Relais intermédiaires : le cheval de bataille du réseau Tor
Les relais de sortie font les gros titres et les relais de garde (guards) accaparent l'analyse de sécurité, mais entre les deux se trouve un niveau qui reçoit bien moins d'attention. Les relais intermédiaires sont les relais sans sortie qui transportent le trafic de saut en saut sans jamais se connecter à l'Internet ouvert. La documentation des relais du Projet Tor décrit le réseau actuel comme « assez petit comparé au nombre de personnes qui ont besoin de Tor » et soutient que davantage de relais signifient une meilleure stabilité, plus de robustesse face aux attaques et une plus grande sécurité pour les utilisateurs. Voici ce que transporte réellement le niveau intermédiaire, pourquoi la santé du réseau en dépend et ce qu'implique l'exploitation d'un tel relais.
Ce que transporte un relais intermédiaire
Un circuit Tor standard compte trois sauts : un guard, un intermédiaire et une sortie. La position de l'intermédiaire est fixée par cette conception — il se trouve entre le guard, qui connaît l'adresse du client, et la sortie, qui connaît la destination. L'intermédiaire ne voit aucune des deux extrémités. Le trafic vers les services oignon traverse le réseau de façon similaire, avec des relais supplémentaires jouant le rôle de points d'introduction et de rendez-vous ; ce flux passe donc aussi par le niveau intermédiaire. La présentation des types de relais du Projet Tor le dit sans détour : « un relais sans sortie n'autorise pas la sortie dans sa politique de sortie » — il ne fait que transporter le trafic entre d'autres relais. Et un relais qui n'est pas assez rapide et stable pour obtenir le drapeau de guard « restera un relais intermédiaire ».Les relais de garde et intermédiaires ne reçoivent généralement pas de plaintes pour abus.Cette phrase, tirée de la documentation des relais du Projet Tor, est la raison pratique pour laquelle beaucoup d'opérateurs choisissent ce niveau. Comme le relais ne se connecte jamais à des services extérieurs, il n'y a aucun trafic de sortie dont se plaindre. La documentation ajoute une réserve : tous les relais figurent dans l'annuaire public, donc des plateformes comme les banques ou les services de streaming peuvent quand même bloquer leurs adresses. C'est une gêne liée à la réputation d'IP, pas une plainte pour abus.
Pourquoi le niveau intermédiaire compte pour la santé du réseau
Deux choses en dépendent. La première, c'est la capacité. Tor Metrics suit le nombre de relais actifs et publie des graphiques de bande passante et de drapeaux de relais, et la conception à trois sauts signifie que chaque circuit utilise un relais en position intermédiaire. Plus d'intermédiaires répartissent cette charge sur davantage de machines ; quand le niveau s'amincit, les relais portant le drapeau de guard finissent par assurer aussi le service intermédiaire, et le bassin de chemins distincts se réduit. La seconde, c'est l'anonymat lui-même. Tor stabilise le point d'entrée d'un client en lui attribuant des relais de garde qui ne tournent que toutes les quelques semaines — le texte du Projet Tor sur le cycle de vie d'un nouveau relais décrit une rotation des guards de quatre à huit semaines, ensuite portée à douze. Cette stabilité protège contre les attaques de type prédécesseur, où un adversaire observe les deux extrémités des connexions et attend que les sauts observés se recoupent. Un large niveau intermédiaire ajoute un saut imprévisible entre le guard et la sortie : un adversaire qui observe un guard reste face à un vaste champ de relais intermédiaires possibles avant que le trafic n'atteigne une sortie qu'il contrôle aussi.L'exploitation est délibérément simple
Le manuel de Tor couvre tout ce dont un intermédiaire a besoin dans ses options de serveur, et la liste est courte :- Un ORPort — défini dans le manuel comme le port qui « écoute les connexions des clients et serveurs Tor » —, plus un nickname et une adresse de contact qui fonctionne.
- Aucune politique de sortie à configurer — sortie désactivée, le relais ignore totalement les politiques de sortie et ne contacte jamais de destination hors du réseau.
- Des contrôles de bande passante : BandwidthRate et BandwidthBurst plafonnent le débit, et la documentation d'assistance du projet indique qu'il existe des « options d'hibernation qui permettent de dire à Tor de ne servir qu'une certaine quantité de bande passante par période », pratique pour les connexions avec quota.
- Une entrée MyFamily dès qu'un opérateur fait tourner plusieurs relais. Le manuel est formel : « Si vous exploitez plus d'un relais, l'option MyFamily de chaque relais doit lister tous les autres », afin que les clients ne placent jamais deux d'entre eux dans le même circuit.