Qui voit votre IP pendant un appel WhatsApp, et ce qu'un VPN change
L'autre partie, le service et votre réseau d'accès voient des choses différentes. Nommez l'observateur dont vous voulez vous cacher, puis choisissez un réglage de relais ou un chemin de tunnel.
Un appel WhatsApp expose des informations d'adresse à plus d'une partie, et les parties n'apprennent pas toutes la même chose. La personne à qui vous parlez peut apprendre quelque chose sur votre chemin réseau, le service apprend quelle connexion l'a atteint, et votre fournisseur d'accès voit les flux que vous générez. Un VPN et un relais dans l'application changent chacun une partie de ce tableau. C'est pourquoi la question de savoir si un VPN cache mon IP pendant les appels n'a pas de réponse unique.
Trois observateurs, trois questions différentes
Commencez par nommer l'observateur dont vous voulez vous cacher, car les mécanismes ne sont pas interchangeables. Se cacher de l'autre participant est une question d'adressage. Se cacher du service est une question de compte et de connexion, et y répondre est bien plus difficile que cela n'en a l'air.
| Observer | What it can learn | What changes it |
|---|---|---|
| The other participant | Whether the media path appears to come from your address or from a relay | Relay settings in the app, or a network path that does not expose your address |
| The service | Your account, the connection your client made, and the call's participants | Very little from an address change alone; the account is the identifier |
| Your access network | That encrypted traffic to certain endpoints exists, and how much | Routing through a tunnel moves the visible endpoint |
Chaque ligne peut être améliorée indépendamment. Une amélioration sur une ligne laisse les autres exactement telles qu'elles étaient, et c'est pourquoi les réponses honnêtes à cette question contiennent généralement le mot en partie.
Ce que le relais change réellement
WhatsApp documente un réglage nommé Protéger l'adresse IP pendant les appels, qui se trouve dans les options avancées de confidentialité de l'application. Il achemine les médias de l'appel via les serveurs de WhatsApp au lieu de connecter les participants directement. La même documentation indique que les appels relayés restent chiffrés de bout en bout. Elle avertit aussi que la qualité de l'appel peut changer.
Le relais est une fonction du service et non une configuration réseau, il s'applique donc aux appels que l'application décide de relayer et à rien d'autre sur l'appareil. La page d'aide de WhatsApp pour cette fonction est l'autorité actuelle sur les plateformes qui l'exposent et sur l'emplacement de l'interrupteur.
Le relais ne cache pas non plus l'appel au service, puisque le service est le relais. Il change ce que l'autre participant peut observer de votre adresse. Il peut aussi ajouter de la latence, et c'est le compromis que fait le réglage.
Ce qu'un VPN change au chemin de l'appel
Un VPN change l'origine apparente de votre trafic pour tout ce qu'il transporte. Qu'il transporte un appel donné dépend de la politique de routage du client. Un tunnel complet prend tout le trafic, tandis qu'un tunnel divisé peut ne prendre que certains préfixes. Un téléphone disposant à la fois du Wi-Fi et de données mobiles peut utiliser des chemins différents pour des flux différents au même moment.
Cela signifie qu'une adresse vérifiée dans un navigateur n'est pas une preuve concernant l'appel. L'application peut maintenir une connexion de longue durée antérieure au tunnel, ou utiliser une famille d'adresses que le tunnel ne couvre pas. Vérifiez la décision de routage pour la destination réelle plutôt que pour un site web que vous avez testé par hasard.
Le chiffrement du contenu de bout en bout est une frontière distincte de tout cela. Il ne s'effondre pas lorsque le chemin change, et il ne couvre pas non plus les métadonnées.
Chiffrement et confidentialité de l'adresse sont des promesses différentes
Garder le contenu de l'appel chiffré signifie que le relais ne peut pas écouter la conversation. Cela ne signifie pas que le relais n'apprend rien : il voit toujours quels comptes sont connectés, quand et pendant combien de temps, car c'est ce que fait un relais.
À l'inverse, cacher votre adresse à l'autre partie ne rend pas votre compte anonyme pour le service qui l'authentifie. Ce sont deux affirmations distinctes. Une revue de confidentialité qui les fusionne produit un faux sentiment de couverture. Écrivez l'exigence comme une phrase sur un observateur précis, puis vérifiez si le mécanisme choisi s'adresse à cet observateur et non à un observateur voisin.
Vérifiez l'affirmation qui vous importe vraiment
Si l'exigence concerne votre réseau d'accès, la vérification est une question de routage à laquelle vous pouvez répondre localement. Si elle concerne l'autre partie, la vérification est le réglage propre à l'application. Aucune configuration de tunnel ne remplace ce réglage.
ip rule show | head -n 10 ip route get 198.51.100.7 ss -tun state established '( dport = :443 )' tcpdump -ni wg0 -c 20 'udp or tcp port 443'
La recherche de route vous indique quelle interface une destination utiliserait. La liste des sockets vous indique si une connexion de longue durée existe déjà. La capture vous indique si le trafic traverse réellement l'interface du tunnel. Remplacez l'adresse de documentation par le point de terminaison que vous avez résolu depuis la connexion propre à l'application, et lisez les résultats au lieu de supposer que le tunnel a tout pris.
Notez sur quel mécanisme vous vous êtes appuyé pour quel observateur, avec la date et la version de l'application. Le réglage de relais comme le comportement de routage du client changent avec le temps, et une note qui nomme l'observateur est la seule version de cela qui reste utile.