Pourquoi un VPN ne vous protège pas totalement ?

On présente souvent les VPN comme solutions imparables pour préserver la confidentialité de ses données personnelles et son anonymat. Une affirmation qu’il convient pourtant de nuancer.

Parce qu’il chiffre les données de connexion et masque l’adresse IP de ses utilisateurs, le VPN est un allié incontestable pour qui souhaite naviguer de manière sécurisée. Il ne s’agit pourtant pas d’une solution infaillible à 100%. Surfer sur le Web laisse forcément des traces et personne ne peut prétendre à l’anonymat total sur Internet. Voici ce que peut faire un VPN et ce qu’il ne peut pas faire, ainsi que quelques pistes supplémentaires pour protéger au mieux votre vie privée en ligne.

Le VPN renforce la confidentialité sur internet

La première fonction d’un VPN est de masquer votre adresse IP aux sites web que vous visitez. Pour préserver cette confidentialité, le service se place en intermédiaire entre l’appareil dont on se sert pour naviguer sur Internet et les plateformes interrogées.

Concrètement, l’utilisateur doit installer un agent sur sa machine et se connecter au serveur VPN. La plupart des fournisseurs proposent un chiffrement dès ce point de départ, sécurisant les informations qui transitent entre le PC, le smartphone ou la tablette et le serveur du VPN. Attention : le trafic peut toujours être intercepté par un tiers (pirate, par exemple). Néanmoins, selon la solidité de l’algorithme, il lui sera difficile, voire impossible de lire les données siphonnées. À titre d’exemple, l’AES n’ayant jamais été compromis jusqu’à présent, on peut raisonnablement estimer que les informations qu’il chiffre sont parfaitement protégées.

Une fois transmises au serveur VPN, ces données sont déchiffrées et le trafic redirigé vers la plateforme web initialement sollicitée. Le site en question reçoit ainsi une requête formulée par le VPN et non par l’utilisateur directement. Par conséquent, c’est l’adresse IP du VPN qui est visible du site, et non celle de l’internaute.

Dissimuler son adresse IP auprès des plateformes en ligne ouvre de nouvelles perspectives de navigation. Premièrement, en fonction de l’emplacement du serveur VPN, il est possible de contourner censure et géoblocage de contenus. Puisque l’adresse IP visible est celle du VPN, c’est également sa géolocalisation qui est transmise aux serveurs interrogés. Dans un contexte hors censure et géoblocage, ce prédicat demeure avantageux au regard de l’anonymat supposé de l’internaute : puisque les sites récupèrent un simulacre d’adresse IP très certainement partagé avec d’autres utilisateurs du VPN, il leur sera difficile d’établir un profil utilisateur pertinent.

Autre cas de figure où le VPN est indispensable pour espérer protéger ses informations personnelles : la connexion à un Wi-Fi public. Un petit rappel ne peut pas faire de mal : ces hotspots, certes pratiques, ne sont absolument pas sécurisés (routeurs mal configurés, mots de passe extrêmement faibles, etc.). Attirant des centaines d’internautes en mal de data, voire des milliers dans les quartiers stratégiques, ce type de réseau devient sans conteste un terrain de jeu idéal pour les hackers (Man in the Middle, sniffing, injection de logiciels malveillants). En optant pour un VPN en guise de bouclier sur un hotspot, on s’assure de chiffrer son trafic et de parer aux tentatives de piratage. En contrepartie, on évite autant que possible de se connecter aux réseaux sociaux ou à ses comptes bancaires.

Mais que l’on ne se leurre pas : le VPN n’est pas une cape d’invisibilité. Malgré toutes les précautions prises en amont d’une session de navigation web, certaines traces laissées par l’internaute demeurent visibles et exploitables par différentes entités, à commencer par les fournisseurs d’accès à Internet.

