Qu'est-ce qu'un proxy SOCKS5 ?Un relais universel, pas une sécurité supplémentaire

Choisir SOCKS5 en le voyant comme "le proxy sécurisé" ou "celui qui garantit l'anonymat", et vous avez déjà mal cerné le sujet. Un proxy SOCKS5 ne chiffre pas votre trafic, et il n'est pas plus privé par défaut que n'importe quel autre proxy. Ce qu'il est réellement : un relais agnostique au protocole qui déplace vos paquets TCP et UDP sans les lire ni les modifier.

C'est toute son identité. Un proxy HTTP comprend le trafic web et peut agir dessus. Un proxy SOCKS5 ne comprend rien à ce qu'il transporte ; il ouvre la connexion et fait transiter les octets. Cela en fait un conduit universel, exactement ce que vous voulez quand le trafic n'est pas du web ordinaire, et exactement le mauvais outil quand vous souhaitez que le proxy soit intelligent sur le web.

La vraie question n'est donc pas "SOCKS5 ou HTTP, lequel est le meilleur." C'est de savoir si vous avez besoin d'un proxy qui comprend votre trafic ou d'un qui peut tout transporter. Cet article répond à cela, et dissipe au passage le mythe du chiffrement.

Ce qu'est réellement un proxy SOCKS5

SOCKS signifie Socket Secure. C'est un protocole qui relaie une connexion via un serveur intermédiaire : le proxy ouvre la connexion TCP ou UDP vers votre destination en votre nom et transfère les données dans les deux sens. Le nom vient de l'endroit où il fonctionne, au niveau de la socket, en dessous du protocole d'application que vous utilisez.

En termes OSI, il se situe au niveau de la couche session (couche 5), en dessous du protocole d'application comme HTTP, SMTP ou FTP, et au-dessus de la couche transport où vivent TCP et UDP. Parce qu'il se trouve là, il peut transporter n'importe lequel de ces protocoles d'application sans les connaître ni s'en soucier. C'est une couche d'indirection qui se trouve être aveugle au protocole.

SOCKS5 est la version actuelle. Par rapport à SOCKS4, il ajoute trois choses importantes : le support UDP, IPv6 et l'authentification, de sorte qu'un serveur peut exiger un nom d'utilisateur et un mot de passe et proxy plus que TCP. Et contrairement à un proxy web, il ne réécrit pas les données d'application dans vos paquets. Il les relaie tels quels, ce qui maintient une faible surcharge et réduit le risque d'erreurs au niveau du protocole.

Comment une connexion SOCKS5 s'établit

Sous le capot, un échange SOCKS5 est une courte négociation qui se produit une seule fois, avant que votre trafic ne circule :

1. Salutation. Votre client se connecte au proxy et liste les méthodes d'authentification qu'il prend en charge.
2. Authentification. Le proxy en choisit une. SOCKS5 définit sans authentification, avec nom d'utilisateur et mot de passe, et GSSAPI ; si des identifiants sont requis, ils sont échangés ici. SOCKS4 n'avait rien de tout cela.
3. Requête. Le client envoie une commande, CONNECT pour TCP ou UDP ASSOCIATE pour UDP, avec l'adresse et le port de destination. Cette adresse peut être IPv4, IPv6 ou un nom de domaine.
4. Relais. Le proxy ouvre la connexion vers la destination et, dès lors, transite aveuglément les octets dans les deux sens. Il n'inspecte plus jamais les données d'application.

Cette poignée de main est l'intégralité du protocole. Tout ce que SOCKS5 fait bien, et tout ce qu'il ne fait délibérément pas, découle de ce qui se passe si peu dans cette dernière étape.

La distinction qui compte : conscient de l'application vs indépendant du protocole

Un proxy HTTP parle HTTP. Il lit la ligne de requête et les en-têtes, ce qui lui permet de mettre en cache les réponses, d'ajouter ou supprimer des en-têtes, d'appliquer des règles et d'acheminer par URL. C'est un spécialiste du trafic web, ce qui en fait le choix par défaut pour le scraping et l'automatisation de navigateur. Si vous voulez que le proxy aide avec le web, cette connaissance est toute la valeur, et c'est là qu'intervient la distinction entre proxy HTTP et proxy HTTPS.

