Présentation d’AmneziaWG pour NymVPN

WireGuard et AmneziaWG

WireGuard

WireGuard est un protocole de routage chiffré réputé pour son efficacité, la concision de son code et sa faible surcharge de données. NymVPN l’a choisi pour son « Fast Mode » afin d’optimiser le routage décentralisé plus efficacement que des alternatives telles qu’OpenVPN ou IPSec. Consultez l’analyse approfondie de WireGuard réalisée par Nym pour découvrir ce qui en fait un protocole aussi performant.

AmneziaWG

AmneziaWG est un fork de wireguard-go, l’implémentation officielle de WireGuard en espace utilisateur, conçue spécifiquement pour protéger contre le blocage des VPN via l’inspection approfondie des paquets.

En intégrant des techniques d'obfuscation supplémentaires pour dissimuler le trafic VPN, AmneziaWG permet à ce dernier de se fondre dans le trafic Internet général. La capacité d’AmneziaWG à masquer son trafic VPN offre une couche de protection supplémentaire aux utilisateurs qui ont besoin d’un accès fiable à des contenus Internet sans restriction, sans risquer que leur connexion VPN soit bloquée ou bridée. Il est important de noter que tout cela est réalisé tout en conservant l’architecture simplifiée et les hautes performances de WireGuard, garantissant ainsi que les utilisateurs continuent de bénéficier de la même vitesse et de la même efficacité qui font la réputation de WireGuard.

Alors, comment les technologies de censure identifient-elles et bloquent-elles les VPN, et comment Amnezia permet-elle de contourner cela ?

Comment les VPN sont-ils bloqués ?

Tout comme les métadonnées constituent la matière première de la surveillance en ligne, elles sont également utilisées par les États et les FAI pour bloquer l’utilisation des VPN afin d’imposer des restrictions de censure. Même lorsque le contenu de notre trafic en ligne est chiffré, de nombreuses données le concernant restent lisibles : les adresses IP de l’expéditeur et du destinataire, les signatures temporelles, la durée des connexions, etc. Ces métadonnées peuvent être compilées pour suivre nos communications, nos activités et nos informations personnelles au fil du temps. Les adresses IP sont également ce que les censeurs d’Internet utilisent pour bloquer l’accès à des domaines spécifiques.

Il en va de même lors de l’utilisation d’un VPN : bien que notre adresse IP personnelle puisse être masquée derrière le serveur proxy du VPN, l’adresse IP publique du fournisseur de VPN est visiblement associée à notre trafic. Cela signifie que les pays ou les FAI appliquant des mesures de censure peuvent identifier lorsque des utilisateurs recourent à des services VPN connus. De nombreux services VPN sont désormais mis sur liste noire dans des pays comme la Chine, la Russie et l’Inde, ce qui limite considérablement les outils dont disposent les utilisateurs pour accéder aux informations dont ils ont besoin.

Imaginez maintenant que vous ayez opté pour un VPN décentralisé tel que NymVPN afin de bénéficier d’un service de proxy moins facilement bloqué par la surveillance ou la censure. Par rapport aux serveurs des grands fournisseurs de VPN centralisés, le réseau d’opérateurs indépendants de Nym rend plus difficile l’identification des adresses IP des opérateurs de nœuds comme faisant partie d’un réseau VPN. Cependant, même un VPN décentralisé peut toujours être identifié grâce à d’autres techniques de surveillance, au-delà de la mise sur liste noire de l’adresse IP du serveur VPN ou du site web censuré. L'une de ces techniques est l'inspection approfondie des paquets.

Qu'est-ce que l'inspection approfondie des paquets (DPI) ?

La DPI est une technique d’analyse du trafic réseau qui consiste à inspecter les paquets de données au fur et à mesure de leur transit sur un réseau. Sur les réseaux ouverts ou contrôlés par les FAI, le trafic non chiffré peut être lu, tandis que les VPN chiffrent les données pour les protéger. Cependant, l’analyse DPI peut toujours reconnaître les protocoles VPN en détectant des motifs de paquets uniques ou des « signatures » dans le format de chiffrement. Cela permet aux réseaux appliquant des politiques strictes de censure ou de filtrage d'identifier et de bloquer le trafic VPN, restreignant ainsi l'accès à ces services.

