Le glossaire VPN mentionne l'existence de VPN proposant une intégration avec le réseau Tor, en précisant que la vitesse de connexion en souffre considérablement. Cette page détaille pourquoi, en expliquant les deux montages possibles entre un VPN et Tor, leurs différences fondamentales en matière de modèle de confiance, et dans quelles situations chacun a réellement du sens.
Rappel rapide sur le fonctionnement de Tor
Le réseau Tor achemine votre trafic à travers au moins trois relais choisis aléatoirement parmi un réseau de nœuds exploités par des volontaires à travers le monde. Chaque relais ne connaît que le nœud précédent et le nœud suivant dans la chaîne, jamais l'ensemble du trajet : le nœud d'entrée connaît votre adresse IP réelle mais pas votre destination finale, tandis que le nœud de sortie connaît la destination mais pas votre identité. Cette architecture distribue la confiance entre plusieurs opérateurs indépendants plutôt que de la concentrer sur un seul intermédiaire.
Le montage "Tor sur VPN" (ou VPN puis Tor)
Dans ce montage, vous vous connectez d'abord à votre VPN, puis vous lancez le navigateur Tor par-dessus cette connexion déjà établie. Votre trafic passe donc par le VPN avant d'entrer dans le réseau Tor. Concrètement, cela signifie que votre fournisseur d'accès à Internet voit une connexion chiffrée vers le serveur VPN, sans savoir que vous utilisez ensuite Tor. Le nœud d'entrée de Tor, de son côté, voit l'adresse IP du serveur VPN plutôt que votre adresse IP réelle.
L'avantage principal de ce montage est de dissimuler l'utilisation de Tor elle-même à votre fournisseur d'accès, ce qui peut être utile dans un contexte où le simple fait d'utiliser Tor pourrait attirer une attention indésirable. L'inconvénient est que vous devez faire confiance à votre fournisseur de VPN pour ne pas conserver de journal reliant votre identité réelle au trafic envoyé vers le réseau Tor, ce qui replace une partie de la confiance sur un point centralisé unique.
Le montage "VPN sur Tor" (ou Tor puis VPN)
Ce montage inverse l'ordre : vous vous connectez d'abord au réseau Tor, puis votre trafic, déjà anonymisé par les relais Tor, est ensuite acheminé vers un serveur VPN avant d'atteindre sa destination finale. Ici, c'est le serveur VPN qui voit apparaître le trafic en sortie du réseau Tor, sans connaître votre adresse IP réelle, celle-ci ayant déjà été masquée par les relais Tor en amont.
Ce montage présente un avantage particulier : il permet d'accéder à des services qui bloquent systématiquement les connexions provenant de nœuds de sortie Tor connus (une pratique fréquente sur de nombreux sites, car ces adresses sont publiques et largement recensées), puisque le trafic sort finalement via l'adresse IP du serveur VPN plutôt que via un nœud Tor identifiable. Il permet également de contourner un blocage de Tor lui-même au niveau d'un réseau local ou national, en faisant apparaître la connexion comme un trafic VPN standard au niveau de ce réseau. En contrepartie, cette configuration est nettement plus complexe à mettre en place correctement, et n'est proposée nativement que par un nombre restreint de fournisseurs de VPN, la plupart des utilisateurs devant sinon la configurer manuellement avec un risque d'erreur plus élevé.
Le compromis commun aux deux montages : la vitesse
Combiner Tor et VPN cumule les délais de chacun des deux systèmes : le chiffrement et le détour géographique du VPN d'un côté, la traversée d'au moins trois relais Tor choisis aléatoirement de l'autre. Le résultat est une latence sensiblement plus élevée que l'utilisation de l'un ou l'autre système séparément, ce qui rend cette combinaison peu adaptée à des usages sensibles à la vitesse comme le streaming vidéo ou le jeu en ligne, et plus pertinente pour des usages ponctuels où l'anonymat prime largement sur la performance.
