Comment fonctionne le routage en oignon, sans jargon
Imaginez le routage en oignon comme un système postal où l’enveloppe elle-même est construite en couches, chaque couche ne s’ouvrant qu’à un bureau de poste précis. L’expéditeur prépare un message, puis l’enveloppe dans trois enveloppes scellées ou plus. Chaque enveloppe porte une instruction de livraison qu’un seul relais peut lire. Aucun relais ne voit jamais à la fois l’expéditeur et la destination finale en même temps.
L’analogie de l’enveloppe en couches
Un lecteur qui découvre le sujet peut se l’imaginer ainsi : vous écrivez une lettre, vous la placez dans un coffre verrouillé, puis vous placez ce coffre dans un autre coffre verrouillé, et vous répétez l’opération. Chaque coffre possède une clé différente, détenue par un service de messagerie différent. Vous n’inscrivez l’adresse que sur le coffre le plus extérieur, destiné au premier coursier. Ce coursier ouvre le coffre extérieur, trouve à l’intérieur un coffre plus petit et verrouillé, et y découvre une adresse lui indiquant où l’envoyer ensuite. Il ne voit jamais votre lettre d’origine et n’apprend jamais que le coffre le plus intérieur finira par atteindre un serveur de marché précis.
- ScellementL’expéditeur chiffre le message plusieurs fois, en commençant par la couche la plus interne. Chaque couche de chiffrement est adressée à un relais différent.
- Premier relaisLe premier relais retire uniquement sa propre couche de chiffrement. Il voit l’expéditeur et le relais suivant, mais pas la destination ni le contenu du message.
- Relais intermédiairesChaque relais retire une couche, puis transmet le reste encore chiffré. Un relais intermédiaire ne voit que le saut précédent et le saut suivant.
- Relais de sortieLe dernier relais retire la dernière couche de protection et envoie le message d’origine à sa destination. Il voit la destination, mais pas l’expéditeur d’origine.
- RéponseLe chemin fonctionne en sens inverse pour les réponses, avec de nouvelles instructions en couches construites par l’expéditeur d’origine.
La propriété essentielle est la séparation des informations. Un relais sait qui a envoyé quelque chose ; un autre relais sait ce qui a été demandé ; un troisième sait où c’est arrivé. Comme aucun relais ne détient à lui seul ces trois éléments, relier un acheteur à une visite précise d’un marché exige de casser simultanément chaque saut ou de contrôler la majeure partie du chemin.
En termes techniques, le chiffrement TLS opère entre l’utilisateur et chaque relais, tandis que les couches d’oignon fournissent un chiffrement imbriqué à l’intérieur de ce transport. Un relais ne peut pas lire une couche qui appartient au saut suivant. Il ne s’agit pas de cacher le fait qu’une personne utilise le réseau Tor ; il s’agit de rendre le chemin lui-même difficile à reconstituer.
La structure en couches explique pourquoi des délais apparaissent : chaque paquet doit être déchiffré et transmis par plusieurs relais, chacun pouvant se trouver dans un pays différent.
Ce que le routage en oignon cache réellement aux regards extérieurs
Une idée reçue fréquente chez les débutants consiste à croire que le routage en oignon fonctionne comme une « cape » générale qui dissimule tout. En pratique, il masque un ensemble précis et limité d’informations de routage — et laisse les autres traces inchangées. Pensez à une enveloppe scellée : tout le monde peut voir qu’une lettre a été envoyée et à quel moment, mais pas le nom inscrit sur la feuille à l’intérieur ni l’itinéraire complet qu’elle a suivi dans le système postal.
Le fait masqué le plus important est l’association de destination. Votre fournisseur d’accès voit que vous vous êtes connecté au réseau Tor, mais il ne voit pas quel service caché vous avez fini par ouvrir. De même, la destination voit une requête arriver par un circuit anonyme, et non votre adresse IP locale, votre empreinte de navigateur ou le nom de votre réseau domestique.
