à cette personne pour aller en appel et continuer. Entre autres, de ce que j’ai compris, le jugement ne fait pas du tout référence à cette condition de simple tuyau, mais fait référence à d’autres morceaux de la loi et nous pensons que c’est une erreur d’interprétation.

Thomas : Et au niveau, justement, d’un particulier, etc., est-ce qu’il a besoin de rentrer dans l’association pour pouvoir bénéficier de l’aide que peut fournir, par exemple, Nos oignons ?

Lunar : Le réseau Tor est accessible à n’importe qui. Il suffit de télécharger le logiciel qui se connecte au réseau Tor, le Tor Browser par exemple, et hop !, l’accès est libre. Et ensuite, et c’est pour cela que ça repose sur les épaules de bénévoles, il y a des tonnes de gens qui ne peuvent pas donner d’argent parce que ça poserait problème, ils ne seraient plus anonymes s’ils le faisaient.

Thomas : Je parlais plutôt de la question au niveau des relais. Si, par exemple, moi je décide de monter mon relais, est-ce que je dois rentrer nécessairement dans votre association ?

Lunar : Non, n’importe qui peut faire tourner un relais Tor. Après, Nos oignons est une association ouverte, n’importe qui peut nous rejoindre. On a une équipe de bénévoles, on a une équipe d’admin-sys et l’idée de Nos oignons ce n’est pas de faire tourner chez des gens, c’est de faire tourner des relais en tant qu’association, en tant que groupe, parce que c’est moins chiant de s’occuper d’une machine à quatre, qu’on peut tourner et partir en vacances, que tout seul.

Thomas : C’est sûr !

Lunar : Après, c’est possible de devenir membre de Nos oignons. L’adhésion est à prix libre. Pour l’essentiel, être membre de Nos oignons permet d’approuver les rapports moraux et financiers du conseil d’administration et de participer à l’élection du conseil d’administration. On a publié nos premiers rapports, ils sont disponibles publiquement sur le site. On a une vingtaine de membres.

Thomas : Nos oignons ça fait combien d’années maintenant ?

Lunar : Nous avons commencé le projet il y a un an et demi. Après, il a fallu le temps de monter l’association, de monter la structure, de commencer à trouver des endroits où mettre les relais. Depuis l’automne dernier, on a deux relais principalement et on pousse 125 Mégabits sur le réseau, ce qui n’est pas énorme. Mais c’était important, durant toute cette période, de monter l’administratif - ça prend vraiment toujours du temps -, de constituer une équipe. Maintenant, les bénévoles, nous nous connaissons, nous travaillons bien ensemble. Je suis vraiment impressionné par la qualité de la documentation technique qu’on a produite en interne et qu’on est en train d’essayer de diffuser. Nous avons commencé à prendre contact avec de nouveaux opérateurs et j’espère que d’ici la fin de l’année nous allons mettre en place deux ou trois nouveaux relais.

Thomas : D’accord. Et de façon générale, Tor, en tant que tel, ça a combien d’années ?

Lunar : La chose qui s’appelle Tor, ça fait dix ans.

Thomas : D’accord. Avez-vous beaucoup évolué en termes de débit ou en termes de sécurité, etc. ?

Lunar : Par rapport au papier de recherche original, qui a été publié il y a dix ans, il y a eu plusieurs révisions du design qui était critique, il y avait des choses qui n’étaient pas assez bien, pas assez résistantes. Ce seront, entre autres, les éléments que je vais aborder dans la présentation que je fais mardi après-midi dans le thème « Sécurité ». C’est baptisé un peu pompeusement, « Défis passés et futurs de Tor ». L’idée, c’est bien de revenir sur ce qui s’est passé ces dernières années et d’essayer aussi de voir ce qui nous pend au nez comme problèmes et comme gros changements que nous aurons à faire.

Thomas : OK. Et au niveau des histoires de surveillance, NSA, etc., comment l’avez-vous pris, en tant que tel ?

Lunar : On était flatté. Une des slides qu’a sorties Snowden était intitulée « Tor, ça pue » [6]. Donc, à priori, ils ont quand même un peu de mal. Après, il faut quand même rester conscient qu’une des choses que Tor ne protège pas, comme tous les systèmes d’anonymat à faible latence - c’est vraiment très compliqué de faire autrement -, c’est que si jamais on peut regarder en même temps ce qui rentre dans le réseau Tor et ce qui sort du réseau Tor, eh bien juste en regardant la forme de la communication - tant de données rentrent à tel endroit, à tel moment, et puis, une seconde plus tard, la même quantité de données ressort, peut-être que c’est la même chose ! On fait ça deux/trois fois et on arrive à obtenir un lien. Comme je le dis, ça paraît simple. En fait, c’est plus compliqué que ça y paraît à mettre en place et c’est plus compliqué que ça y paraît à mettre en place quand on a 6000 relais à observer. C’est à peu près sûr que la NSA, malgré ses énormes capacités, n’a pas les capacités d’observer tous les endroits d’Internet où il y a Tor. Après, c’est une des choses que Tor ne sait pas résoudre.
En même temps, il faut se rendre compte que, dans plein de cas, la NSA n’est pas la première chose à laquelle on pense. Tor est utilisé par des victimes de violences conjugales qui ont besoin de préparer leur fuite face à un agresseur. En fait, elles ont besoin de protéger leurs communications, chez elle ou pas très loin, et la NSA n’a rien à voir. Avant tout, elles vont essayer de protéger leur vie face à une personne qui, immédiatement, va leur taper dessus. C’est important d’avoir une solution pour ces personnes-là.
Après, clairement, utiliser Tor, ça marche au sens où la NSA fait de la surveillance de masse, elle veut surveiller tout le monde tout le temps. Tor empêche la NSA de surveiller tout le monde tout le temps !

