Anonymisation et connexions VPN : Attention!

Un billet pour sortir des malwares et virus mais pour rester dans la sécurité, billet que je voulais faire depuis un moment.
Suite à la loi Hadopi pondue par nos non-représentants… Sur les forums, blogs etc, on voit souvent comme contre mesure, des conseils d’utilisation de VPN.

Le but de ces services VPN est d’utiliser d’un serveur VPN comme passerelle afin de masquer son IP au service auquel on se connecte.
L’internet se connecte au serveur VPN et redirige tout son traffic via le VPN, la connexion vers les services (connexion WEB, HTTP etc) sera effectuée par le serveur VPN et non plus par l’internaute, le serveur en face verra donc l’IP du serveur VPN et non celle de l’internaute.
Dans le cas d’Hadopi, les connexions P2P seront donc effectuées par le VPN et les ayants droits ne pourront plus relever les adresses IP pour alimenter la machine interfanale Hadopi.

Comme par le passé, j’avais fait un article sur les bonnes mauvaises idées de l’utilisation des proxys pour se rendre (soit disant anonyme).
Ce billet tient à présenter les dangers des VPN qui sont au final les mêmes que celle des proxys.

J’ai simulé un VPN à partir d’un OpenVPN sur une machine de chez moi qui a un pied sur la toile via une connexion Orange/Wanadoo.
Je me connecte depuis un PC sous Windows à partir d’un wifi public, en l’occurrence FreeWifi pour simuler l’internaute.

Comprendre le VPN

Le but étant donc de se connecter à mon serveur VPN depuis la connexion FreeWifi, un peu comme un internaute va se connecter avec sa connexion internet vers un serveur VPN et rediriger tout le traffic vers ce VPN.
Ce dernier va établir alors les connexions aux services demandés via du NAT.
Le schéma ci-dessous résume la connexion :

Ci-dessous, la connexion en FreeWifi, l’adresse IP retournée est bien celle de Free.

Vous pouvez aussi lire la page : Qu’est-ce-qu’un VPN

VPN et Sécurité

On lance la connexion vers le serveur OpenVPN – les routes se mettent, les petites télé dans le systray sont vertes qui stipules que la connexion VPN est OK.
On rafraîchit la page et notre IP est bien chez Orange/Wanadoo.
La connexion vers internet passe donc bien via notre serveur VPN qui en réalité établie pour nous la connexion.

Côté Serveur – on peux lister les connexions natées.
Ici la source 10.8.0.4 est l’adresse IP de notre client VPN, destination sont les serveur WEB (port 80) contenues sur la page adresseip.com (174.120.0.154).
Comme vous pouvez déjà le voir, lister les connexions établies se fait très facilement.


Ensuite que se passe-t-il si on se connecte à des services dont l’authentification est non cryptées, par exemple Facebook ou le forum CommentCamarche ?

et bien même chose…. on récupère les informations en sniffant très facilement.
Ci-dessous la requête POST vers commentcamarche.net avec en paramètre le login et le pass :

et ci-dessous le cookie d’authentification de la requête POST de Facebook.

Comme vous pouvez le constater, récupérer des informations issues des connexions non cryptées est vraiment très simple.
Le problème est identique à celui de l’utilisation des proxys qui permet au final des attaques man in the middle .
Etant donné que la connexion passe un tiers, ou en réalité, c’est le tiers qui établie la connexion pour vous, ce dernier peux tout voir dès lors que la connexion au service n’est pas cryptée.

Tout ça pour en venir au fait, qu’il faut vraiment faire attention, dans le cas où vous souhaitez utiliser ces services, à quelle service vous souscrivez.
De par les désirs de filtrage qui émergent ces dernières années, les solutions de VPN ont le vent en poupe, dans ces solutions, il y aussi bien sûr des arnaques – comme des services fantômes : SuperVPN : mon oeil !Récupérer le trafic est assez simple, on peux donc imaginer des services VPN qui revendent des informations récupérées (adresse email etc) ou même des solutions VPN issus de la cybercriminalité pour voler des informations.

Conclusion et liens connexes

Comme recommandé, avant de souscrire, faites des recherches sur la société qui propose le service, lisez bien les conditions d’utilisation etc et si vous ne savez pas qui ou quoi se cache derrière une solution proposée, ne souscrivez pas.
Soyez vigilant.

Comment lire d'autres tutoriels de malekal.com ?

Si le site vous a aidé, svp, débloquez les bloqueurs de publicités, n'hésitez pas non plus à partager l'article ou le site sur les réseaux sociaux.

Pour pouvoir lire plus d'articles et tutoriels, utilisez le menu en haut du site. Plein d'articles et tutos utiles vous attendent !

Besoin d'aide ?

Posez votre question ou soumettez votre problème sur le forum malekal.com pour obtenir une aide efficace : Aller sur le forum malekal.com
(Visited 1 214 times, 2 visits today)

17 thoughts on “Anonymisation et connexions VPN : Attention!

  1. C’est clair qu’il faut n’utiliser que des services chiffrés.
    Cela vaut aussi bien pour Tor, les proxys et autres VPN.
    Le nœud final peut récupérer toutes vos données.

  2. Salut Sammy,

    Ca dépend ce que tu entends par « à rien ».
    Le mécanisme d’Hadopi est qu’on relève les adresses IP qu’on soumet automatiquement aux FAI qui donnent le propriétaire de la connexion et un email est envoyé.
    Si tu passes par un VPN, tu casses le mécanisme est tu es tranquille.

