Comparaison des services VPN

Hello le monde, ça vous dit qu’on se fasse un article typé « grand public » (pour une fois) et qu’on fasse une comparaison des services VPN ? Je veux dire, on voit des pubs passer partout à la TV sur YouTube vous vantant les mérites de ces services. Ca ne me parait pas con qu’on prenne 30s pour se pencher sur le sujet, non ? Sur la genèse de ce post, pour le boulot j’ai eu besoin de souscrire à un service VPN pour mon équipe (en autres, pour pouvoir tester « à la demande » nos alertes de voyage impossible. Et comme mon RSSI est un bon pro : il m’a poussé pour justifier l’usage d’un service plutôt qu’un autre.

Je me suis dis que ça vaudrait le coup de vous en parler, car au final mes recherches se sont fait inonder de pub avec zéro factuels derrière, et sans que je trouve rapidement une rapide synthèse des éléments que je voulais voir, donc go : on va se le faire ici, et à ma sauce.

Un VPN pour quoi faire ?

Bah ouais, la pub c’est bien, mais ça sert à quoi un VPN ? Et je vais commencer par répondre à une question que mon tonton m’a posée (pour de vrai) et qui était, en gros, « Dis, on a peur des méchants pirates, on pense prendre un VPN pour renforcer notre sécurité, c’est utile ? » et ma réponse a été : « bah, plutôt non. »

Pourquoi ? il faut comprendre qu’un VPN ça permet de créer un tunnel chiffré entre un point A (votre PC, votre smartphone, votre box, votre routeur) et un point B, le serveur VPN (une machine sur internet, dans votre entreprise, dans la salle réseau du bâtiment d’en face, chez votre maman, etc.). De telle sorte que d’un point de vue logique et réseau, la machine A apparait comme étant en « B ». Le VPN qui redirige tout votre trafic réseau (ou une partie en mode « split tunneling ») pour qu’il transite par le tunnel chiffré et sorte par depuis B (au lieu de A). Fin. Un VPN c’est ça.

J’ai demandé à Chat GPT de vous illustrer le texte d’au-dessus, le résultat n’est franchement pas fou…^^

Du coup niveau sécurité « stricte » :

• Si votre point A il est compromis, le VPN sert à rien.
• Si le point B du VPN est pwné, ça ne sert à rien non plus.
• Ce n’est pas censé analyser particulièrement le trafic qui rentre ou sort pour des raisons évidentes de privacy (vu que c’est vendu pour ça), donc pas spécialement bloquer des attaques.
• Niveau crypto, ça empêche pas plus un pirate d’intercepter votre trafic que ce que ferait un bon flux HTTPS (à la limite, ça déplace le problème après notre point B).
• Et cerise sur le McDo : plus comme vous avez un relais au milieu par lequel votre flux réseau doit passer : ça va moins vite, vous êtes limités par la bande passante du VPN au milieu.

Vendu comme ça, c’est pas ouf non ? bon y’a quand même quelques trucs cool.

• Ça masque votre IP source (le point A) et la plupart des services commerciaux vous permette de choisir et de changer de point de sortie (pays notamment), genre pour accéder à des services non disponibles dans votre pays d’origine (censure, geo-fencing, etc.).
• Les points de sorties sont mutualisés avec plusieurs utilisateurs du coup ça vous rend « plus difficile » (je n’ai pas dit impossible) à identifier (au moins via votre adresse IP). Utile pour éviter l’IP tracking et de divulguer trop d’info sur vous en naviguant.
• Ça rend aussi plus complexe (j’ai pas dit impossible) le travail des forces de l’ordre qui vont devoir bosser avec les fournisseurs de VPN pour vous identifier.
• Comme votre trafic web est chiffré jusqu’à la sortie du VPN, votre fournisseur d’accès à Internet va se retrouve bien embêté pour faire de la QoS et limiter la bande passant de certains flux (genre on laisse tout passer vers www.speedtest.net et Netflix, mais dès que c’est du trafic torrents, SSH ou FTP, on limite bien à 1MB/s).

Bref, un VPN « grand public » ça apporte surtout de la souplesse et un renfort de la protection de votre identité. Certains diront « anonymat », je préfère éviter car le VPN concerne la partie réseau uniquement et au final tous les cookies que vous vous trainez dans votre navigateur, eux ils passent nickel dans le VPN et sont analysé normalement tout le monde en face. Pareil si vous vous authentifiez sur le site de votre banque ou votre mail avec un VPN, bah vous n’êtes pas plus anonyme que sans VPN.

Bon, faut quand même je touche un mot sur les services additionnels. La plupart des « gros » VPN du marché sont conscient des « limitations » que j’évoque au-dessus (enfin, ils s’en vantent pas non plus) et ont commencé à proposer dans leur packages des « services complémentaires de protection », par exemple :

• Du blocage du publicité : comme AdBlock Plus ou Ublock Origin, mais directement intégré au niveau réseau (mais bon, installez Ublock, c’est plus efficace et on en parle plus).
• De la protection anti-maliciel (coucou l’ANSSI, j’ai dit a maliciel \o/) : en vrai ça manque un peu de détails sur ce qu’ils font, si ça se trouve, ils bloquent Urlhaus et puis voilà… (bref, installez un antivirus ou un EDR et on n’en parle toujours pas).
• Des suites bureautiques : mail, drive, calendar « sécurisé » : idem ça manque de détails souvent, mais si vous êtes réfractaires aux GAFAM ça reste une alternative possible (et ça on en parle volontiers).
• Des gestionnaires de mots de passe cloud et ça pour le coup, c’est une vraie fonction de sécurité si vous vous en servez correctement (mais prenez un Bitwarden premium en fait, y’a pas mieux selon moi)

Et bon une fois que vous cumulez tout ça, que vous avez compris à quoi ça peut servir, que vous avez 2 ou 3 cas d’usages en tête, et que vous êtes un particulier qui n’a pas envie de tout décortiquer : ça « peut faire sens » de prendre un VPN.