Bien que le protocole WireGuard soit réputé pour sa rapidité et son efficacité, la signature distincte de ses paquets peut le rendre vulnérable à ce type de détection et de blocage. C’est là qu’AmneziaWG entre en jeu.

Comment AmneziaWG résiste-t-il à l'analyse DPI ?

Comme nous l’avons vu, la DPI fonctionne en analysant les métadonnées du trafic acheminé afin d’identifier les signatures uniques des protocoles tels que WireGuard ou OpenVPN utilisés par les applications VPN. AmneziaWG met en œuvre plusieurs techniques pour masquer davantage le trafic VPN et éviter toute détection. Chacune concerne une métadonnée du trafic WireGuard susceptible de le faire ressortir lors d’une surveillance à des fins de censure.

En modifiant de manière stratégique les caractéristiques des paquets pendant le processus de connexion, AmneziaWG contribue à masquer les signatures identifiables, réduisant ainsi le risque de détection et de blocage.

Tailles des paquets

La première façon pour la surveillance par analyse de paquets (DPI) d’identifier le protocole WireGuard réside dans les tailles uniques des paquets de données utilisés lors de l’établissement de la connexion. Dans le routage chiffré, une poignée de main est simplement l’étape au cours de laquelle les parties à un échange chiffré établissent une connexion sécurisée afin d’échanger des clés de chiffrement.

Avec AmneziaWG, des paquets leurres ou « indésirables » peuvent être envoyés avant le début de la négociation de connexion, le nombre et la longueur de ces paquets étant tous deux configurables. De plus, des octets leurres peuvent être ajoutés en tête des messages d’initiation et de réponse de la poignée de main, ce qui rend la connexion plus difficile à identifier.

En-têtes

La deuxième méthode pour identifier WireGuard via l’analyse DPI consiste à repérer le type d’en-tête unique des paquets chiffrés. Par défaut, les paquets de données WireGuard partagent le même format d’en-tête, ce qui signifie que le trafic chiffré de différents utilisateurs peut être identifié comme utilisant le même protocole de chiffrement.

Avec AmneziaWG, les quatre valeurs de type d'en-tête peuvent également être remappées vers d’autres valeurs afin d’ajouter davantage de complexité. Concrètement, cela signifie que les différents AmneziaWG possèdent des valeurs d'en-tête différentes, ce qui rend extrêmement difficile de les associer sur la base d'une structure d'en-tête universelle.

Alors que l’ajout de paquets leurres ne nécessite qu’une modification côté client, le remappage des valeurs de type d’en-tête et les modifications apportées aux messages de handshake exigent que le client et le serveur exécutent AmneziaWG avec des paramètres de configuration identiques.

implémentation AmneziaWG sur NymVPN

Pour NymVPN, nous avons opté pour une implémentation côté client d’AmneziaWG, qui renforce efficacement la confidentialité sans nécessiter de configuration côté serveur, offrant ainsi une solution simplifiée et efficace qui assure néanmoins une protection renforcée contre la détection. Cela signifie qu’avec NymVPN, des paquets leurres sont introduits avant le début de la négociation de connexion, mais que les en-têtes ne sont pas modifiés.

Comment tirer parti d’AmneziaWG sur NymVPN ?

C’est simple : téléchargez NymVPN, obtenez un code d’accès anonyme, puis activez le mode rapide. AmneziaWG est désormais le protocole de routage chiffré par défaut pour tout le trafic dans ce mode. Ainsi, où que vous soyez dans le monde et quoi que vous recherchiez, NymVPN fait en sorte que votre trafic ne soit pas facilement ciblé par les technologies de censure.

Quelle est la prochaine étape en matière de résistance à la censure avec NymVPN ?

AmneziaWG n’est que le début d’un vaste projet de recherche et développement mené par Nym afin de fournir la technologie VPN la plus avancée qui soit en matière de résistance à la censure. Nym ajoutera régulièrement de nouvelles fonctionnalités pour rendre les connexions via NymVPN plus sécurisées et plus résistantes au blocage.