C'est quoi un VPN, et en avez-vous vraiment besoin ?

Connecter deux machines directement

La première utilisation — on vient de le voir — c'est de relier des machines directement entre elles via un VPN. On parle de tunnel VPN point à point, ou point-to-point en anglais, parfois abrégé en P2P, mais il faut faire attention à ne pas confondre avec le peer-to-peer.

Voici donc un petit schéma de ce à quoi ça ressemble [oui j'ai recyclé mon schéma de tout à l'heure parce que j'avais la flemme d'en refaire un autre ! 😛️] :

Deux machines connectées directement à travers un VPN

Dans cette configuration, on ne va en général faire passer que le trafic réseau à destination de l'autre PC à travers le VPN, mais on pourrait aussi faire passer tout le trafic de l'une des deux machines à travers le VPN ce qui aura des effets dont on va reparler dans la 3ème configuration [suspense 😜️].

Relier deux réseaux distants

Connecter les machines directement entre elles c'est bien quand il y en a deux ou trois... mais si on en a beaucoup c'est tout de suite plus pénible ! C'est pourquoi on peut aussi relier directement des réseaux entre eux. Dans cette configuration, on parle de tunnel VPN site à site, ou site-to-site en anglais, parfois abrégé S2S.

Pour illustrer ça, prenons l'exemple de l'entreprise Big Corp™. Le siège social de Big Corp™ se trouve à Houston au Texas des Zétazunis, et l'une des filiales se trouve à Santiago au Chili.

Les employés de Santiago ont besoin d'accéder à des machines se trouvant dans les bureaux de Houston. Les deux sites étant séparés de 7500 km, il n'est pas trop envisageable de tirer directement un gros câble réseau entre les deux, on va donc utiliser un VPN pour les connecter à travers les zinternets.

Connexion de deux sites géographiques avec un VPN

Grâce à ce tunnel VPN, les employés de Santiago ont directement accès aux machines de Houston et inversement, tout le monde est content.

Connecter une machine à un réseau distant

Un autre cas d'utilisation classique, c'est de connecter une machine à un réseau se trouvant sur site géographique distant, pour faire comme si elle était physiquement présente dans les locaux, alors qu'elle se trouve potentiellement à l'autre bout du monde. Dans cette configuration, on parle de tunnel VPN point à site, ou point-to-site en anglais, parfois abrégé P2S.

Le but ici c'est de permettre d'accéder à des services internes qui ne sont pas accessibles depuis internet, et/ou de forcer la connexion à sortir par la connexion à internet du site géographique. Si on vous a déjà demandé d'utiliser un VPN en télétravail, vous étiez très probablement dans cette situation.

Reprenons notre entreprise Big Corp™. Admettons que dans le siège de Houston il y ait une salle serveur remplie de machines contenant des données ultra-confidentielles et sensibles. On ne va bien évidemment pas les rendre accessibles directement depuis les zinternets, on ne veut pas risquer de se les faire pirater ! 🦜️

Le problème c'est que Pierre-Rodolphe, qui est en charge de la maintenance de ces serveurs, habite au fin fond de la Creuse en France. Il ne va pas pouvoir faire le déplacement jusqu'à Houston dès qu'une machine a un pet de travers... C'est là encore que le VPN vient à notre rescousse !

Pierre-Rodolphe peut se connecter au réseau de l'entreprise via le VPN, ce qui lui donne accès au réseau interne de Houston et donc aux machines qu'il doit administrer.

Connexion d'une machine à un site géographique distant avec un VPN

Dans cette configuration de VPN il y a deux possibilités :

• Soit on fait passer UNIQUEMENT le trafic à destination du réseau interne de l'entreprise à travers le VPN. Dans ce cas, si Pierre-Rodolphe va visiter un site Web, la connexion sortira par sa Machinbox directement.
• Soit on y fait passer TOUT le trafic de la machine. Dans ce cas-ci, si Pierre-Rodolphe va se promener sur les zinternets, les sites qu'il visite le localiseront au Texas (alors qu'en vrai il est perdu au milieu de la Creuse) [vous commencez à me voir venir ? 😄️].

