Activer son VPN avant de naviguer donne l'impression de passer en mode furtif. L'icône devient verte, l'adresse IP change, le fournisseur d'accès ne voit plus rien. En partie, c'est vrai. Face à la NSA, en revanche, ce n'est pas le même jeu, ni la même carte.
Un VPN reste utile contre votre FAI, le Wi-Fi du café ou un site qui veut votre localisation. Contre une surveillance de masse installée sur la dorsale d'Internet, c'est un bouclier bien trop petit.
Le VPN déplace la confiance, il ne l'efface pas
Concrètement, le mécanisme est simple. Quand vous vous connectez à un VPN, tout ce que vous envoyez donne l'impression de venir du serveur VPN lui-même, et non de votre fournisseur d'accès, comme l'explique l'EFF sur ssd.eff.org.
Imaginez un tunnel chiffré entre votre PC et le serveur VPN. Votre FAI voit qu'il y a un tunnel, mais ne voit plus les requêtes web qui passent dedans. Pratique pour empêcher Orange, Free ou l'hôtel de journaliser chaque page visitée.
Sauf que la visibilité ne disparaît pas, elle déménage. Toujours selon l'EFF, si un VPN cache vos données de navigation à votre FAI, l'ensemble devient visible pour le fournisseur VPN. Vous remplacez un observateur par un autre.
C'est pour cela que l'EFF prévient sur ssd.eff.org qu'un VPN n'est pas un outil d'anonymat. Il peut masquer votre localisation à certaines entreprises, mais les autres méthodes de suivi continuent de fonctionner : GPS, cookies web, pixels de suivi ou fingerprinting du navigateur.
En clair : contre le pistage ordinaire, le VPN retire un pion de l'échiquier. Il ne renverse pas l'échiquier.
En face, la NSA ne regarde pas depuis votre box
La surveillance étatique américaine ne se limite pas à demander à votre FAI ce que vous avez fait. Elle se place beaucoup plus haut, là où le trafic international se concentre.
Le programme Upstream consiste à intercepter les communications internationales directement sur la dorsale d'Internet et à en fouiller le contenu. Avec l'aide contrainte d'opérateurs comme AT&T et Verizon, la NSA a installé des équipements de surveillance dans des dizaines de points du réseau, ce qui lui permet de copier puis de fouiller de vastes quantités de trafic au passage.
Autrement dit, chiffrer la première partie du trajet entre vous et le serveur VPN ne rend pas le reste du trajet invisible, surtout une fois que le trafic ressort du serveur vers le site final.
À cela s'ajoute XKeyscore. Selon les documents transmis par Edward Snowden, ce programme top secret permet à des analystes d'effectuer des recherches sans autorisation préalable dans d'immenses bases contenant des e-mails, des chats en ligne et des historiques de navigation de millions de personnes.
Snowden affirme lui-même que le système XKeyscore de la NSA peut collecter presque tout ce qui se passe en ligne, y compris des activités protégées par VPN.
Le paradoxe a même atteint le Congrès. Six élus américains ont écrit à la directrice du renseignement national Tulsi Gabbard pour lui demander plus de transparence sur la manière dont l'usage d'un VPN peut affecter les droits à la vie privée des Américains. Ces élus soulignent qu'utiliser un VPN rend incertaine la localisation connue d'un utilisateur et l'expose potentiellement à la collecte de renseignement étranger.
C'est logique d'un point de vue réseau, comme le rappelle le dossier sur la Localisation forcée : comment vos télécoms trahissent votre position : si vous masquez votre position réelle, le système peut vous traiter par défaut comme une cible non localisée, donc intéressante pour d'autres règles de collecte.
Le marketing vend une cape d'invisibilité
C'est là que le discours commercial déraille. D'après l'EFF, les fournisseurs de VPN survendent souvent les bénéfices de sécurité dans des publicités qui présentent le VPN comme le seul outil nécessaire contre les cybercriminels, les malwares, la surveillance gouvernementale et le pistage en ligne.
Contre un FAI curieux ou un traceur publicitaire basique, le VPN apporte quelque chose de mesurable. Contre un acteur capable de copier la dorsale, de stocker des années de métadonnées et d'interroger des bases gigantesques, promettre une protection totale relève du cheat code imaginaire.
Le test est simple : si la menace que vous craignez peut observer le trafic avant le serveur VPN, après le serveur VPN, sur votre navigateur ou sur votre téléphone, le tunnel à lui seul ne suffit pas.
Faut-il garder son abonnement ?
Payer chaque mois pour un VPN uniquement comme bouclier anti-NSA, c'est payer un skin légendaire pour un bonus qui ne s'active pas dans ce raid-là.
Gardez-le pour ce qu'il sait faire : cacher votre navigation à votre FAI, masquer votre adresse IP d'origine aux sites visités, limiter la collecte de localisation par certaines entreprises.
Si votre modèle de menace vise l'anonymat face à un État, changez de build. L'EFF juge Tor meilleur pour l'anonymat, justement parce qu'il ne repose pas sur un seul intermédiaire qui voit tout. Ajoutez une hygiène de base contre le pistage : navigateur durci, blocage des cookies et pixels tiers, vigilance sur le fingerprinting et la géolocalisation.
Le VPN n'est pas inutile, il est spécialisé. C'est un bon tank contre les petits mobs du réseau local. Ce n'est pas l'arme adaptée face au boss final de la surveillance de masse.