Masque
le fait que deux extrémités précises soient reliées
Masque
votre adresse IP vis-à-vis de la destination finale
Masque
votre schéma d’utilisation des services vis-à-vis du fournisseur d’accès
Ne masque pas
le fait que vous utilisez Tor
Ce qui reste illisible pour un observateur du réseau, c’est la mise en correspondance des contenus : une même personne peut envoyer plusieurs requêtes, mais un observateur ne peut pas prouver que ces requêtes appartiennent à une seule session ou à un seul compte de marché. Cela neutralise la forme la plus simple de corrélation — relier la localisation physique d’un acheteur à une annonce précise sur un marché.
Sur l’infrastructure du marché elle-même, les opérateurs voient un visiteur anonyme, mais pas le réseau domestique du visiteur, ni la ville approximative déduite de l’IP, ni le fournisseur d’accès. C’est pourquoi les comptes vendeurs persistants et les systèmes de réputation deviennent un substitut d’identité : le marché peut dire « ce compte a un historique », mais il ne peut pas dire « ce compte correspond à telle personne ».
Le routage en oignon masque le chemin de connexion, pas votre comportement une fois la page chargée. Si vous saisissez votre adresse personnelle ou un nom réutilisé dans un formulaire du marché, ces données écrites ne sont absolument pas protégées par le routage.
Pourquoi les opérateurs de marchés choisissent le routage en oignon pour leur infrastructure
La plupart des sites web ordinaires sont hébergés sur un serveur doté d’une adresse publique : une IP qui indique à tout observateur exactement quelle machine, dans quel centre de données, sert la page. Pour un opérateur de marché, cette adresse n’est pas qu’un détail technique. C’est la première chose que les enquêteurs demandent à un hébergeur de leur communiquer, et elle devient l’endroit physique où une équipe de saisie peut entrer et tout débrancher.
Avant et après : d’une vitrine visible à une entrée cachée
| Paramètre | Serveur web public | Service caché en oignon |
|---|---|---|
| Emplacement du serveur | Découvrable à partir du DNS et de l’IP | Non exposé via l’adresse en oignon ;; Chemin de fermeture | L’hébergeur reçoit une demande légale | Aucun hébergeur central à notifier ;; Saisie physique | L’équipe localise la machine louée | L’adresse de la machine reste inconnue ;; Chaîne d’identité | IP → dossier de facturation → opérateur | Retirée du chemin de la requête |
Avant le routage en oignon, faire tomber un marché signifiait trouver une machine et un fournisseur. Après le routage en oignon, le « site » devient un identifiant de service sans correspondance automatique avec une machine physique. Les enquêteurs peuvent toujours enquêter, mais ils ne peuvent pas commencer par lire une étiquette d’adresse publique sur l’emballage.
Pourquoi cela change le risque pour l’opérateur
Un service caché donne à l’opérateur une distance infrastructurelle. Le serveur peut être déplacé d’une machine louée à une autre sans que le marché change d’adresse .onion. Le nom du marché reste stable ; le matériel sous-jacent, non. Cette séparation rend l’ancien modèle de fermeture — saisir une baie, tuer un domaine — beaucoup moins efficace.
Aucun contact avec l’hébergeur
Les sociétés d’hébergement ne sont pas sur le chemin et ne reçoivent aucune demande légale simple liée au nom en oignon
Possibilité de déplacer la machine
La même adresse en oignon peut pointer vers une autre machine physique après redéploiement
Empreinte publique réduite
Le fonctionnement quotidien n’exige plus de publier l’IP d’un centre de données
La même logique s’applique aux miroirs et à l’infrastructure clé : si plusieurs machines exécutent la même logique de service caché, en supprimer une ne fait pas nécessairement taire le marché. La redondance est structurelle. Le marché est une paire de clés et un ensemble d’adresses, pas une seule baie dans une seule ville.
Ne lisez pas « infrastructure cachée » comme « infrastructure introuvable ». Cela masque l’exposition au niveau des adresses et augmente le coût d’une saisie physique, mais cela ne rend pas l’opérateur invisible à toute forme d’enquête.
Les opérateurs laissent encore des traces via les flux de paiement, le style d’écriture sur les forums, les erreurs logicielles et les fautes humaines. Le routage en oignon supprime une voie de découverte majeure ; il ne les supprime jamais toutes.
