Comment Proton VPN échappe aux systèmes conçus pour repérer et bloquer les VPN
Une connexion chiffrée empêche le réseau de voir les sites que vous consultez et les données que vous échangez, mais elle ne permet pas pour autant de cacher le fait que vous utilisez un VPN. Même chiffré, un tunnel peut laisser des traces qui permettent à certains systèmes hostiles aux VPN de bloquer la connexion. Proton VPN contourne justement cela en brouillant les indices.
L’utilisation des VPN est limitée dans les pays où la censure est fortement présente, ou dans les environnements réseau de certaines entreprises. Cela peut sembler paradoxal dans la mesure où un VPN est censé chiffrer votre connexion et remplacer votre adresse IP.
Comment alors certains systèmes arrivent-ils à savoir que votre activité provient d’un VPN ? C’est parce que même si vos échanges sont protégés, certaines signatures des VPN restent identifiables et peuvent révéler leur utilisation.
Comment un réseau reconnaît-il un VPN sans casser le tunnel ?
Un VPN fait passer vos données par un serveur intermédiaire plutôt que de les envoyer directement à leur destination. Ces données sont chiffrées dans un premier temps, ce qui empêche votre FAI, l’administrateur de réseau ou un intercepteur potentiel de voir le contenu de vos échanges. Certains détails restent quand même visibles, notamment par l’opérateur : l’adresse IP du serveur VPN, la durée de vos sessions, le port utilisé, ainsi que la quantité de données transférée.
Certains services, réseaux ou États restrictifs exploitent des données identifiables pour repérer des connexions qui semblent provenir d’un VPN. Une technique simple consiste à comparer l’adresse IP publique de l’utilisateur à une base d’adresses connues comme appartenant à des services VPN. C’est cette méthode qu’emploient souvent les services de streaming, mais elle n’est pas efficace dans toutes les situations et les systèmes de détection l’associent souvent à d’autres leviers.
Une autre technique très utilisée est l’inspection approfondie des paquets (DPI). Les données sur Internet voyagent sous forme de petits paquets. Un VPN empêche de voir leur contenu, mais n’empêche pas forcément que leurs signatures soient reconnues.
Dans leur forme standard, les protocoles comme WireGuard, OpenVPN et IKEv2 produisent chacun des échanges caractéristiques. Si la correspondance paraît suffisamment fiable, le système de filtrage peut bloquer certains paquets ou interrompre la connexion.
Stealth : le protocole d’obfuscation de Proton VPN
Stealth est un protocole personnalisé de Proton VPN, basé sur WireGuard. Il hérite donc de sa base moderne et légère, tout en ajoutant une couche propre à Proton. Par exemple, WireGuard n’emploie aucune méthode de camouflage. L’obfuscation n’est donc pas gérée dans le cœur du protocole.
Pour rappel, l’obfuscation est une méthode qui permet de masquer les caractéristiques propres au trafic d’un VPN afin de le faire ressembler à une connexion Internet ordinaire. Cette couche, Proton l’a ajoutée, entre autres, à WireGuard. Avec Stealth, le trafic passe dans un tunnel TLS obfusqué qui fonctionne sur TCP. Ces deux technologies, on les rencontre partout sur le Web.
TLS est le protocole utilisé par les connexions HTTPS sur les sites web. En se comportant comme une connexion classique, Stealth masque la signature habituelle de WireGuard. Les systèmes de filtrage doivent donc arriver à différencier le tunnel de Proton VPN d’un échange web ordinaire, ce qui est assez difficile. Si le filtre applique une règle assez large pour rejeterles connexions TLS qui ressemblent à Stealth, il risque également de couper des le HTTPS légitime.
Le camouflage ne repose pas uniquement sur ces aspects-là. Proton indique également avoir travaillé sur la manière particulière dont Stealth établit les connexions, afin que cette première phase n’alerte pas certains filtres.
L’obfuscation suffit-elle à contourner le filtrage des services de streaming ?
Le camouflage de Stealth est plus efficace dans les environnements réseau restrictifs. Par exemple, lorsqu’un opérateur, une université ou une entreprise tente d’empêcher la connexion au VPN sur son propre réseau. Les services de streaming comme Netflix et Disney+ se basent davantage sur l’adresse IP servie par l’appareil. Si celle-ci appartient à une plage déjà repérée, le tunnel TLS n’y peut rien.
Changer de serveur peut alors suffire si la nouvelle IP n’est pas déjà identifiée. Proton VPN ne détaille pas publiquement la manière dont il renouvelle ou maintient ses adresses compatibles avec le streaming, mais dans ses applications, les serveurs prévus pour cet usage sont signalés par une icône de lecture, avec la liste des plateformes prises en charge. L’application est notamment compatible avec Netflix, Disney+ ou encore Prime Video. En plus de contourner les blocages au niveau du réseau, Proton VPN reste donc optimisé pour les services de vidéo à la demande.
Cet article est une publication sponsorisée proposée par Proton VPN.