Ce que ni l'un ni l'autre montage ne garantit
Aucune des deux combinaisons ne constitue une garantie d'anonymat absolu. Une utilisation imprudente au niveau applicatif — se connecter à un compte personnel identifiable, télécharger un document contenant des métadonnées révélatrices, ou laisser un navigateur exécuter des scripts qui exposent des informations sur la configuration de l'appareil — peut annuler l'essentiel du bénéfice apporté par ces architectures réseau, aussi sophistiquées soient-elles. La combinaison Tor-VPN protège la couche réseau ; elle ne corrige pas des erreurs commises au niveau des applications ou des comportements de l'utilisateur.
Un point technique souvent mal compris : le nombre de sauts ne fait pas tout
Une idée reçue consiste à penser que multiplier les intermédiaires (VPN, puis Tor, puis éventuellement un second VPN) augmente proportionnellement le niveau d'anonymat. En réalité, chaque intermédiaire supplémentaire introduit aussi un point de défaillance potentiel : un nœud Tor compromis, un serveur VPN mal configuré, ou simplement une erreur de configuration dans l'ordre des connexions peut réduire à néant le bénéfice attendu de la combinaison. Une expérience de recherche menée en 2007 a d'ailleurs démontré comment des nœuds de sortie Tor compromis pouvaient être utilisés pour intercepter du trafic non chiffré au niveau applicatif, rappelant que Tor protège le trajet réseau mais pas le contenu d'un échange qui ne serait pas lui-même chiffré de bout en bout au niveau de l'application.
L'intégration native dans certaines applications VPN
Plutôt que de configurer manuellement l'un de ces deux montages, certains fournisseurs de VPN proposent une fonctionnalité intégrée directement dans leur application, généralement présentée sous le nom "Tor sur VPN" ou une appellation similaire, qui automatise le premier des deux montages décrits plus haut : la connexion au VPN, suivie automatiquement d'un routage vers le réseau Tor pour les serveurs qui le proposent. Cette intégration simplifie l'usage pour qui ne souhaite pas gérer manuellement le navigateur Tor en plus de l'application VPN, mais elle concentre par construction la confiance sur ce fournisseur unique, qui gère à la fois le VPN et le point d'entrée vers Tor.
Ce que cela signifie pour la vie privée du navigateur lui-même
Indépendamment du montage réseau choisi, l'anonymat recherché par une combinaison Tor-VPN peut être compromis par des éléments propres au navigateur : cookies persistants, empreinte numérique unique liée à la configuration matérielle et logicielle de l'appareil, ou extensions de navigateur qui exposent des informations. Le navigateur Tor officiel est spécifiquement conçu pour uniformiser cette empreinte entre tous ses utilisateurs et limiter la persistance des cookies, ce qu'un navigateur grand public classique utilisé au-dessus d'un VPN ne fait pas par défaut. Utiliser un montage réseau sophistiqué avec un navigateur ordinaire mal configuré revient à protéger le trajet des données tout en laissant une signature identifiable au niveau de l'application elle-même.
Un choix qui dépend du modèle de menace, pas d'une préférence générale
Le choix entre ces deux montages, ou entre Tor seul, un VPN seul, ou aucun des deux, dépend directement de ce contre quoi vous cherchez à vous protéger. Pour un usage quotidien de confidentialité générale, la complexité et la perte de vitesse de ces combinaisons sont rarement justifiées : un VPN correctement vérifié, avec un kill switch fonctionnel et sans fuite DNS ou WebRTC, couvre déjà la majorité des besoins courants. Pour un usage à risque élevé, où l'anonymat prime sur toute autre considération, comprendre précisément quel modèle de confiance chaque montage implique devient une décision aussi importante que le choix du fournisseur VPN lui-même.
Ce qu'il faut retenir
Tor sur VPN dissimule l'usage de Tor à votre fournisseur d'accès mais déplace une part de confiance vers votre fournisseur de VPN. VPN sur Tor évite les blocages liés aux nœuds de sortie Tor connus mais demande une configuration plus complexe et reste rarement proposé nativement. Les deux montages partagent le même compromis fondamental : une latence significativement plus élevée qu'une utilisation isolée de l'un des deux systèmes, à mettre en balance avec le niveau réel d'anonymat recherché plutôt qu'avec une préférence de principe pour la solution la plus sophistiquée.