Chapitre 6.23Le VPN

Tu as forcément déjà vu une publicité pour NordVPN, Surfshark ou ExpressVPN, en général au milieu d'une vidéo, promettant l'anonymat total sur Internet et la protection contre les pirates. La réalité est nettement plus nuancée, et un VPN reste par ailleurs un outil très utile.

Commençons par comprendre ce que c'est réellement.

Le principe

VPN signifie Virtual Private Network, réseau privé virtuel. L'idée tient en une phrase, on crée un tunnel chiffré entre ton appareil et un serveur distant, et tout ton trafic Internet emprunte ce tunnel avant d'atteindre sa destination.

Sans VPN, ton ordinateur parle à ta box, qui parle à ton fournisseur d'accès, qui parle au site web.
Avec un VPN, ton ordinateur parle au serveur VPN à travers un tunnel chiffré, et c'est le serveur VPN qui parle au site web à ta place.

Deux conséquences en découlent. Le site web voit l'adresse IP du serveur VPN et non la tienne, donc il te croit ailleurs. Et ton fournisseur d'accès constate que tu échanges avec un serveur VPN, sans pouvoir lire le contenu de ces échanges puisque tout est chiffré.

L'usage professionnel, l'origine du VPN

Le VPN a été inventé pour les entreprises dans les années 1990, pas pour regarder des séries indisponibles en France.

Quand un salarié travaille depuis chez lui, il a besoin d'atteindre les serveurs internes de son entreprise, comme les bases de données, les outils de gestion ou les fichiers partagés. Ces serveurs ne sont pas exposés sur Internet, ils vivent sur le réseau privé de l'entreprise, et c'est très bien ainsi.

Le VPN d'entreprise crée un tunnel entre l'ordinateur du salarié et ce réseau interne. Une fois connecté, sa machine se comporte comme si elle était branchée au bureau. Elle obtient une adresse du réseau interne et accède aux mêmes ressources.

C'est l'usage numéro un du VPN dans le monde, et de très loin. Avec la généralisation du télétravail, il est devenu un équipement de base au même titre que la messagerie.

C'est aussi celui qui te concerne au quotidien, et il explique trois situations récurrentes. La préproduction n'est visible qu'une fois connecté, parce que son nom n'existe que sur le réseau interne. La visioconférence rame dès que le tunnel est actif, parce que tout ton trafic fait un détour par le siège avant de repartir vers Internet. Et certains outils refusent de fonctionner, parce que le réseau de l'entreprise, une fois que tu y es, applique ses filtres à ta machine comme si elle était au bureau.

Beaucoup d'entreprises n'envoient dans le tunnel que le trafic destiné à leurs propres serveurs et laissent le reste sortir normalement. C'est le tunnel partagé, ou split tunneling, et c'est le premier réglage à demander quand le VPN ralentit tout.

Le tunnel protège des tiers, pas de celui qui le tient. Sur un VPN d'entreprise, l'employeur peut voir tout ce qui y circule, exactement comme ton fournisseur d'accès à la maison. Ce n'est ni une surprise ni un abus, c'est la nature de l'outil, et c'est la même remarque que nous ferons plus bas sur les VPN grand public.

Ce modèle a toutefois un défaut, une fois dans le tunnel on est considéré comme de confiance et on voit beaucoup de choses. Les entreprises basculent progressivement vers une approche dite zero trust, où chaque application vérifie l'identité et l'appareil à chaque accès, au lieu de faire confiance à la position sur le réseau.

L'usage grand public

Les fournisseurs de VPN grand public mettent en avant trois arguments principaux, et ils ne sont pas faux.

• La confidentialité vis-à-vis du fournisseur d'accès : ton opérateur ne voit plus quels sites tu consultes, seulement que tu utilises un VPN. Utile sur un Wi-Fi public de café, d'hôtel ou d'aéroport, dont tu ignores totalement qui l'administre.
• Le contournement géographique : en passant par un serveur situé dans un autre pays, tu accèdes à des contenus indisponibles chez toi. C'est ainsi que certains regardent un catalogue de streaming étranger, que les plateformes détectent et bloquent d'ailleurs de mieux en mieux, et qui constitue en général une violation de leurs conditions d'utilisation, donc un motif de fermeture du compte.
• Le contournement de la censure : dans les pays où l'accès à Internet est filtré, un VPN permet d'atteindre les sites bloqués. C'est de loin l'usage le plus précieux, et celui qui vaut à ces outils d'être interdits ou étroitement surveillés dans plusieurs pays.

