Chapitre 6.20Le VPN

Tu as forcément déjà vu une publicité pour NordVPN, Surfshark ou ExpressVPN, en général au milieu d'une vidéo, promettant l'anonymat total sur Internet et la protection contre les pirates. La réalité est nettement plus nuancée, et un VPN reste par ailleurs un outil très utile.

Commençons par comprendre ce que c'est réellement.

Le principe

VPN signifie Virtual Private Network, réseau privé virtuel. L'idée tient en une phrase, on crée un tunnel chiffré entre ton appareil et un serveur distant, et tout ton trafic Internet emprunte ce tunnel avant d'atteindre sa destination.

Sans VPN, ton ordinateur parle à ta box, qui parle à ton fournisseur d'accès, qui parle au site web.
Avec un VPN, ton ordinateur parle au serveur VPN à travers un tunnel chiffré, et c'est le serveur VPN qui parle au site web à ta place.

Deux conséquences en découlent. Le site web voit l'adresse IP du serveur VPN et non la tienne, donc il te croit ailleurs. Et ton fournisseur d'accès constate que tu échanges avec un serveur VPN, sans pouvoir lire le contenu de ces échanges puisque tout est chiffré.

L'usage professionnel, l'origine du VPN

Le VPN a été inventé pour les entreprises dans les années 1990, pas pour regarder des séries indisponibles en France.

Quand un salarié travaille depuis chez lui, il a besoin d'atteindre les serveurs internes de son entreprise, comme les bases de données, les outils de gestion ou les fichiers partagés. Ces serveurs ne sont pas exposés sur Internet, ils vivent sur le réseau privé de l'entreprise, et c'est très bien ainsi.

Le VPN d'entreprise crée un tunnel entre l'ordinateur du salarié et ce réseau interne. Une fois connecté, sa machine se comporte comme si elle était branchée au bureau. Elle obtient une adresse du réseau interne et accède aux mêmes ressources.

C'est l'usage numéro un du VPN dans le monde, et de très loin. Avec la généralisation du télétravail, il est devenu un équipement de base au même titre que la messagerie.

Ce modèle a toutefois un défaut, une fois dans le tunnel on est considéré comme de confiance et on voit beaucoup de choses. Les entreprises basculent progressivement vers une approche dite zero trust, où chaque application vérifie l'identité et l'appareil à chaque accès, au lieu de faire confiance à la position sur le réseau.

L'usage grand public

Les fournisseurs de VPN grand public mettent en avant trois arguments principaux, et ils ne sont pas faux.

• La confidentialité vis-à-vis du fournisseur d'accès : ton opérateur ne voit plus quels sites tu consultes, seulement que tu utilises un VPN. Utile sur un Wi-Fi public de café, d'hôtel ou d'aéroport, dont tu ignores totalement qui l'administre.
• Le contournement géographique : en passant par un serveur situé dans un autre pays, tu accèdes à des contenus indisponibles chez toi. C'est ainsi que certains regardent un catalogue de streaming étranger, que les plateformes détectent et bloquent d'ailleurs de mieux en mieux.
• Le contournement de la censure : dans les pays où l'accès à Internet est filtré, un VPN permet d'atteindre les sites bloqués. C'est de loin l'usage le plus précieux, et celui qui vaut à ces outils d'être interdits ou étroitement surveillés dans plusieurs pays.

Un usage plus terre à terre mérite d'être cité, l'accès à ses propres services. Beaucoup de gens montent un VPN sur leur box ou leur serveur personnel pour joindre leurs fichiers et leurs caméras depuis l'extérieur, sans les exposer publiquement sur Internet.

Ce que le VPN ne fait pas

C'est la partie que les publicités oublient soigneusement de mentionner.

• L'anonymat total : non. Tu déplaces simplement ta confiance de ton fournisseur d'accès vers ton fournisseur de VPN, qui voit exactement le même trafic. S'il conserve des journaux de connexion, tu n'es pas anonyme, tu as juste changé de témoin. Les promesses de politique sans journaux sont rarement vérifiables, sauf audit externe sérieux.
• L'invisibilité vis-à-vis des sites : non plus. Les sites te reconnaissent surtout grâce à ton compte, à tes cookies et à l'empreinte de ton navigateur. Changer d'adresse IP en étant connecté à ton compte ne trompe strictement personne.
• La protection contre les pirates : très exagérée. La quasi-totalité des sites utilisent déjà HTTPS, qui chiffre la connexion de bout en bout, y compris sur un Wi-Fi public. Le VPN n'ajoute pas grand-chose à ce niveau, et il ne fait rien contre un hameçonnage, un mot de passe faible ou un logiciel malveillant déjà installé.
• La vitesse améliorée : c'est l'inverse. Ajouter un détour par un serveur intermédiaire ralentit toujours un peu, même si les bons fournisseurs limitent la casse. Un VPN n'accélère la connexion que dans un cas particulier, quand ton opérateur bridait volontairement un type de trafic.
• La légalité de ce que tu fais : le VPN ne change rien à la loi. Il masque une adresse IP, il n'efface pas une infraction.

Méfie-toi tout particulièrement des VPN gratuits. Faire tourner des serveurs et de la bande passante coûte cher, donc si tu ne paies pas, le modèle économique est ailleurs. Plusieurs applications gratuites ont été prises en flagrant délit de revente de données de navigation, voire d'utilisation de la connexion de leurs utilisateurs comme relais pour des tiers.

Sous le capot, les protocoles

Tu croiseras quelques noms barbares dans les réglages, autant savoir ce qu'ils désignent. Ce sont des protocoles, c'est-à-dire des manières différentes de fabriquer le tunnel.

• OpenVPN : le vétéran open source, éprouvé, très configurable, un peu lourd.
• WireGuard : le plus récent, beaucoup plus léger et rapide, devenu le choix par défaut de la plupart des fournisseurs.
• IPsec et IKEv2 : les standards historiques, très présents en entreprise et bien intégrés aux systèmes mobiles, notamment pour leur capacité à survivre au passage du Wi-Fi à la 4G.

Un point technique mérite attention, la fuite DNS. Si ton appareil continue d'interroger les serveurs DNS de ton opérateur pendant que le reste passe dans le tunnel, celui-ci apprend quand même la liste des sites que tu visites. Les clients VPN sérieux redirigent le DNS dans le tunnel et proposent un coupe-circuit, souvent appelé kill switch, qui coupe totalement le réseau si le tunnel tombe.

Alors, faut-il un VPN ?

De mon expérience personnelle, la réponse dépend entièrement de ce que tu cherches.

Si tu veux joindre le réseau de ton entreprise en télétravail, contourner une censure d'État, accéder à un catalogue étranger ou te rassurer sur un réseau Wi-Fi douteux, un VPN payant chez un fournisseur réputé fait parfaitement le travail pour quelques euros par mois.

Si tu cherches à disparaître d'Internet, un VPN ne suffira pas. Pour un besoin d'anonymat réellement critique, l'outil adapté est plutôt le réseau Tor, que nous découvrirons dans le chapitre suivant, Le dark web. Et pour ta sécurité au quotidien, des mots de passe uniques et l'authentification à deux facteurs te protégeront infiniment plus qu'un abonnement VPN.