Ils veulent interdire les VPN ? Voici comment leur échapper en 30 minutes

On n'arrête pas le progrès technique avec la réglementation. Les VPN sont des dispositifs de sécurité critiques mais obsolètes sous leur forme actuelle.

Image réalisée par Grok

Un Virtual Private Network (VPN) ou réseau privé virtuel, est une technologie qui créé un tunnel chiffré entre votre appareil et un autre, généralement un serveur. Non seulement il est impossible de contrôler l’accès à cette technologie, mais ce n’est non plus pas souhaitable pour des raisons de sécurité.

Bloquer toutes les adresses IP de VPN et de proxies connues est techniquement impossible, car les fournisseurs ajoutent constamment de nouvelles adresses et il n'existe aucune liste exhaustive, aucun annuaire. Ces rajouts constants d’adresses IP publiques sont un élément central de la sécurité qu’apportent les VPN.

Il est très facile de contourner ce type de règlementation, comme par exemple la loi que vient d’adopter l’Etat de l’Utah, qui interdit l’accès aux mineurs aux services VPN commerciaux et considère qu’un utilisateur accède à un site depuis l'Utah s'il s'y trouve physiquement, même s'il utilise un VPN, un proxy ou tout autre outil pour masquer sa localisation.

Parfaitement absurde puisqu’alors il faudra prouver que l’utilisateur était bien physiquement dans l’Utah au moment de la connexion et qu’à partir du moment où l’on se trouve physiquement dans l’Utah, on est de toute manière soumis aux lois de cet Etat. Comprendre qu’une infraction numérique commise en Utah à partir d’un serveur situé dans un autre Etat ou à l’étranger est commise dans l’Utah, bien évidemment.

Petite démonstration de la vacuité de toutes ces tentatives technocratiques de contrôler ce qui ne peut pas l’être.

Comment un VPN fonctionne-t-il ?

Normalement, quand vous naviguez sur Internet, votre connexion passe directement par votre fournisseur d’accès (FAI), qui peut surveiller vos activités et en France conserve tout pendant un an. Avec un VPN :

1. Vos données sont chiffrées sur votre appareil

2. Elles transitent par un serveur VPN (souvent dans un autre pays)

3. Ce serveur se connecte à Internet à votre place

4. Votre FAI ne voit pas l’adresse IP du serveur VPN ni vos activités en ligne, juste le tunnel chiffré.

À quoi ça sert ?

• Confidentialité : masque votre adresse IP réelle et vos activités en ligne

• Sécurité : protège vos données sur les réseaux Wifi publics (cafés, aéroports, universités etc…)

• Contournement géographique : accéder à des contenus bloqués dans votre pays (ex. : certaines plateformes de streaming)

• Télétravail : accéder au réseau interne d’une entreprise à distance avec la même sécurité qu’un réseau câblé traditionnel.

Le VPN ne vous rend pas anonyme à 100%, le fournisseur VPN peut voir votre trafic - d’où l’existence de VPN dit “no log”, c’est à dire ne conservant aucune trace de votre activité, comme Proton et Mullvad.

Preuve que les eurocrates n’entendent décidément rien à la technique et sont complètement dépassés par ces avancées? Le VPN tel qu’il est vendu aujourd’hui, comme une conduite chiffrée entre votre appareil et Internet, est obsolète. Il est remplacé, surtout dans les entreprises, par ce qu’on appelle des Zero Trust Networks - des réseaux zéro confiance - qui permettent de créer des réseaux 100% souverains .

Prenons l’exemple de Headscale (le serveur) et Tailscale (le client), qui permettent grâce au protocole WireGuard de créer un réseau maillé (mesh) 100% sécurisé et chiffré, avec ces trois logiciels libres, donc gratuits.

