VPN : Quand des fournisseurs no-log font fuiter 1 To de data logs…
Je ne sais pas vous, mais quand j’étais petit, mes parents me disaient toujours qu’il ne fallait pas croire tout ce que l’on me disait, et j’ai toujours gardé ce conseil comme une règle dans ma vie personnelle.
Je ne dis pas que je me méfie de tout, ce n’est pas vrai, mais disons que si j’ai le moindre doute sur une info qui me parait un peu étrange, je la vérifie, on a quand même la chance d’avoir accès à beaucoup de choses avec Internet, ça serait dommage de ne pas s’en servir. Et si l’information qui me provoque des doutes n’est pas vérifiable, je me méfie.
Tout ça pour dire, que, même quand vous payez pour un service, il faut tout de même se méfier de ce que l’on vous promet, et nous en avons un brillant exemple ces derniers jours avec l’histoire de certains prestataires VPN, soit disant « No Logs », qui ont fait fuiter 1 Terraoctet de fichier log…
Les logs
Commençons par le commencement pour bien comprendre le problème, qu’est-ce qu’un log dans le contexte d’un VPN, et donc, conséquemment, qu’est-ce qu’un prestataire « no log » ?
Un log, en anglais, c’est un fichier journal, c’est une fonctionnalité présente sur la totalité des serveurs, qu’ils soient serveurs email, web, vpn, ftp… et même sur des périphériques matériels, par exemple votre routeur dispose d’un fichier de logs. Ces fichiers journaux sont de simples fichiers texte, qui vont inscrire ce qui se passe sur le serveur, ligne après ligne.
Imaginons que nous examinions un fichier journal d’un serveur VPN au moment où nous nous y connectons, nous y trouverions, l’adresse IP réelle du client (vous) qui contacte le serveur, l’horodatage de l’opération et l’adresse IP locale attribuée par le serveur VPN à ce client. D’autres fichiers de logs vont eux enregistrer l’activité qui se déroule une fois que vous êtes connecté au serveur.
Il est donc rapide de comprendre que si un prestataire VPN conserve les logs de connexion, c’est-à-dire qu’il est possible de dire que le 11 mars à 12h00 vous étiez (grâce à votre IP) connecté avec l’adresse 10.0.0.2 au serveur situé en Grèce, et les logs d’activité, c’est-à-dire l’IP 10.0.0.2 a fait ceci ou a fait cela à cette date, alors c’est exactement comme si vous n’utilisiez pas de VPN…
En effet, le prestataire peut partager ces données avec on ne sait qui, ou, plus simplement, il peut se les faire dérober. En croisant les logs de connexion et d’activité, on peut dire très simplement à quoi vous avez utilisé le serveur VPN, seconde par seconde.
On ne garde pas les logs
Comme les différents prestataires VPN ont bien conscience que leur service est prisé, entre autre pour l’anonymat, il est vital pour eux, soit de ne pas conserver les logs (au moins d’activité) soit de communiquer sur le fait qu’ils ne les conservent pas. Dans certains pays, les fournisseurs VPN n’ont pas bien le choix et ils doivent être en mesure de pouvoir fournir à la justice des fichiers journaux en cas de commission rogatoire. Et pourtant, ça n’empêche pas certains de jurer leur grand Dieu qu’aucun fichier de Log n’est conservé.
Alors je vais vous dire une ou deux choses… j’ai déjà travaillé pour un fournisseur VPN assez connu, et je peux vous certifier, que quel que soit ce qui est indiqué par votre prestataire, au moins les logs de connexion sont conservés… tout simplement pour pouvoir gérer les clients.
En ce qui concerne les logs d’activité, c’est autre chose, certains fournisseurs ne les conservent réellement pas. Avec un log de connexion, la seule chose qui pourrait être prouvée, en cas de souci, c’est que tel jour à telle heure, vous étiez connecté à un serveur VPN, ça ne constitue pas une preuve de ce pour quoi vous vous en êtes servi.
Zero Log
Pas mal de fournisseurs VPN revendiquent le Zero Log, afin, bien évidemment, de rassurer leurs utilisateurs. Oui mais voilà, ils ne sont pas tous réellement zero log, comme a pu s’en rendre compte le chercheur en sécurité informatique Bob Diachenko, qui a découvert 1 To de Log sur un serveur Elasticsearch… 1 To accessible à tous ceux qui auraient voulu s’en donner la peine. Ces fichiers de log sont ceux de 7 fournisseurs VPN différents…
>>Voir mon classement des meilleurs VPN<<
Vous voulez des noms ? UFO VPN, Fast VPN, Flash VPN, Free VPN, Rabbit VPN, Secure VPN, et Super VPN… tous des « petits » prestataires, mis à part peut-être UFO VPN qui a tout de même quelques utilisateurs.
Et c’est d’ailleurs lui, UFO VPN qui détient la palme dans cette fuite, puisque, sur 1 To, près de 900 Giga concernent ses clients. Dans ces fichiers journaux, on pouvait retrouver les IP réelles des clients, les identifiants et mots de passe des comptes, les pays de connexion préférés, et même les services ayant été consultés une fois connecté au VPN. On est bien loin du zero log, c’est même plutôt tout l’inverse ici.
FAI ou VPN
Quand on passe par un VPN, on remet l’intégralité de ses données personnelles, à une entité tierce, en lieu et place de les confier à son FAI. Quand vous êtes connecté à un VPN, tout ce qui est normalement visible par votre FAI devient visible par le serveur VPN.
C’est donc principalement une question de confiance. C’est pourquoi, et nous l’avons souvent répété, il est primordial de choisir un fournisseur VPN payant, connu, ayant pignon sur rue et possédant de bons avis et beaucoup d’utilisateurs. C’est bête à dire mais c’est important de le comprendre, un petit prestataire gratuit vendra ou laissera fuiter vos données dans presque tous les cas.
Le zero log n’existe pas, ou peu, les logs de connexion sont conservés, que vous le vouliez ou non, et les logs d’activité le sont parfois également même si votre prestataire prétend le contraire. Soit qu’il n’ait pas le choix, soit qu’il utilise ces données pour créer des profils statistiques qui sont ensuite vendus.
N’oubliez pas, les promesses n’engagent que ceux qui y croient…
