Les réseaux privés virtuels (RPV) vous permettent d’établir un canal de communication sécurisé entre votre appareil informatique et un serveur. Après vous être connecté au serveur, vous pouvez accéder à un réseau privé qui héberge des fichiers de travail ou des applications ou bien utiliser le serveur comme relais vers du contenu Internet lorsque vous naviguez à partir d’un réseau public.
Il y a plusieurs raisons d’utiliser un RPV que ce soit pour accéder à distance à des renseignements stockés sur des serveurs d’entreprises pendant un déplacement ou lorsqu’on travaille à la maison; pour des raisons de méfiance des réseaux sans fil non sécurisés qu’on utilise; pour accéder à du contenu en ligne bloqué sur le réseau auquel on est connecté, mais qui est accessible ailleurs. Parfois, une entreprise exigera qu’on utilise un RPV, ce qui signifie que l’entreprise dictera le niveau de sécurité et le type de RPV utilisé (par exemple, celui de l’employeur). Alors qu’en tant que consommateur, vous seul décidez d’utiliser un RPV.
Dans la foulée des révélations d’Edward Snowden, un grand nombre de services de RPV offerts aux consommateurs ont surgi et les experts en sécurité suggèrent maintenant régulièrement l’utilisation d’un RPV pour accéder à Internet à partir d’un réseau non sécurisé (p. ex. un café, une bibliothèque publique ou tout autre point d’accès sans fil). Le présent article vous aidera à mieux comprendre les éléments à surveiller lors de la sélection d’un service de RPV.
Une affaire de famille
En règle générale, les RPV fournissent une variété de fonctionnalités ou de services. Ils peuvent vérifier l’intégrité des données en analysant de façon cryptographique si une partie entre votre appareil et le serveur RPV a modifié le contenu d’un paquet. Les RPV offrent également différents niveaux d’authentification des utilisateurs. Dans certains cas, vous n’avez qu’à entrer un nom d’utilisateur et un mot de passe pour utiliser le RPV. Dans d’autres cas, des mesures renforcées d’authentification telles que des cartes à puce ou des jetons peuvent être nécessaires (p. ex. consulter notre article précédent sur l’authentification à facteurs multiples). Les RPV assurent également la confidentialité des données en chiffrant les données, de sorte que les intermédiaires sont incapables de lire le contenu des transmissions ou d’y accéder. Par exemple, un propriétaire de café ne serait pas en mesure de déterminer sur quels sites vous avez navigués ou de modifier le contenu d’une page Web (p. ex. en ajoutant des bannières publicitaires).
Les données sont transmises sur un réseau au moyen de « paquets », qui sont des blocs de données formatées, plutôt qu’en un flux d’information continu. Un entête est inclus dans chaque paquet pour indiquer les adresses IP et les données de formatage de l’expéditeur et du destinataire. Le canal de communication sécurisé établi par un RPV utilise des modes de transmission par « tunnel » ou par « transport ». En mode tunnel, tant les entêtes que le contenu sont chiffrés et protégés contre l’observation des tiers (utilisés pour la connexion entre deux sites, par exemple deux réseaux d’un bureau). De son côté, le mode transport ne chiffre que le contenu des communications, sans l’entête (utilisé pour la connexion entre un client et un site, par exemple le logiciel client RPV utilisé par un employé pour se connecter au réseau du bureau).
Il existe trois principaux types ou « familles » de protocoles RPV largement utilisés de nos jours : IPsec, PPTP et SSL/TLS.
Protocole de sécurité Internet (IPsec)
IPsec est un protocole normalisé qui utilise la cryptographie pour protéger les communications sur les réseaux qui utilisent le protocole Internet (IP). Il s’agit d’un protocole de sécurité bout en bout, ce qui signifie que les données ne peuvent être accessibles que par l’appareil de l’utilisateur et le serveur vers lequel elles sont tunnelisées. Contrairement à d’autres types de RPV, le protocole IPsec protège l’ensemble du trafic sur un réseau IP; d’autres moyens de sécuriser le trafic n’offrent pas une sécurité aussi étendue et peuvent ne protéger que le trafic de certaines applications (p. ex. un logiciel de clavardage). En outre, IPsec utilise deux protocoles de sécurité : le premier sert à fournir une authentification des sources et à garantir l’intégrité des paquets (pour montrer qu’ils n’ont pas été manipulés); le deuxième sert à protéger la confidentialité des données. La plupart des principaux systèmes d’exploitation prennent naturellement en charge une version d’IPsec.
Les fournisseurs de services publics de RPV par IPsec utilisent parfois des clés prépartagées identiques pour l’ensemble de leurs utilisateurs. Cela signifie que lorsqu’IPsec chiffre les données au moyen de clés prépartagées, toute partie ayant accès à ces clés communes peut rapidement déchiffrer les communications. Il s’agit d’une conséquence de la manière dont les clés de chiffrement sont parfois partagées plutôt qu’un problème avec le protocole en soi. Par conséquent, un renifleur de réseau dans un café ou dans tout autre espace public pourrait déchiffrer les communications qu’on tente de sécuriser à l’aide d’un RPV personnel qui utilise des clés prépartagées bien connues.