L'argument sécuritaire

Le premier argument dont on entend parler est celui de la sécurité. Les zinternets seraient remplis de pirates qui guetteraient au détour de chaque page une occasion pour s'emparer de nos données. Et bien sûr, la seule solution pour s'en protéger, c'est d'utiliser 💫️🦄️✨️TrucmucheVPN™✨️🦄️💫️. Il paraitrait même que ça peut guérir votre Windows™ et faire revenir l'être aimé, c'est dire à quel point c'est puissant !

S'il est vrai que le Web est un endroit devenu assez hostile, il ne faut pas non plus exagérer, et ce n'est pas un VPN qui va vous en protéger.

Déjà demandons-nous pour commencer de qui on cherche à se protéger.

• De notre fournisseur d'accès à internet (fixe ou mobile) ?

  Effectivement notre FAI peut savoir avec quels serveurs on échange. Si on utilise un VPN, il ne verra plus que du trafic chiffré, mais c'est le fournisseur de VPN qui verra tout ce que vous faites puisque ça sort de chez lui. Et accessoirement le fournisseur d'accès à internet de votre fournisseur de VPN aussi verra tout ce qui passe par ses tuyaux.

  Bref on ne fait que déplacer le problème... Sauf que nos opérateurs télécoms français sont soumis à des lois très strictes qui définissent ce qu'ils peuvent faire ou non avec le trafic qui passe par chez eux. Les fournisseurs de VPN eux ne sont pas nécessairement des opérateurs télécoms, et il s'agit bien souvent d'entreprises étrangères qui ne seront pas forcément soumises à la loi française ou européenne.

  La question est donc : avez-vous plus confiance en un opérateur télécom français / européen ou en une entreprise étrangère ?

  Pour vous aider à répondre à cette question, je vous mets le lien d'un article (en anglais, désolé) qui explique à qui appartiennent les principaux fournisseurs de VPN et qui détaille leurs pratiques commerciales :

  • « Who Owns Express VPN, Nord, Surfshark? VPN Relationships Explained »

• D'un point d'accès Wifi public (au McDonald's, dans une gare, dans un aéroport, à l'hôtel,...) ?

  Il est vrai que les Wifi publics ne sont pas forcément sûrs. L'entreprise qui fournit le service peut voir tout ce qui passe par son réseau. Idéalement il serait mieux d'éviter de s'y connecter, surtout avec les offres mobiles quasi illimitées dont on dispose aujourd'hui [Free Mobile me fournit par exemple 350 Go par mois en France et 35 Go à l'étranger... c'est plus que suffisant !].

  Ceci dit, c'est pas la fête du slip non plus. Aujourd'hui presque tous les sites que vous visitez utilisent le protocole HTTPS. Ce qui signifie que le gestionnaire du point d'accès Wifi ne pourra en pratique pas voir grand chose de ce que vous faites.

  Au pire il pourra inférer quels sites vous visitez en regardant passer les requêtes DNS, mais il ne pourra pas voir quelles pages vous visitez ni leur contenu. Et encore, avec le déploiement de DoH (DNS over HTTPS) par les navigateurs, ça va être de moins en moins vrai.

• Reste le cas d'un voyage à l'étranger...

  Si vous visitez un pays qui craint un peu niveau respect des droits de l'homme, un VPN peut éventuellement être utile, mais il est possible que les principaux protocoles et fournisseurs de VPN y soient tout simplement bloqués.

  À l'étranger vous pouvez aussi rencontrer des difficultés pour accéder à certains services comme le site de votre banque par exemple. Là encore un VPN peut s'avérer utile, à condition de bien le choisir [on en reparle un peu plus tard promis].

L'argument de la préservation de la vie privée

Les vendeurs de VPN vous promettent également de vous aider à préserver votre vie privée... mais en réalité ils ne peuvent pas faire grand-chose dans ce domaine.

Votre adresse IP peut certes permettre de vous localiser avec plus ou moins de précision. En fonction de la base de données GeoIP utilisée et de votre fournisseur d'accès, la précision peut aller du pays jusqu'au quartier d'une ville. Un VPN peut donc — comme on l'a vu plus tôt — permettre de masquer votre origine géographique. Mais c'est tout. Et c'est clairement insuffisant.

Les diverses régies publicitaires et autres salopiots du Web ont plein de moyens de vous pister et n'ont pas vraiment besoin de votre IP pour y arriver. À l'aide des cookies, du fingerprinting (vous n'avez pas idée d'à quel point votre navigateur est unique), de vos comptes de réseaux sociaux (boutons de partage, connexion au site avec Facebook/Google/GitHub/..., etc.), d'identifiants publicitaires fournit directement par votre navigateur ou même par votre système d'exploitation (Windows, Android, iOS), ils peuvent savoir qui vous êtes, où vous habitez, ce que vous aimez, et bien plus encore...

Bref, la meilleure solution pour vous protéger est d'utiliser un navigateur comme Firefox qui respecte votre vie privée (Google Chrome, Microsoft Edge, et la plupart des autres participent activement à votre pistage), et de lui installer une extension comme uBlock Origin pour bloquer les pubs et les trackers.

L'argument de la « délocalisation de l'adresse IP »

Bon bah c'est l'argument dont je vous ai déjà parlé à travers l'exemple de Marie-Cunégonde un peu plus tôt. Concrètement le VPN va nous faire sortir par un serveur situé dans un pays étranger afin que les sites que l'on visite pensent qu'on s'y trouve.

Avec ça on nous promet de pouvoir accéder au catalogue Netflix, Amazon Prime, Disney+ et aux émissions sportives (course automobile, football,...) diffusées dans d'autres pays. On nous promet de pouvoir payer nos abonnements YouTube Premium, Spotify, ou nos billets d'avion moins chers en profitant des tarifs de pays au niveau de vie plus faible. Enfin on nous promet de pouvoir accéder à des sites normalement bloqués en France comme les sites pour adultes ou ceux proposant du téléchargement illégal.

Mais cette promesse est-elle tenue ?

Et bah je vais vous faire une réponse de Normand : « Ça dépend ».

• Certains services vont fortement lutter contre l'utilisation des VPN pour ne pas se fâcher avec les ayants droit auxquels ils achètent leur contenu (Netflix, diffuseurs sportifs,...).

• D'autre vont lutter contre car ils ont un manque à gagner si vous vous abonnez moins cher (YouTube, Spotify, Steam,...).

  Spotify a par exemple mis à jour ses conditions d'utilisation il y a quelques mois pour interdire de s'abonner en dehors de son pays de résidence principal. Concrètement vous risquez la fermeture de votre compte s'ils décident d'appliquer cette nouvelle clause.

• D'autres services s'en fichent davantage car ils n'ont rien à y perdre (c'est même tout le contraire).

  C'est notamment le cas des sites pour adultes : la loi française les emmerde, et si vous la contournez c'est pas leur problème. Pareil pour les sites de téléchargement : ils s'en foutent royalement de la loi.

Bref, ça dépend du service visé et du fournisseur de VPN utilisé. Pour savoir si ça marche, la seule solution c'est de tester. Et c'est pas parce que ça marche aujourd'hui que ça marchera toujours demain.

Les services complémentaires

Les fournisseurs de VPN savent que la plupart des gens n'ont pas réellement besoin d'un VPN. C'est pourquoi certains d'entre eux proposent aujourd'hui tout un tas de services complémentaires afin de mieux retenir les utilisateurs.

Parmi les services que l'on retrouve couramment il y a :

• des gestionnaires de mot de passe,
• des solutions de sécurité (blocage du fishing et des logiciels malveillants),
• des solutions de renforcement de la vie privée (blocage des pubs et des trackers).

