Différences entre VPN et Proxy
Cela n’aura échappé à personne, mais depuis quelques temps nous entendons souvent parler de VPN pour “contourner la censure” ou encore de “protéger son anonymat” sur Internet. Le tout vendu par les influenceurs des médias sociaux grâce au sponsoring de certains fournisseurs qui nous promettent monts et merveilles. Mais c’est quoi un VPN ? Ca sert à quoi ? Comment ça marche ? Et c’est quoi la différence avec un proxy avec lequel on peut avoir tendance à le confondre ?
C’est quoi un VPN ?
Illustration du fonctionnement d’un VPN, image de Michel Bakni pour Wikipedia, license Creative Common BY-SA 4.0
Dans le principe de base, le Virtual Private Network (réseau privé virtuel) est un moyen de connecter deux réseaux privés au travers du réseau public. Par définition, un réseau privé est inaccessible depuis l’extérieur (soit Internet) car les adresses privées sont non routables sur Internet, et les pare-feux bloqueront les tentatives d’accès non reconnues via les IP publiques. Le VPN établi donc une connexion de point à point entre deux ordinateurs. C’est une technologie principalement utilisée dans le monde de l’entreprise pour permettre à ses employés de se connecter aux ressources internes depuis l’extérieur via un tunnel sécurisé. Dans le cas d’un particulier, plusieurs NAS ou Box Internet proposent désormais un VPN à activer qui permet ainsi d’accéder à son réseau local depuis l’extérieur.
Depuis quelques années, des services tiers se sont lancés sur Internet en vendant ceci comme un moyen de contourner la censure ou le blocage géographique par IP (notamment pour les plateformes de Streaming à la Netflix). Ceux-ci promettent souvent la sécurisation des échanges, l’anonymat, etc, mais est-ce réellement possible ? Pour le savoir, il convient d’abord de comprendre comment fonctionne un VPN.
Comme dit plus haut, le VPN c’est la connexion de deux réseaux privés. Lorsque vous accédez à un service en ligne via un VPN, le service en question verra l’adresse IP du fournisseur de VPN, pas la votre. Techniquement, cela signifie que vous exploitez la connexion Internet d’un tiers. Le tunnel VPN est généralement sécurisé, les protocoles embarquant une couche cryptographique de chiffrement des échanges. Mais ce tunnel n’est sécurisé que de votre ordinateur vers le service VPN. La sécurisation du service VPN au service Internet accédé est impossible à évaluer puisque dépendant du bon vouloir du fournisseur.
Concernant l’anonymat, c’est une nouvelle fois selon le bon vouloir du fournisseur de VPN. Dans la mesure où il vous fourni un accès via sa connexion Internet, il est capable de tracer toute votre activité. A nouveau, le tunnel n’est sécurisé qu’entre vous et le point d’entrée du VPN, au delà, c’est moins évident ! De ce fait, le service peut conserver votre historique de connexion et d’activité et l’absence de ces traces repose exclusivement sur une déclaration d’intention de la part de votre fournisseur.
Soudainement, lorsqu’on connaît à minima l’envers du décor, la promesse de “sécurisation” et “d’anonymat” des vendeurs de VPN devient bien fragile car pour ainsi dire invérifiable. Comme souvent dans la sécurité, tout repose sur la confiance accordée au tiers.
C’est quoi un Proxy ?
Illustration du concept de serveur Proxy, image de H2g2bob sous license Creative Common 1.0 Public Domain, source Wikipedia
Un Serveur Proxy (“mandataire” en français) est un intermédiaire entre l’utilisateur et un service Internet. Dans la séquence de connexion, le client va demander au Proxy d’aller chercher des informations sur Internet. Le proxy s’exécute et renvoie l’information au client.
L’un des rôles que le Proxy peut avoir au sein d’un réseau est celui de filtre : il peut interdire des requêtes et bloquer certains protocoles. Par exemple dans un réseau d’entreprise, le Proxy interdira des sites sensibles (typiquement le porno) ou pourra bloquer le trafic SSH, FTP ou autre, vers Internet pour empêcher un utilisateur d’aller sur un serveur inconnu de l’entreprise. Du point de vue de l’extérieur, les serveurs voient l’adresse IP du proxy et non celle du client final. Ses autres intérêts sont aussi la possibilité de mettre en cache des ressources pour éviter de les télécharger systématiquement de l’extérieur, ou encore de contrôler l’usage d’un accès à Internet.