Le VPN n'anonymise pas totalement pour le FAI

Sans FAI, pas d’Internet ni de connexion possible au VPN. Parce que le trafic doit d’abord passer par le routeur (box Internet) avant d’atteindre les serveurs du VPN, le fournisseur d’accès à Internet est toujours en mesure d’identifier l’internaute, ses équipements, ses dates et heures de connexions, la durée des sessions web, la quantité de données échangées. En revanche, s’il n’est pas possible de cacher ces données techniques, la couverture offerte par le VPN permet d’en taire le détail. Le trafic chiffré à la source ne peut être lu, de même que les activités menées derrière le VPN ne peuvent être vues. En clair, le FAI sait que l’internaute se connecte à un service (le VPN) et que leurs échanges sont chiffrés. Si le protocole de tunnellisation et l’algorithme de chiffrement associé sont suffisamment sécurisés, le risque de voir ses informations de trafic révélées est minime.

Il faut cependant garder à l’esprit que l’adresse IP du serveur VPN est visible du FAI et que les métadonnées de connexions entre l’utilisateur et le serveur sont historisées, donc livrables à la justice, pendant un an. Bien qu’elles soient inexploitables en théorie, il convient de s’assurer de deux points essentiels : le respect de la confidentialité par le fournisseur de VPN lui-même (no log policy, ou absence de journalisation des données de connexion), et les lois de renseignement auxquelles il doit se soumettre (d’où l’importance de vérifier le pays de domiciliation du service choisi). Si jamais le VPN collecte et historise les données de connexion déchiffrées sur le serveur et qu’il dépend d’une juridiction portée par la surveillance, les autorités n’auront aucun mal à faire le lien entre l’internaute et ses activités en ligne.

Le VPn n'anonymise pas non plus la navigation à 100%

Quelles que soient les mesures prises pour préserver son anonymat en ligne, aucune ne permet de naviguer sans laisser de traces. L’idée d’un anonymat total sur Internet est illusoire, en grande partie à cause de l’empreinte numérique laissée par le navigateur qui donne lieu à une technique de collecte des informations personnelles appelée fingerprinting.

Lorsque l’on que l’on visite un site web, le navigateur utilisé délivre un certain nombre de données techniques que les plateformes collectent, stockent et monétisent auprès d’annonceurs : fuseau horaire, version du navigateur, configuration du navigateur (affichage des barres de favoris, d’outils, d’adresse), extensions installées, langue, mais également type d’appareil utilisé pour se connecter à Internet, résolution de l’écran, version du système d’exploitation, agencement du clavier, polices de caractères installées, état et usages de la batterie, présence ou non d’un gyroscope, d’un capteur de proximité, d’une webcam, d’un haut-parleur, d’un micro… Une liste extrêmement longue, d’autant plus effrayante que le niveau de détails révélés confère à chaque empreinte numérique un caractère unique. Comprenez : il n’existe pas deux empreintes identiques. La preuve sur le site AmIUnique.org (projet open source visant à développer des contre-mesures efficaces à la prise d’empreintes).

Que faut-il en déduire ? Et bien que malgré l’usage d’un VPN et la dissimulation de sa véritable adresse IP, les plateformes en ligne capables d’analyser ces données techniques peuvent encore identifier n’importe quel internaute.

Le VPN lui même source de fuite de données

Il faut enfin considérer le danger de l’intérieur et prendre conscience que le VPN lui-même peut être une entrave à la protection des données privées. Car si le trafic est chiffré entre le terminal de connexion et le serveur du VPN, il ne l’est plus une fois sur le serveur et certains fournisseurs ne se gênent pas pour revendre les informations collectées à des tiers.

Il peut également arriver que les serveurs VPN ne soient pas suffisamment sécurisés et soient victimes de cyberattaques. Si par malchance les informations de connexion ont été historisées, le butin n’en sera que plus juteux.