Bref des trucs qui peuvent être un peu plus utiles pour le grand public que le VPN en lui-même, mais que vous pourriez aussi obtenir ailleurs, parfois même gratuitement.

... pour vous protéger de votre fournisseur d'accès (fixe ou mobile) ?

Réponse courte : ❌️ Non.

Réponse longue : à moins de vous rendre dans un pays qui craint, les opérateurs de télécommunication (notamment français et européens) seront en général plus fiables et plus dignes de confiance que la plupart des fournisseurs de VPN grand public.

... pour utiliser un Wifi public ?

Réponse courte : ❌️ Non.

Réponse longue : même si l'entreprise qui opère le réseau Wifi public auquel vous vous connectez peut effectivement analyser votre trafic, il faut savoir qu'en pratique, elle ne pourra pas voir grand-chose, car la quasi-totalité des services que vous utilisez aujourd'hui passent par des connexions chiffrées (HTTPS).

L'entreprise pourra éventuellement savoir quels sites vous visitez en analysant les requêtes DNS mais les pages visitées et leur contenu resteront confidentiels. À noter également que le déploiement de DoH (DNS over HTTPS) dans les navigateurs réduit considérablement ce problème.

Note

Le principal risque avec les Wifis publics, c'est la collecte de données que vous fournissez volontairement.

Souvent ces réseaux utilisent ce qu'on appelle des portails captifs. Lorsque vous vous y connectez et essayez de visiter un site, vous êtes redirigés sur un formulaire vous demandant de créer préalablement un compte pour pouvoir accéder au Web. C'est un bon moyen pour l'entreprise fournissant le service de récupérer votre nom, votre adresse email ou votre numéro de téléphone.

Portail captif de la connexion Wifi proposée par Paris Aéroport

... pour vous protéger des vilains pirates du Web ?

Réponse courte : ❌️ Non.

Réponse longue : Pour vous protéger des malfrats du Web, la meilleure solution c'est d'être vigilant. Des extensions de navigateurs comme uBlock Origin peuvent également être efficaces pour bloquer les pubs douteuses.

Note

Exemple 2 : Avertissement de sécurité !

Lorsque l'on navigue sur le Web sans bloqueurs de publicité, il peut arriver que l'on tombe sur ce genre de chose kifontrépeuroulala :

Fausse alerte de sécurité Windows

Les arnaqueurs détournent souvent les régies publicitaires avec des campagnes de pub piégées qui vont afficher de fausses alertes de sécurité sur les sites que vous visitez (qui eux n'y sont pour rien hein). Ces fausses alertes très anxiogènes vont généralement vous demander d'appeler un numéro supposé être celui du support de Microsoft.

Au bout du fil vous retrouverez des arnaqueurs très convaincants qui vont dans le meilleur des cas vous soutirer de l'argent en vous vendant de faux antivirus ou de fausses prestations de sécurité. Et dans le pire des cas ils vont réussir à vous faire installer un virus ou à prendre la main sur votre PC pour « vous aider » (ou plutôt pour vous voler vos données ou utiliser votre ordinateur pour commettre des délits)...

À savoir que des variantes orientées mobile existent également (faux support Samsung ou Apple par exemple). Avec parfois un petit truc en plus bien rigolo : ces arnaques peuvent faire vibrer votre téléphone en continu afin de renforcer le sentiment d'urgence.

Dans ce genre de situation il faut ignorer ces messages et quitter la page. Si vous êtes en panique et que vous ne savez pas quoi faire, fermez le navigateur le temps de reprendre vos esprits.

À noter que si la pub a passé la page en plein écran (pour augmenter encore son effet terrifiant), vous pouvez appuyer sur <Echap> (en haut à gauche du clavier) pour quitter le mode plein écran ou utiliser la combinaison de touches <Alt+F4> pour fermer la fenêtre malgré tout. 😉️

Ici encore un VPN ne vous aidera pas contrairement à un bloqueur de pub comme uBlock Origin.