Thomas : Tu racontes cette histoire des violences conjugales. Comment est-ce que ça vous arrive aux oreilles ? Des gens vous donnent des retours ?

Lunar : Par exemple Andrew Lewman [7], du projet, travaille avec des associations d’aide aux victimes pour essayer de fournir des outils ou pour améliorer Tor de façon à ce que ça puisse aider des victimes de violences conjugales. C’est un des groupes avec lequel on travaille, comme on travaille avec d’autres associations comme Reporters sans frontières qui travaille avec des journalistes. On a différents groupes dans d’autres pays, comme en Iran, où des gens prennent des risques en utilisant Tor ou d’autres outils de sécurité, soit pour rester en vie, soit, en tout cas, pour prendre moins de risques. Notre outil aide à cela, donc, travailler avec ces personnes, ça paraît une bonne idée.

Thomas : À partir du moment où tu utilises Tor sur ta machine et que tu passes de relais en relais, je suppose que tu as un format défini, dans le protocole, entre les deux relais. Dans ce cas-là, quand tu fais une surveillance généralisée de ton réseau, est-ce que quelqu’un peut voir, mettons, quelqu’un qui est en Iran, dans une situation assez compliquée, d’où tu ne peux pas sortir, comme ça, des infos qui peuvent s’avérer sensibles, etc. ? N’y a-t-il pas, quand même, un risque de se faire attraper justement par le fait qu’on utilise ce réseau-là ?

Lunar : Oui. Disons que pour l’instant on n’a pas de très bonnes solutions pour cacher complètement l’usage de Tor. La liste des réseaux Tor, des relais, est publique, donc, quand on se connecte à Tor, sans rien configurer d’autre, on va essayer de se connecter à un des 6000 relais. C’est donc très facile pour une personne qui veut identifier la connexion, de voir, la liste est publique, que c’est une des machines.
Les gens qui voulaient censurer le réseau Tor se sont mis à bloquer, en Chine, par exemple, c’est le cas, les relais sont bloqués. On a donc un système qu’on appelle les bridges. Ce sont des relais Tor, tout comme les autres, par contre la liste n’est pas publique. On donne les adresses au compte-goutte aux gens qui en ont besoin.
C’était bien, ça a marché pendant un moment. On s’est aperçu, ensuite, que des machines pouvaient identifier le protocole utilisé par Tor sans regarder l’adresse, juste en regardant la gueule des données échangées. Ça a amené toute une série de projets qui s’appellent les Pluggable Transports [8], les transports enfichables, j’ai envie de dire. On a donc plein de solutions différentes pour contourner la censure grâce aux Pluggable Transports.
Une des méthodes, par exemple, c’est Flash proxy : au lieu de se connecter au réseau, ce sont, en fait, des machines qui vont se connecter à nous et, entre autres, les machines ce sont des navigateurs web de gens. Ils ouvrent leur navigateur sur le bon site, ils ont une petite icône, puis hop !, ils vont relayer des gens qui ont besoin de contourner la censure comme ça.
On a un protocole qui s’appelle Obfs, qui va transformer la connexion en bruit. Ça ressemble à du bruit aléatoire, les machines qui catégorisent ont un peu de mal.
On a meek, qui va passer par les serveurs de Google, mais juste par le frontal de Google et, ensuite, va se connecter à une machine qui est sur leur système d’hébergement d’applications et qui, elle, va relayer la connexion vers le relais Tor. Ce qui est intéressant avec meek, c’est que, pour un censeur, à moins de couper tout Google…

Thomas : Ça va être dur de le bloquer, celui-là !

