VPN peut-il vraiment protéger la vie privée ? Le responsable de la sécurité chez IBM analyse les risques de confiance sous-jacents

Avec la popularisation des (VPN) en tant qu’« outils de confidentialité » largement promus dans le monde numérique, la publicité y afférente est omniprésente, allant des sites web, applications jusqu’aux publicités YouTube, mettant en avant l’anonymat en ligne et la protection des données personnelles. À ce sujet, Jeff Crume, responsable de la sécurité chez IBM, dans une vidéo d’analyse, part du contexte réel de transmission sur Internet pour décomposer progressivement le fonctionnement technique du VPN, le modèle de confiance et les limites en matière de confidentialité, expliquant que le VPN n’est pas une panacée, mais un outil de « redistribution de la confiance ».

Les données sensibles sur Internet public, les attaques par Wi-Fi malveillant deviennent courantes

Crume indique que lorsque l’utilisateur transmet des numéros de carte de crédit, des informations d’identité ou des données à valeur commerciale via Internet, ces contenus sont en réalité transmis via un « réseau public », comme si l’on parlait à voix haute dans un lieu public, ce qui peut être intercepté par des tiers non ciblés.

Il souligne notamment une méthode d’attaque courante : dans des lieux publics comme un café ou un hôtel, un attaquant peut créer un point d’accès Wi-Fi avec un nom presque identique à celui d’un Wi-Fi légitime, incitant l’utilisateur à se connecter par erreur. Une fois connecté, les données peuvent être entièrement interceptées et visualisées par l’attaquant avant même d’atteindre le véritable Internet.

Principe de base du VPN : établir un canal crypté

Face à ces risques, Crume explique que la fonction principale du VPN est d’établir, entre l’appareil de l’utilisateur et le fournisseur de services VPN, un canal de transmission crypté.

Dans cette architecture, toutes les données envoyées vers l’extérieur sont d’abord cryptées, puis transmises au fournisseur VPN, qui les déchiffre, détermine la destination, puis crypte à nouveau et transmet au site web réel. Le processus est identique pour le retour des données.

Ainsi, les écoutes extérieures, les attaques via Wi-Fi public, voire le fournisseur d’accès Internet (ISP) de l’utilisateur, ne peuvent voir que la connexion entre l’utilisateur et le fournisseur VPN, sans connaître le contenu réel ni la destination finale.

L’essence du VPN : ce n’est pas éliminer la confiance, mais la transférer

Crume insiste sur le fait que, qu’on utilise ou non un VPN, la « confiance » ne peut pas être éliminée, seulement transférée. Il distingue les différents objets de confiance selon les scénarios :

Sans VPN : l’utilisateur doit faire confiance à l’ISP, ainsi qu’à tous les tiers inconnus pouvant accéder aux paquets lors de la transmission.

VPN d’entreprise : lorsque des employés se connectent à distance au réseau interne de l’entreprise, ils confient en réalité leur confiance à leur employeur, l’accent étant mis sur la sécurité de l’entreprise plutôt que sur la vie privée personnelle.

VPN tiers : l’utilisateur centralise la confiance initialement dispersée entre Internet et l’ISP vers le fournisseur de VPN.

Il affirme que la véritable fonction du VPN est de transformer « le fait de devoir faire confiance à beaucoup de personnes » en « devoir faire entièrement confiance à une seule personne ou organisation ».

Quels sont les risques réels des VPN tiers

Jeff Crume indique qu’étant donné que le fournisseur VPN doit déchiffrer le trafic en cours de route, il peut voir la destination de la connexion, l’adresse IP, la fréquence d’utilisation, voire le contenu réel des données. Cela engendre plusieurs risques à ne pas négliger :

Modèle de monétisation des données des VPN gratuits : si l’utilisateur ne paie pas, le fournisseur peut monétiser en collectant et en vendant les données.

Risques liés à la sécurité : même si le fournisseur n’a pas de malveillance, une attaque ou une intrusion peut entraîner la fuite des données des utilisateurs.

Exigences juridiques et légales : dans certains pays, le fournisseur VPN peut être légalement contraint de remettre les logs d’utilisation.

Il rappelle que l’essentiel lors de l’utilisation d’un VPN tiers n’est pas de savoir « si c’est utile » mais « si l’on comprend vraiment à qui on fait confiance ».

Se monter son propre VPN ne permet pas d’éviter totalement la question de la confiance

Pour les utilisateurs très soucieux de leur vie privée, Crume mentionne aussi la méthode de « monter soi-même un VPN », afin de maîtriser toute l’infrastructure. Mais il souligne que même dans ce cas, l’utilisateur doit faire confiance au logiciel VPN lui-même, qu’il soit open source ou commercial, car cela implique une confiance dans le code et dans le mécanisme de mise à jour, ce qui n’est pas sans risque.

(Techno curiosités : Le chef de l’ambassade de la paix entre la Chine et Taïwan affirme que la Chine ne bloque pas vraiment le VPN, il suffit de l’utiliser pour tout voir)

Cet article VPN peut-il vraiment protéger la vie privée ? Analyse des risques de confiance par le responsable sécurité d’IBM a été publié initialement sur Chain News ABMedia.