Ce contre quoi un VPN protège réellement (et ce contre quoi il ne protège pas)
Le VPN est l’un des outils de confidentialité les plus recommandés, et pour de bonnes raisons. Mais le marketing autour des VPN en promet souvent plus qu’ils ne peuvent vraiment offrir, laissant les utilisateurs avec un faux sentiment de sécurité. Comprendre contre quoi un VPN protège réellement, et là où il cesse d’être utile, est véritablement important pour quiconque construit une configuration de sécurité personnelle.
En résumé : un VPN excelle dans un ensemble de tâches spécifiques et restreintes. En dehors de ces tâches, il ne fait presque rien pour vous protéger des pirates.
Ce contre quoi un VPN vous défend réellement
Un VPN fonctionne en chiffrant votre trafic internet et en le faisant transiter par un serveur qui masque votre véritable adresse IP. Ces deux fonctions répondent directement à plusieurs menaces réelles.
Interception sur Wi-Fi public est le cas d’usage le plus concret pour la plupart des gens. Lorsque vous vous connectez à un réseau non sécurisé dans un café, un aéroport ou un hôtel, d’autres utilisateurs sur le même réseau peuvent potentiellement intercepter le trafic non chiffré. Un VPN chiffre ce trafic avant qu’il ne quitte votre appareil, le rendant illisible pour quiconque espionnant le réseau local. Cela a moins d’importance aujourd’hui car la plupart des sites utilisent HTTPS par défaut, mais il existe encore des scénarios où des données non chiffrées transitent sur les réseaux publics.
L’exposition de l’adresse IP est un autre domaine où les VPN offrent une protection réelle. Votre adresse IP peut révéler votre emplacement physique approximatif et, dans certains cas, être utilisée pour vous identifier d’un service à l’autre. La masquer avec l’adresse IP d’un serveur VPN limite ce que les annonceurs, les sites web et certains acteurs malveillants peuvent déduire à votre sujet.
Le ciblage par DDoS est une menace moins courante mais réelle, en particulier pour les joueurs, les streamers et les créateurs de contenu. Une attaque par déni de service distribué inonde l’adresse IP de la cible de trafic parasite pour la faire passer hors ligne. Si votre véritable adresse IP est masquée derrière un serveur VPN, les attaquants ne peuvent pas cibler votre connexion réelle. C’est le serveur VPN qui absorbe le flot.
Ce sont de réelles protections. Simplement, elles ne sont pas exhaustives.
Là où un VPN ne suffit pas
Un VPN ne peut pas inspecter, bloquer ni filtrer ce que vous choisissez de faire avec votre connexion. Cela signifie que des catégories entières d’attaques le contournent complètement.
Le hameçonnage (phishing) est peut-être la lacune la plus importante. Si vous cliquez sur un lien malveillant dans un e-mail et saisissez vos identifiants sur une fausse page de connexion, un VPN ne fait rien pour l’empêcher. Le tunnel chiffré vous achemine fidèlement vers le site frauduleux. L’attaque réussit quoi qu’il arrive.
Les logiciels malveillants fonctionnent de la même manière. Si vous téléchargez et exécutez un fichier malveillant, votre VPN n’a aucun mécanisme pour le détecter ou le bloquer. Les logiciels malveillants opèrent au niveau applicatif, bien au-dessus de la protection réseau qu’offre un VPN.
Le compromis de compte par bourrage d’identifiants (credential stuffing), réutilisation de mot de passe ou détournement de session est tout aussi peu affecté. Si un attaquant obtient votre nom d’utilisateur et votre mot de passe à partir d’une base de données compromise, il peut se connecter à vos comptes depuis n’importe où. Votre VPN ne protège pas ces identifiants.
Les failles zero-day ciblant votre navigateur, votre système d’exploitation ou vos applications n’ont rien à voir avec votre adresse IP ou le chiffrement du trafic réseau. Elles exploitent des vulnérabilités dans les logiciels eux-mêmes.
Ce schéma s’étend également aux menaces sophistiquées. Comme abordé dans l’analyse récente des attaques APT menées par un État à Singapour, les acteurs de menace persistante avancée utilisent des techniques telles que le spear phishing, la compromission de la chaîne d’approvisionnement et l’exploitation de terminaux, auxquelles un VPN n’a tout simplement pas été conçu pour faire face. Les adversaires de niveau étatique n’ont pas besoin d’intercepter votre trafic Wi-Fi.
