«Avec un VPN, vous êtes invisible sur internet.» «Sans VPN, tes identifiants de connexion ne sont pas protégés!»

— toutes les pubs YouTube depuis 2019

Le VPN s’est imposé comme le réflexe de sécurité par défaut, vendu comme un bouclier universel. La réalité est plus nuancée. Un VPN protège des segments de réseau, pas un chemin entier, et son utilité dépend entièrement de l’adversaire que l’on cherche à écarter. Cet article décrit la technologie, puis discute les affirmations courantes à la lumière d’un modèle de menace.

En bref. Un VPN chiffre le trafic entre votre appareil et le serveur VPN, rien au-delà. Sur un Wi-Fi public moderne, HTTPS protège déjà le contenu, donc le VPN sert surtout à masquer les métadonnées et à contrer un attaquant actif sur le réseau local. Il n’anonymise pas, il déplace simplement votre confiance vers le fournisseur VPN. Aucune technologie, ni VPN, ni Tor, ni mixnet, n’offre une protection absolue. La bonne question n’est pas «suis-je protégé» mais «contre quel adversaire, situé où». Définissez votre modèle de menace avant de choisir un outil.

Qu’est-ce qu’un VPN ?

Un VPN (Virtual Private Network), ou Réseau Privé Virtuel, est un système permettant d’établir un tunnel chiffré entre un appareil et un serveur distant, par lequel transite l’ensemble du trafic réseau de l’appareil. Sous réserve d’une implémentation et d’une configuration correctes, ce qui passe par ce tunnel est protégé. Un attaquant qui l’intercepterait en transit entre le client et le serveur ne pourrait pas le lire, car tout y est chiffré.

L’usage pour les entreprises

Cette technologie est très utilisée dans les entreprises, notamment pour le travail à distance. L’employé utilise une application VPN sur son ordinateur ou son smartphone pour se connecter au réseau interne de son entreprise et ainsi accéder aux différents outils et services qui lui sont nécessaires et qui ne seraient pas directement accessibles depuis Internet.

L’usage grand public

Ces dernières années, le VPN a obtenu d’énormes parts de marché auprès du grand public. Son utilisation est toutefois différente :

  • Protection sur les réseaux Wi-Fi publics.
  • Passer outre les géorestrictions des plateformes de streaming.
  • Passer outre la censure de certains pays autoritaires.
  • Protection de la vie privée et réduction de l’exposition de certaines données. Usage en contexte journalistique.

Démêler le vrai du marketing

Le mythe de l’anonymat

Un VPN n’anonymise pas. Il déplace la confiance du fournisseur d’accès vers le fournisseur VPN, qui voit lui votre trafic réel. Pour un anonymat plus poussé, il existe un outil de référence comme Tor.

Mais Tor présente également des faiblesses et ne garantit pas un anonymat total. Il complique fortement la traçabilité sans la supprimer. Ses limites connues sont les attaques par corrélation de trafic, lorsqu’un adversaire observe à la fois l’entrée et la sortie du réseau, les nœuds de sortie malveillants qui lisent le trafic non chiffré de bout en bout, le fingerprinting du navigateur et les erreurs côté utilisateur.

Des outils plus récents visent précisément ces faiblesses. NymVPN repose sur un mixnet et non sur l’onion routing de Tor : il fait transiter les paquets par cinq sauts, les mélange avec ceux d’autres utilisateurs et y ajoute du faux trafic, ce qui cible directement les attaques par corrélation de timing et de volume. Sur le plan théorique, il couvre donc un angle mort de Tor. Deux réserves : sa latence le réserve aux usages non temps réel comme la messagerie, et c’est un produit récent au réseau limité. Une piste prometteuse, pas un remplaçant établi.

La hiérarchie correcte est donc la suivante : HTTPS chiffre le contenu, le VPN déplace la confiance, Tor complique fortement la traçabilité mais ne l’élimine pas. Aucun ne garantit d’anonymat absolu. Il faut raisonner en degrés d’exposition, pas en tout ou rien.

