Comment vérifier un lien onion
Une courte routine pour s'assurer qu'une adresse .onion appartient bien au service qu'elle prétend être, avant de lui confier quoi que ce soit.
Mis à jour
Une adresse onion ne se juge pas à l'œil. Ce sont 56 caractères dérivés d'une clé cryptographique, et une fausse paraît tout aussi plausible qu'une vraie. La vérifier, c'est la comparer à quelque chose en quoi vous avez déjà confiance.
La routine
- Partez de l'opérateur, pas d'une liste. Ouvrez le site ordinaire bien établi du service — celui que l'on atteint par un moteur de recherche ou une source imprimée — et cherchez l'adresse onion qu'il y publie.
- Comparez l'adresse entière. Les adresses imitées sont générées pour reproduire les premiers et les derniers caractères. Vérifiez le milieu, ou collez les deux l'une sous l'autre dans un éditeur de texte.
- Cherchez la mention « .onion available ». De nombreux sites officiels indiquent leur adresse onion à Tor Browser, qui affiche alors un bouton dans la barre d'adresse. Cette annonce vient du serveur de l'opérateur lui-même.
- Consultez une seconde source indépendante. Le dépôt de code d'un projet, son article Wikipédia, ou l'annuaire officiel SecureDrop pour les rédactions.
- Enregistrez-la une fois vérifiée. Ajoutez l'adresse aux marque-pages de Tor Browser et n'utilisez plus que ce marque-page. La plupart des gens se font piéger en cherchant de nouveau plus tard et en cliquant sur un autre résultat.
Signes que quelque chose ne va pas
- Un message affirmant que l'ancienne adresse est compromise et qu'il faut passer tout de suite à une nouvelle.
- Un « miroir » que le site de l'opérateur ne mentionne pas.
- Une page de connexion qui accepte n'importe quel mot de passe, ou qui exige une phrase de récupération ou un paiement avant d'afficher quoi que ce soit.
- Un service saisi ou fermé qui semble être revenu sous le même nom.
Ce que fait WikiHidden
Chaque adresse d'une fiche indique la source dont elle provient, et porte la mention confirmée lorsque le site de l'opérateur lui-même l'a annoncée. Voyez-y une piste à vérifier, pas une garantie. Pour comprendre le fonctionnement des clones et des faux miroirs, voir Reconnaître l'usurpation.