La pile de sécurité complémentaire
Parce qu’un VPN couvre les menaces au niveau réseau et presque rien d’autre, une sécurité sérieuse nécessite l’ajout d’outils supplémentaires.
Un gestionnaire de mots de passe qui génère des mots de passe uniques et aléatoires par compte neutralise les attaques par bourrage d’identifiants. La réutilisation de mots de passe est l’un des vecteurs de compromission de compte les plus courants, et aucun VPN ne répond à ce problème.
L’authentification multifacteur (MFA) ajoute une seconde barrière même si les identifiants sont dérobés. Les clés de sécurité matérielles offrent la forme la plus forte de MFA, même si les applications d’authentification constituent une amélioration significative par rapport aux codes reçus par SMS.
Les logiciels de protection des terminaux traitent les logiciels malveillants, les rançongiciels et certaines tentatives d’exploitation au niveau de l’appareil. Associés à la mise à jour régulière du système d’exploitation et des applications, ils réduisent la surface de vulnérabilité logicielle à laquelle les VPN ne peuvent pas toucher.
Des habitudes de messagerie résistantes au hameçonnage et des extensions de navigateur qui signalent les URL suspectes réduisent l’efficacité des attaques d’ingénierie sociale. S’entraîner à examiner les liens avant de cliquer est, sans glamour, l’une des mesures de sécurité les plus efficaces qui soient.
Il est bon de noter que même les applications de messagerie chiffrée ne sont pas à l’abri d’une compromission au niveau de l’utilisateur. Une analyse récente des raisons pour lesquelles des utilisateurs de Signal se font pirater malgré le chiffrement fort de l’application illustre clairement ce point : les attaquants ciblent la personne, l’appareil ou les paramètres du compte plutôt que le protocole de chiffrement lui-même. Un VPN n’aurait pas non plus aidé dans ces cas-là.
Un cadre pratique pour les cas d’usage
Plutôt que de se demander s’il faut utiliser un VPN, la meilleure question est de savoir quand il est utile et quand il faut se tourner vers autre chose.
Utilisez votre VPN lorsque vous vous connectez à un réseau Wi-Fi public ou non fiable, lorsque vous voulez limiter le suivi et le profilage basés sur l’adresse IP, lorsque votre véritable adresse IP pourrait exposer votre emplacement physique à une partie hostile, ou lorsque vous voulez réduire le risque de ciblage DDoS dans les jeux en ligne ou les diffusions.
Tournez-vous vers d’autres outils lorsque vous évaluez un lien dans un e-mail avant de cliquer (utilisez un analyseur de liens ou rendez-vous directement sur le site), lorsque vous vérifiez si vos comptes sont sécurisés (utilisez un gestionnaire de mots de passe et activez l’authentification multifacteur), lorsque vous voulez une protection contre les logiciels malveillants (utilisez un logiciel de protection des terminaux et maintenez vos systèmes à jour), ou lorsque vous faites face à une attaque ciblée menée par un adversaire sophistiqué qui vous a déjà identifié comme cible.
Ce que cela signifie pour vous
Un VPN est un outil utile et légitime. Il a sa place dans une configuration de sécurité personnelle, mais il ne doit pas en être le seul élément, et il ne faut pas en attendre des fonctions pour lesquelles il n’a jamais été conçu.
Les menaces qui causent le plus de dégâts dans le monde réel – hameçonnage, logiciels malveillants, piratages de comptes et exploitation ciblée – opèrent au-dessus de la couche réseau. Le chiffrement et le masquage d’IP d’un VPN ne leur sont d’aucune utilité.
L’approche la plus efficace est une approche par couches : utilisez un VPN pour les scénarios spécifiques où il aide, et utilisez des outils conçus pour les menaces auxquelles il ne peut pas répondre. Comprendre quel outil gère quelle menace est la base d’une posture de sécurité qui tient réellement sous la pression. Explorer des scénarios d’attaque réels est une bonne étape suivante pour mettre ce cadre en pratique.
