Un VPN masque-t-il l’empreinte du navigateur ? Tor Browser dit non

Un VPN déplace votre connexion vers une autre adresse de sortie et s’arrête là. Tor Browser modifie la manière dont le navigateur se présente, car l’adresse n’est qu’un des signaux qu’un site peut comparer. Échanger l’un contre l’autre revient à changer de manteau en espérant que personne ne remarque votre taille. Les deux couches répondent à des questions différentes, et une comparaison n’a de sens que si vous les gardez séparées.

Le site collecte plus qu’une adresse

Les API du navigateur et le comportement de rendu exposent des combinaisons de propriétés : la façon dont le texte est dessiné, les polices présentes, ce que la fenêtre rapporte d’elle-même, le comportement des fonctions multimédias. Prises isolément, ces valeurs ne sont pas remarquables. Combinées, elles réduisent un visiteur à un petit groupe, et ce groupe suffit souvent à suivre quelqu’un d’une session à l’autre sans le moindre cookie.

Rien de tout cela ne change lorsque le paquet emprunte une autre route. Un VPN peut modifier l’adresse source qu’un site web enregistre tandis que chacune de ces propriétés du navigateur reste exactement telle qu’elle était. L’adresse et l’empreinte sont collectées par des parties différentes de la page.

Un compte connecté ou un identifiant existant n’a même pas besoin de l’empreinte. Si vous vous connectez, le site sait déjà qui vous êtes, ce qui explique pourquoi un changement d’IP ne doit jamais être traité comme une réinitialisation automatique de session. Il en va de même pour un cookie persistant, un jeton d’appareil enregistré ou une URL qui porte un identifiant. Tous trois survivent à une nouvelle adresse sans la moindre empreinte.

Ce que Tor Browser uniformise

Tor Browser est conçu pour réduire à quel point un visiteur diffère d’un autre. Il restreint les polices et les plugins, présente une géométrie de fenêtre standard, isole l’activité entre les sites et maintient sa propre configuration près d’une base de référence connue. Le but n’est pas d’être invisible, mais d’éviter d’être la seule personne de l’échantillon à présenter une combinaison inhabituelle.

C’est pour cela que l’installation d’extensions supplémentaires va à l’encontre de ce principe. Chaque ajout peut introduire une différence détectable ou une requête réseau inattendue, et un navigateur personnalisé pour la confidentialité devient souvent plus distinctif que celui par défaut. les conseils du projet Tor sur les empreintes décrivent les protections prévues et leurs limites.

C’est aussi pourquoi diriger un navigateur ordinaire vers un proxy Tor n’est pas la même chose. Le routage peut être redirigé ; la présentation propre au navigateur ne peut pas être uniformisée par un réglage de proxy. Gardez le navigateur pris en charge intact et à jour.

Ce qu’un VPN change réellement

Un VPN modifie le chemin et l’adresse source du trafic que vous faites passer par lui. C’est réellement utile lorsqu’une application ou un réseau exige un point de sortie particulier, lorsqu’un fournisseur bloque une plage ou lorsque vous voulez que votre réseau local voie moins de choses sur vos destinations.

Ce qu’il ne fait pas, c’est normaliser les fonctions du navigateur ou isoler un site d’un autre au sein du même profil de navigateur. C’est un outil de la couche réseau, et le traiter comme une couche de confidentialité pour le navigateur confond les deux. Un VPN associé à Tor Browser conserve les deux ensembles de responsabilités, et le succès de l’une des couches ne prouve rien sur l’autre.

Si vous faites tourner Tor Browser à travers un VPN, attendez-vous à ce que le tunnel transporte le trafic Tor et à ce que le navigateur gère sa propre présentation. Un tunnel qui fonctionne n’est pas la preuve que les protections contre les empreintes sont efficaces, tout comme un bon test de navigateur ne dit rien de ce qui se passe lorsque le tunnel tombe.

Testez les couches séparément

Une vérification par couche, dans cet ordre :

$ curl -s https://check.torproject.org/api/ip
{"IsTor":true,"IP":"185.220.101.4"}

Cette réponse décrit le chemin de sortie, pas le navigateur. Exécutez-la hors de Tor Browser et vous apprendrez des choses sur le réseau ; exécutez la même requête dans Tor Browser et vous saurez si ce navigateur utilise le réseau Tor. Aucun des deux résultats ne vous dit à quel point le navigateur paraît inhabituel.

Pour la couche navigateur, comparez un Tor Browser fraîchement installé avec un autre qui a accumulé des extensions et des réglages modifiés. Les différences que vous avez introduites sont tout l’enjeu : la configuration par défaut vise une base commune, et chaque personnalisation vous en éloigne. Testez-les sur le même site, dans le même type de session, sans vous connecter.

Gardez les conclusions séparées. Un VPN répond à « de quelle adresse cette connexion est-elle venue », et Tor Browser à « à quel point ce navigateur se distingue ». Confondre les deux produit des conseils de confidentialité assurés qui ne protègent ni l’un ni l’autre.