En bref, restez vigilants. Si on vous demande de faire quelque chose de manière « urgente », souvenez-vous qu'il est surtout urgent de prendre son temps pour réfléchir ou pour en parler avec quelqu'un d'autre avant d'agir [oui, plus facile à dire qu'à faire, je sais]. 🙂️

... pour protéger votre vie privée sur le Web ?

Réponse courte : ❌️ Non.

Réponse longue : Pour vous protéger votre vie privée, le plus efficace est d'utiliser un navigateur respectueux avec des extensions bloquant les pubs et les trackers. On peut citer Firefox avec des extensions comme uBlock Origin et Privacy Badger.

... pour accéder à des services français depuis l'étranger ?

Réponse courte : 🤷️ Probablement.

Réponse longue : Si vous partez en voyage à l'étranger, vous aurez probablement besoin d'un VPN avec un point de sortie en France pour accéder au site de votre banque, à certains services publics, ou au service de replay des chaînes de TV françaises (6play, MyTF1, France TV, myCANAL,...).

Note

Quel fournisseur choisir dans ce cas-ci ?

Déjà, si vous avez un abonnement fibre chez Free, sachez que vous pouvez activer gratuitement un serveur VPN directement dans votre Freebox. Avec ça vous pourrez vous connecter au VPN de votre Box depuis n'importe où dans le monde et sortir par votre propre connexion à internet, comme si vous étiez à la maison !

Et en bonus : vous aurez également accès aux machines de votre réseau local, ce qui peut s'avérer pratique si vous avez un NAS, des caméras connectées, etc.

Configuration d'un serveur VPN WireGuard sur une Freebox v6

Si vous en avez les compétences techniques, vous pouvez également mettre en place un VPN vous-même sur un petit Raspberry Pi chez vous ou sur un coin de serveur si vous en avez un. J'ai déjà abordé ce sujet par le passé dans mon article « Configuration d'un VPN / NAT simple ».

Et si vous ne pouvez pas ou ne voulez pas le faire vous-même, reste alors la possibilité de passer par un fournisseur de VPN grand public. Dans ce cas, je vous recommanderai d'éviter ceux qui sponsorisent à tour de bras. C'est pas les plus fiables.

Privilégiez des acteurs reconnus tels que le suédois Mullvad. Ce fournisseur ne demandera AUCUNE information personnelle pour créer un compte (pas même votre adresse email) et il est notamment utilisé en marque blanche par Mozilla pour son service Mozilla VPN.

Et dans tous les cas, évitez les fournisseurs de VPN gratuit : ils vous espionnent et revendent vos données au plus offrant :

• « 88 % des VPN Android gratuits laissent filtrer des données et 71 % partagent des données personnelles avec des tiers »

... pour accéder au catalogue Netflix d'un autre pays ?

Netflix n'est bien entendu qu'un exemple (celui le plus mis en avant par les influenceurs). Ici on va parler de manière plus générale de contournement des restrictions géographique. Cette section est donc aussi valable pour tous les autres services de streaming, mais également pour l'achat d'abonnements, de produits dématérialisés et de billet d'avion moins cher.

Réponse courte : ✅️ oui.

Réponse longue : S'il est effectivement possible de contourner les blocages géographiques en utilisant un VPN, cela ne fonctionnera pas forcément et/ou pas tout le temps car certains services bloquent les utilisateurs de VPN. Il faut aussi savoir que cela va souvent à l'encontre des conditions générales d'utilisation des services que vous utilisez, ce qui peut entraîner une fermeture de votre compte.

Quoi qu'il en soit, ici aussi choisissez bien votre fournisseur de VPN (voir section précédente).

... pour contourner la « censure » ?

