Affirmations sur le chiffrement VPN : ce que la documentation doit dire

Regardez le grand nombre à côté d’un nom d’algorithme et demandez-vous ce qu’il mesure vraiment. Il ne dit pas quelle connexion est protégée, quel protocole fournit la protection ni quels réglages votre client prend en charge. Une page qui ne peut pas rattacher son affirmation à l’un de ces points relève de la publicité, pas de la documentation. Les vérifications ci-dessous constituent un ordre de lecture pour tout résumé qu’on vous a remis, et la première affirmation que vous ne pouvez pas rattacher à une connexion précise est l’endroit où s’arrêter.

Déterminez quelle connexion l’affirmation couvre

Une seule page produit peut traiter du chiffrement du tunnel, du HTTPS vers le portail du compte et du chiffrement des données stockées dans un même paragraphe. Ce sont des chemins différents et des systèmes de stockage différents, donc une propriété de l’un ne dit rien des autres. Décidez duquel des trois parle la phrase avant de la comparer à un concurrent. Le même mot, chiffrement, apparaît dans les trois contextes et signifie quelque chose de différent à chaque fois.

Pour le tunnel lui-même, cherchez un protocole documenté et un ensemble documenté de réglages de sécurité pris en charge. Ces trois étiquettes ne sont pas interchangeables : un ensemble par défaut arrive sans que vous le choisissiez, un mode facultatif ne s’applique que si le profil le sélectionne, et un résultat négocié est ce sur quoi les deux pairs se sont accordés à la connexion. Un fournisseur qui les brouille vous a dit moins qu’il n’y paraît.

Vérifiez le protocole et l’ensemble qu’il autorise

Partez du profil du client plutôt que d’un graphique comparatif. Le profil nomme le protocole, et le protocole décide quels ensembles sont seulement possibles, comme le montrent les deux cas courants.

La liste de propositions IKEv2 est un menu dans lequel la passerelle choisit, si bien que l’ensemble obtenu peut différer entre deux passerelles aux réglages client identiques. WireGuard n’a pas un tel menu, ce qui rend son affirmation plus facile à vérifier et plus étroite à décrire. Aucune des deux dispositions n’est plus forte en soi ; le point est que la documentation doit dire laquelle elle vise.

Le seul nom d’un chiffrement laisse aussi de côté l’authentification, l’établissement des clés, l’exposition des métadonnées et la conservation. Les constructions modernes réunissent chiffrement et intégrité dans un même ensemble, tandis que les anciennes les séparent, si bien que citer un seul nom d’algorithme peut masquer la propriété que vous obtenez réellement. Demandez par écrit la politique de négociation lorsque la page ne l’indique pas.

Vérifiez l’authentification du pair et l’état des mises à jour

L’authentification du pair fait partie de l’affirmation même lorsque le texte marketing l’omet. Un chiffrement fort vers un destinataire non vérifié n’est pas le résultat que quiconque visait, et un tunnel incapable de vous dire qui a répondu protège moins qu’il n’y paraît. Cherchez comment le client valide le serveur : une chaîne de certificats, une clé épinglée ou un secret partagé au préalable. Ce sont des modèles de confiance différents, avec des modes de défaillance différents.

Vérifiez ensuite l’implémentation et son état de mise à jour, car un chiffrement documenté dans un client non corrigé décrit une version que vous n’exécutez peut-être pas. Les limitations publiées par les auteurs du protocole méritent d’être lues pour la même raison. Un client qui n’a pas été mis à jour depuis un an affirme autre chose que la page devant vous.

Vérifiez où le tunnel se termine

Un tunnel de client à serveur se termine au serveur VPN. Le chiffrement applicatif, comme le HTTPS vers le service derrière, peut protéger le trafic plus loin sur la route, et après le serveur il peut être la seule protection restante. Lisez l’explication de l’opérateur sur les extrémités et décidez à laquelle de ces couches l’affirmation se rapporte.

La politique de journalisation et le suivi du compte se situent entièrement en dehors du chiffrement. Un opérateur peut transporter un contenu chiffré tout en observant le minutage, les adresses et le volume, si bien qu’une affirmation sur la confidentialité de la charge utile ne répond rien sur ce qui est enregistré. Traitez la conservation comme une question distincte, avec ses propres preuves.

Notez ce que la documentation ne dit pas

Lorsqu’une propriété manque, notez qu’elle manque au lieu de l’inférer du nom ou de la réputation du logiciel. Un audit ne couvre que les propriétés et composants qu’il a réellement examinés, et une lacune dans la documentation est un constat à part entière. Écrivez la lacune pendant que vous vous souvenez encore de la page qui l’a produite.

Sur une machine que vous contrôlez, relisez l’ensemble depuis la session active, à l’aide de la page d’état du client ou de la liste des associations de sécurité sur la passerelle, et consignez cette valeur à côté de la version du client. Ce relevé rend une affirmation de fournisseur comparable plus tard, lorsqu’une mise à jour change le résultat négocié. Si le client et la documentation divergent, faites confiance au résultat négocié et signalez l’écart plutôt que de le réconcilier en silence.