La Distorsion

Des onions contre la censure d'Internet

Le 26 août 2026, les USA ont ajouté Autistici/Inventati (abbrévié A/I, mais ça a rien à voir avec l'intelligence artificielle) à la liste des organisations qu'ils considèrent comme terroristes, déclenchant du même coup un embargo contre le collectif. A/I est un collectif anticapitaliste antifasciste qui propose des outils numériques (emails, hébergement de sites web, visio...) à d'autres collectifs ou individus qui participent à ces luttes. L'ajout sur cette liste interdit à toute entité américaine d'entretenir des liens avec A/I et encourage les entités hors USA à faire de même pour éviter d'être considérées par les USA de soutiens à des "terroristes".

Evidemment, A/I n'a rien d'une organisation terroriste. Cette affaire est la dernière illustration en date de l'anti-terrorisme comme méthode de gouvernement, qui sévit aux USA, mais pas seuleument. En france, on fêtait récemment les 10 ans de l'Etat d'urgence, qui n'a pas désarmé depuis 2015. Une petite histoire du collectif A/I a été récemment publiée ici, avec une première analyse politique des arguments avancés par l'administration Américaine.

A l'annonce des sanctions, le domaine autistici.org a été rendu inaccessible. C'est une censure assez classique techniquement, mais qui révèle une fois de plus le pouvoir démesuré que donne aux censeurs l'une des briques essentielles de l'internet moderne : le Domaine Name System (DNS). La bonne nouvelle, c'est que des alternatives existent, et qu'elles n'attendent que d'être mieux connues et utilisées. Le but de ce billet est de promouvoir l'une d'elle, les services onion du réseau Tor, pour rendre nos infrastructures collectives extrêmement difficile à censurer. L'article a été écrit pour être accessible aux lecteur·ice·s sans expérience de l'informatique. Certains points plus techniques sont traités en annexe, à la fin de l'article.

A l'heure où cet article est publié, Autistici/Inventati a annoncé cesser ses activités, considérant que continuer faisait courrir un trop grand risque à toutes celles et ceux lié·e·s au collectif.

DNS et censure

Le DNS, c'est un annuaire mondial qui permet de faire correspondre un nom de domaine (par exemple distorsion.interhacker.space) avec une (ou plusieurs) addresse IP numérique (par exemple 89.234.152.35).

Cet annuaire est hiérarchique. Quand un ordinateur tente de résoudre distorsion.interhacker.space, il commence par demander au serveur responsable de .space s'il connaît l'adresse de distorsion.interhacker.space. Ce serveur n'a pas directement la réponse et mais connait le serveur responsable de interhacker.space. Ce second serveur est géré par les copaines du réseau interhack. Il connait l'adresse de notre site web et la renvoie donc à l'ordinateur qui a fait la demande.

La nature hiérarchique du DNS permet de ne pas avoir à parcourir l'entièreté de l'annuaire (que personne n'a de toute façon) pour retrouver une adresse. C'est pratique, mais donne du même coup beaucoup de pouvoir aux gestionnaires des top level domains (TLD) comme .fr, .space ou .org. Les gestionnaires des TLDs sont le plus souvent des entreprises privées, ou liées à des institutions.

Le TLD .org est géré par le Public Interest Registry (PIR), une association à but non lucratif basée aux Etats-Unis. Deux jours après l'ajout de Autistici/Inventati sur la liste des organisations terroristes des USA, le serveur du PIR a cessé de répondre aux requêtes pour autistici.org, rendant le site et tous les services associés à ce nom de domaine impossible à joindre. Les serveurs de Autistici/Inventati n'ont pas été attaqués ni saisis, ils ont simplement disparu de l'annuaire.

La censure par le DNS est en fait une méthode de censure très courante qui est régulièrement utilisée. Quand Sci-Hub est injoignable sans VPN ou que Minecraft est bloqué sur les ordis de la bibliothèque, c'est généralement au niveau du DNS ce ça se passe. Dans le cas d'Autistici/Inventati, le DNS permet à une entité bureaucratique aux Etats-Unis de censurer un collectif basé en Italie pour des motifs politiques.

Précisons quand même, pour que l'histoire soit complète, que les censeurs sont des glands. Le PIR a bloqué autistici.org, mais pas inventati.org, l'autre domaine utilisé par le collectif. Dans les jours qui ont suivi la censure, les services ont été graduellement migrés vers le domaine qui était toujours accessible.

Echapper à la censure du DNS

Echapper à la censure du DNS, c'est pas évident, parce que c'est une brique qui a été posée il y a un bail dans la construction d'Internet. Beaucoup de choses ont été construites par dessus. Par ailleurs, le DNS répond a des besoins réels, on ne peut donc pas simplement le supprimer sans alternative+.

En premier lieu, le DNS permet de changer l'adresse IP du (ou des serveurs) qui hébergent un service de manière transparente pour ses utilisateur·ice·s. Quand on a migré le site web de la distorsion de chez DeuxFleurs vers un serveur à Montpellier, il nous a suffit de changer l'adresse IP dans l'annuaire, et le site est resté accessible sans interruption sur distorsion.interhacker.space. Le nom de domaine dans le DNS permet donc de donner un identifiant stable à un service, indépendant des magouilles techniques qui le font fonctionner+.