Un usage plus terre à terre mérite d'être cité, l'accès à ses propres services. Beaucoup de gens montent un VPN sur leur box ou leur serveur personnel pour joindre leurs fichiers et leurs caméras depuis l'extérieur, sans les exposer publiquement sur Internet.

Ce que le VPN ne fait pas

C'est la partie que les publicités oublient soigneusement de mentionner.

• L'anonymat total : non. Tu déplaces simplement ta confiance de ton fournisseur d'accès vers ton fournisseur de VPN, qui voit exactement le même trafic. S'il conserve des journaux de connexion, tu n'es pas anonyme, tu as juste changé de témoin. Les promesses de politique sans journaux sont rarement vérifiables, sauf audit externe sérieux.
• L'invisibilité vis-à-vis des sites : non plus. Les sites te reconnaissent surtout grâce à ton compte, à tes cookies et à l'empreinte de ton navigateur. Changer d'adresse IP en étant connecté à ton compte ne trompe strictement personne.
• La protection contre les pirates : très exagérée. La quasi-totalité des sites utilisent déjà HTTPS, qui chiffre la connexion de bout en bout, y compris sur un Wi-Fi public. Le VPN n'ajoute pas grand-chose à ce niveau, et il ne fait rien contre un hameçonnage, un mot de passe faible ou un logiciel malveillant déjà installé.
• La vitesse améliorée : c'est l'inverse. Ajouter un détour par un serveur intermédiaire ralentit toujours un peu, même si les bons fournisseurs limitent la casse. Un VPN n'accélère la connexion que dans un cas particulier, quand ton opérateur bridait volontairement un type de trafic.
• La légalité de ce que tu fais : le VPN ne change rien à la loi. Il masque une adresse IP, il n'efface pas une infraction.

Si tu gères un site, ces utilisateurs existent aussi dans tes statistiques. Une part des visiteurs arrive avec une adresse d'un autre pays, ce qui fausse la géolocalisation, la langue proposée d'office et les rapports par pays de ton outil d'analytics. C'est une raison de plus de ne jamais imposer une langue ou une devise sur la seule foi de l'adresse IP.

Méfie-toi tout particulièrement des VPN gratuits. Faire tourner des serveurs et de la bande passante coûte cher, donc si tu ne paies pas, le modèle économique est ailleurs. Plusieurs applications gratuites ont été prises en flagrant délit de revente de données de navigation, voire d'utilisation de la connexion de leurs utilisateurs comme relais pour des tiers.

Sous le capot, les protocoles

Tu croiseras quelques noms barbares dans les réglages, autant savoir ce qu'ils désignent. Ce sont des protocoles, c'est-à-dire des manières différentes de fabriquer le tunnel.

• OpenVPN : le vétéran open source, éprouvé, très configurable, un peu lourd.
• WireGuard : le plus récent, beaucoup plus léger et rapide, devenu le choix par défaut de la plupart des fournisseurs.
• IPsec et IKEv2 : les standards historiques, très présents en entreprise et bien intégrés aux systèmes mobiles, notamment pour leur capacité à survivre au passage du Wi-Fi à la 4G.

Un point technique mérite attention, la fuite DNS. Si ton appareil continue d'interroger les serveurs DNS de ton opérateur pendant que le reste passe dans le tunnel, celui-ci apprend quand même la liste des sites que tu visites. Les clients VPN sérieux redirigent le DNS dans le tunnel et proposent un coupe-circuit, souvent appelé kill switch, qui coupe totalement le réseau si le tunnel tombe.

Alors, faut-il un VPN ?

De mon expérience personnelle, la réponse dépend entièrement de ce que tu cherches.

Si tu veux joindre le réseau de ton entreprise en télétravail, contourner une censure d'État, accéder à un catalogue étranger ou te rassurer sur un réseau Wi-Fi douteux, un VPN payant chez un fournisseur réputé fait parfaitement le travail pour quelques euros par mois. Réputé se vérifie sur quatre points, le pays où la société est établie et les lois qui s'y appliquent, un audit indépendant récent de sa politique sans journaux, la présence d'un coupe-circuit, et la possibilité de payer sans donner son identité si c'est ce que tu cherches.

Si tu cherches à disparaître d'Internet, un VPN ne suffira pas. Pour un besoin d'anonymat réellement critique, l'outil adapté est plutôt le réseau Tor, que nous découvrirons dans le chapitre suivant, Le dark web. Et pour ta sécurité au quotidien, des mots de passe uniques et l'authentification à deux facteurs te protégeront infiniment plus qu'un abonnement VPN.