Se connecter via Tor dit au site qui vous êtes, pas où

L’adresse de sortie change, le nom du compte non, et le site construit depuis des années un profil de ce compte. Se connecter via Tor retire un signal, votre emplacement réseau habituel, et laisse le reste du tableau intact. Cela vaut encore quelque chose, et ce n’est pas l’anonymat vis-à-vis du service auquel vous venez de vous authentifier. La distinction est facile à énoncer et facile à oublier sous pression.

Ce que la connexion elle-même révèle

Une connexion réussie est une déclaration délibérée que cette session appartient à ce compte. Du côté du service, tout ce qui suit est attribuable au compte, y compris les pages visitées, les messages envoyés et les heures de la journée où le compte apparaît.

Tor change ce que la destination peut observer de votre chemin réseau : au lieu de votre adresse, elle voit un relais de sortie. Il ne change pas ce que vous avez dit au site en vous authentifiant, et il ne rend pas deux connexions du même compte sans rapport l’une avec l’autre.

Les liens à l’intérieur du compte fonctionnent de la même manière. Une adresse de récupération, un numéro de téléphone, un moyen de paiement enregistré ou un pseudonyme réutilisé ailleurs se rattachent tous à l’identité avec laquelle vous vous êtes connecté, quelle que soit la route prise par les paquets.

Un nouveau circuit n’est pas un nouveau compte

Le navigateur Tor propose deux actions différentes que les gens traitent comme une seule. Un nouveau circuit pour le site change le chemin des relais utilisé pour cette destination et laisse l’état privé du navigateur intact. Nouvelle identité est plus large : elle efface l’état du navigateur, ferme l’activité et repart de zéro, ce qui est une opération différente aux conséquences différentes.

Aucune des deux actions ne demande à l’autre côté d’oublier quoi que ce soit. Les cookies déjà émis, un jeton de session détenu par le site ou une empreinte d’appareil collectée à la connexion décrivent toujours le même visiteur après le changement de route.

Une adresse de sortie fraîche ne se lit donc pas comme une nouvelle personne pour un service qui connaît le compte. Elle se lit comme le même compte arrivant d’ailleurs, et c’est exactement le schéma que les systèmes antifraude sont conçus pour remarquer. Ce schéma n’est pas un défaut du site. C’est le site qui fait le travail que vous lui avez demandé en vous connectant, et les seules surprises viennent d’attendre le contraire.

Ce que la sortie voit encore

Le relais de sortie transporte votre trafic en clair, sauf si la destination utilise HTTPS, ce qui explique pourquoi les vérifications de certificat du navigateur comptent davantage sur ce chemin, et non moins. Une sortie malveillante est un adversaire réaliste pour le trafic non chiffré, et une page de connexion est le pire endroit pour en rencontrer une.

HTTPS protège le contenu de la sortie et ne fait rien pour le compte avec lequel vous avez choisi de vous authentifier. Les deux protections couvrent des observateurs différents, et aucune ne remplace l’autre.

Attendez-vous aux contrôles du compte

Les services répondent couramment à une sortie Tor par une vérification supplémentaire : un captcha, une confirmation par courriel ou une retenue temporaire. C’est une réaction normale à une plage de sources partagée et déjà abusée, pas la preuve que la session a été compromise.

La réponse utile est d’effectuer une fois la vérification prise en charge. Changer de circuit à répétition jusqu’à ce qu’une invite disparaisse ne vous apprend rien sur le compte et peut sembler pire que l’invite d’origine. Cela gaspille aussi la seule chose que vous protégiez.

Si une vérification ne peut pas être effectuée, c’est une information sur la politique du service, et la décision à prendre est de savoir si le compte vaut la peine d’être atteint sans le tunnel. Les deux options sont légitimes ; prétendre que l’obstacle est un défaut ne l’est pas.

Décidez quel objectif vous avez réellement

Il y a deux objectifs que les gens confondent : protéger le chemin vers une identité connue et empêcher que des activités séparées soient reliées. Tor sert bien le premier. Le second exige de ne pas se connecter du tout, ou de se connecter uniquement avec une identité créée pour cet usage et jamais mélangée à la première.

Nommez l’objectif avant de choisir l’outil. Si le compte doit être utilisé, la description honnête du dispositif est un chemin privé vers un compte connu, et l’affirmation de confidentialité devrait se limiter à ce que cela protège réellement.