De plus, cet identifiant stable peut être utilisé pour sécuriser les connexions vers le service à l'aide d'un certificat lié au nom de domaine. HTTPS par exemple, permet de se connecter aux sites web de manière sécurisée, mais dépend d'un certificat valide, et donc d'un nom de domaine dans le DNS.

Une alternative au DNS devrait au moins répondre à ces deux besoins :

  1. fournir un identifiant indépendant de la localisation des serveurs qui hébergent le service
  2. permettre des connexions sécurisées vers ces serveurs.

Le réseau Tor et les services onion

Tor est un protocole qui permet de se connecter à des services de manière anonyme. Les connexions sont transmises à travers un réseau de relais qui masque la provenance et la destination des connexion.

Pour un usage basique, utiliser Tor revient à utiliser le TorBrowser, le navigateur web développé par le projet Tor. Le TorBrowser est un navigateur Firefox modifié qui transmet toutes ses connexions à travers le réseau Tor et implémente en plus tout un tas de mesures pour protéger la vie privée de ses utilisateur·ice·s. Il s'installe très facilement, et peut s'utiliser directement pour accéder à Internet de manière anonyme. Si tu ne l'utilises pas déjà, tu peux l'installer dès maintenant ! Ca sera utile pour la suite.

Le réseau Tor permet aussi de rendre des services accessibles, sous la forme de services onion. Un service onion est identifié par une URL de 56 caractères à peu près aléatoires qui termine en .onion (par exemple hegz7dhxjf22sf7sxjs33wrnbdtr6otfnu5axq5zkwsihr3vk6mveyid.onion) et n'est accessible que à travers Tor (par exemple avec le TorBrowser).

Les adresses en .onion sont résolues par un mécanisme dédié au sein du réseau Tor qui ne dépend pas du DNS. Les serveurs qui forment le réseau Tor maintiennent collaborativement un annuaire des différentes adresses .onion, de sorte que à tout instant, plusieurs serveurs+ détiennent les informations nécessaires pour se connecter à une adresse donnée. Pour les ordinateurs qui veulent se connecter à une adresse en .onion, une procédure mathématique permet de calculer quels serveurs du réseau Tor détiennent les informations correspondant à cette adresse à un instant donné. Ainsi, résoudre une adresse en .onion n'implique à aucun moment une entité unique qui serait en mesure de le censurer+.

Mais ce n'est pas tout ! Le protocole Tor garantit en plus une connexion sécurisée jusqu'au service onion (chiffrée et authentifiée).

Ainsi, les services onion répondent aux deux besoins énoncés plus haut :

  1. ils fournissent des identifiants stables pour des services, indépendants de la localisation des serveurs qui les hébergent.
  2. ils permettent des connexions sécurisées vers ces services.

Ce sont donc de bons remplacements pour le DNS. Le tout, sans dépendre d'une entité centrale, ce qui les rend extrêmement difficile à censurer. En fait, ils ont été conçus pour ça !

Nouvel internet, nouvelles habitudes

Pour des raisons techniques, liées à l'anonymat élevé offert par Tor, il est très difficile de créer un moteur de recherche (comme google ou duckduckgo) pour les services onion. Par ailleurs, ça ne serait pas souhaitable, car le moteur de recherche serait alors une nouvelle entité capable de censurer : du jour au lendemain, google peut décider de ne plus afficher un site dans ses résultats par exemple.

En pratique, pour se connecter à un service onion, il faut donc déjà en connaître l'adresse. Comment distribuer les adresses onion des services dont on a besoin ? C'est un problème partiellement technique, mais surtout organisationnel et humain, qui se résoud en adoptant de nouvelles habitudes.

Sur le plan technique, si l'on navigue sur un site en clair (c'est à dire pas un service onion, par exemple distorsion.interhacker.space) avec le TorBrowser, un bouton apparait dans la barre d'url qui annonce qu'un service onion est également disponible pour ce site. En cliquant sur le bouton, l'adresse .onion est chargée à la place (hegz7dhxjf22sf7sxjs33wrnbdtr6otfnu5axq5zkwsihr3vk6mveyid.onion par exemple pour notre site web).

Tant que le site n'est pas censuré, il est accessible à la fois par son adresse habituelle dans le DNS, et sur sa version .onion. Mais le jour où la censure frappe, seule l'adresse en .onion restera accessible. On peut donc dès maintenant prendre l'habitude de consulter nos sites favoris par leur services onion s'ils en proposent. Pour cela, il faut enregistrer leur adresse .onion, par exemple dans les favoris du TorBrowser, ce qui permet de ne plus dépendre de la présence de l'adresse habituelle dans le DNS.

Ce changement d'habitude nécessite du temps pour être largement adopté, mais il est nécessaire de l'entreprendre sans attendre que les sites soient censurés. On pourrait profiter du calme (relatif) avant les tempêtes qu'on voit déjà à l'horizon, pour constituer nos listes d'adresses onion et se les partager.

