Les VPN peuvent empêcher les personnes interposées de lire le contenu et les serveurs cibles de voir l’adresse IP de l’utilisateur en acheminant le trafic de l’utilisateur vers un serveur distant au moyen d’une connexion chiffrée. Toutefois, dans les systèmes à serveur unique, le trafic est déchiffré avant d’être envoyé à la cible ; à ce moment-là, le trafic ainsi que les adresses IP de l’expéditeur et de la cible peuvent être vus par des employés malveillants ou des attaquants. Le fait que certaines métadonnées, comme les horodatages, ne soient pas chiffrées peut également permettre aux gouvernements d’établir des profils d’utilisateurs. Bien que les agences américaines recommandent l’utilisation de VPN, elles n’ont fourni aucun critère précisant quelles configurations offrent une protection suffisante.
Le sénateur Ron Wyden (D-Ore.) a demandé des recommandations claires pour les employés de l’administration, les sous-traitants de la défense, les journalistes et les défenseurs des droits humains confrontés à des menaces étrangères sophistiquées dans une lettre adressée mercredi au directeur de la NSA, Gen. Joshua Rudd. Wyden a demandé à la NSA de mettre à jour ses orientations publiques actuelles et de répondre d’ici au 14 octobre. Parmi les questions figurent la suffisance des VPN commerciaux standards à saut unique, la comparaison avec des systèmes à sauts multiples comme Apple Private Relay, Tor et Nym, ainsi que la nécessité de délais aléatoires, de remplissage cryptographique et de trafic de couverture.
Nym est un client open source écrit en Rust ; il prend en charge les délais aléatoires et le réordonnancement des messages via un mixnet décentralisé, ainsi que les sauts multiples. Apple Private Relay utilise deux serveurs, l’un exploité par Apple et l’autre par un fournisseur de contenu tiers, et sa protection est limitée à Safari sur les appareils Apple. Tor, quant à lui, fait transiter le trafic par trois serveurs. Des espions peuvent se trouver parmi les opérateurs bénévoles de Nym et de Tor ; Private Relay, de son côté, s’appuie sur des entreprises comme Cloudflare et Akamai. Congressional Research Service résume les options, mais ne propose pas de critères de sélection. Micah Sherr, professeur à Georgetown University, a indiqué qu’il n’existait pas de standardisation fiable pour évaluer les services VPN.
Pourquoi c’est important
Cette demande montre que présenter l’utilisation d’un VPN comme une mesure de sécurité générale peut ne pas suffire pour les utilisateurs exposés à des menaces élevées. Pour les agents publics, les sous-traitants de la défense, les journalistes et les défenseurs des droits humains, la véritable question est moins de savoir si la connexion est chiffrée que de déterminer qui peut voir les schémas de trafic et les métadonnées. Les différences entre les services à saut unique et les options à sauts multiples ou fondées sur un mixnet soulèvent également la question de savoir dans quelle mesure la protection dépend de l’appareil, du navigateur et des fournisseurs de services utilisés. Toutefois, les orientations actuelles ne précisent pas dans quel modèle de menace ces options devraient être privilégiées. La réponse de la NSA laisse ouverte la question de savoir si elle transformera les caractéristiques techniques en un cadre d’évaluation concret que les utilisateurs pourront comparer.
Terme : latence
La latence est le temps qui s’écoule entre l’envoi d’une requête et le retour de la réponse ; elle est directement perceptible dans les jeux vidéo et les diffusions en direct.