La confiance ne disparaît jamais, elle se déplace

La notion de confiance est essentielle. On ne la supprime jamais, on choisit à qui l’accorder : le fournisseur d’accès, le fournisseur VPN, ou les nœuds Tor. La vraie question n’est pas «suis-je protégé» mais «à qui ai-je décidé de faire confiance, et le mérite-t-il face à mon adversaire».

Le VPN est-il vraiment indispensable sur un Wi-Fi public ?

Depuis la généralisation de HTTPS, le contenu d’une grande partie des échanges est déjà chiffré. Vos identifiants bancaires ou votre mot de passe Facebook sont protégés par TLS, même sur un Wi-Fi public. Le VPN n’ajoute une protection que sur les métadonnées et les rares flux encore en clair. Ajouter une configuration DoH peut être pertinent, car les requêtes DNS restent par défaut en clair, donc observables et falsifiables.

Choisir selon son modèle de menace

Les trois questions à se poser

Toute recommandation de sécurité énoncée sans adversaire défini est creuse. Avant de choisir un outil, il est essentiel de se poser ces trois questions : que protégez-vous, contre qui, à quel coût. Le modèle de menace précède le choix de la technologie.

Une même question, plusieurs réponses

Le tableau ci-dessous confronte les adversaires aux technologies. À lire avec la mise en garde qui suit, car il simplifie.

AdversaireHTTPS seulDoHVPNTor
Curieux actif sur le Wi-Fi (MITM, evil twin)Contenu protégé, DNS et métadonnées exposésDNS protégé en plus, SNI/IP exposésNe voit qu’un tunnelNe voit qu’un tunnel
Fournisseur d’accès Wi-FiContenu protégé, voit DNS, SNI, IPDNS soustrait, voit SNI, IPNe voit qu’un tunnelNe voit qu’un tunnel
Acteur en transitContenu protégé, métadonnées variablesDNS protégéNe voit qu’un tunnel jusqu’au serveur VPNNe voit qu’un tunnel
FAIVoit toutes les métadonnéesDNS soustrait, voit SNI, IPVisibilité déplacée vers le fournisseur VPNTraçabilité fortement compliquée
GouvernementVoit métadonnées, peut contraindre les acteursIdem, peut contraindre le résolveurPeut contraindre le fournisseur VPNCompliquée, corrélation possible

Sur les trois premières lignes, le VPN tranche net. Sur les deux dernières, il ne supprime rien, il déplace la confiance.

Toutes ces protections supposent un appareil sain. Un certificat racine malveillant déjà installé sur la machine casse TLS, et donc tout ce qui en dépend : un attaquant peut alors intercepter le trafic chiffré, voire la connexion au serveur VPN selon le protocole utilisé. Aucun de ces outils ne protège un appareil déjà compromis.

La position de l’adversaire

Ce tableau masque une nuance importante : ces technologies ne protègent pas un chemin, elles protègent des segments. Un VPN chiffre uniquement le tronçon entre l’appareil et le serveur VPN. Deux points de rupture demeurent.

Le serveur VPN lui-même. S’il est compromis ou malveillant, il voit tout ce que le chiffrement cachait au réseau local. On lui a donné exactement la position de surveillance qu’on refusait au Wi-Fi public.

Le segment après le serveur VPN. Entre la sortie du tunnel et la destination, le VPN ne sert plus à rien. Seul HTTPS protège encore. Un adversaire placé là, ou sur le serveur de destination, voit le trafic comme si le VPN n’existait pas.

La sécurité réelle est celle du maillon le plus faible sur tout le trajet. La question «Suis-je protégé» est mal posée. Il faudrait la reformuler en «sur quel segment, contre quel adversaire placé où». Et «ne voit qu’un tunnel», dans le tableau, ne veut pas dire que l’adversaire est impuissant : il reste aveugle au contenu et à la destination, mais conserve l’analyse de volume et de timing.

Conclusion

Aucune de ces technologies n’est un bouclier universel. HTTPS, DoH, VPN et Tor protègent chacun un périmètre précis contre un adversaire situé à un endroit précis. Le bon réflexe n’est pas d’empiler les protections, mais de définir d’abord son modèle de menace, puis de choisir l’outil qui couvre le segment et l’adversaire qui comptent réellement.

Sources