Nœuds Tor sans disque : protection contre la saisie physique

Comment Tor protège les nœuds contre la saisie physique : la nouvelle architecture de serveur sans disque

Le réseau Tor déploie une technologie qui rend les serveurs inutiles aux attaquants en cas de saisie physique. L'idée centrale est d'exécuter les nœuds exclusivement en RAM, sans stocker de données sur le disque. Après un redémarrage, toutes les informations sont effacées, y compris les journaux et les clés cryptographiques. Cela réduit les risques pour les opérateurs et les utilisateurs, mais crée de nouveaux défis techniques.

Le problème de la saisie physique des nœuds

Les opérateurs de nœuds Tor subissent des pressions de la part des forces de l'ordre et des attaquants. Des serveurs ont été saisis en Autriche, en Allemagne, aux États-Unis et en Russie. Si l'équipement tombe entre de mauvaises mains, les données qu'il contient peuvent être utilisées pour désanonymiser les utilisateurs. Même avec une architecture où aucun nœud ne connaît la chaîne complète de connexion, la présence de journaux ou de clés crée une vulnérabilité.

Comment fonctionnent les systèmes sans disque

Un serveur sans disque démarre à partir d'une image immuable et fonctionne entièrement en RAM. Lorsqu'il est éteint, toutes les données disparaissent. Cette approche ressemble au système Tails, mais adaptée aux spécificités des nœuds Tor. Le projet Tor-ramdisk existait dès 2015, mais la technologie est maintenant affinée.

Avantages :

• Aucune donnée disponible pour analyse après une saisie.
• Configuration immuable à chaque démarrage.
• Impossibilité pour les logiciels malveillants de persister après un redémarrage.

Le problème de la préservation de la réputation des nœuds

Les nœuds Tor accumulent une réputation liée à une clé cryptographique. Perdre la clé signifie repartir de zéro. La solution consiste à utiliser un TPM (Trusted Platform Module), qui stocke les clés et ne les transmet pas au système d'exploitation. Le TPM lie la clé à un état système spécifique, bloquant l'accès en cas de modifications.

Limitations du TPM :

• Certaines clés Tor ne sont pas directement prises en charge et sont stockées chiffrées.
• Les mises à jour nécessitent de relier les clés, ce qui est difficile à automatiser.

Défis techniques et pratiques

L'exécution en RAM nécessite une gestion minutieuse de la mémoire. Des ressources insuffisantes entraînent l'arrêt des processus. Les développeurs ont réussi à réduire la consommation mémoire, mais le problème n'est pas entièrement résolu. Les redémarrages fréquents dégradent la réputation des nœuds et réduisent le débit.

Approches existantes :

• Transfert manuel des clés au démarrage.
• Machines virtuelles sans disque avec stockage séparé de la clé maître.
• Chargement d'images vérifiées avec clés dans le TPM.

Orientations futures

Les tâches non résolues incluent les mises à jour automatiques sans perte d'état et la vérification à distance de l'intégrité du logiciel. Des plans incluent la mise en œuvre de journaux ouverts pour la vérification du fonctionnement des nœuds. L'objectif est de créer une infrastructure où la confiance ne dépend pas de la sécurité physique des serveurs.

Points clés à retenir

• Les nœuds Tor sans disque détruisent les données au redémarrage, protégeant contre la saisie physique.
• Le TPM préserve les clés cryptographiques, assurant la continuité de la réputation.
• La technologie réduit les risques pour les opérateurs mais nécessite de résoudre les problèmes de mémoire et de mises à jour.
• Le développement vise à accroître la confiance dans le réseau Tor parmi les journalistes et les activistes.

— Editorial Team