Juste ,’y aller pas en mode : « je prends un VPN et je suis en sécurité » ; mais plutôt en mode « je combine les différents services offerts par mon fournisseur VPN pour mieux gérer ma sécurité et ma vie privée en ligne ». Vous avez l’idée : point de magie en ce bas monde…

Comparaison des services VPN

Du coup, on peut se baser sur quoi pour choisir un VPN. De mon côté j’identifie 5 éléments principaux (en faisant vite, et puis après ça tient plus sur mes doigts de toutes façon) :

• Le pays légal d’appartenance : probablement le plus important car il conditionne à qui et comment la société peut et doit répondre en terme en cas de sollicitation des forces de l’ordre. Selon ce que vous comptez faire avec votre VPN, ça peut être l’élément le plus critique… ou simplement si vous n’aimez pas les paradis fiscaux d’ailleurs. Souscrire à un service basé en Suisse ou au Panama ce n’est pas forcément hyper moral. Ça fait le lien facile avec la Politique de journalisation de votre service VPN : pour garantir votre anonymat votre VPN ne doit conserver aucun log d’activités.
• La crypto : bein oui, on parle quand même de tunnel chiffré ici. Si votre tunnel est en RC4 disons que « cépaouf ». Du coup, là on va viser l’utilisation de protocoles connus et reconnus par la communauté plutôt que de trucs des vendeurs « custom top sécu (mode : ta gueule c’est magique) » que personne a pu contrôler.
• Le prix : on est tous des bons petits consommateurs, c’est facile : on veut le meilleur, pour le moins cher, avec les conditions les plus souples.
• Les perfs : on veut que ça aille vite comme dans fast & furious et qu’on puisse charger les tuyaux comme avec son Kammthaar, avec plein de serveur partout dans le monde pour sortir d’où on veut. Ça, c’est le plus dur à évaluer à mon niveau, il vous faudrait plein de machines pour contrôler plein de sites et protocoles à tester avec différents VPN sur des périodes de temps identiques. Chaud.
• L’ergonomie : faut quand même que môman elle arrive à s’en servir sans vous appeler toutes les 2 heures, que vous ne soyez pas trop limité en nombre d’appareils ou de système supporté.

La mauvaise nouvelle, les deux dernier je peux difficilement les tester moi-même donc il faudra le faire vous-même ou…trouver une source s’y qu’intérresse. Etonnamment j’ai trouvé du monde qui se penche sur les performances des protocoles VPN : OpenVPN, IKEv2 & WireGuard… mais très peu sur les performances des services…

La comparaison

Alors au début, j’étais parti pour vous faire un beau petit tableau avec mes critères. Et puis, en préparant l’article j’ai fini par trouver mon bonheur chez privacytutor.de.

https://www.privacytutor.de/blog/vpn-study

Enfin une vraie étude bien complète, seul défaut la donnée brute, qui est partagé (bien!) dans un format bien bien dégeu et difficilement utilisable (pas bien!)… et y’en a 144 dedans (et c’est en allemand, ça c’est le bonus)

J’avais que ca à faire de tout recopier à la main, mais J’ai une bonne nouvelle, les modèles d’IA sont exactement taillés fait pour analyser ce genre de chose. Chargez donc moi ce pdf dans un ChatGPT pro (ou autres) et posez-lui vos questions !

TL; DR : Je prends quel VPN ? bah ce n’est pas si évident, j’ai essayé de sortir quelques critères minimaux type :

• Pas de journalisation ;
• Support Wireguard obligatoire ; et
• pays de base en dehors des 14 eyes.

A partir de là on peut aller chercher, à la main, que ceux qui coûtent moins de 5€/mois sur 2 ans et couvrir le critère coût.

Conclusion

Bon alors déjà je ne vous dirai pas quel VPN j’ai pris dans ceux au-dessus pour pas me mouiller et me retrouver avec le legal d’un des services sur le dos (je les sent pas joueurs). Par contre je vais vous partager pourquoi j’en ai pris un au final.

En faisant mes tests pour l’article, je me suis rendu compte que mon FAI bridé « comme un porc » mon débit (t’es content de lâcher tes 35-40€/mois pour 1Gb/s et d’avoir ton flux SFTP limité à 8Mb/s) mais bizarrement sur les services grands publique comme Steam ou speedtest, je n’étais pas bridé (coincidence, je ne crois pas…).

Et ça, bah « j’ai pas apprécié » (et cherchez pas un FAI qui ne le fait pas, j’avais les mêmes problèmes avec les 2 derniers…). Bilan des courses, la où je m’attendais à une baisse le performance réseau, j’ai eu un gain non négligeable de ma bande passante (et l’impact sur la latence ne parait « pas mesurable » sur mes tests).

Voili voilou, je me suis retrouvé à faire de bonnes geekeries avec les LLM pour vous faire cet article. Au-delà du service VPN qui comme on l’a vu apporte pas des masses de sécurité finalement. J’ai quand même récupéré ma connexion internet… jusqu’à ce les FAI se mettent à brider le trafic VPN (et à ce moment on trouvera autre chose 😉 ). Byz !