Par réseau “mesh” est entendu un réseau dans lequel a priori tous les éléments ont accès les uns aux autres. Cela présuppose que chaque utilisateur/appareil soit identifié - identification à deux facteurs avec un jeu de clés cryptographiques propriétaires qui sont renouvelées régulièrement- et se voit allouer d’une adresse IP privée propre au réseau. C’est pour cela qu’on parle de réseau souverain, puisque l’ensemble des appareils participant au réseau font partie d’une bulle isolée du monde extérieur et que l’ensemble des communications, mêmes internes, sont chiffrées de bout en bout- et que vous contrôlez tout.

Mais bon, être isolé du monde n’est pas non plus bonne chose et on ne veut pas forcément que tous les appareils aient accès à l’ensemble du contenu des autres. C’est pourquoi il faudra à la fois définir un ou plusieurs points de sortie du réseau mesh vers l’internet et édicter des règles définissant les privilèges d’accès de chaque utilisateur aux données et services des autres comme à certaines parties du réseau.

L’avantage des réseaux zéro confiance en matière de sécurité est qu’un attaquant qui aura réussi à accéder au réseau ne pourra pas s’y déplacer librement, ce qui n’est pas le cas avec les VPN traditionnels.

L’activité de chaque utilisateur sur le réseau souverain est en permanence surveillée, son accès au réseau et les privilèges d’accès également, d’où le nom de “zéro confiance”.

En résumé, un réseau zéro confiance souverain c’est:

• Vérification de l’identité : chaque utilisateur doit prouver qui il est à chaque accès (authentification multifacteurs, MFA);

• Moindre privilège : chaque utilisateur n’accède qu’aux ressources strictement nécessaires;

• Micro-segmentation : le réseau est divisé en petites zones isolées pour limiter la propagation d’une attaque;

• Surveillance continue : chaque action est enregistrée et analysée en temps réel;

• Vérification des appareils : l’appareil utilisé est aussi contrôlé (est-il à jour ? sain ?).

Et vous faites tout cela vous-même, sans surveillance possible d’un acteur extérieur. Vous êtes souverain, seul maître en votre demeure.

Alors vous nous direz que vous n’êtes pas une entreprise, que vous n’avez qu’un ordinateur, qu’un téléphone et une tablette et que vous ne voyez pas l’intérêt d’un bazar pareil.

Détrompez-vous. Prenons l’exemple d’une famille de quatre personnes, chacune disposant d’un ordinateur et d’un téléphone portable. Vous louez un VPS (serveur virtuel privé) pour 5-10 euros par mois hors de l’Union européenne. Vous y installez le serveur Headscale et sur chaque appareil le client Tailscale, et vous configurez le réseau mesh pour que le seul point de sortie vers l’internet soit le serveur Headscale (ou un autre appareil) - et si vous voulez vraiment en rajouter une couche, vous installez également sur le point de sortie un VPN classique qui va se connecter aux serveurs les plus rapides hors Union européenne en masquant son adresse IP publique.

L’ensemble des appareils du réseau ne pourront par conséquent accéder à internet que par le ou les points de sortie que vous aurez définis, points de sortie que vous pourrez vous amuser à changer à votre guise. Vu les débits actuels de la fibre et de la 4G/5G, largement suffisants pour que quatre personne streament en HD simultanément. Vous contournez donc de manière parfaitement légale et surtout souveraine toutes les interdictions que les technocrates pourront décréter, et vous détenez la maîtrise totale de votre trafic, de vos activités, de vos données et de vos métadonnées.

Autre bénéfice: vu le trafic très faible que vous allez générer, vous passerez sous les radars de la surveillance de masse, qu’elle soit étatique ou privée - et personne n’aura accès à vos activités en ligne puisqu’elles ne seront pas stockées chez votre FAI, mais sur votre serveur (si vous le souhaitez. Vous pouvez également choisir de ne rien conserver du tout). Il faudra donc une commission rogatoire pour y accéder, et puisque votre serveur ne sera pas situé au sein de l’UE, une commission rogatoire internationale. Vous imaginez le coût de l’opération pour les services de l’Etat?