Un proxy SOCKS5 ne parle rien. Il n'analyse pas votre requête ; il transfère la connexion brute. Il ne peut pas mettre en cache, ne peut pas réécrire un en-tête, et ne peut pas distinguer une requête HTTPS d'un protocole de jeu ou d'une session de messagerie. C'est un généraliste. Aucune des deux conceptions n'est plus avancée que l'autre. Elles échangent la conscience du web contre l'universalité.

Le mythe du chiffrement : SOCKS5 ne sécurise pas votre trafic

C'est la partie que la plupart des explications ratent. Un proxy SOCKS5 masque votre IP à la destination, mais il ne chiffre rien. Les données entre vous et le proxy sont aussi exposées qu'elles le seraient sans proxy, et quiconque se trouve sur le chemin peut les lire, à moins que le protocole d'application ne soit déjà chiffré (ce que fait HTTPS, de bout en bout). SOCKS5 concerne l'accessibilité et l'indirection, pas la confidentialité.

Pour chiffrer réellement le saut, vous faites passer SOCKS5 par quelque chose qui chiffre, le plus souvent SSH. La commande ssh -D ouvre un proxy SOCKS local dont la connexion au serveur est chiffrée par SSH, et c'est la façon standard dont les ingénieurs accèdent aux services derrière un pare-feu ou un hôte bastion sans déployer un VPN. C'est aussi la vraie différence avec un VPN : un VPN chiffre et achemine tout le trafic d'un appareil au niveau du système d'exploitation, tandis que SOCKS5 n'achemine que les applications que vous lui pointez et n'ajoute aucun chiffrement de son propre chef.

SOCKS5 vs SOCKS4

Si vous voyez SOCKS4 dans la nature, traitez-le comme du patrimoine. SOCKS4 transporte uniquement TCP et ne prend en charge aucune authentification. SOCKS5 ajoute UDP (qui importe pour DNS, la voix, la vidéo et les jeux), IPv6, et l'authentification par nom d'utilisateur et mot de passe afin que le proxy puisse être contrôlé par accès. Pour tout ce qui est construit aujourd'hui, SOCKS5 est la version qu'il faut utiliser.

SOCKS5 est-il plus rapide ?

SOCKS5 est souvent présenté comme le proxy rapide, et il y a un fond de vérité : il n'effectue aucune analyse et ne réécrit pas les paquets, donc il ajoute très peu de surcharge par lui-même, et UDP ASSOCIATE permet au trafic tolérant aux pertes comme la voix, la vidéo et les jeux de contourner l'ordonnancement et la retransmission de TCP. Mais pour les requêtes web ordinaires, le type de proxy n'est presque jamais le goulot d'étranglement. Le chemin réseau, la distance jusqu'à la sortie et la latence propre de la destination dominent. Considérez SOCKS5 comme à faible surcharge plutôt que comme une amélioration de vitesse par rapport à un proxy HTTP bien géré, et choisissez-le pour ce qu'il transporte, pas pour un avantage de performance imaginé.

SOCKS5 vs proxy HTTP en un coup d'œil

Quand opter pour SOCKS5, et quand l'éviter

Optez pour SOCKS5 quand le trafic n'est pas du web ordinaire : clients de messagerie, FTP, P2P, serveurs de jeux, ou tout ce qui est basé sur UDP. C'est aussi le bon outil quand vous voulez un proxy qui fonctionne pour toutes les applications d'une machine, ce que vous donne la redirection de port dynamique SSH quand vous devez accéder à un réseau privé ou à un hôte bastion.

Optez pour un proxy HTTP quand vous scrapez ou automatisez des navigateurs, que vous souhaitez de la mise en cache ou du contrôle d'en-têtes, ou que vous avez besoin que le proxy fasse tourner les IP et gère l'anti-bot par requête. Pour le travail sur les données web, le fait que le proxy soit conscient du web est tout l'intérêt, et un conduit agnostique au protocole n'en offre rien.