Lunar : Entre autres aussi parce que c’est difficile d’identifier la connexion parce que c’est un Firefox qui est piloté de façon automatique qui va faire les échanges. Du coup, ça ressemble vraiment à du Firefox parce que c’est Firefox.
Et le dernier qu’on a, qui est complètement fou, s’appelle Bananaphone. Il utilise un système basé sur les chaînes de Markov. Je ne comprends rien aux maths, en tout cas ce que ça fait, c’est qu’on lui donne, par exemple, un texte de Molière ou plusieurs textes de Molière et, ensuite, ça va coder la communication dans des messages qui vont ressembler à des vers de Molière. Du coup, ça devient compliqué, pour une machine automatique, d’identifier que c’est la connexion Tor.
Voilà ! On a tous ces projets-là. La majorité d’entre eux sont avant tout orientés contournement de la censure et une partie pourrait être utilisée, peut-être, pour qu’il soit plus difficile d’identifier que les gens sont en train d’utiliser Tor. Mais en l’état, et en ne voulant pas que des gens prennent de risques inutilement, je ne peux pas dire qu’il est possible d’utiliser Tor, de le mettre en place, et qu’il soit complètement indétectable que les gens utilisent Tor. On ne peut pas garantir ça pour l’instant, on est en train de chercher des solutions pour.

Thomas : Et vous pensez y arriver ?

Lunar : Oui. J’espère. Il faut bien se rendre compte, dans le projet Tor qui est passionnant, qu’on a les gens qui développent Tor et on a une immense communauté de chercheurs et de chercheuses autour et, entre autres, leur grand événement mensuel, leur grande réunion c’est une conférence qui s’appelle PETS, le Privacy Enhancing Technologies Symposium [9], qui a lieu à Amsterdam juste après les RMLL, il me semble. Là, des gens bossent sur d’autres réseaux d’anonymisation que Tor. Des gens bossent sur des bases sociologiques pour comprendre pourquoi les gens ne chiffrent pas leurs e-mails. Il y a toute une communauté de gens qui est autour et qui fait de la recherche pour essayer de résoudre tous ces problèmes.
L’intérêt, par rapport à Tor, c’est que, maintenant, c’est le plus gros réseau déployé et utilisé dans le monde. Les autres projets de recherche se comparent toujours à Tor. Parfois, ils ont une idée qu’on peut reprendre dans Tor et, ainsi, améliorer Tor.
Par exemple, un autre réseau d’anonymisation qui est utilisé à plus faible échelle, c’est I2P[em>Invisible Internet Project] [10] . L’idée, chez les gens de I2P, c’est de réutiliser de plus en plus toute cette famille de Pluggable Transports, que je décrivais tout à l’heure. Du coup, plus de gens vont bosser sur cette partie « Comment on rejoint le réseau d’anonymisation sans être détecté ou en contournant la censure ? », plusieurs projets vont bosser sur les mêmes outils, c’est plus de force, plus de chercheurs, plus de chercheuses, plus de réflexion et je pense qu’on va y arriver, oui.

Thomas : Et au niveau de l’intégration, justement, de ces Pluggable Transports, ça se fait facilement ?

Lunar : Ça fait quelques mois, maintenant, que c’est intégré dans le Tor Browser, j’en suis très fier. Je disais tout à l’heure qu’on télécharge son navigateur ; en France, généralement, on va cliquer sur « connecter » et, quand on le démarre, il y a un deuxième bouton, « configurer », et là, on peut lui dire « je veux utiliser Flashproxy » ou « je veux utiliser Obfs » ou « je veux utiliser FTE » ou je peux donner une liste de bridges que je suis allé rechercher sur le site qui donne les bridges ou que j’ai eue par un ami et, du coup, la configuration est entièrement automatisée. On y arrive progressivement. On en a ajouté trois l’année dernière et, l’année prochaine, je pense qu’on va en ajouter deux autres.

Thomas : Je ne sais pas si tu as quelque chose à rajouter ?

Lunar : Oui. Il faut venir contribuer à Tor. Tor est un projet qui fait vraiment plein de choses et qui est tout le temps sur le coup de feu, j’ai envie de dire. On a une lettre d’information hebdomadaire, Tor Weekly News, qu’on publie tous les mercredis. C’est possible de s’inscrire. Elle est en anglais. On donne les informations sur ce qui se passe dans la communauté, quels sont les nouveaux développements, quels sont les derniers messages qui ont été envoyés, quels sont les messages qui arrivent fréquemment à l’équipe de support, quels sont les bugs sur lesquels les gens pourraient travailler, qui seraient assez faciles d’accès. On parle de tout cela.
Après, si jamais les gens n’ont pas le temps, au moment où on télécharge le Tor Browser, donner une petite pièce au projet, ce n’est pas mal, parce que, plus on arrive à diversifier les sources de financement de Tor et plus il y a de chances que le projet soit pérenne.

Thomas : On peut vous retrouver sur Internet ?

Lunar : Le site du Tor Project, c’est torproject.org. Il est en anglais. On est en train de travailler à mettre des traductions, mais ça prend toujours plus de temps que ce qu’on croit. Après, il y a le site de Nos oignons, l’association qu’on a montée en France pour faire tourner des relais Tor, c’est Nos oignons, nos-oignons.net.

Thomas : OK. En tout cas merci beaucoup et bonne continuation alors.

Lunar : On va essayer.