    Maintenant, comme c’est en France, un juge peux être saisi pour avoir le propriétaire du VPN ou carremment porter plainte.

    Mais si une multitude de personnes se tournent vers les VPN, quand bien même sur des serveurs en France, ben ca sert plus à rien de faire tourner l’usine à gaz.

  3. Merci pour les précisions et la qualité du site….. En ce qui concerne le vpn : ne pas oublier aussi d’en choisir un qui ne conserve pas les logs……..

  4. Salut,

    j’ai une incompréhension avec le vpn.

    scénario: je suis à la maison connecté à internet, je veux me connecter au serveur vpn de l’entreprise.

    est ce qu’un serveur vpn sur internet doit forcement avoir une adresse ip public?

  5. Salut,

    oui il faut que le serveur VPN soit sur internet pour que tu puisses t’y connecter via internet.
    Un peu comme les serveurs mails sont sur interent pour que tu puisses relever les mails.

  6. bonjour je voudrais lancer un apel à témoin dans la région d’indre loire aujourd’huis je viens de redébloquer 6 pc suite à sa surtout dans la région de richelieu qui pourez m’aidez cordialement

  7. Y’a quand même un truc qui me chiffonne, dans l’histoire, tu sniffes sur ton propre pc, non ^^?
    Je veux dire, à ce moment-là, hadopi doit déjà être connecté d’une manière ou d’une autre sur ta machine pour le voir, non?
    Par contre, je suis d’accord, Hadopi pourrait forcer les proprios des serveurs VPN, des trackers, ou même de certains sites « finaux » (febeu pour n’en citer qu’un) à « coopérer » pour récupérer des infos, ça pourrait poser problème là.
    Un VPN site-to-site est intéressant par contre, ne passant pas par des tiers. Mais bon, c’est pour des cas plutôt spécifiques. Site à site, c’est limité.
    Tor est efficace si tu es un noeud, en client seul tu es bien obligé de te connecter au premier noeud.
    Faudrait voir pour lier des tunnels VPN avec tor ahah, en gros : un gros réseau privé crypté, ou tout le monde est pote, et ou tout le monde peut partager en toute tranquillité. Ou alors, carrément, un « sous-AS », tel un réseau d’opérateurs, avec ses routes BGP-VPN (je vais loin là ^^), pour bien scinder les différents groupes de peers, connéctés ensemble selon leurs règles propres…et leurs propres DNS partagés. Ah ce serait bien… Un VPN site-to-network, ce serait classe. Faudrait tripoter les Dslam mais bon…

  8. Article intéressant, mais c’est un peu une évidence l’hypothèse d’une MITM/analyse log/etc. à partir du moment ou tu établis tes connexions via la machine d’un tiers (VPN/Proxy/ etc.). D’ailleurs quand bien même tu loues un dédié et tu te crée une VM pour installer OpenVPN et t’en servir comme tunnel, ton fournisseur à toujours la main dessus.

    L’objectif du VPN dans le cadre d’Hadopi c’est de contourner l’obligation de « délation » qu’on les FAI, obligation à laquelle ne sont pas contraint les entreprises d’infogérances Polonaises qui louent du dédié à bas prix. Bon courage à Hadopi pour aller faire appliquer le droit français à l’étranger …

  9. Moi depuis 2 ans j’utilise un VPN gratuit et communautaire qui est rapide et super secure que je vous conseille (si vous voulez pas débourser 10€ ou 20€ par mois dans un VPN)

    https://freedom-ip.com

    PS : Perso je préfère donner que payer, d’ailleurs si vous voulez que le service perdure je vous invite à faire de même !

  10. J’ai pas bien compris tout ce que vous avez mis dans cette article, mais ce que je sais faire c’est me connecter avec une application VPN.
    j’essaye toujours de chercher des applications gratuites et récentes pour profiter de toute les nouveautés 🙂

  11. Bonjour à tous,

    Il est en effet primordial de bien choisir son fournisseur VPN avant toute chose ! Ne pas hésiter à demander des avis et à aller lire les comparatifs que l’on trouve facilement (sur UnderNews par exemple : http://www.undernews.fr/comparatifs-vpn), regroupant les principales caractéristiques des différentes offres du marché actuel des VPN.

    Cela évitera les mauvaises surprise, que ce soit une sécurité moindre, la présence de logs ou encore des bridage non spécifié lors de la souscription au service !

  12. En ce moment c’est de pire en pire ! Entre les filtrages touchant les sites de streaming et de téléchargement, l’espionnage massif de la NSA et le vote sauvage de la loi de programmation militaire en France, ça devient invivable sur le Net !

    Autant dire qu’actuellement, un VPN est le strict minimum pour protéger sa vie en ligne, sa liberté de naviguer et ses données personnelles… Perso j’ai passé du temps à comparer les multiples offres via des sites comparateurs et autres du genre http://www.meilleurs-vpn.fr/ et j’en suis arrivé à en choisir 1 ou 2 que j’utilise par intermittence selon l’utilisation.

    Un conseil, faites de même avant d’avoir des mauvaises surprises…

  13. Désolé pour le double post… Le 1er n’apparaissait pas dans ma page de navigateur…
    Dans le 2e je donne une info supplémentaire. Peut-être que le modérateur/propriétaire du blog peut supprimer le 1er.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *