VPN et chaînage

Un VPN (réseau privé virtuel) crée un tunnel chiffré entre votre appareil et un serveur VPN. Votre trafic sort vers Internet depuis l’adresse IP du serveur VPN, ce qui dissimule votre véritable adresse IP aux destinations.

Tout ce qui circule entre vous et le serveur VPN est chiffré, ce qui empêche votre réseau local et votre ISP de voir le contenu de votre trafic.

Ces outils se recoupent, mais diffèrent sur plusieurs points :

• Serveur mandataire : transmet le trafic d’une application donnée, souvent sans chiffrement.
• VPN : chiffre tout le trafic de l’appareil vers un serveur unique auquel vous devez faire confiance.
• Tor : offre un anonymat à plusieurs sauts grâce à des relais bénévoles, mais il est plus lent.

Un VPN remplace la confiance accordée à de nombreux relais (Tor) par la confiance accordée à un seul fournisseur.

Votre fournisseur de VPN peut voir votre véritable adresse IP et toutes vos destinations (mais pas le contenu chiffré). Vous transférez la confiance que vous accordiez à votre ISP vers l’entreprise VPN.

Les promesses d’absence d’enregistrement ne valent que ce que valent l’honnêteté et la juridiction du fournisseur. Un VPN améliore la confidentialité vis-à-vis des observateurs locaux, mais ne fournit pas à lui seul un anonymat solide.

Protocoles VPN courants :

• WireGuard : moderne, rapide, avec une base de code réduite et une cryptographie robuste.
• OpenVPN : éprouvé, flexible et largement pris en charge.
• IPsec/IKEv2 : courant sur les appareils mobiles, il se reconnecte efficacement.

Évitez PPTP, un protocole ancien dont la sécurité cryptographique est compromise.

Le chaînage consiste à faire passer le trafic successivement par plusieurs couches d’anonymat, afin qu’aucun point unique ne voie l’ensemble du chemin. L’idée est la suivante : même si une couche est compromise, les autres continuent de vous protéger.

Deux combinaisons connues sont VPN sur Tor et Tor sur VPN. L’ordre est important et modifie ce que chacun peut voir.

Vous -> VPN -> Tor -> destination.

• Votre ISP voit que vous vous connectez à un VPN, mais pas que vous utilisez Tor.
• Le nœud de garde Tor voit l’adresse IP du VPN, et non votre véritable adresse IP.
• Vous devez néanmoins accepter que le VPN sache que vous utilisez Tor.

Cette configuration dissimule l’utilisation de Tor à votre ISP, ce qui est utile lorsque Tor est bloqué ou considéré comme suspect.

Vous -> Tor -> VPN -> destination.

• Le nœud de sortie Tor ne voit que le VPN, et non la destination finale.
• La destination voit l’adresse IP du VPN, ce qui fournit une adresse IP de sortie stable.
• Le VPN peut relier votre activité à votre identité, et vous devez le payer anonymement.

Cette configuration est plus complexe, rarement nécessaire et facile à mal configurer.

Si un VPN se déconnecte, votre trafic peut fuir par votre connexion réelle. Un interrupteur d’arrêt bloque tout le trafic tant que le tunnel n’est pas actif, empêchant ainsi l’exposition accidentelle de votre adresse IP.

Sans interrupteur d’arrêt, une brève reconnexion peut vous désanonymiser. Vérifiez toujours son bon fonctionnement avant de vous y fier.

Même avec un VPN, certaines fuites peuvent vous trahir :

• Fuites DNS : les requêtes DNS sont envoyées à votre ISP au lieu de passer par le tunnel, révélant les sites que vous consultez.
• Fuites WebRTC : les navigateurs peuvent exposer votre véritable adresse IP via WebRTC, même derrière un VPN.

Effectuez un test pour détecter ces fuites et désactivez WebRTC ou utilisez une configuration protégée contre les fuites.

Empiler de nombreuses couches ajoute de la latence et de la complexité, et chaque couche supplémentaire est une nouvelle source possible de mauvaise configuration. Davantage de sauts ne signifie pas automatiquement davantage de sécurité.

Les principaux risques sont généralement les erreurs opérationnelles, et non un nombre insuffisant de sauts. Une seule couche bien utilisée vaut mieux qu’une chaîne mal configurée.

Une fuite subtile peut se produire si vous payez un VPN avec votre carte bancaire personnelle : le fournisseur peut relier le compte à votre identité, ce qui compromet l’anonymat s’il est contraint de communiquer ses informations.

Pour les activités sensibles, les opérateurs privilégient les fournisseurs qui acceptent les paiements anonymes et disposent d’une politique claire, auditée, de non-enregistrement, dans une juridiction favorable. La trace du paiement fait partie de votre OPSEC.

Réfléchissez à qui peut voir que vous utilisez Tor.

Vous avez étudié les VPN et le chaînage :

• Un VPN chiffre tout le trafic vers un serveur de confiance unique : il ne garantit pas l’anonymat à lui seul.
• Utilisez des protocoles modernes (WireGuard, OpenVPN), jamais PPTP.
• Tor sur VPN dissimule Tor à votre ISP ; VPN sur Tor fournit une adresse IP de sortie stable.
• Utilisez un interrupteur d’arrêt et effectuez un test de détection des fuites DNS/WebRTC.
• Davantage de couches ajoute de la complexité : les erreurs opérationnelles constituent le véritable danger.

Ensuite : usurpation des adresses MAC et de l’identité de l’appareil.