Repérer un VPN ne suppose pas forcément de casser son chiffrement. Entre signatures réseau, analyse statistique et inspection du trafic, les outils de détection disposent d’autres moyens pour identifier un tunnel et, parfois, le bloquer.
Depuis plusieurs années, opérateurs réseau, entreprises et dispositifs de censure perfectionnent leurs méthodes pour reconnaître les tunnels VPN sans avoir besoin de savoir ce qu’ils transportent. Une course qui pousse en retour les protocoles à brouiller toujours davantage leur empreinte, au point de modifier désormais non seulement leur apparence, mais aussi la façon dont les paquets se comportent sur le réseau.
Le chiffrement cache le contenu, pas tout ce qui gravite autour de la connexion
Lorsque vous activez un VPN, les communications entre votre appareil et le serveur VPN circulent dans un tunnel chiffré. Votre fournisseur d’accès à Internet ne peut donc plus directement savoir quels sites et services vous cherchez à joindre, mais il peut toujours accéder à plusieurs informations sur la connexion elle-même, parmi lesquelles l’adresse IP du serveur VPN, le moment où la session débute, sa durée et les volumes de données échangés.
Le chiffrement ne masque pas non plus toutes les caractéristiques des paquets qui composent le flux. S’il empêche d’en lire les données, il ne peut pas grand-chose contre l’analyse de leur taille, de leur fréquence, de leur ordre ou encore de leur sens de circulation, soit autant d’éléments capables de renseigner sur la nature du trafic sans révéler ce qu’il transporte.
Sans même aller aussi loin, les systèmes de détection peuvent s’appuyer sur des listes d’adresses IP déjà associées à des services VPN pour repérer et, le cas échéant, bloquer les connexions concernées. La méthode n’est toutefois pas toujours très fiable, les fournisseurs VPN changeant régulièrement d’adresse et leurs serveurs étant parfois hébergés chez les mêmes prestataires que d’autres services.
Le protocole lui-même peut laisser une empreinte reconnaissable
L’analyse peut alors porter sur les caractéristiques du trafic lui-même. La taille des paquets, leur ordre ou la façon dont ils s’enchaînent ne dépendent pas uniquement des données transportées : le protocole impose aussi ses propres règles pour établir la connexion et organiser les échanges. Lorsque ces règles produisent des motifs suffisamment réguliers, elles peuvent aider à reconnaître le protocole utilisé.
À titre d’exemple, au moment d’établir le tunnel, WireGuard échange plusieurs messages dont la structure et la taille sont précisément définies. Le premier, qui lance le handshake, c’est-à-dire l’échange initial nécessaire pour établir la connexion, pèse 148 octets, contre 92 pour la réponse du serveur. Chacun commence également par un octet chargé d’indiquer le type de message envoyé, suivi de trois octets systématiquement fixés à zéro.
Même constat du côté d’OpenVPN, qui sème des indices exploitables. En 2022, une équipe réunissant des chercheurs de l’université du Michigan et de l’Arizona State University avait alors démontré qu’en combinant motifs d’octets, tailles de paquets et réactions du serveur à certaines requêtes, elle pouvait reconnaître plus de 85 % des flux OpenVPN observés chez un FAI comptant environ un million d’abonnés.
Même sans signature fixe, le comportement du trafic peut trahir le tunnel
Même sans signature fixe à repérer, l’observation d’une connexion dans son ensemble peut fournir assez d’indices pour en reconnaître la nature. Au fil des échanges, les paquets dessinent des séquences particulières selon leur taille, leur sens de circulation, le rythme auquel ils s’enchaînent ou les pauses qui les séparent.
Il n’est alors plus forcément question d’identifier un protocole avec certitude, mais d’estimer à quel type de trafic une connexion ressemble le plus. Des modèles entraînés sur de nombreux flux peuvent repérer des régularités statistiques associées au trafic VPN et attribuer une forte probabilité à une connexion suspecte, quitte à accepter une marge d’erreur.
Et il faut finalement très peu d’informations pour y parvenir. En 2022, toujours, une équipe associant notamment l’ISAE-SUPAERO et le CNRS était ainsi parvenue à entraîner un réseau neuronal à reconnaître différentes catégories de trafic chiffré, VPN et Tor compris, à partir de deux éléments seulement : la taille des paquets et leur heure d’arrivée.
La riposte passe désormais par l’obfuscation
Puisque les systèmes de détection ne se contentent plus de chercher quelques marqueurs fixes, les protocoles conçus pour leur échapper ont dû revoir leur stratégie.
Plusieurs techniques d’obfuscation sont déjà bien rodées : on peut par exemple envelopper WireGuard dans une couche TLS, comme le fait Proton VPN avec Stealth, ou dans QUIC, comme le propose NymVPN, pour lui conférer une apparence proche de celle de protocoles très courants sur Internet. Tor travaille depuis longtemps sur le même problème avec ses propres outils de camouflage : WebTunnel cherche à faire ressembler le trafic Tor à du trafic HTTPS ordinaire, tandis qu’obfs4 brouille au contraire sa structure pour le faire ressembler à un flux aléatoire.
Face à des méthodes d’analyse capables de s’intéresser au comportement général d’une connexion, les adaptations vont désormais jusqu’à modifier le format, le rythme et l’enchaînement des échanges eux-mêmes. AmneziaWG, dérivé de WireGuard, modifie ainsi les en-têtes, casse les tailles fixes des messages échangés pendant le handshake et injecte des paquets factices. Depuis sa version 3.1, le protocole randomise davantage la taille et la séquence des paquets, leur timing ainsi que certaines métadonnées, afin de casser aussi les régularités statistiques que les modèles de classification ont appris à reconnaître.
Ces techniques ne garantissent évidemment pas qu’un tunnel échappera durablement à la détection, mais elles mettent des bâtons dans les roues des systèmes chargés de repérer les VPN, contraints de chercher de nouveaux indices sans pouvoir durcir leurs règles à l’aveugle au risque de bloquer au passage des pans entiers de trafic légitime. Un jeu du chat et de la souris dans lequel l’avantage ne reste jamais acquis bien longtemps.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.