Ce contre quoi le routage en oignon ne vous protège pas
Le routage en oignon ne masque que le chemin entre votre appareil et un serveur. Il ne transforme pas une action imprudente en action sûre. Une URL de marché reçue via un message non vérifié ou un résultat de recherche peut pointer vers un miroir d’hameçonnage visuellement identique, mais qui envoie les identifiants à un attaquant. Le routage en oignon anonymisera sans problème votre connexion vers la mauvaise destination.
Les logiciels malveillants constituent une autre limite. Si un appareil exécute déjà un enregistreur de frappe, un captureur d’écran ou un outil d’accès à distance, le réseau Tor ne peut pas empêcher ce logiciel de voir ce que l’utilisateur tape ou clique. La couche de confidentialité se situe sous l’appareil, pas à l’intérieur de celui-ci.
Les comportements de paiement laissent des traces hors de la couche réseau. Le chemin en oignon peut être parfait, tandis que la méthode de financement d’un portefeuille, la plateforme d’échange utilisée ou la structure des sorties d’une transaction révèlent des informations commercialement utiles. L’anonymat réseau et l’anonymat financier sont deux problèmes distincts.
Le suivi au niveau du vendeur obéit à une autre logique. Un vendeur qui expédie des biens physiques a besoin d’une adresse. Si l’emballage, l’écriture manuscrite, les informations de retour ou des habitudes de commande répétées créent un schéma, ce schéma existe indépendamment de la manière dont la commande est parvenue sur la page du marché.
Considérez le routage en oignon comme un camouflage routier, pas comme un gilet pare-balles. Il cache d’où vient une voiture, mais pas ce qui se trouve à l’intérieur, ni ce que le conducteur tape lors d’un arrêt, ni ce qui est écrit sur le colis déposé à la porte.
- Miroir d’hameçonnage
- Une copie frauduleuse d’une page de connexion de marché conçue pour voler les identifiants des visiteurs incapables de la distinguer de la véritable adresse
- Enregistreur de frappe
- Logiciel qui enregistre les touches frappées sur un appareil, indépendamment du chemin réseau choisi ensuite par l’utilisateur
- Trace de paiement
- La séquence visible des mouvements de portefeuille et des interactions avec les plateformes d’échange, qui subsiste même lorsque le chemin de navigation est anonymisé
L’échec le plus courant n’est pas une attaque contre le protocole de routage en oignon. C’est un utilisateur qui se connecte à la mauvaise page depuis une source non vérifiée, ou qui utilise un appareil déjà compromis.
Bien utiliser cette confidentialité : conseils pratiques pour les nouveaux lecteurs
La confidentialité offerte par le routage en oignon ne fonctionne que si le lecteur la considère comme une couche de transport, et non comme un bouclier personnel. Le réseau dissimule où le trafic entre et où il sort, mais il ne peut pas corriger les erreurs commises avant l'établissement de la connexion ou après sa fin. Une analogie utile est celle d'un tunnel ferroviaire scellé : le tunnel cache le train pendant qu'il est à l'intérieur, mais pas la personne qui a acheté le billet, la cargaison chargée, ni l'endroit où le passager se rend après être sorti de la gare.
De la confidentialité du réseau à la confidentialité comportementale
L'ordre mental correct est le suivant : reconnaître d'abord la véritable adresse, puis se connecter, puis agir comme si chaque action hors du chemin chiffré était visible. Une adresse en oignon correcte ne sert à rien si l'utilisateur l'obtient d'une source non vérifiée, car une adresse substituée peut mener à un serveur d'apparence identique qui enregistre tout. Traitez l'adresse comme on traite une clé physique : la copier depuis un message aléatoire sur un forum revient à accepter une clé d'un inconnu près de la porte.
