Un VPN peut-il vous cacher de votre FAI ? Voici ce qu'ils voient

Lorsque vous vous connectez à Internet, il y a toujours un intermédiaire qui se trouve entre vous et tout ce à quoi vous accédez en ligne : votre fournisseur d'accès Internet (FAI). Qu'il s'agisse d'un réseau mobile, d'un câblo-opérateur ou d'un fournisseur d'accès haut débit, votre FAI est la passerelle par laquelle transitent toutes vos activités sur Internet.

Il ne s'agit pas seulement de leur fournir des données ; ils possèdent l'infrastructure, gèrent votre trafic et, dans de nombreux cas, fournissent des services supplémentaires tels que les e-mails, l'hébergement de domaines et le stockage cloud.

La plupart des gens ne pensent pas beaucoup à leur FAI une fois que le Wi-Fi est configuré et fonctionne. Mais étant donné que pratiquement toutes les activités en ligne passent par leurs systèmes, cela soulève une question cruciale : que peut voir exactement votre FAI, et qu'advient-il de cette visibilité lorsque vous utilisez un VPN ?

Ce guide explique ce que les FAI peuvent généralement voir sans utilisation d’un VPN, comment les VPN changent l’équation et explique si votre FAI peut détecter ou interférer avec votre utilisation d'un VPN. Pas de spéculations, juste des réponses claires et factuelles basées sur le fonctionnement des FAI et les outils qu'ils utilisent.

Que peut voir votre FAI sans utilisation d’un VPN ?

Votre FAI est l'intermédiaire pour presque tout ce que vous faites en ligne. Chaque site que vous visitez, chaque vidéo que vous regardez en streaming ou chaque application que vous ouvrez passe par ses systèmes, et à moins que vous n'utilisiez un VPN, il peut voir plus que vous ne le pensez sur votre activité.

Commençons par les aspects positifs : ces dernières années, les normes de cryptage modernes ont considérablement amélioré la situation en matière de confidentialité pour les utilisateurs réguliers d'Internet. Ainsi, vos recherches et le contenu de vos téléchargements sont masqués à votre FAI, au moins grâce au protocole HTTPS ou même par des technologies plus récentes et encore plus sécurisées telles que le DNS-over-HTTPS (DoH), qui a été introduit comme paramètre par défaut par Firefox et Chrome en 2020.

Cependant, vos recherches et vos téléchargements ne sont pas les seules informations qui doivent être protégées. Sans VPN, votre FAI peut toujours voir :

• certains des sites Web que vous visitez
• les applications que vous utilisez
• les métadonnées liées

Examinons chacune de ces catégories.

Sites Web que vous visitez (le trafic de votre navigateur)

Dans de nombreux cas, votre FAI peut voir les sites Web que vous visitez. Voici comment et quand les fuites se produisent.

Chaque fois que vous saisissez une adresse Web dans un navigateur, un processus en plusieurs étapes se déroule avant que vous puissiez voir la page Web demandée se charger (même si cela ne prend que quelques millisecondes).

La première partie de ce processus s'appelle la résolution DNS. La résolution DNS (Domain Name System) s'apparente à la recherche d'un numéro de téléphone dans un annuaire. Lorsque vous saisissez une URL (comme www.exemple.com), votre appareil doit trouver l'adresse IP correspondante du serveur qui héberge ce site Web afin de savoir où envoyer votre requête. Cette recherche s'effectue généralement en envoyant une requête DNS à un serveur DNS. À moins que vous n'ayez configuré votre appareil ou votre navigateur différemment, ce serveur est fourni par votre FAI.

Si le protocole DNS-over-HTTPS n'est pas utilisé, la requête est envoyée en texte clair et votre FAI peut voir tous les noms de domaine que vous recherchez, même si le reste de votre trafic est crypté. (Pour être clair, il ne voit pas les pages exactes que vous visitez, comme exemple.com/information-sensible), mais il voit le domaine (exemple.com). Ces informations à elles seules peuvent en dire long sur vos centres d’intérêts, vos habitudes ou vos intentions.

Mais ce n'est pas la seule façon dont votre requête DNS peut être divulguée. Après la résolution DNS, votre appareil connaît désormais l'adresse IP du serveur qui héberge le site Web que vous souhaitez visiter. Il utilise cette adresse IP pour établir une connexion avec le serveur. Si le site utilise le protocole HTTPS (ce qui est le cas de la plupart des sites modernes), l'étape suivante consiste à établir une connexion sécurisée via ce qu'on appelle une négociation (handshake) TLS. (S'il utilise uniquement le protocole HTTP, la situation est bien pire pour votre confidentialité, mais cela est rare et votre navigateur vous en informera.)