En fait, le web des onions résistant à la censure ressemble un peu au jeune internet des années 90, quand les moteurs de recherche n'existaient pas encore. Internet était alors véritablement une toile, sur laquelle on naviguait de site en site, en suivant les liens que les sites faisaient entre eux. Les sites se regroupaient en communautés par thème, proximité géographique, affinité politique etc et formaient des web rings qui permettaient de naviguer facilement de l'un à l'autre. Chaque internaute (littéralement navigateur·ice de l'Internet) collectait au gré de ses explorations les adresses des sites qui l'intéressaient le plus, pour pouvoir y accéder à nouveau directement.

Ces pratiques ont été un peu oubliées avec l'émergence de l'internet des plateformes. La navigation autonome sur une myriade de petits sites webs est devenue une visite guidée et encadrée sur les autoroutes tracées par des mastodontes du web devenus pratiquement incontournables (les moteurs de recherche comme google, puis les réseaux sociaux), qui essayent de nous faire croire qu'ils sont tout l'Internet et que rien n'existe en dehors d'eux.

On pourrait donc mêler ces pratiques apparemment obsolètes avec la cryptographie la plus chiadée actuellement accessible pour fabriquer l'Internet non censurable et anonyme dont on a besoin. En plus, c'est l'opportunité unique de faire un super jeu de mot et de former des onion rings avec nos sites favoris. Pourquoi s'en priver ?

Cet article de blog est donc un appel :

References

  1. Il est tout de même possible de se passer du nom de domaine, et d'utiliser les adresses IP directement. Même si autistici.org est actuellement censuré dans le DNS, en utilisant l'adresse IP du serveur directement, on peut toujours accéder au site web. Pour les geeks qui aiment lire du html dans le terminal, essayer "curl -k -H 'Host: www.autistici.org' https://93.190.126.19/". Voir ce billet de blog pour plus de détails. ↟
  2. Autistici/Inventati par exemple réplique ses services sur plusieurs serveurs, dans plusieurs pays, pour rendre très difficile la saisie simultanée de toute leur infrastructure. ↟
  3. Typiquement 8 serveurs n'importe où dans le monde, qui changent toutes les 24h. ↟
  4. Cette description du fonctionnement est simplifiée. Pour plus de détails techniques, voir la documentation du projet Tor. Pour encore plus de détails techniques, voir la spécification de Tor. En particulier, la specification de la DHT se trouve dans cette section. ↟

Annexes pour les geeks

Monter un service onion

La mise en place d'un service onion est facile et n'interfère pas avec le service d'origine. La procédure est bien expliquée sur le site du projet Tor.

En gros, il suffit d'installer le démon tor et de le lancer avec les quelques options nécessaires dans le fichier de configuration. Il agit alors comme un reverse proxy et transmet les connexions reçues des clients venant de l'onion vers l'endpoint qu'on lui donne.

Pour que le bouton qui signale l'existence d'une version onion du site s'affiche dans le TorBrowser, il faut ajouter un header aux réponses. Selon les cas, le service peut être configuré pour le faire lui même, ou bien on peut faire ça au niveau d'un serveur web/reverse proxy.

Cette procédure est automatisée par onionspray. On ne l'a jamais utilisé à la distorsion, mais à priori ça marche bien.

Si vous voulez mettre en place un service onion pour votre site mais que vous avez des doutes sur comment faire, n'hésitez pas à nous contacter, on peut filer un coup de main.

Propriétés additionnelles des services onion

Dans l'article, on s'est focalisé sur les propriétés de résistance à la censure des services onion, mais ils font bien plus.

De même que les connexions des clients sont anonymisées par le réseau Tor, les services onion sont anonymes. Le serveur qui répond aux requêtes est anonymisé de le même façon que les clients. En fait, rigoureusement, un service onion est indistinguable d'un client du réseau Tor au niveau du protocole.

Ce point implique que pour publier un service onion, il suffit de pouvoir se connecter au réseau Tor. C'est à dire qu'il suffit de pouvoir établir des connexions sortantes. Pour exposer un service onion, pas besoin d'exposer de port sur le serveur directement, les services onion sont des outils de NAT-punching hyper efficaces.

Partager un lien en .onion vers un contenu oblige les visiteur·ice·s à utiliser Tor pour y accéder, et assure donc qu'iels bénéficient de l'anonymat que Tor apporte. Un lien en .onion n'est aussi pas préchargé par les applications de messagerie instantanée par exemple, ce qui évite que des connexions en clair soit établies vers le contenu, le plus souvent à l'insu de l'utilisateur·ice.

Un service onion est simplement une paire de clefs cryptographique. Il est trivial de le migrer en cas de besoin. Rien n'oblige, évidemment, que la version onion du site soit hébergée sur le même serveur que la version en clair, ni qu'elle affichent réellement le même contenu. Tout est possible.

Limitations

Le réseau Tor ne peut transporter que des flux TCP. Les applications qui utilisent UDP (comme la plupart des applis de visoconférence) ne fonctionnent pas dans Tor, donc ne peuvent pas être exposés comme des services onion.