// CLUBIC — CYBERSECURITY
Votre trafic VPN est chiffré, alors comment les outils de surveillance peuvent-ils encore le repérer ?
Repérer un VPN ne suppose pas forcément de casser son chiffrement. Entre signatures réseau, analyse statistique et inspection du trafic, les outils de détection disposent d’autres moyens pour identifier un tunnel et, parfois, le bloquer.
Depuis plusieurs années, opérateurs réseau, entreprises et dispositifs de censure perfectionnent leurs méthodes pour reconnaître les tunnels VPN sans avoir besoin de savoir ce qu’ils transportent. Une course qui pousse en retour les protocoles à brouiller toujours davantage leur empreinte, au point de modifier désormais non seulement leur apparence, mais aussi la façon dont les paquets se comportent sur le réseau.
Lorsque vous activez un VPN, les communications entre votre appareil et le serveur VPN circulent dans un tunnel chiffré. Votre fournisseur d’accès à Internet ne peut donc plus directement savoir quels sites et services vous cherchez à joindre, mais il peut toujours accéder à plusieurs informations sur la connexion elle-même, parmi lesquelles l’adresse IP du serveur VPN, le moment où la session débute, sa durée et les volumes de données échangés.
Le chiffrement ne masque pas non plus toutes les caractéristiques des paquets qui composent le flux. S’il empêche d’en lire les données, il ne peut pas grand-chose contre l’analyse de leur taille, de leur fréquence, de leur ordre ou encore de leur sens de circulation, soit autant d’éléments capables de renseigner sur la nature du trafic sans révéler ce qu’il transporte.
Sans même aller aussi loin, les systèmes de détection peuvent s’appuyer sur des listes d’adresses IP déjà associées à des services VPN pour repérer et, le cas échéant, bloquer les connexions concernées. La méthode n’est toutefois pas toujours très fiable, les fournisseurs VPN changeant régulièrement d’adresse et leurs serveurs étant parfois hébergés chez les mêmes prestataires que d’autres services.
L’analyse peut alors porter sur les caractéristiques du trafic lui-même. La taille des paquets, leur ordre ou la façon dont ils s’enchaînent ne dépendent pas uniquement des données transportées : le protocole impose aussi ses propres règles pour établir la connexion et organiser les échanges. Lorsque ces règles produisent des motifs suffisamment réguliers, elles peuvent aider à reconnaître le protocole utilisé.
À titre d’exemple, au moment d’établir le tunnel, WireGuard échange plusieurs messages dont la structure et la taille sont précisément définies. Le premier, qui lance le handshake, c’est-à-dire l’échange initial nécessaire pour établir la connexion, pèse 148 octets, contre 92 pour la réponse du serveur. Chacun commence également par un octet chargé d’indiquer le type de message envoyé, suivi de trois octets systématiquement fixés à zéro.
Même constat du côté d’OpenVPN, qui sème des indices exploitables. En 2022, une équipe réunissant des chercheurs de l’université du Michigan et de l’Arizona State University avait alors démontré qu’en combinant motifs d’octets, tailles de paquets et réactions du serveur à certaines requêtes, elle pouvait reconnaître plus de 85 % des flux OpenVPN observés chez un FAI comptant environ un million d’abonnés.
Même sans signature fixe à repérer, l’observation d’une connexion dans son ensemble peut fournir assez d’indices pour en reconnaître la nature. Au fil des échanges, les paquets dessinent des séquences particulières selon leur taille, leur sens de circulation, le rythme auquel ils s’enchaînent ou les pauses qui les séparent.
Il n’est alors plus forcément question d’identifier un protocole avec certitude, mais d’estimer à quel type de trafic une connexion ressemble le plus. Des modèles entraînés sur de nombreux flux peuvent repérer des régularités statistiques associées au trafic VPN et attribuer une forte probabilité à une connexion suspecte, quitte à accepter une marge d’erreur.