Ici par « censure » j'entends tout site bloqué dans un pays, que ça soit par une décision de justice (sites de téléchargement par exemple) ou par ce que le site déplait au pouvoir en place (normalement c'est moins le cas chez nous ça... Enfin, pour le moment... 😥️).

Réponse courte : ❌️ Probablement pas.

Réponse longue : Le plus souvent, le blocage des sites se fait par le biais du DNS. Utiliser un autre résolveur DNS que celui de son FAI suffit généralement à contourner le blocage sans avoir à utiliser un VPN.

blog.flozz.fr ➡️ 178.32.197.14

... pour accéder à des sites pour adultes⁽¹⁾ ?

⁽¹⁾ ... sans avoir à justifier de son âge.

Réponse courte : ✅️ oui.

Réponse longue : Si vous souhaitez accéder à un site pour adulte qui respecte la loi française (pour les autres on s'en fout), sans avoir à fournir un justificatif d'identité ou à faire un selfie pour prouver que vous êtes un adulte (vous avez bien raison de vous méfier), bah là, effectivement la seule solution c'est d'utiliser un VPN.

Et la chanson est toujours la même : choisissez bien votre fournisseur si vous tenez à votre vie privée (voir ce que j'ai déjà dit un peu plus tôt).

Note

Petite info si vous êtes chez Free Mobile :

Drôle de « coïncidence », Free à sorti une option « mVPN » intégrée à tous les forfaits Free Mobile peu de temps après que cette loi soit passée. Vous pouvez donc activer dans votre espace abonné un VPN qui fera sortir votre connexion mobile en Italie ou aux Pays-Bas, sans avoir besoin d'installer la moindre application sur votre téléphone.

Si ça vous intéresse, ça se passe dans « Mes options → Free mVPN » :

Activation de l'option mVPN fournie par Free Mobile

Attention toutefois il y a deux points importants à noter :

• Premièrement, il faudra que vous soyez sur votre connexion mobile pour que ça marche (donc désactiver le Wifi),
• et deuxièmement, le service se désactivera automatiquement au bout de 12h. Il faudra donc le réactiver à chaque fois que vous voudrez... enfin que vous en aurez besoin... 🫣️

... pour vous protéger d'un acteur étatique (protection des sources, éviter de finir en prison, rester en vie) ?

Réponse courte : ‼️ Erf... c'est compliqué !

Réponse longue : Si vous êtes un journaliste soucieux de préserver ses sources ou un dissident politique qui risque sa liberté voire sa vie, un simple VPN ne sera pas suffisant.

Déjà je commencerais par vous mettre en garde contre tous ces VPN soi-disant « nolog », qui conservent quand même un certain nombre d'informations et qui les partageront avec les autorités si elles le demandent. Notez qu'en dehors du discours commercial qui est un peu trompeur si on ne lit pas les petites lignes, on ne peut pas le leur reprocher : elles respectent juste la loi en répondant aux réquisitions judiciaires.

Ensuite, je pense personnellement que Tor est une bien meilleure option qu'un VPN lorsqu'il s'agit de préserver son anonymat. Mais sachez que dans tous les cas, votre sécurité ne dépend pas d'un outil miracle. Elle dépend avant tout du respect de bonnes pratiques et d'une hygiène numérique irréprochable.

Ayez aussi conscience qu'utiliser des outils comme des VPN, Tor, des messageries chiffrées comme Signal ou des systèmes d'exploitation à sécurité renforcée comme GraphenOS pourrait vous rendre suspect aux yeux des autorités de certains pays...

Bref j'ai pas de réponse pour vous ici ; ce sujet est bien trop grave pour être traité à la va-vite dans un article dont ce n'est pas le sujet premier. Je vous partage quelques liens vers des articles qui pourront vous donner un aperçu de l'ampleur de ce qu'un état est capable de déployer s'il en a après vous :

• « Predator Files: Technical deep-dive into Intellexa Alliance’s surveillance products » - Amnesty International (anglais)
• « Plus rien ne sera jamais comme avant » - Bluetouff (français)