Connexion VPN partagée : ce qu’elle cache et ce qu’elle ne cache pas

Partager une connexion ne vous rend pas invisible et ne fait pas des autres utilisateurs vos collègues. Cela change qui peut être identifié et qui peut être retiré, et laisse toutes les autres propriétés de la connexion là où elles étaient. Le mythe est que des identifiants communs impliquent l’anonymat ou la confiance ; la réalité est qu’ils suppriment la responsabilité et ajoutent des modes de défaillance partagés.

Ce que l’identifiant contrôle réellement

Un nom d’utilisateur et un mot de passe répondent à une question : cette connexion peut-elle être établie. Ils ne décident pas de ce que l’opérateur journalise, de ce que les autres clients peuvent atteindre, ni si le nœud de sortie est honnête. Ce sont des propriétés distinctes du service, et un compte partagé ne dit rien sur aucune d’elles.

La passerelle voit toujours l’adresse source, l’heure de connexion et le volume de trafic selon sa propre politique. Les identifiants partagés n’effacent pas ces enregistrements ; ils rendent seulement plus difficile de les attribuer à une personne. Si l’opérateur conserve des journaux, le journal montre désormais une session qui pourrait appartenir à quiconque détient l’identifiant.

C’est l’inverse de l’anonymat, et c’est aussi l’inverse de la responsabilité.

Le retrait et la rotation touchent tout le monde

Avec des identités uniques, vous pouvez désactiver un appareil et laisser les autres fonctionner. Avec un identifiant partagé, la rotation du mot de passe déconnecte tous les utilisateurs à la fois, et retirer une personne signifie changer le secret pour tous. Prévoyez-le avant de le distribuer. Le coût n’est pas seulement la gêne : cela pousse les opérateurs à ne jamais faire de rotation, et c’est ainsi qu’un identifiant divulgué reste valide pendant des années.

Un identifiant publié sur un forum ou dans un groupe de discussion doit être considéré comme public à partir de ce moment.

La conséquence pratique est qu’une connexion partagée s’accorde mal avec tout ce que vous devriez auditer ou révoquer individuellement, ce qui inclut la plupart des déploiements professionnels et toute configuration familiale où un appareil est perdu.

Les autres clients ne sont pas votre réseau local

L’accessibilité entre clients est un choix de configuration, pas une propriété du mot privé. Certains services isolent les clients les uns des autres ; d’autres routent entre eux. Un compte partagé ne vous dit pas dans quel cas vous êtes.

Supposez que les autres clients sont des inconnus jusqu’à ce que la documentation du service dise le contraire. Gardez le pare-feu de l’hôte activé, n’activez pas le partage de fichiers sur l’interface du tunnel et ne traitez pas une adresse VPN comme un signal de confiance pour une application. La propre page des limitations de WireGuard dit explicitement que le protocole ne cache pas les extrémités et n’offre pas l’anonymat à lui seul, et c’est le bon modèle mental pour tout VPN.

Le tunnel protège le chemin, pas les pairs.

Ce qu’il faut vérifier avant d’en utiliser un

Lisez la politique publiée de l’opérateur sur la journalisation, la juridiction et la conservation, et remarquez ce qui manque. Un fournisseur qui n’indique pas de durée de conservation n’en a promis aucune. Comparez ensuite l’adresse de sortie que vous obtenez réellement avec l’emplacement annoncé par le service.

curl -s https://example.net/cdn-cgi/trace | grep -E '^(ip|loc)='

Si l’adresse de sortie visible se trouve dans un pays que vous n’attendiez pas, le profil et l’affirmation se contredisent, et cela vaut la peine d’être résolu avant d’y envoyer quoi que ce soit.

Pour un service payant, préférez une offre avec des identifiants par appareil même lorsque le marketing pousse l’offre partagée. Elle coûte un peu plus d’administration et achète la capacité de révoquer.

Un meilleur choix par défaut pour le travail et la famille

Si vous mettez en place un accès pour un groupe, créez une identité par personne ou par appareil, tenez la liste de qui les détient et retirez les entrées lorsqu’un appareil est réformé. C’est plus de travail que d’envoyer un mot de passe, et c’est la différence entre un service que vous pouvez exploiter et un secret que vous ne pouvez pas rappeler. Le compte partagé est pratique précisément parce qu’il cache ce travail, et la facture arrive la première fois que quelqu’un part. Remettez la liste à qui gère les départs, pour que le retrait ne dépende pas du souvenir d’un message de discussion.

Documentez le chemin de rotation avant le premier incident, pas pendant. Notez qui peut créer une identité, qui peut en révoquer une et où se trouve la liste des détenteurs. Ces trois réponses rendent le dispositif exploitable et pas seulement pratique.

Une connexion partagée a un usage étroit : une sortie publique sur laquelle vous ne comptez pas pour la confidentialité ou la responsabilité. Traitez-la ainsi et les risques deviennent prévisibles.