Tor est désormais intégré à l'app xox

Depuis juin, xox a sa propre adresse .onion pour les utilisateurs de Tor Browser. Aujourd'hui, un pas de plus : l'app Android (version 1.6) embarque le réseau Tor à l'intérieur. Pas d'Orbot à installer, pas de proxy à configurer, rien à toucher sur le téléphone. Vous ouvrez Réglages → Tor, vous l'activez, et l'app se reconnecte via Tor.

Ce que ça protège

Deux choses, et les deux comptent. D'abord, quiconque observe votre réseau (le Wi-Fi du café, votre opérateur, un routeur hostile) ne voit plus du tout que vous parlez à xox : il voit une connexion au réseau Tor, comme des millions d'autres. Le nom de domaine chiffré (ECH) cachait déjà le nom du site ; Tor cache maintenant aussi la destination. Ensuite, les serveurs de xox ne voient jamais votre adresse IP. Ils voient un nœud de sortie Tor. Nous ne gardons pas de journaux de toute façon ; avec Tor, il n'y a rien à garder.

• Via Tor : messages et fichiers de la boîte, contacts, vérification de version et alertes. Les alertes passent par le canal propre de xox tant que Tor est actif : rien ne transite par Google.
• Hors Tor, volontairement : appels voix et vidéo, salons en direct et sessions 1 à 1 en direct. Ils utilisent WebRTC via le relais de xox, que Tor ne peut pas transporter. Le relais voit votre IP ; l'autre personne, jamais. L'app vous prévient à chaque fois que vous en ouvrez une.

Rien ne fuit pendant la connexion

Le moment dangereux de toute intégration Tor, c'est la première seconde : l'app démarre, Tor n'est pas encore prêt, et quelque chose s'échappe par la connexion normale. xox 1.6 est fermé par conception : avec Tor activé, l'app refuse d'envoyer quoi que ce soit tant que Tor n'a pas de circuit établi. Vous voyez « Connexion à Tor… » et rien d'autre ne se passe. Si Tor tombe plus tard, l'app se referme et attend. Si le WebView système de votre téléphone est trop ancien pour router le trafic, l'app le dit et vous laisse décider, au lieu de retomber en silence sur la connexion normale.

Les contreparties, dites franchement

Tor est plus lent, et la première connexion prend quelques secondes. Activer ou désactiver l'interrupteur recharge l'app et redemande le PIN. L'interrupteur est enregistré uniquement sur votre téléphone : nos serveurs ne savent jamais si vous utilisez Tor ou non. Et les bridges Tor (pour les réseaux qui bloquent Tor lui-même) arrivent dans une mise à jour ultérieure.

Comment l'obtenir

Mettez à jour vers xox 1.6 depuis Google Play, depuis xox.is/get ou depuis GitHub. Puis Réglages → Tor. C'est tout.