Mullvad confirme un risque de suivi entre ses serveurs VPN et prépare un correctif

Quelques jours après la publication d’une analyse indépendante sur de possibles corrélations entre ses IP de sortie WireGuard, Mullvad confirme officiellement qu’un service en ligne peut parfois relier deux connexions passées par des serveurs VPN différents.

Dans un billet de blog tout juste publié, Mullvad a confirmé avoir identifié un problème de fingerprinting entre ses serveurs VPN, repéré quelques jours plus tôt par un chercheur répondant au pseudonyme de tmctmt. Le bug ne dévoile ni l’identité des abonnés au réseau privé virtuel ni leur adresse IP réelle, mais il peut aider un service en ligne à corréler plusieurs IP de sortie Mullvad et à en déduire qu’elles correspondent probablement au même utilisateur.

Un lien statistique entre plusieurs connexions

Pour rappel, chez Mullvad, chaque serveur dispose de plusieurs IP de sortie, et chaque appareil utilise une clé WireGuard unique pour chiffrer la connexion. Cette clé est généralement liée à l’adresse interne attribuée dans le tunnel VPN, laquelle sert ensuite de base à l’attribution de l’IP publique visible par les sites consultés.

Or, si l’on change de serveur tout en conservant cette même adresse interne, l’IP de sortie associée peut occuper une position similaire dans la plage d’adresses du nouveau serveur. Par exemple, si l’adresse attribuée se situe autour de 40 % de la plage d’IP sur un premier serveur, elle peut à nouveau tomber autour de 40 % sur un autre. Cette correspondance statistique peut ainsi permettre à un site ou à un service en ligne, s’il dispose de plusieurs journaux de connexion, de rapprocher deux connexions Mullvad passées par des serveurs différents.

Le fournisseur a toutefois tenu à préciser que plusieurs abonnés partagent généralement chaque IP de sortie. Le bug ne permet donc pas d’identifier directement une personne, mais Mullvad reconnaît qu’il peut fournir suffisamment d’indices pour relier plusieurs connexions au même internaute probable.

Une rotation de clé en attendant une nouvelle méthode d’attribution des IP

En l’absence de patch immédiat, Mullvad recommande de changer ses habitudes uniquement si l’on passe d’un serveur à l’autre dans le but d’empêcher ce type de recoupement. Dans ce cas, il faut se déconnecter complètement de l’application, c’est-à-dire quitter son compte, puis s’y reconnecter avant de changer de serveur. Cette opération régénère la clé WireGuard et modifie l’adresse interne du tunnel, là où une simple déconnexion du VPN ne suffit pas toujours.

En parallèle, le fournisseur travaille sur une nouvelle méthode d’attribution des IP de sortie pour empêcher l’adresse utilisée sur un serveur de donner une indication sur celle qui sera utilisée ailleurs, ou sur celle d’un autre abonné connecté au même serveur. Le correctif est en cours de test et doit progressivement être déployé sur les serveurs Mullvad dans les prochaines semaines.