Votre trafic VPN est chiffré, alors comment les outils de surveillance peuvent-ils encore le repérer ?

Repérer un VPN ne suppose pas forcément de casser son chiffrement. Entre signatures réseau, analyse statistique et inspection du trafic, les outils de détection disposent d’autres moyens pour identifier un tunnel et, parfois, le bloquer.

Depuis plusieurs années, opérateurs réseau, entreprises et dispositifs de censure perfectionnent leurs méthodes pour reconnaître les tunnels VPN sans avoir besoin de savoir ce qu’ils transportent. Une course qui pousse en retour les protocoles à brouiller toujours davantage leur empreinte, au point de modifier désormais non seulement leur apparence, mais aussi la façon dont les paquets se comportent sur le réseau.

Lorsque vous activez un VPN, les communications entre votre appareil et le serveur VPN circulent dans un tunnel chiffré. Votre fournisseur d’accès à Internet ne peut donc plus directement savoir quels sites et services vous cherchez à joindre, mais il peut toujours accéder à plusieurs informations sur la connexion elle-même, parmi lesquelles l’ adresse IP du serveur VPN, le moment où la session débute, sa durée et les volumes de données échangés.

Le chiffrement ne masque pas non plus toutes les caractéristiques des paquets qui composent le flux. S’il empêche d’en lire les données, il ne peut pas grand-chose contre l’analyse de leur taille, de leur fréquence, de leur ordre ou encore de leur sens de circulation, soit autant d’éléments capables de renseigner sur la nature du trafic sans révéler ce qu’il transporte.

Sans même aller aussi loin, les systèmes de détection peuvent s’appuyer sur des listes d’adresses IP déjà associées à des services VPN pour repérer et, le cas échéant, bloquer les connexions concernées. La méthode n’est toutefois pas toujours très fiable, les fournisseurs VPN changeant régulièrement d’adresse et leurs serveurs étant parfois hébergés chez les mêmes prestataires que d’autres services.

Le protocole lui-même peut laisser une empreinte reconnaissable L’analyse peut alors porter sur les caractéristiques du trafic lui-même. La taille des paquets, leur ordre ou la façon dont ils s’enchaînent ne dépendent pas uniquement des données transportées : le protocole impose aussi ses propres règles pour établir la connexion et organiser les échanges. Lorsque ces règles produisent des motifs suffisamment réguliers, elles peuvent aider à reconnaître le protocole utilisé.

À titre d’exemple, au moment d’établir le tunnel, WireGuard échange plusieurs messages dont la structure et la taille sont précisément définies. Le premier, qui lance le handshake, c’est-à-dire l’échange initial nécessaire pour établir la connexion, pèse 148 octets, contre 92 pour la réponse du serveur. Chacun commence également par un octet chargé d’indiquer le type de message envoyé, suivi de trois octets systématiquement fixés à zéro.

Même constat du côté d’OpenVPN, qui sème des indices exploitables.