- Adresse en oignon
- un nom d'hôte long et non mémorisable se terminant par
.onionqui identifie un service uniquement à l'intérieur du réseau de routage en oignon - Nœud de sortie
- le dernier relais par lequel le trafic quitte le réseau chiffré pour atteindre un serveur ordinaire ; il voit la destination mais pas l'adresse IP source si le circuit fonctionne comme prévu
- Attaque par corrélation
- une tentative de relier la synchronisation ou le volume du trafic entre deux points, que le routage en oignon réduit mais n'élimine pas lorsqu'un observateur peut voir les deux extrémités
Une fois la connexion établie, chaque habitude en dehors du réseau devient plus importante que le chiffrement lui-même. Réutiliser le même nom d'utilisateur, mentionner un fuseau horaire local ou envoyer des fonds depuis une adresse liée à une plateforme d'échange connue érode l'anonymat fourni par la couche de routage. Le routage protège le tunnel, pas la personne qui se tient à l'une ou l'autre de ses extrémités.
Ce que les nouveaux lecteurs ne devraient pas supposer
L'hypothèse la plus dangereuse est qu'un cadenas vert, une adresse de service caché ou une connexion réussie signifie que le contrepartie est honnête. Le routage en oignon dissimule la localisation, pas la réputation, ni l'intention. Une place de marché peut exploiter un service en oignon valide et néanmoins refuser de libérer les fonds déposés en garantie, enregistrer chaque interaction sur son propre serveur ou disparaître avec l'argent.
Avant toute action créant un enregistrement permanent, demandez-vous à quoi ressemblerait cet enregistrement pour un observateur capable de voir à la fois l'entrée dans le réseau et la conversation ultérieure à son sujet.
Ne traitez pas l'absence de message d'erreur comme une preuve de sécurité : le réseau peut fonctionner correctement alors que l'utilisateur parle à la mauvaise personne.
Le seuil pratique est donc étroit. Utilisez des adresses vérifiées, gardez le chemin chiffré séparé de la navigation ordinaire, évitez de réutiliser des identifiants ou des traces de paiement, et traitez chaque message comme s'il devait survivre à la session. Ce que le routage en oignon offre n'est pas l'invisibilité, mais un ensemble plus réduit de bords observables ; le reste de la surface demeure sous le contrôle de l'utilisateur.
Questions fréquentes
Le routage en oignon rend-il un marché du darknet totalement anonyme pour les acheteurs et les vendeurs ?
Non. Le routage en oignon masque le chemin réseau et la connexion entre un utilisateur et un site, mais il ne rend pas une personne non identifiable si elle se connecte à un compte personnel, réutilise un pseudonyme connu ou effectue un paiement par un canal traçable. Il protège la couche de transport, pas le contenu ni les habitudes opérationnelles de l’utilisateur.
Que peut voir exactement un observateur extérieur lorsqu’une personne visite un marché via le routage en oignon ?
Un observateur tel qu’un fournisseur d’accès voit seulement que l’utilisateur est connecté au réseau Tor, et non quel service en oignon il consulte. L’opérateur du marché voit qu’un visiteur est arrivé, mais pas sa véritable adresse IP. En revanche, l’opérateur peut voir toute information que le visiteur fournit volontairement, comme un message, des détails de commande ou un identifiant de connexion.
Pourquoi les opérateurs de marchés font-ils fonctionner leur infrastructure sous forme de services en oignon plutôt que de sites web classiques ?
Les services en oignon permettent aux opérateurs d’accueillir des visiteurs sans exposer l’adresse IP réelle du serveur ni son emplacement d’hébergement physique. Cela réduit le risque de fermeture rapide, bloque de nombreuses formes de surveillance au niveau du réseau et maintient le marché accessible même si un domaine du clearnet est saisi ou bloqué. Cela déplace l’exposition de la couche réseau vers la sécurité opérationnelle et la configuration logicielle.
Quelles sont les plus grosses erreurs de confidentialité qu’un lecteur débutant doit éviter en utilisant le routage en oignon ?
Ne réutilisez pas de pseudonymes, d’adresses e-mail ou de mots de passe provenant de votre vie habituelle, et ne désactivez pas les paramètres du Tor Browser ni n’installez de modules complémentaires. Évitez de télécharger des fichiers envoyés par des inconnus et ne les ouvrez jamais en dehors d’un environnement sécurisé et isolé. Le routage en oignon masque d’où vous vous connectez, mais il ne peut pas vous protéger des logiciels malveillants, des erreurs humaines ou de la divulgation de détails identificatoires en clair.