Qui peut voir votre trafic VPN ? Quatre observateurs
Le réseau local, l'opérateur VPN, l'employeur et la destination voient chacun une portion différente. Comparez-les avant de faire confiance à un tunnel pour la confidentialité.
Un tunnel change l'endroit où votre trafic devient observable. Il ne le rend pas inobservable, et la partie qui gagne en visibilité est celle par laquelle vous avez routé le trafic. Ce troc vaut la peine ou non selon le saut auquel vous ne faites pas confiance, donc la comparaison utile est entre les observateurs et non entre les marques.
Quatre parties tiennent sur une connexion
Suivez une requête depuis l'ordinateur portable vers l'extérieur et quatre positions apparaissent : le réseau d'accès rejoint, la sortie VPN, l'environnement d'entreprise si l'appareil est géré, et la destination elle-même. Chacune occupe une place différente sur le chemin, donc chacune recueille un type de preuve différent. Le tableau est tout l'argument en un seul coup d'œil.
| Observer | Sees | Does not see |
|---|---|---|
| Local network and ISP | That a tunnel exists, its endpoint, volume and timing | Destinations carried inside the tunnel |
| VPN operator | Source address, destinations, unencrypted content | Content protected end to end by TLS |
| Managed employer | Device telemetry, DNS and proxy logs, policy decisions | Nothing about the device is hidden from its owner |
| Destination | Exit address, account, cookies, client fingerprint | Who is behind the exit address |
Lisez le tableau de la menace vers l'extérieur. Si le Wi-Fi du café est l'inquiétude, la première ligne est ce qui change ; si le fournisseur est l'inquiétude, vous avez échangé un opérateur contre un autre et la deuxième ligne compte désormais davantage. Les lignes ne se concurrencent pas ; chacune décrit une position différente sur le même chemin.
Le réseau d'accès voit toujours le tunnel
Votre fournisseur ou le réseau de l'hôtel voit une connexion vers une adresse IP, les octets transférés et les moments où ils ont circulé. Il ne voit pas les sites à l'intérieur du tunnel, à condition que la résolution de noms voyage aussi à l'intérieur et que la destination soit atteinte par la sortie et non directement.
Deux fuites survivent plus souvent qu'on ne l'attend. Les requêtes DNS envoyées au résolveur local nomment toujours les sites, et le nom du serveur dans une poignée de main TLS ordinaire est lisible sur le chemin, sauf si le salut client chiffré est utilisé. Aucune des deux ne se corrige en installant un client ; les deux sont des questions de configuration.
L'opérateur VPN, et l'employeur derrière
Un fournisseur commercial se tient exactement là où se tenait votre fournisseur : il transmet vos paquets et peut lire tout ce qui n'est pas chiffré séparément. Un mot de passe saisi dans un formulaire HTTP simple est lisible à la sortie, même si le premier saut était chiffré. Le tunnel a déplacé la confiance, il n'a pas supprimé l'exposition. Lisez la politique de journalisation du fournisseur avant de supposer que le changement a amélioré quoi que ce soit.
Sur un ordinateur portable professionnel géré, l'organisation possède le point de terminaison, donc la gestion des appareils, la journalisation DNS et les enregistrements proxy l'observent qu'un tunnel soit connecté ou non. Un VPN personnel ne rend pas privé un appareil géré, et sur de nombreux réseaux c'est une violation de politique plutôt qu'une mesure de confidentialité.
Le trafic des autres appareils de votre foyer n'est pas visible pour cet employeur, sauf si l'ordinateur professionnel sert délibérément de passerelle. Cette distinction compte lorsqu'un foyer partage une connexion et suppose le pire.
La destination, et les voisins à la sortie
Le site que vous visitez voit l'adresse de sortie, le compte avec lequel vous vous êtes connecté, les cookies et les caractéristiques du navigateur. Un tunnel ne change que le premier élément, et la connexion lie de toute façon l'adresse de sortie à vous.
Les services partagés ajoutent un risque plus subtil. Si le fournisseur n'isole pas les clients les uns des autres, une machine à l'écoute sur un port peut être joignable par d'autres clients à la même sortie. Bloquer le trafic entrant par défaut au pare-feu de l'hôte couvre la majeure partie de ce risque. Le tester signifie connecter un second appareil au même service et tenter d'atteindre un port à l'écoute.
Certaines choses ne changent jamais : les identifiants de compte, le suivi au niveau applicatif et le fait que le téléphone lui-même sait qu'il transmet du trafic lorsque vous partagez la connexion. Un tunnel est une décision de routage, pas un changement d'identité.
Choisissez l'observateur dont vous vous cachez avant de choisir un produit. Si c'est le réseau local, presque toute sortie correctement configurée aide. Si c'est la journalisation du fournisseur lui-même, le contrat fait partie de la décision. Si c'est votre employeur, aucun tunnel personnel ne fera l'affaire.