Le VPN est devenu un outil très connu du grand public. On le retrouve dans de nombreuses publicités, souvent présenté comme indispensable pour protéger sa vie privée, sécuriser sa connexion ou naviguer anonymement sur Internet. Mais derrière le terme VPN (Virtual Private Network, ou réseau privé virtuel) se cache une technologie dont la fonction première est beaucoup plus précise. Un VPN peut effectivement apporter une protection supplémentaire dans certaines situations. Il peut également permettre à un salarié d'accéder à distance au réseau de son entreprise ou de modifier l'adresse IP apparente d'une connexion. Mais un VPN ne rend pas anonyme sur Internet, ne protège pas contre toutes les menaces et ne transforme pas une connexion Internet en connexion invulnérable

Qu'est-ce qu'un VPN ?

VPN signifie Virtual Private Network, c'est-à-dire réseau privé virtuel. Son principe consiste à créer un tunnel chiffré entre votre appareil et un serveur VPN. Sans VPN, lorsque vous consultez un site Internet, votre connexion passe normalement par votre fournisseur d'accès à Internet. Schématiquement :

Usage habituel

Votre ordinateur → Box → Fournisseur d'accès → Internet → Site Web

Avec un VPN :

Votre ordinateur → Box → Fournisseur d'accès → Serveur VPN → Internet → Site Web

Le serveur VPN devient alors un intermédiaire entre vous et les sites que vous consultez.

Que voit votre fournisseur d'accès ?

Sans VPN, votre fournisseur d'accès peut notamment connaître les destinations auxquelles votre connexion accède, selon les protocoles et les mécanismes de chiffrement utilisés. Avec un VPN, le fournisseur d'accès voit essentiellement :

« Cet appareil établit une connexion chiffrée avec un serveur VPN. »

Il ne voit pas directement le contenu des communications transportées dans le tunnel VPN. En revanche, il peut généralement savoir qu'un VPN est utilisé, et conserver certaines métadonnées de connexion selon la réglementation et ses propres pratiques.

Que voit le site Internet ?

Sans VPN, un site Web peut généralement voir l'adresse IP publique associée à votre connexion. Avec un VPN, le site voit généralement l'adresse IP du serveur VPN, et non directement celle attribuée à votre connexion domestique. Cela peut notamment modifier la localisation géographique approximative associée à votre adresse IP. Par exemple :

Vous êtes en France.

Vous vous connectez à un serveur VPN situé en Allemagne.

Le site peut alors considérer que votre connexion provient d'Allemagne.

À quoi sert principalement un VPN ?

1. Sécuriser une connexion sur un réseau non fiable

C'est l'un des usages historiques du VPN. Dans une entreprise, un salarié peut utiliser un VPN pour accéder de manière sécurisée au réseau interne depuis l'extérieur. Mais un VPN peut également être utilisé sur un réseau WiFi public. Dans un hôtel, un aéroport ou un café, il permet de créer un tunnel chiffré entre l'appareil et le serveur VPN. Cela réduit notamment le risque d'interception du trafic entre l'appareil et le serveur VPN. Attention!, aujourd'hui, la majorité des sites utilisent déjà HTTPS, qui chiffre les communications entre le navigateur et le site. Le VPN n'est donc pas systématiquement indispensable sur un Wi-Fi public.

2. Accéder à distance au réseau d'une entreprise

C'est probablement l'utilisation professionnelle la plus importante. Un salarié travaillant à domicile peut utiliser un VPN pour accéder aux ressources internes de son entreprise :

  • serveurs de fichiers
  • applications professionnelles
  • intranet
  • bases de données
  • outils internes

Le VPN crée alors une sorte de prolongement sécurisé du réseau de l'entreprise.

3. Modifier son adresse IP apparente

Un VPN permet généralement de remplacer l'adresse IP publique visible par les services Internet par celle du serveur VPN. Cela peut être utile pour :

  • protéger son adresse IP domestique
  • tester un service depuis une autre localisation
  • accéder à des ressources réservées à certaines zones géographiques
  • contourner certaines restrictions géographiques légitimes.

Mais cela ne signifie pas que l'utilisateur devient anonyme.

4. Voyager et utiliser des services géographiquement limités

Certains services Internet adaptent leur contenu au pays depuis lequel la connexion est effectuée. Un VPN peut permettre de se connecter à un serveur situé dans un autre pays. Le service peut alors considérer que l'utilisateur se trouve dans ce pays.

C'est notamment pour cette raison que les VPN sont souvent utilisés pour accéder à des catalogues de streaming différents selon les pays. Le catalogue de Netflix en Amérique du Nord est différent de celui de la France.