Protocole tunnel point à point (PPTP)
Le protocole PPTP est un ancien protocole RPV qui n’est plus recommandé à grande échelle. Le PPTP ne décrit pas comment les flux de données doivent être chiffrés ou authentifiés, mais il est utilisé pour établir un tunnel qui est lui-même chiffré par la suite. Le chiffrement ou l’authentification qui sont réellement utilisés par ce type de RPV sont fondés sur le protocole point à point et les principaux systèmes d’exploitation comme Microsoft Windows ont créé des façons de mettre en place une variété d’outils d’authentification et de chiffrement pour ce protocole.
Le PPTP possède une variété de vulnérabilités bien connues. Plus particulièrement, il existe un certain nombre de méthodes établies pour nuire à la sécurité et à l’authentification offertes par le PPTP, à un point tel que certaines organisations ont déconseillé son utilisation. Cependant, de nombreux fournisseurs de services publics de RPV continuent d’utiliser le PPTP pour établir des connexions et le protocole demeure très répandu.
Protocoles de sécurité de la couche transport (SSL/TLS)
Les RPV qui font appel aux protocoles SSL/TLS peuvent être utilisés avec un navigateur pour que les utilisateurs à distance puissent accéder à des applications Web, à des applications client-serveur et à des connexions au réseau local. Les protocoles utilisent les mêmes normes d’échange de clés que celles utilisées pour accéder aux sites Web sécurisés par le protocole HTTPS, ce qui permet aux parties d’établir des communications au moyen d’un chiffrement fort.
Les RPV SSL sont aussi sécuritaires que les bibliothèques logicielles utilisées pour établir les connexions chiffrées. OpenSSL est une bibliothèque logicielle répandue qui intègre les protocoles SSL et TLS pour établir des connexions RPV. La bibliothèque a été adoptée par de nombreux programmeurs, mais on a constaté de graves vulnérabilités en matière de sécurité et de confidentialité. Des tiers pourraient donc exploiter ces vulnérabilités pour déchiffrer le trafic SSL/TLS si les logiciels n’ont pas été correctement mis à jour.
Une fausse couverture de sécurité?
Des experts en matière de sécurité remettent en question les motifs ou les intentions de certains fournisseurs de services de RPV commerciaux. De nombreux fournisseurs affirment souvent qu’ils ne conservent aucun journal ou qu’ils offrent un haut niveau d’anonymat, mais lorsqu’on lit attentivement leurs modalités de service, on constate parfois qu’ils conservent une quantité substantielle de renseignements d’identification. Dans au moins un cas, un fournisseur de RPV a utilisé les ordinateurs de clients pour créer un réseau de zombies et il a utilisé ces appareils pour lancer des attaques sur des sites Web.
Les utilisateurs peuvent faire parvenir toutes leurs demandes de données par l’entremise d’un fournisseur de services de RPV, ce qui pourrait donner à un fournisseur malveillant un accès privilégié qui lui permettrait de suivre, de consigner ou de manipuler les communications envoyées sur le RPV. Certains experts se sont montrés préoccupés par les types de données conservées par ces fournisseurs au sujet de leurs utilisateurs, notamment les renseignements sur la facturation et les adresses IP attribuées à chaque abonné. Ils sont également préoccupés par les types de contenus de communication et les métadonnées conservés, par exemple les sites Web visités, les applications utilisées et dans le cas des communications non chiffrées, le contenu des clavardages et des courriels.
L’adoption des RPV s’appuie parfois sur la croyance selon laquelle ils permettent l’anonymat en ligne. Cependant, on peut ne jamais être tout à fait anonyme : cela dépend des politiques de conservation et de divulgation des données de l’entreprise qui fournit les services de RPV. Les méthodes améliorées de suivi des utilisateurs (p. ex. prise d’empreintes digitales des navigateurs, témoins) pourraient permettre aux publicitaires de continuer à suivre les traces des utilisateurs malgré leur utilisation d’un RPV. En outre, lorsqu’une clé prépartagée est utilisée, n’importe qui sur le réseau pourrait déchiffrer tout le trafic envoyé au moyen du RPV. Par conséquent, les RPV ne sont pas un bon moyen de garantir l’anonymat en ligne, en particulier lorsqu’on les compare à des systèmes conçus expressément pour la protection de l’anonymat et la sécurité tels que The Onion Network (TOR).
Les assurances relatives à la protection de la vie privée présentées aux consommateurs par les fournisseurs de RPV devraient être évaluées pour assurer qu’elles correspondent aux pratiques réelles de protection de la vie privée et de conservation des données des entreprises. Même si une certaine conservation des données peut être utile pour la gestion du service, il pourrait être utile d’évaluer ce qui constitue une conservation des données « appropriée » en ce qui concerne les fournisseurs de services de RPV.
Cela dit, les RPV peuvent être un moyen d’accéder de façon sécuritaire à des ressources sur Internet ou sur un intranet tout en réduisant le risque que les réseaux non sécurisés avec lesquels on communique accèdent aux données ou les manipulent. En effet, les RPV traitent Internet comme un espace peu fiable et permettent le chiffrage de données de sorte que les tiers non autorisés soient moins en mesure d’accéder à ce qu’on fait en ligne.
Lectures suggérées
- The Impossible Task of Creating a “Best VPNs” List Today (en anglais seulement)
- How the NSA Can Break Trillions of Encrypted Web and VPN Connections (en anglais seulement)
- I Am Anonymous When I Use A VPN – 10 Myths Debunked (en anglais seulement)
- VPN Security (February 2008) (en anglais seulement)
- Hola VPN Client Vulnerabilities Put Millions of Users At Risk (en anglais seulement)