Un proxy permet-il de protéger son anonymat sur Internet ? Le précédent paragraphe est on ne peut plus clair : un Proxy ne protège en rien son anonymat, c’est même tout l’inverse. Alors certes, du point de vue extérieur le service verra l’IP du Proxy et non celle de l’utilisateur (comme pour le VPN). Mais comme le VPN aussi, il trace toute l’activité des utilisateurs. Dans le cas des proxy d’entreprise, il peut également déchiffrer et re-chiffrer à la volée le trafic HTTPS grâce à un certificat racine installé sur les postes clients.
De ce fait, il convient d’être extrêmement prudent lorsqu’on veut utiliser un proxy ouvert pour tenter d’avoir une IP d’un autre pays car il est impossible de savoir si toute l’activité est tracée et conservée. Le cas du déchiffrement de traffic sécurisé est moins évident pour un proxy public, mais c’est un risque à ne pas négliger.
Faut-il éviter les services de VPN ou Proxy ?
En dehors des proxy publics que je déconseille vivement, l’objectif de ce billet n’est pas de décourager d’utiliser tel ou tel service VPN, mais de le faire en toute conscience de comment ils fonctionnent et quelles sont les risques associés. En dehors du cas des entreprises, des VPN sont aussi utilisés pour contourner la censure dans les pays qui la pratique (et souvent, les VPN sont interdits par les autorités locales). Cependant, à titre personnel, je trouve très mal venu d’utiliser cet argument pour vendre son service de VPN alors que la finalité de la cible sera d’aller voir le catalogue US de Netflix depuis l’Europe ou encore d’aller sur des sites de téléchargements illicites… Cela me paraît insultant vis à vis de ceux qui risquent potentiellement leur vie pour contourner une vraie censure.
Il n’y a pas de solution magique pour les personnes qui veulent impérativement utiliser un VPN pour telle ou telle raison. Soit elles accordent leur confiance à un service, avec les risques qui vont avec (piratage du service, activité bien plus tracée que promis, plage d’adresses IP bloquée ou détection du protocole du VPN bloquant son usage chez certains…) et l’utilisent en toute conscience. Tout ceci reposera sur des promesses qu’il sera difficile à démontrer. Dans le cas où le besoin est de profiter d’une IP étrangère, il est parfaitement possible de choisir un hébergeur Cloud pour créer une petite instance pas trop chère. Les serveurs VPN sont généralement des logiciels libres donc il n’y a pas d’autre coût que l’hébergement. Par contre, il faut un minimum de précaution pour éviter de mal configurer l’outil et risquer d’avoir un résultat contre productif.
Qu’en est-il des arguments de sécurité et d’anonymat ?
L’argument de l’anonymat est illusoire. Masquer son IP en se faisant passer pour un autre ne rend pas “anonyme” sur Internet. En effet, le premier mouchard que vous aurez dans la chaîne est ni plus ni moins que votre navigateur. Avec tous les cookies de tracking, les empreintes (fingerprint) de ceux-ci, l’espionnage constant des différents “boutons sociaux” sur les sites web, changer d’IP n’y fera rien. Cela fait bien longtemps qu’elle ne sert plus d’identifiant sur Internet vu qu’elle est bien souvent partagée avec plusieurs clients. Le but du profilage en ligne est d’être le plus précis possible, et c’est votre navigateur qui le sera. Dans le cas de la sécurité, tout repose sur les promesses du fournisseur commercial : le traffic est-il chiffré de bout en bout ? Les journaux de connexions sont-ils conservés ? Il y a eu plusieurs cas dans la presse de délinquants ayant voulu cacher leurs activités avec VPN mais qui ont fini par se faire prendre.
Si la notion de surf “anonyme” vous est chère, dans ce cas je vous invite à aller voir du côté du réseau Tor qui est conçu comme tel, et aussi utilisable au travers d’un VPN. Mais à nouveau, ce n’est pas un outil magique et un mauvais usage peut casser la protection.
J’espère que ce petit billet vous aura donné un peu de visibilité sur ce qui se cache derrière les services de VPN en ligne et de remettre en perspective les arguments commerciaux qui me paraissent surfaits par rapport à l’utilisation qu’en feront la plupart des clients. Lorsque je regarde les statistiques d’utilisation sur un site de comparatifs, 50% des cas d’usages sont pour accéder à des divertissements en ligne… L’argument “anonymat” et “sécurité” me paraît donc bien faible par rapport à la cible.