Mais cette pratique peut être contraire aux conditions d'utilisation du service concerné.

Le VPN ne rend pas anonyme

C'est probablement l'une des idées reçues les plus importantes. Un VPN masque principalement votre adresse IP vis-à-vis des sites auxquels vous vous connectez. Il ne supprime pas les autres moyens d'identification.

Par exemple, si vous vous connectez à votre compte Google, Facebook, Microsoft, Amazon ou bancaire, le service sait évidemment qui vous êtes.

Le VPN ne change rien à cela.

L'adresse IP n'est qu'un élément parmi d'autres

Un site Web peut utiliser de nombreuses informations pour reconnaître un utilisateur :

  • cookies
  • compte utilisateur
  • adresse mail
  • identifiants publicitaires
  • caractéristiques du navigateur
  • système d'exploitation
  • langue
  • fuseau horaire
  • résolution d'écran
  • empreinte du navigateur (browser fingerprinting) ;
  • comportement de navigation.

Changer d'adresse IP ne suffit donc pas à devenir anonyme.

VPN et HTTPS : ce n'est pas la même chose

Il faut également distinguer deux technologies souvent confondues.

HTTPS

HTTPS chiffre généralement la communication :

Votre navigateur ↔ Site Web

VPN

Le VPN chiffre la liaison :

Votre appareil ↔ Serveur VPN

On peut donc avoir les deux simultanément :

Ordinateur → tunnel VPN chiffré → serveur VPN → connexion HTTPS → site Web

Dans ce cas, plusieurs niveaux de protection sont présents.

Mais le VPN ne remplace pas HTTPS.

Le VPN ne protège pas contre les virus

Un VPN n'est pas un antivirus. Il ne protège pas automatiquement contre :

  • les virus
  • les chevaux de Troie
  • les ransomwares
  • les logiciels espions
  • les pièces jointes malveillantes
  • les téléchargements dangereux.

Si vous téléchargez un logiciel malveillant à travers un VPN, le VPN ne va pas nécessairement empêcher son installation.

Le VPN ne protège pas contre le phishing

Un VPN ne permet pas de distinguer automatiquement un vrai site d'un faux.

Si vous cliquez sur :

https://faux-site-banque.example

le VPN peut très bien vous permettre d'accéder au site frauduleux. Le VPN protège le transport de la connexion jusqu'au serveur VPN. Il ne vérifie pas nécessairement ce que vous faites une fois connecté.

Le VPN ne protège pas contre les arnaques

Un escroc peut parfaitement vous téléphoner ou vous envoyer un faux SMS alors que vous utilisez un VPN.

Il peut également vous convaincre de :

  • donner un mot de passe
  • communiquer un code bancaire
  • installer un logiciel
  • effectuer un virement.

Le VPN n'a aucun moyen de lutter contre l'ingénierie sociale.

Le VPN déplace la confiance

C'est un point essentiel. Sans VPN, vous devez notamment faire confiance à votre fournisseur d'accès.

Avec un VPN, vous ajoutez un nouvel intermédiaire :

le fournisseur du VPN.

Votre FAI voit moins du trafic lié aux destinations consultées, mais le fournisseur VPN devient capable de voir ou d'observer davantage d'informations sur votre activité réseau, selon son architecture, ses journaux et les protocoles utilisés. Il faut donc choisir son fournisseur avec soin.

Un VPN ne supprime pas la nécessité de faire confiance à quelqu'un : il déplace une partie de cette confiance du fournisseur d'accès vers le fournisseur du VPN.

Les VPN gratuits : attention

Certains VPN gratuits peuvent être parfaitement légitimes. Mais il faut se poser une question simple :

Comment l'entreprise finance-t-elle son service ?

Un réseau VPN nécessite :

  • des serveurs
  • de la bande passante
  • de la maintenance
  • du personnel
  • de la sécurité.

Un service gratuit peut être financé autrement que par un abonnement.

Il faut donc vérifier attentivement :

  • la politique de confidentialité
  • les données collectées
  • la durée de conservation
  • le modèle économique
  • les éventuels partenaires
  • les conditions d'utilisation.

Un VPN gratuit n'est pas automatiquement mauvais. Mais gratuit ne signifie pas nécessairement privé.

Les journaux de connexion

Les fournisseurs de VPN utilisent souvent le terme « no logs » ou « zéro journal ». Il faut toutefois lire attentivement les conditions du service. « Pas de journalisation de l'activité » ne signifie pas forcément :

« aucune donnée technique n'est conservée ». Un fournisseur peut éventuellement conserver certaines informations nécessaires au fonctionnement du service, à la sécurité ou à la gestion d'un compte.