Des outils à utiliser en complément du VPN

Sans être alarmiste, il faut bien intégrer que l’anonymat en ligne n’est jamais garanti, de même qu’un certain nombre de données privées finissent toujours par passer les mailles du filet. Si aucune solution définitive n’est aujourd’hui envisageable, on peut toujours cumuler certaines mesures de sécurité pour renforcer la confidentialité de ses informations personnelles et limiter les fuites.

Pour commencer, un VPN, oui, mais pas n’importe lequel. Exit les services gratuits qui survivent généralement grâce à la revente des données personnelles. Les faibles moyens dont ils disposent ne garantissent pas non plus la solidité ni la maintenance régulière de leurs infrastructures. Il convient également de vérifier la juridiction de laquelle ils dépendent – on oublie instantanément les services basés dans l’un des Five, Nine, Fourteen Eyes –, de s’assurer qu’ils ne journalisent aucune information et qu’ils disposent de suffisamment de serveurs dans le monde, et donc d’autant d’adresses IP, pour brouiller les pistes au maximum.

Côté tracking, il est évidemment important de désactiver les cookies, d’effacer régulièrement son historique de navigation, de limiter l’installation d’extensions à celles qui bloquent trackers et scripts (Adblock, Privacy Badger, Disconnect, Ghostery, NoScript), de privilégier les connexions HTTPS et la navigation privée.

Il n’existe pas encore de solution miracle pour lutter contre le fingerprinting, mais quelques réglages de base devraient permettre de rendre la tâche plus ardue aux entreprises recourant à cette technique. On sait que Google n’est pas un modèle de vertu en matière de respect de la vie privée, mais quitte à utiliser Gmail, YouTube, Drive ou Android, autant utiliser Chrome dans sa dernière version. Avec plus de 60% de parts de marché dans le monde, il s’agit du navigateur le plus utilisé. Un paramètre d’identification partagé avec quelques autres milliards d’utilisateurs, donc.

Mieux encore, depuis sa version 67, Firefox embarque des options de lutte contre les détecteurs d’empreintes numériques à activer manuellement dans les paramètres du navigateur (about:preferences#privacy > Protection renforcée contre le pistage > Stricte ou Personnalisée > Détecteurs d’empreinte numérique à cocher, ou bien about:config > privacy.resistFingerprinting > false). Il faut savoir que de tels réglages peuvent empêcher certains sites de fonctionner correctement.

Au fil des années, Tor a également développé ses propres outils de lutte contre le fingerprinting. Un premier projet a consisté à faire en sorte que tous les utilisateurs de Tor bénéficient de la même empreinte numérique. En pratique, les faits sont plus nuancés, mais on peut déjà vérifier que l’user agent est identique pour tous les internautes utilisant Tor, quel que soit l’appareil et le système d’exploitation utilisés : Mozilla/5.0 (Windows NT 10.0; rv:78.0) Gecko/20100101 Firefox/78.0.

Cet user agent vaut pour la version 10.0.11 de Tor (dernière en date au moment de la rédaction de cet article). Les équipes de développement ont choisi Windows comme système de référence puisque le plus utilisé dans le monde. Firefox 78 correspond à la version ESR de Firefox sur laquelle Tor est basé.

Après un test AmIUnique sur Chrome, Firefox et Tor, on constate également que Tor modifie, entre autres, le fuseau horaire de la connexion (tmz 0) et la résolution d’écran (1000*900px contre 1920*1080px pour Chrome et Firefox). On remarquera d’ailleurs que l’affichage plein écran sur Tor est partiel : seul le cadre du navigateur occupe l’intégralité de l’écran tandis que la page web s’affiche dans une fenêtre plus petite de manière à ce que tous les utilisateurs de Tor simulent une résolution multiple de 200*100px. C’est ce qu’on appelle le Letterboxing.

Néanmoins, Tor n’est pas non plus infaillible et nul n’est à l’abri de tomber sur un nœud corrompu ou d’essuyer une attaque à cause d’une faille non encore patchée. C’est là la contrepartie d’un réseau décentralisé, open source, reposant sur la bonne foi de ses utilisateurs.