Vous utilisez Tor. Votre connexion passe par trois nœuds. Votre IP est cachée. Votre trafic est chiffré en couches.
Mais un observateur qui contrôle votre connexion Internet à l’entrée ET un nœud de sortie Tor peut faire quelque chose de simple : comparer les timings. Un paquet entre à 14h23:07.342 sur votre connexion. Un paquet identique sort d’un nœud Tor à 14h23:07.891. Corrélation de trafic : c’était probablement vous.
C’est l’attaque de confirmation de trafic (traffic confirmation attack). Et c’est la limite fondamentale de Tor — et de pratiquement tous les outils de vie privée réseau.
Les Mix Networks ont été inventés pour résoudre exactement ce problème.
L’analyse de trafic : comment l’ennemi voit sans déchiffrer
Quand on parle de surveillance réseau, on pense immédiatement au contenu — lire vos messages. Mais les agences de renseignement et les adversaires sophistiqués savent une chose : le contenu est souvent secondaire. Le trafic lui-même est de l’information.
Ce que l’analyse de trafic peut révéler :
- Qui communique avec qui (même sans voir le contenu)
- Quand les communications ont lieu (patterns comportementaux)
- La fréquence et le volume des échanges
- Si les patterns coïncident avec des événements (une fuite, une décision d’entreprise, une opération)
Le directeur de la NSA Keith Alexander a dit en 2013 : “Nous tuons des gens sur la base des métadonnées.” Ce n’était pas une métaphore.
Les métadonnées de trafic — qui, quand, combien — sont suffisantes pour établir des faits importants. Même si le contenu reste chiffré.
La limite de Tor face à l’analyse de trafic
Tor protège contre la surveillance passive de masse. Si votre FAI Vidéotron surveille votre trafic, Tor l’empêche de voir vos destinations.
Mais Tor a une faiblesse connue : les attaques de corrélation de trafic.
Si un adversaire contrôle simultanément :
- Votre connexion Internet (ou le nœud d’entrée Tor = guard node)
- Le nœud de sortie que votre circuit utilise
Il peut corréler les timings des paquets en entrée et en sortie. Même sans déchiffrer quoi que ce soit. Même en respectant parfaitement le chiffrement en couches de Tor.
Pour la NSA ou le GCHQ, qui opèrent des nœuds Tor et surveillent des portions significatives d’Internet, cette corrélation est théoriquement possible — et documentée dans des présentations internes révélées par Snowden.
David Chaum et l’invention du Mix en 1981
David Chaum, cryptographe américain, a publié “Untraceable Electronic Mail, Return Addresses, and Digital Pseudonyms” en 1981. Il a inventé le concept de Mix Network.
Son idée : si un nœud intermédiaire collecte plusieurs messages, les mélange dans un ordre aléatoire, et les retransmet avec un délai aléatoire — l’observateur externe ne peut plus corréler quel message d’entrée correspond à quel message de sortie.
Ce n’est pas du chiffrement. C’est du bruit temporel délibéré.
Pensez à un bureau de poste : si tous les courriers entrent à 9h et ressortent à 10h dans un ordre différent, impossible de savoir qui a envoyé quoi à qui juste en observant les entrées et sorties.
Comment un Mix Network fonctionne concrètement
Un Mix Node reçoit des messages chiffrés et fait quatre choses :
- Collecte un batch de messages (il attend d’en avoir plusieurs)
- Mélange leur ordre de façon aléatoire
- Ajoute du délai aléatoire à chaque message (quelques millisecondes à plusieurs secondes)
- Retransmet dans l’ordre mélangé avec les délais
Un message traverse plusieurs Mix Nodes en séquence. Chaque nœud voit uniquement le message qu’il doit retransmettre — pas la source originale, pas la destination finale.
La différence clé avec Tor : Tor transmet en temps réel (avec de petits délais de traitement). Les Mix Networks introduisent des délais intentionnellement aléatoires et significatifs pour casser la corrélation temporelle.
Implémentations actuelles
Nym Network est le projet le plus avancé en 2024-2026. Il combine :
- Un réseau de mix nodes avec délais aléatoires
- Des Sphinx packets : messages de taille fixe et uniformisée (pour éviter le fingerprinting par taille)
- Un mécanisme de couverture (cover traffic) : les nœuds envoient des messages “vides” en permanence pour que l’observateur ne puisse pas distinguer le trafic réel du bruit
Loopix : protocole de mix publié en 2017, qui introduit le cover traffic continu. Base académique de Nym.
Katzenpost : implémentation open-source d’un mix network pour la messagerie. Moins accessible que Nym mais plus mature cryptographiquement.
Le trade-off : anonymat vs latence
Les Mix Networks ne sont pas adaptés à tout usage. La latence ajoutée peut être de quelques secondes à quelques minutes selon le réseau et la configuration.
Inadaptés pour :
- Navigation web en temps réel (trop lent)
- Appels vidéo ou audio
- Applications qui nécessitent une réponse immédiate
Adaptés pour :
- Messagerie asynchrone (emails, messages qui n’ont pas besoin d’être instantanés)
- Transferts de fichiers sensibles
- Tout contexte où l’adversaire est au niveau d’un État et les enjeux sont élevés
Ce que vous pouvez faire maintenant
- Évaluez votre modèle de menace : est-ce que votre adversaire peut corréler votre trafic réseau ? Pour la majorité des particuliers, Tor est suffisant. Pour des journalistes ou militants face à des États, les Mix Networks méritent l’investigation.
- Explorez Nym Network (nymtech.net) si vous voulez tester les Mix Networks — l’interface est plus accessible que Katzenpost
- Utilisez du cover traffic même avec des outils standards : ne pas envoyer vos messages sensibles uniquement quand vous êtes actif — varier les horaires réduit le fingerprinting comportemental
La plupart des gens n’ont pas besoin de Mix Networks. Mais comprendre pourquoi ils existent, c’est comprendre une lacune fondamentale de tous les autres outils — y compris Tor.
Le timing est de l’information. Et les Mix Networks sont, à ce jour, la seule architecture qui le traite sérieusement.
Pour comprendre les autres vecteurs de fuite d’informations au niveau réseau, lisez notre article sur Tor vs VPN.
Sequr — Agent certifié québécois
À lire aussi :
