- Une étude récente montre que les protocoles VPN les plus courants peuvent être facilement identifiés et bloqués par les fournisseurs d’accès à Internet.
- Les VPN qui utilisent les protocoles TLS ou SSH sont beaucoup plus difficiles à détecter et à bloquer car leur trafic ressemble à un trafic web normal ou à un trafic shell sécurisé.
- Toute tentative de blocage de protocoles tels que l’IPSec pourrait perturber des services légitimes, tels que les appels sur les réseaux mobiles et les systèmes d’entreprise.
Ces dernières années, les gouvernements du monde entier ont intensifié leurs efforts pour surveiller et restreindre l’utilisation des réseaux privés virtuels (VPN). De l’ordonnance indienne de 2022 exigeant des fournisseurs de VPN qu’ils enregistrent les données des utilisateurs aux tentatives de la Russie et de l’Iran d’interdire complètement les services VPN, les décideurs politiques considèrent de plus en plus les VPN non pas comme des outils de protection de la vie privée et de la sécurité, mais comme des obstacles à contrôler.
Mais est-il facile pour un gouvernement ou un fournisseur d’accès à Internet (FAI) de détecter et de bloquer le trafic VPN ? Les utilisateurs ordinaires doivent-ils craindre que leurs connexions VPN cessent bientôt de fonctionner ?
Telles sont les questions que nous avons voulu explorer dans notre récente étude intitulée “VPN ou Vpwn ? How Afraid Should You Be of VPN Traffic Identification”, présentée lors de la conférence sur la mesure et l’analyse du trafic réseau (TMA 2025).
Les services VPN les plus populaires sont en danger
En examinant les différents protocoles de tunnelage – OpenVPN, WireGuard, TLS, IPSec/IKEv2, SSH et les alternatives propriétaires – de sept services VPN populaires, dont NordVPN, ExpressVPN, ProtonVPN, VyprVPN, Windscribe, Perfect Privacy et Cloudflare’s WARP, nous avons constaté ce qui suit :
- OpenVPN est vulnérable. Toujours l’un des protocoles les plus utilisés, il est étonnamment facile à identifier et à bloquer. À moins qu’il n’utilise des modes spéciaux comme la “clé pré-partagée”, qui sont plus difficiles à mettre à l’échelle, OpenVPN peut généralement être repéré par des filtres au niveau des fournisseurs d’accès à Internet.
- WireGuard n’est pas non plus à l’abri. Bien que plus moderne et plus efficace, WireGuard laisse des motifs révélateurs dans ses paquets de poignée de main, ce qui le rend détectable.
- Les VPN basés sur TLS et SSH sont plus difficiles à repérer. Parce qu’ils ressemblent à du trafic web ou shell sécurisé normal, les VPN utilisant TLS 1.3 ou SSH sont beaucoup plus difficiles à bloquer sans perturber accidentellement les services légitimes. Certains fournisseurs de VPN (comme le mode furtif de ProtonVPN ou le caméléon de VyprVPN) utilisent déjà cette méthode.
- Le blocage peut provoquer des dommages collatéraux. Les protocoles comme IPSec sont largement utilisés dans les réseaux mobiles (par exemple, pour les appels VoLTE) et les systèmes d’entreprise. Tenter de les bloquer purement et simplement pourrait interrompre des services essentiels, ce qui rend les gouvernements plus prudents.
Les VPN peuvent-ils riposter ?
L’étude ne s’est pas contentée d’examiner la détection, elle a également exploré la manière dont les VPN peuvent y résister. Quelques stratégies clés sont ressorties :
- Se cacher à la vue de tous. Les VPN peuvent se fondre dans le trafic web en modifiant des champs de métadonnées spécifiques (comme le camouflage des informations de la poignée de main TLS).
- Répartition des motifs entre les paquets. L’ajustement de la taille des paquets peut disperser les marqueurs d’identification, ce qui déroute les boîtes intermédiaires qui tentent d’analyser le trafic.
- Paquets fictifs ou malformés. L’envoi de “bruit” en même temps que des données réelles peut perturber les algorithmes de filtrage simples.
Nous avons également proposé une nouvelle méthode pour OpenVPN qui utilise des échanges cryptographiques par session pour cacher les informations identifiables sans sacrifier l’évolutivité.
Pourquoi c’est important
Nos résultats mettent en évidence un point crucial pour les décideurs politiques et le public : le blocage des VPN n’est pas aussi simple qu’il n’y paraît.
Oui, certains protocoles comme OpenVPN peuvent être identifiés et restreints. Cependant, de nombreuses alternatives, en particulier celles qui utilisent TLS et SSH, sont bien plus résistantes. Pire encore (pour les censeurs), leur blocage risque d’interrompre des services essentiels utilisés dans les communications quotidiennes et par les entreprises.
Pour les utilisateurs ordinaires, la conclusion est que les VPN ne sont pas tous égaux. Le choix d’un fournisseur qui prend en charge des protocoles avancés ou obscurcis peut faire la différence entre rester connecté et être coupé du monde.
Nos résultats indiquent également des améliorations pratiques pour les fournisseurs de VPN, telles que la dissimulation des messages d’authentification ou l’adoption de schémas d’obscurcissement évolutifs qui pourraient rendre leurs services beaucoup plus difficiles à censurer.
La lutte entre la censure et le contournement est souvent décrite comme un “jeu du chat et de la souris”. Notre étude montre que c’est toujours le cas dans le domaine des VPN. Les gouvernements peuvent tenter de bloquer les VPN, mais de nombreux services disposent d’outils permettant d’échapper à la détection, et les interdictions pures et simples peuvent se retourner contre eux en perturbant les systèmes légitimes.
Alors que les débats sur la protection de la vie privée, la surveillance et la liberté de l’internet se poursuivent, les décideurs politiques doivent reconnaître la complexité technique de leurs efforts. Le blocage des VPN peut sembler séduisant en théorie, mais en pratique, il risque d’entraîner des dommages collatéraux et de pousser les utilisateurs vers des outils plus sophistiqués.
Nous espérons qu’en faisant la lumière sur ce qui rend les VPN identifiables, nous pourrons alimenter une conversation plus nuancée sur la gouvernance de l’internet.
Pour ceux qui sont intéressés par l’analyse technique détaillée, veuillez lire notre article VPN ou Vpwn ? A quel point devez-vous craindre l’identification du trafic VPN ? (TMA 2025).
Tanmay Rajore est un chercheur en sécurité informatique spécialisé dans la protection de la vie privée, la cryptographie et la sécurité des réseaux.
Les opinions exprimées par les auteurs de ce blog sont les leurs et ne reflètent pas nécessairement celles de l’Internet Society.