VPN décentralisé ou VPN traditionnel : quelle est la différence ?

Comment fonctionne un VPN traditionnel ?

Un VPN traditionnel chiffre votre trafic internet et l'achemine via un serveur que le fournisseur contrôle. Cela dissimule votre adresse IP des sites que vous consultez, mais ça ne fait rien pour cacher votre activité du fournisseur lui-même. Le fournisseur voit tout, et vous n'avez aucun moyen de vérifier par vous-même leurs déclarations de non-journalisation.

Les VPNs traditionnels sont centralisés : une compagnie possède ou loue tous les serveurs, contrôle tout le code, et décide des choix concernant la confidentialité unilatéralement. Le marché est aussi plus consolidé qu'il n'y parait. Par exemple, Kape Technologies détient une liste grandissante de VPNs avec notamment : ExpressVPN, CyberGhost, Private Internet Access. Dans un magasin d'applications, les utilisateurs pourraient croire à des produits différents, mais en vérité, ce ne sont que des propriétés de la même entreprise.

Pour utiliser un VPN traditionnel, vous devez faire confiance à ce que :

• Le fournisseur ne surveille pas votre activité
• Le fournisseur ne vende pas vos données à des tiers
• L'entreprise ainsi que ses investisseurs n'aient aucun lien avec les gouvernements ou des courtiers en données
• Le code est sécurisé et maintenu constamment

Il y a eu de nombreux cas documentés de fournisseur de VPN promettant une politique de non-journalisation et qui transmettait les données des utilisateurs lorsqu'ils en étaient contraint par la loi. IPVanish, qui se vendait comme un service "zero-log", a fourni au FBI la journalisation des connexions en temps-réel en 2016. PureVPN a coopéré avec les autorités fédérales en 2017, malgré une garantie de non-journalisation. Une étude CSIRO portant sur 283 VPNs a trouvé que 18% d'entre eux n'effectuaient pas de chiffrement du traffic et 38% injectaient des virus ou des traqueurs.¹

Au final, la confiance n'est pas un mécanisme de confidentialité. L'architecture l'est. Alors, quelle est l'architecture de votre VPN ?

Qu'est-ce qu'un VPN décentralisé ?

Un VPN décentralisé (ou dVPN) achemine du trafic chiffré via des nœuds opérés indépendamment plutôt que des serveurs contrôlés par une seule entreprise. Aucun nœud, opérateur ou organisation ne peut voir d'où vient le trafic ni où il va. La confidentialité est imposée par la structure du réseau, pas par les politiques d'une entreprise.

Un VPN décentralisé (dVPN) en définition : Un Réseau Virtuel Privé (VPN) où le trafic est acheminé via plusieurs serveurs indépendants plutôt que des serveurs tenus par une seule entreprise. La décentralisation élimine l'unique point de confiance, de défaillance et de journalisation que les VPNs requièrent. De nombreux dVPNs utilisent des systèmes de récompenses basés sur la blockchain pour récompenser les opérateurs de nœuds.

Acheminement multi-sauts par défaut

Les VPNs traditionnels acheminent le trafic via un seul serveur – le serveur voit donc toutes vos données. Les dVPNs acheminent le trafic via plusieurs nœuds indépendants par défaut, donc aucun ne dispose d'une vision complète. Le mode rapide de NymVPN utilise deux sauts ; le mode Anonyme en utilise cinq.

Important : qu'est-ce qui rend un dVPN vraiment décentralisé ?

Pour qu'un VPN soit vraiment décentralisé, il doit remplir deux conditions :

1. Il est multi-sauts par défaut, avec un minimum de deux serveurs indépendants.
2. Ces serveurs n'appartiennent pas ou ne sont pas contrôlés par la même personne ou entité.

Donc si une entreprise de VPN offre quelque chose comme une fonctionnalité de double VPN, utiliser deux serveurs ne garantit pas la confidentialité car une entreprise peut voir vos données sur les deux.

Pas de journalisation centralisée

Étant donné que les nœuds sont opérés indépendamment, aucune autorité centrale ne peut collecter les journaux ou être forcé de les transmettre. Les serveurs de NymVPN sont opérés par des défenseurs de la confidentialité à travers le monde qui reçoivent des jetons $NYM en récompenses de la qualité du service fourni aux utilisateurs. Même si un opérateur de nœud mal intentionné tentait de journaliser le trafic, il ne verrait seulement qu'un fragment chiffré, impossible à déchiffrer.

Open-source est audité

Les VPNs traditionnels peuvent utiliser des protocoles open-source comme WireGuard, mais leur code source général reste propriétaire. Les utilisateurs doivent avoir confiance au fait que le code est sûr et bien maintenu sans aucun moyen de le vérifier indépendamment. Les dVPNs sont généralement open-source : tout le monde peut inspecter, audité et remettre en question l'implémentation. Mais ce n'est pas une règle : il faut toujours vérifier !

Le code source de NymVPN est disponible publiquement et fait l'objet de contrôles de sécurité indépendants.

Gestion du réseau sans tiers de confiance

Les VPNs traditionnels maintiennent un répertoire de serveurs centralisés : une seule entreprise décide qu'est-ce qui est disponible et les utilisateurs n'ont aucune visibilité sur comment et pourquoi. La topologie du réseau de NymVPN est gérée par la blockchain Nyx. Aucune autorité ne décide quels nœuds sont actifs. Les opérateurs de nœuds gagnent des jetons $NYM en fonction des performances de leurs nœuds, avec un recalibrage horaire afin de maintenir la fiabilité de l'ensemble du système.

Comment NymVPN va plus loin que les autres dVPNs ?

La plupart des VPNs décentralisés protègent le contenu du trafic. NymVPN protège aussi vos métadonnées. Avec l'IA qui facilite maintenant les systèmes de surveillance, c'est le problème le plus important à régler.

Qu'est-ce que les métadonnées ?

Les métadonnées sont tout sauf le message lui-même : avec qui vous communiquez, quand, depuis combien de temps et d'où. Peu importe si vos messages sont chiffrés si le schéma de vos communications est visible. La source d'un journaliste peut être identifiée avec seulement la fréquence des contacts. Un réseau d'activistes peut être relié sans même lire un seul message. Les services de renseignements et les systèmes de surveillances basés sur l'IA ciblent les métadonnées précisément car ils survivent au chiffrement.

Le Mixnet défend contre la surveillance par IA

Le mode Anonyme de NymVPN achemine le trafic via un Mixnet générateur de bruit de 5 nœuds : une passerelle d'entrée, trois nœuds de mixage intermédiaire qui mélangent et réarrangent les paquets chiffrés, et une passerelle de sortie. Du trafic de couverture est ajouté pour masquer le schéma de synchronisation. Cette topologie s'assure qu'aucun nœud ne peut lier le trafic à son utilisateur, et même l'IA aurait énormément de mal à reconstruire votre parcours avec certitude.

Mixnet (ou réseau mixé) se défini comme : un réseau axé sur la confidentialité où les paquets sont chiffrés et mélangés à travers plusieurs nœuds, avec un ajout de trafic de couverture pour contrecarrer les analyse de trafic. Contrairement à un simple acheminement multi-sauts, le mixnet réarrange les paquets et ajoute du délais, ce qui rends les schémas de trafic impossible à reconstruire.

Pas seulement la confidentialité, mais aussi la vitesse

Pour les utilisateurs qui priorisent la vitesse, le mode rapide de NymVPN fournit un acheminement décentralisé à deux sauts via AmneziaWG, un fork du protocole WireGuard. C'est nettement plus confidentiel qu'un VPN traditionnel, avec des performances de connexion proche de la norme.

Alors, avez-vous besoin d'un dVPN ?

Les VPNs traditionnels déplacent le problème de confidentialité sans le résoudre. Plutôt que faire confiance à votre FAI, vous faites confiance à une entreprise. Pour les journalistes, activistes, et n'importe qui vivant sous surveillance – les personnes pour qui la confidentialité n'est pas une préférence mais une nécessité – cette distinction importe énormément.

Les VPNs décentralisés suppriment le point central de confiance par conception. NymVPN ajoute une protection des métadonnées qu'aucun VPN traditionnel ou dVPN standard ne peut atteindre. Il n'est pas seulement conçu contre les adversaires qui collectent déjà vos données, mais aussi pour un Internet plus confidentiel à venir.

Références

1. [CSIRO, ICSI, UC Berkeley](https://www.icsi.berkeley.edu/icsi/news/2017/02/android-vp