Il est important de savoir que, même si la négociation TLS aboutit finalement à l'établissement d'une connexion sécurisée, sa première partie n'est pas cryptée. À moins que le site web n'utilise un protocole (« Client ») encrypté Hello (ce qui n'est pas le cas de nombreux sites Web), il s'agit là d'un autre point du processus où le nom de domaine que vous essayez d'atteindre peut être divulgué (votre navigateur l'envoie au serveur en texte clair).

En résumé : à moins que votre navigateur prenne en charge le protocole DoH (ce qui est probable) et que le site web que vous souhaitez visiter utilise le protocole encrypté Hello (ce qui est moins probable, difficile et peu pratique à vérifier pour chaque site web), votre FAI pourra voir les domaines que vous visitez.

Applications utilisées (le trafic direct)

La situation est encore pire avec les applications. Chaque fois que vous utilisez une application ou, par exemple, que vous jouez à un jeu en ligne, le FAI verra l'adresse IP du serveur auquel vous vous connectez et pourra déterminer quel service vous utilisez et qui est le propriétaire du serveur.

Bien que cela soit également vrai pour les sites web que vous visitez, cela pose particulièrement problème pour les applications, car les adresses IP des applications sont souvent plus révélatrices que celles des sites web. En effet :

• elles sont moins susceptibles d'être partagées.
• elles correspondent souvent à des services spécifiques et de marque.
• le trafic des applications fonctionne en continu en arrière-plan, ajoutant des signaux comportementaux.

Avec un VPN, cependant, votre FAI ne verra aucun des serveurs auxquels vous vous connectez, mais constatera plutôt que toutes vos connexions sont dirigées vers le même serveur : le serveur VPN.

Métadonnées

Les métadonnées (telles que les horodatages et la durée des sessions) sont un autre élément que votre FAI pourra voir si vous n'utilisez pas de VPN. Cela peut sembler relativement inoffensif, mais c'est en réalité tout le contraire.

Les métadonnées collectées par les FAI peuvent potentiellement être :

• vendues
• volées
• divulguées
• transmises aux autorités

Aux États-Unis, par exemple, les FAI sont autorisés à vendre votre historique de navigation tant qu'il n'est pas directement lié à votre nom. Et la désanonymisation de ces données est souvent beaucoup plus facile que vous ne le pensez.

Avec suffisamment de ressources (une quantité raisonnable pour un FAI ou une entité gouvernementale), la collecte de métadonnées ouvre également la voie à des attaques par corrélation. L'objectif de cette attaque n'est pas de décrypter votre trafic Internet, mais d'utiliser les horodatages et la taille de votre trafic pour désanonymiser un utilisateur.

Comment cela fonctionne-t-il dans la pratique ? Imaginons que vous viviez en dehors des États-Unis. Vous publiez un commentaire anonyme sur Reddit ou Twitter (des entreprises américaines dont les serveurs sont situés aux États-Unis) qui déplaît à votre gouvernement. Selon la situation, Twitter ou Reddit peuvent ne pas répondre à la demande de votre gouvernement ou des forces de l'ordre (en général, les plateformes refusent cette demande si elle n'enfreint aucune règle de leur juridiction).

Cependant, votre FAI, qui dispose de toutes ces précieuses métadonnées, est toujours enregistré dans votre pays, ce qui permet à votre gouvernement de le poursuivre en justice et de gagner le procès. Dans de nombreux pays, les FAI sont également des entreprises publiques ou contrôlées par le gouvernement, ce qui peut raccourcir encore davantage le chemin vers vos métadonnées. Et une fois que votre gouvernement dispose de toutes les métadonnées collectées par votre FAI, il peut obtenir une lecture précise de l'heure de votre publication et une estimation assez précise du volume de trafic pendant cette période. En ayant accès à tous les journaux de métadonnées de tous les habitants du pays, il peut les utiliser pour vous identifier de manière systématique.

Comment un VPN modifie ce que voit votre FAI

L'utilisation d'un VPN modifie la façon dont vos données circulent sur Internet. Au lieu de se connecter directement aux sites Web et aux services, votre trafic est crypté et envoyé via un tunnel sécurisé vers un serveur distant. De là, il continue vers sa destination finale.

Ce cryptage empêche les tiers, y compris votre FAI, de voir ce que vous faites. Les sites Web que vous visitez ne sont plus visibles, seul le serveur VPN auquel vous vous connectez l'est. Les métadonnées relatives au temps et au volume du trafic sont également moins précises.

Mais tout n'est pas invisible. Votre adresse IP restera visible pour votre FAI (et donc votre emplacement). Certains détails techniques concernant votre connexion peuvent également rester visibles et, dans la plupart des cas, votre FAI saura que vous utilisez un VPN.

Pourquoi devriez-vous cacher vos données à votre FAI ?

Les fournisseurs d'accès à Internet ont accès à l'ensemble de votre activité en ligne, sauf si vous prenez des mesures pour la protéger. Cet accès peut être utilisé de manière à affecter votre vitesse, votre confidentialité et votre liberté de navigation.

• Limitation de la bande passante : certains FAI peuvent ralentir votre connexion en fonction de ce que vous faites en ligne. Par exemple, ils peuvent réduire la vitesse lors de streaming vidéo ou de téléchargements volumineux. Cela peut se produire même si vous respectez les limites de données de votre forfait, en particulier pendant les heures de pointe. Découvrez comment un VPN peut aider à empêcher la limitation basée sur du contenu.
• Vente de données : comme mentionné précédemment, dans de nombreux pays, les FAI sont légalement autorisés à collecter et à vendre des informations sur votre activité en ligne. Cela peut inclure les sites Web que vous visitez, les recherches que vous effectuez et la fréquence à laquelle vous vous connectez. Toutes ces informations sont précieuses pour les annonceurs.
• Censure : dans certaines régions du monde, les fournisseurs d'accès à Internet peuvent bloquer l'accès à certains sites Web ou services en raison de réglementations gouvernementales ou de leurs propres politiques.

Les récentes modifications apportées aux règles de neutralité du Net aux États-Unis peuvent avoir une incidence sur le contrôle exercé par les FAI sur votre connexion. Découvrez le concept de neutralité du Net et pourquoi il est important pour votre confidentialité et votre vitesse.

Comment votre FAI sait-il que vous utilisez un VPN ?

Votre FAI peut généralement reconnaître l'utilisation d'un VPN en se basant sur des modèles de trafic spécifiques. Les données cryptées, les ports non standard et les adresses IP connues des serveurs VPN sont des informations courantes. Certains FAI peuvent utiliser l'inspection approfondie des paquets (DPI) pour confirmer qu'un VPN est utilisé, mais ils ne peuvent toujours pas accéder au contenu ou connaître la destination de votre activité.

Adresses IP et ports VPN

Lorsque vous vous connectez à un VPN, votre FAI voit que votre trafic est envoyé vers une adresse IP externe, qui ne fait pas partie de son réseau. Si cette adresse IP appartient à un fournisseur VPN connu, cela peut indiquer qu'un VPN est utilisé.

Les protocoles VPN utilisent souvent des ports spécifiques pour établir une connexion. Par exemple, certains utilisent le port 1194 pour OpenVPN ou le port 51820 pour WireGuard. Si votre FAI surveille ces ports, il peut détecter l'utilisation d'un protocole VPN, même s'il ne peut toujours pas voir le contenu du trafic.

Ces informations, l'adresse IP et le port, sont visibles car votre connexion Internet passe par votre FAI. Mais ce qui se passe après que les données aient atteint le serveur VPN reste caché. Le FAI ne peut pas suivre la destination du trafic à partir de là.

Inspection approfondie des paquets (DPI)

Certains fournisseurs d'accès à Internet utilisent une technique appelée inspection approfondie des paquets pour analyser le trafic au-delà des en-têtes de base. Au lieu de se contenter de voir où vont les données, la DPI examine la structure des paquets de données eux-mêmes.

Bien que le contenu du trafic VPN soit crypté et illisible, la DPI peut parfois détecter l'utilisation d'un VPN en identifiant des modèles associés à des protocoles spécifiques. Par exemple, la façon dont les paquets sont regroupés, leur taille et le moment des transferts peuvent différer de la navigation Web classique.

La DPI ne révèle pas les sites web que vous visitez, ni les données qui sont envoyées. Elle permet uniquement à un FAI de reconnaître que le trafic correspond au profil d'une connexion VPN.

Les FAI se soucient-ils que vous utilisiez un VPN ?

Comme nous l'avons vu plus haut, les FAI peuvent généralement détecter que vous utilisez un VPN grâce à des indices tels que le trafic crypté et l'adresse IP à laquelle vous vous connectez, mais leur intérêt dépend du contexte.

Dans les régions où la réglementation Internet est stricte, les FAI peuvent être tenus de surveiller ou de restreindre l'utilisation des VPN, car ceux-ci peuvent interférer avec le suivi ou le contrôle des contenus imposés. De même, les administrateurs réseau peuvent limiter ou restreindre les VPN sur les réseaux d'entreprise afin de faire respecter des règles internes.

Certains FAI collectent les données des utilisateurs à des fins de monétisation, ils peuvent donc considérer l'utilisation d'un VPN comme un obstacle à leur modèle économique.

Alternatives aux VPN qui vous cachent des FAI

Outre les VPN, certains outils peuvent également empêcher votre FAI de voir votre activité en ligne. Chacun d'entre eux présente ses propres avantages et limites en termes de facilité d'utilisation, de fiabilité et d'anonymat.

Le réseau Tor

Tor achemine votre trafic via trois relais gérés par des bénévoles, ajoutant plusieurs couches successives de cryptage. Chaque relais ne connaît que la partie du trajet qui le précède et le suit directement, ce qui permet de masquer l'intégralité du chemin. Il est donc difficile pour votre FAI de voir où va votre trafic. Cependant, Tor nécessite son propre navigateur et est souvent trop lent pour tout ce qui dépasse la navigation de base.

Les serveurs proxy

Un proxy agit comme un intermédiaire entre votre appareil et les sites web que vous visitez, en remplaçant votre adresse IP par la sienne. Mais contrairement à un VPN, les proxys ne cryptent pas votre trafic. Cela signifie que votre FAI peut toujours voir la plupart de vos activités, y compris les sites que vous essayez d'atteindre.

Le DNS crypté

Normalement, vos requêtes DNS, comme lorsque vous tapez une adresse web, sont visibles par votre FAI. Avec le DNS crypté, ces requêtes sont masquées, ce qui rend plus difficile pour votre fournisseur de savoir quels sites web vous essayez d'accéder. Si vous utilisez uniquement un DNS crypté (sans VPN), cela ne cryptera pas l'intégralité de votre trafic Internet, mais cela peut limiter certaines des informations visibles par votre FAI.

Le DNS-over-HTTPS (DoH)

Le DNS-over-HTTPS crypte vos requêtes DNS et les envoie via le même protocole sécurisé que celui utilisé par les sites web (HTTPS). Le DoH est largement pris en charge par les navigateurs modernes et les fournisseurs DNS. Cependant, comme les autres méthodes DNS cryptées, il ne cache pas le reste de votre trafic Internet, mais uniquement vos requêtes DNS.

Le protocole crypté Hello (ECH)

Si le DoH et d'autres méthodes de cryptage DNS masquent les sites web que vous souhaitez visiter, votre FAI peut souvent le déduire à partir de la négociation TLS qui, comme nous l'avons mentionné ci-dessus, a lieu après la résolution DNS et la connexion du client à l'adresse IP du serveur du site web, mais avant tout échange de données cryptées (comme une page Web).

Tout comme la résolution de domaine, la négociation TLS est un processus en plusieurs étapes, mais ce qui nous intéresse ici, c'est que la première étape, appelée protocole « Client » Hello (qui dit en substance au serveur : « Voici ce que je prends en charge ; pouvons-nous nous mettre d'accord sur quelque chose à utiliser pour cette connexion ? »), inclut le nom du site web que vous souhaitez visiter (le SNI, ou Server Name Indication) en texte clair. C'est là qu'intervient le protocole encrypté Hello (ECH). Il crypte le SNI afin qu'il ne puisse pas être lu par votre FAI.

ECH a été activé par défaut dans Firefox version 119 et Chrome version 117, tous deux lancés en 2023. Mais comme, contrairement au DoH et à l'instar du HTTPS, il nécessite également que les propriétaires de sites web le mettent en œuvre, son adoption est relativement lente. Il nécessite également que le site Web soit hébergé sur un réseau de diffusion de contenu dans le cloud (CDN) afin de tirer le meilleur parti de ses avantages, ce qui n'est pas réalisable pour tous les sites web.

Choisir le bon VPN pour rester anonyme

Si vous souhaitez préserver la confidentialité de votre activité, tous les VPN ne feront pas l'affaire. Voici ce qu'il faut rechercher et pourquoi :

• Pas de journaux et audits indépendants de la politique de confidentialité : comme le VPN de votre choix pourra voir les informations que vous avez cachées à votre FAI, il est essentiel de choisir un VPN en lequel vous avez plus confiance qu'en votre FAI. Un VPN fiable est un service qui ne stocke pas votre historique de navigation, votre adresse IP ou vos temps de session et qui dispose de rapports d'audit indépendants pour le prouver.
• Obscurcissement : certains VPN proposent des modes qui font passer votre connexion pour du trafic web normal, ce qui permet d'éviter blocages ou filtrages. Avec ExpressVPN, cette fonctionnalité est activée par défaut, quel que soit le serveur auquel vous vous connectez.
• Confidentialité et vitesse : plus il y a de fonctionnalités de confidentialité, plus la vitesse est généralement lente. Cependant, avec le protocole Lightway d'ExpressVPN, vous n'avez pas à choisir entre confidentialité et vitesse, car il est conçu pour offrir les deux. Lightway utilise un code léger et des normes cryptographiques modernes pour établir des connexions sécurisées plus rapidement, maintenir la stabilité même sur des réseaux peu fiables et consommer moins de puissance sur les smartphones, le tout sans compromettre votre confidentialité.