La commissaire australienne à la sécurité en ligne veut que les plateformes bloquent les VPN

Des documents obtenus par The Guardian en vertu des lois sur la liberté d'information ont révélé que la commissaire australienne à la sécurité en ligne s'attend à ce que les fournisseurs de services bloquent activement les VPN et autres solutions de contournement qui permettent aux utilisateurs d'échapper aux contenus soumis à une limite d'âge et aux interdictions sur les réseaux sociaux. Selon ces documents, « les fournisseurs de services doivent prendre des mesures raisonnables pour empêcher les contournements tels que les VPN, de sorte que l'eSafety les examinera lors du contrôle de la conformité aux codes ».

En clair, le régulateur ne se contente pas de demander aux plateformes de vérifier l'âge au moment de l'inscription. Il veut que les entreprises détectent et neutralisent les outils techniques – les VPN en premier lieu – qui permettent de donner l'impression que l'on se connecte depuis un autre endroit, ou carrément sous une autre identité. C'est le signal le plus clair à ce jour que la vaste offensive australienne autour de la vérification de l'âge, que nous avons couverte dans le cadre de la loi australienne sur la vérification de l'âge, s'étend désormais aux outils que les gens utilisent pour la contourner.

Pourquoi cette approche ne tient pas

Le problème central est technique, pas politique. Les VPN fonctionnent en chiffrant le trafic d'un utilisateur et en le faisant passer par un serveur situé ailleurs, ce qui donne l'impression que la connexion provient d'un autre emplacement. C'est la même fonction de base qu'utilisent des millions de personnes chaque jour pour des raisons parfaitement légitimes : accès à distance à un ordinateur professionnel, opérations bancaires sécurisées sur un Wi-Fi public, ou simplement volonté de garder ses habitudes de navigation privées vis-à-vis de son fournisseur d'accès.

Il n'existe aucun moyen fiable pour une plateforme de distinguer une connexion VPN utilisée pour contourner une vérification d'âge d'une connexion VPN utilisée par un employé accédant à un réseau d'entreprise, ou par un utilisateur soucieux de sa vie privée protégeant ses données. Bloquer le trafic VPN de manière générale signifie bloquer un vaste éventail d'activités ordinaires et légales en même temps que le comportement restreint que les régulateurs cherchent effectivement à empêcher. C'est le même mur technique auquel les services de streaming se sont heurtés il y a dix ans lorsqu'ils ont essayé de lutter contre les contournements du géoblocage : les fournisseurs de VPN s'adaptent plus vite que les listes de blocage ne peuvent être constituées, et la course aux armements profite rarement à celui qui tente de bloquer l'accès.

Il y a aussi un problème d'échelle. Les fournisseurs de VPN commerciaux exploitent d'énormes pools d'adresses IP en constante évolution, précisément pour garder une longueur d'avance sur la détection. Même les plateformes bien dotées en ressources et disposant d'équipes anti-fraude dédiées ont toujours eu du mal à suivre le rythme. S'attendre à ce que chaque entreprise de médias sociaux et fournisseur de contenu pour adultes en Australie maintienne un tel niveau d'infrastructure de détection, et ce indéfiniment, est une exigence considérable qui risque de pousser les petites plateformes vers des mesures de blocage brutales et trop larges, touchant bien plus d'utilisateurs innocents que de cibles visées.

Le compromis de confidentialité que personne n'a demandé

Au-delà des obstacles techniques, il y a une dimension de confidentialité qui mérite plus d'attention qu'elle n'en reçoit. Demander aux plateformes de détecter l'utilisation de VPN revient à leur demander de surveiller et de signaler activement une catégorie de trafic dont beaucoup de gens dépendent précisément pour protéger leur vie privée. Cela crée une structure d'incitation inconfortable : plus une plateforme devient efficace pour identifier les connexions VPN, plus elle devient capable de suivre et de profiler des utilisateurs qui ont parfaitement le droit légal de naviguer de manière privée.

Ces dernières années, les Australiens ont eu de bonnes raisons de se méfier de la quantité de données personnelles que les entreprises collectent et de la manière dont elles les protègent. Des incidents comme la menace du pirate d'Origin Energy de divulguer des millions de fichiers clients nous rappellent que plus une organisation détient de données sur ses utilisateurs – y compris des signaux comportementaux comme les habitudes d'utilisation de VPN – plus elle devient une cible attrayante si ces données venaient à être compromises ou utilisées de manière abusive. Une politique qui pousse les plateformes à construire des systèmes de suivi des utilisateurs plus sophistiqués, au nom de la protection de l'enfance, pourrait finir par créer de nouveaux risques pour la vie privée qui survivront à l'objectif initial de la politique.

Ce que cela signifie pour vous

Si vous êtes un internaute australien, cette évolution ne signifie pas que les VPN vont disparaître du jour au lendemain ou devenir illégaux. Les VPN restent légaux en Australie et sont largement utilisés à des fins légitimes de sécurité et de confidentialité. En revanche, cela signifie que certaines plateformes pourraient commencer à expérimenter une détection et un blocage plus agressifs du trafic VPN, ce qui pourrait occasionnellement entraîner des perturbations, même pour les utilisateurs qui ne cherchent pas du tout à contourner les vérifications d'âge. Il est utile de comprendre comment votre fournisseur de VPN gère les contre-mesures de détection, et d'être conscient que les changements de serveur ou les interruptions de connexion sur certains sites pourraient devenir plus fréquents à mesure que les plateformes s'adaptent à la pression de conformité.

C'est aussi le bon moment de prêter attention à la manière dont les systèmes de vérification de l'âge et de contrôle d'identité sont mis en œuvre sur les sites que vous utilisez. Plus les plateformes s'appuient sur des méthodes de détection invasives pour satisfaire les régulateurs, plus elles risquent de collecter de données personnelles, qu'il s'agisse de prises d'empreintes numériques de l'appareil, de l'historique IP ou d'analyses comportementales. Lire les politiques de confidentialité et choisir avec soin les plateformes à qui vous confiez votre vérification d'identité est une protection raisonnable qui demande peu d'effort.

Points clés à retenir

  • Les documents FOI du commissaire à l'eSafety montrent une attente claire que les plateformes bloquent les contournements par VPN, et pas seulement qu'elles vérifient l'âge à l'inscription.
  • Techniquement, il n'existe aucun moyen fiable de distinguer l'utilisation légitime d'un VPN du contournement de la vérification d'âge, ce qui signifie qu'un blocage large risque de piéger des utilisateurs innocents.
  • La mise en place d'une infrastructure de détection des VPN pourrait pousser les plateformes vers un suivi plus invasif des utilisateurs, créant ainsi ses propres compromis en matière de vie privée.
  • Les Australiens doivent rester informés sur la manière dont les sites qu'ils utilisent gèrent la vérification de l'âge et être prudents quant aux données personnelles que ces systèmes collectent.

Le débat sur la répression australienne des VPN est en réalité un débat sur la question de savoir si les outils de protection de la vie privée doivent être traités comme des failles à colmater ou comme des protections légitimes à préserver. À mesure que cette politique évolue, cette tension ne disparaîtra pas.