VPN et chiffrement de bout en bout : qui peut lire quoi

Suivez un message d’un téléphone à un ami et il traverse au moins deux types de protection différents. Le VPN couvre la route entre le client et sa passerelle, l’application de messagerie couvre le contenu entre les appareils des participants. Ni l’un ni l’autre ne remplace l’autre, et la question utile n’est pas lequel est le plus fort, mais qui peut lire quoi à chaque étape. Parcourez le chemin une fois et les rôles deviennent évidents.

Deux protections, deux extrémités

Sur l’appareil émetteur, l’application chiffre le message avec des clés propres à la conversation, puis remet le texte chiffré au système d’exploitation. Le VPN, s’il est actif, enveloppe tout trafic conforme à sa politique et le transporte jusqu’à une passerelle. De là, le paquet voyage sur l’internet ordinaire jusqu’aux serveurs de l’application, qui le relaient vers le destinataire. Seul l’appareil du destinataire détient la clé qui retransforme le texte chiffré en texte.

Un relais sur ce chemin peut voir un message arriver et repartir sans le lire, et c’est précisément la propriété que le chiffrement de bout en bout est censé fournir.

Ce que la sortie du VPN peut lire et ne peut pas lire

Une passerelle VPN déchiffre le tunnel, pas le contenu de l’application. Elle peut observer quel serveur le client a contacté, quand et combien de données ont circulé, puis transmettre les paquets plus loin. C’est un ensemble de faits significatif et bien plus petit que le texte du message. Pour un site HTTPS ordinaire, la connexion TLS se termine au site, si bien que le site peut lire ce qui a été soumis même si le VPN ne le peut pas. La distinction porte sur l’endroit où chaque couche se termine, pas sur le produit le plus privé.

Changez la destination pour un service chiffré de bout en bout et le relais au milieu perd le contenu, tandis que le VPN voit toujours le schéma de connexion.

Les clés appartiennent à la conversation, pas à la route

Les clés de contenu sont négociées entre les participants et restent sur leurs appareils ; un VPN ne participe pas à cet échange. Les applications exposent souvent un numéro de sécurité ou une empreinte de clé pour que les deux côtés comparent ce qu’ils détiennent. Cette comparaison détecte une clé substituée au milieu, ce qui est précieux et plus étroit que de prouver qui tape. Confirmer l’identité d’une personne demande encore un canal hors de l’application, comme un appel ou une vérification en personne. La vérification du certificat de serveur d’un VPN authentifie un point de terminaison entièrement différent.

Ne lisez pas un numéro de sécurité vérifié comme une preuve de propriété du compte. C’est une preuve sur les clés, pas sur les personnes.

Copies, métadonnées et l’autre appareil

Le contenu lisible existe aux extrémités, ce sont donc les extrémités qui décident de la suite. Dressez une courte carte des endroits où une copie peut atterrir avant de décider combien le tunnel aide.

Lisez les règles de l’application pour les sauvegardes, les appareils liés, les notifications et les exportations, car chacune est une copie distincte avec son propre traitement. Le réseau expose encore le moment et le volume même lorsque le contenu est protégé, et un VPN change quel fournisseur voit la connexion locale, pas si ces métadonnées existent. Un fichier exporté d’une conversation protégée conserve la protection que son format offre, et le tunnel ne fait plus rien pour lui ensuite.

Choisissez la protection pour ce qu’elle couvre : l’application pour le contenu et les clés, le VPN pour la route et la vue du réseau local. Puis listez les copies et les appareils qui se trouvent hors des deux.