Et puisqu’il s’agit d’un serveur privé non commercial, toutes les dispositions légales et réglementaires qui s’appliquent aux services en ligne ne s’y appliqueront pas.

Cela s’installe en 30 minutes sans compétence technique particulière. Si vous ne savez pas, vous demandez à l’IA, elle vous dira et vous fournira tous les scripts et procédures nécessaires à copier-coller (à partir du moment où vous avez précisément défini la structure de votre réseau et que vous savez utiliser un terminal et des lignes de commandes). La preuve: architecture réseau réalisée par l’IA Claude.

Et voici le début d’un script écrit par Claude pour l’installation de ce réseau. On a testé: ça marche sans aucun accroc. Pour ça, l’IA est redoutable.

Ca, c’était pour l’aspect technique. Passons maintenant à l’aspect juridique.

---

La seule règle qui prévaut en droit international est celle du point d’origine. Elle stipule qu’un serveur ou un service internet doit respecter la loi du pays où il est physiquement situé, donc quelle est la juridiction applicable aux données, communications et services numériques. On voit mal Singapour, les USA, l’Afrique du Sud, la Chine etc. accepter que l’Union européenne leur impose sa réglementation sur leur territoire.

C’est pour cela que l’interdiction des sites pornographiques aux mineurs est si facile à contourner avec un VPN - comme le sera celle de l’interdiction de réseaux sociaux aux moins de 15 ans - parce que le serveur par lequel vous vous connectez à internet applique la loi du pays dans lequel il est localisé.

Maintenant imaginez qu’au lieu de payer pour un service VPN vous créiez le vôtre, propriétaire, souverain, comme l’avons décrit ci-dessus: impossible à réglementer puisque, possédant vos appareils, vous faites ce que vous voulez avec. A moins bien sûr de considérer qu’opérer son propre réseau souverain est illégal, ce qui serait illégal en droit national, européen et international.

La réglementation et les interdictions à outrance auront une autre conséquence délétère: l’émergence d’une économie noire. Car enfin, qu’est-ce qui empêcherait un gamin féru d’informatique de déployer l’infrastructure exposée ci-dessus et d’en revendre l’accès à quelques camarades de classe contre espèces, au noir - un peu comme les magazines porno circulaient dans tous les collèges et lycées avant l’avènement de l’internet? Regardez simplement l’énorme business des faux passes vaccinaux durant la Covid, et mesurez la taille du marché des fausses identités numériques si jamais cette mesure imbécile était imposée.

Nous nous épuisons à le démontrer depuis plus de deux ans: ce que recherchent la Commission européenne et les Etats membres n’est pas la censure, mais la surveillance de masse permanente et en temps réél. Ils cherchent à contourner son interdiction stricte par les traités européens, et surtout par la jurisprudence de la Cour de justice de l’UE, qui a force de loi. Une jurisprudence se révise bien plus difficilement qu’un traité et on ne peut pas réviser un traité en passant outre la jurisprudence.

Comment contrôler le discours et les activités en ligne de 450 millions de personnes vivant dans l’EU sans surveillance de masse? Ce qui obsède ces technocrates maniaques du panoptique n’est pas la majorité de la population, mais les 10 à 20% qui résistent et la génération des zoomers, née avec internet, les smartphones, les messageries cryptées et les VPN (ne serait-ce que pour dégéobloquer les plateformes de streaming) et qui pourront tous voter en 2027. Ou bien des personnes et des organisations dont les opinions sont considérées comme dangereuses pour les pouvoirs en place (ce qui est également illégal depuis 1974 en vertu de la jurisprudence Handyside de la Cour européenne des droits de l’Homme). Vous voyez, tous ceux qui font capoter les uns après les autres leurs projets liberticides du seul fait de leur résistance?

Plus Bruxelles resserre son emprise, plus les gens lui glisseront entre les doigts — soit en devenant souverains, soit en passant dans la clandestinité. La réglementation n’élimine pas le “problème”. Elle en créé un plus décentralisé et plus incontrôlable.