Utiliser un proxy SOCKS5 en pratique

La façon la plus claire de voir à la fois le relais et le chiffrement est un proxy SOCKS via un tunnel SSH. SSH chiffre le saut ; SOCKS5 transporte tout ce que vous y envoyez.

# Open an encrypted SOCKS5 proxy through SSH,
# a dynamic port forward on localhost:1080.
ssh -D 1080 -q -N [email protected]

# Route a request through it. SSH encrypts the
# hop; SOCKS5 on its own would not.
curl --socks5-hostname localhost:1080 "https://example.com/"

Un détail important à connaître : qui résout le DNS. Avec --socks5-hostname ci-dessus, le proxy résout le nom de domaine, de sorte que votre machine ne fait jamais fuiter la résolution, alors qu'un simple --socks5 résout localement d'abord et peut vous trahir. La même interface SOCKS se retrouve partout une fois qu'on la cherche : la redirection dynamique SSH, le proxy local de Tor, et la plupart des navigateurs et outils en ligne de commande acceptent directement un point de terminaison SOCKS5.

Pour le web scraping, le meilleur point de départ est un point de terminaison HTTP mutualisé, pas un seul saut SOCKS. C'est l'idée derrière un proxy backconnect versus une crawling API, et les IP de sortie derrière lui reviennent toujours au compromis entre datacenter et résidentiel. Si vous faites une sélection de fournisseurs, nous maintenons un panorama actuel dans les meilleurs fournisseurs de proxies.

Foire aux questions

Un proxy SOCKS5 chiffre-t-il mon trafic ?

Non. SOCKS5 relaie votre connexion et change l'IP que voit la destination, mais n'ajoute aucun chiffrement. Tout ce qui n'est pas déjà protégé par HTTPS circule en clair entre vous et le proxy. Pour chiffrer le saut, faites passer SOCKS5 par SSH ou utilisez un VPN.

SOCKS5 est-il préférable à un proxy HTTP ?

Ni l'un ni l'autre n'est universellement meilleur. SOCKS5 transporte n'importe quel protocole mais ne peut pas agir sur votre trafic ; un proxy HTTP se limite au trafic web mais peut mettre en cache, réécrire les en-têtes et acheminer par URL. Choisissez selon que votre trafic est du web et si vous voulez que le proxy soit intelligent à ce sujet.

Un proxy SOCKS5 est-il la même chose qu'un VPN ?

Non. Un VPN chiffre et achemine tout le trafic d'un appareil au niveau du système d'exploitation. Un proxy SOCKS5 n'achemine que les applications que vous lui pointez et ne fournit aucun chiffrement par lui-même. Un VPN est pour la confidentialité sur tout ; SOCKS5 est pour un relais sélectif et agnostique au protocole.

SOCKS5 est-il adapté au web scraping ?

Il fonctionne, mais c'est rarement le meilleur choix. Le scraping bénéficie d'un proxy web-aware qui peut faire tourner les IP, gérer les en-têtes et gérer l'anti-bot, aucune de ces fonctionnalités n'étant fournie par un conduit SOCKS5. Un proxy HTTP ou un point de terminaison de crawling managé est le meilleur point de départ.

Quelle est la différence entre SOCKS4 et SOCKS5 ?

SOCKS5 ajoute le support UDP, IPv6 et l'authentification par nom d'utilisateur et mot de passe, tandis que SOCKS4 ne gère que TCP sans aucune authentification. Pour tout usage moderne, y compris les applications basées sur UDP et les proxies contrôlés par accès, SOCKS5 est la version à utiliser.

Un proxy SOCKS5 masque-t-il mon adresse IP ?

Oui, vis-à-vis de la destination : elle voit l'IP du proxy, pas la vôtre. C'est de l'indirection, pas de l'anonymat. Votre trafic n'est pas chiffré, et un observateur déterminé sur le chemin réseau peut toujours voir ce que vous envoyez, à moins que le protocole d'application ne le protège.

BA

Bilal Ahmed

Ingénieur logiciel · Crawlbase

Ingénieur logiciel auteur de certains des articles les plus lus du blog Crawlbase, sur le web scraping, les proxys et l'outillage de données.