Il faut donc distinguer :

  • les données nécessaires au fonctionnement
  • les métadonnées techniques
  • les historiques de connexion
  • les sites consultés
  • le contenu des communications.

Les politiques de conservation peuvent varier considérablement d'un fournisseur à l'autre.

Un VPN peut ralentir Internet

Le trafic passe par un serveur supplémentaire. Le chemin devient :

Vous → VPN → Internet

au lieu de :

Vous → Internet

Cela peut entraîner :

  • une augmentation de la latence
  • une diminution du débit
  • une variation des performances selon le serveur choisi
  • des ralentissements lorsque le serveur est saturé.

Les VPN modernes utilisant des protocoles efficaces peuvent toutefois limiter fortement ces effets.

Le VPN n'améliore pas nécessairement le ping

Pour les joueurs en ligne, le VPN peut même parfois augmenter la latence. Si le serveur de jeu est situé à Paris et que le VPN fait passer votre connexion par Londres ou New York, le chemin est plus long.

Résultat :

ping plus élevé = temps de réponse plus important.

Un VPN peut être utile dans certaines situations particulières, mais il ne faut pas considérer qu'il améliore automatiquement les performances réseau.

VPN et téléchargement illégal

Les VPN sont parfois présentés comme un moyen de télécharger anonymement. C'est une présentation trompeuse. Un VPN peut masquer l'adresse IP publique de l'utilisateur vis-à-vis du service auquel il se connecte. Mais il ne rend pas automatiquement l'activité légale, ni anonyme.

Il ne faut donc pas confondre :

masquer une adresse IP

avec

être impossible à identifier.

VPN et cybercriminalité

Les VPN peuvent également être utilisés par des cybercriminels pour masquer ou modifier l'origine apparente de certaines connexions. Mais là encore, il serait faux de considérer un VPN comme un outil permettant de devenir intraçable. Les enquêteurs peuvent disposer d'autres éléments :

  • données du service utilisé
  • données du fournisseur VPN lorsqu'elles existent
  • comptes associés
  • moyens de paiement
  • informations de connexion
  • appareils utilisés
  • autres traces techniques

Un VPN constitue donc une couche de confidentialité, pas une cape d'invisibilité.

Les limites du VPN

Il est utile de résumer les principales limites.

Faut-il utiliser un VPN ?

Il n'y a pas de réponse universelle. Un VPN est particulièrement pertinent pour :

  • les connexions professionnelles à distance
  • certains usages sur des réseaux Wi-Fi publics
  • les personnes souhaitant limiter l'exposition de leur adresse IP
  • certains besoins professionnels ou techniques
  • certains usages liés aux déplacements

Pour une utilisation quotidienne classique, un VPN n'est toutefois pas indispensable pour tout le monde.

Un ordinateur correctement mis à jour, un navigateur récent, HTTPS, des mots de passe uniques, une authentification à deux facteurs, un antivirus lorsque nécessaire et surtout de bonnes habitudes de sécurité restent fondamentaux.

Le VPN n'est pas un bouclier magique

Le marketing de certains services VPN peut donner l'impression qu'il suffit d'activer une application pour devenir invisible sur Internet. C'est faux.

Un VPN constitue un outil parmi d'autres.

Il protège principalement une partie du chemin entre votre appareil et Internet et modifie l'adresse IP apparente. Il ne vous protège pas de vos propres erreurs :

Si vous donnez votre mot de passe à un escroc, le VPN ne pourra rien faire.

Si vous installez un malware, le VPN ne pourra rien faire.

Si vous utilisez le même mot de passe partout, le VPN ne pourra rien faire.

Si vous communiquez volontairement votre identité à un site, le VPN ne pourra pas la cacher.

En conclusion

Le VPN est une technologie utile qui permet principalement de créer un tunnel chiffré entre un appareil et un serveur VPN. Il peut renforcer la confidentialité d'une connexion, protéger certains échanges sur des réseaux peu fiables, permettre l'accès à distance à un réseau professionnel et modifier l'adresse IP apparente. Mais il faut se méfier des promesses excessives.

Un VPN n'est ni un antivirus, ni un anonymiseur absolu, ni un système anti-arnaque, ni une garantie de confidentialité totale.

Son utilisation implique également de faire confiance au fournisseur VPN. Le bon réflexe consiste donc à considérer le VPN pour ce qu'il est réellement :

un outil de sécurité et de confidentialité utile dans certaines situations, mais qui ne remplace jamais les autres mesures de cybersécurité.