Un billet pour sortir des
malwares et virus mais pour rester dans la sécurité, billet que je voulais faire depuis un moment.
Suite à la loi Hadopi pondue par nos non-représentants… Sur les forums,
blogs etc, on voit souvent comme contre mesure, des conseils
d’utilisation de VPN.
Le but de ces services
VPN est d’utiliser d’un serveur
VPN comme passerelle afin de masquer son IP au service auquel on se connecte.
L’internet se connecte au serveur VPN et redirige tout son traffic via le
VPN,
la connexion vers les services (connexion WEB, HTTP etc) sera effectuée
par le serveur VPN et non plus par l’internaute, le serveur en face
verra donc l’IP du serveur VPN et non celle de l’internaute.
Dans le
cas d’Hadopi, les connexions P2P seront donc effectuées par le VPN et
les ayants droits ne pourront plus relever les adresses IP pour
alimenter la machine interfanale Hadopi.
Comme par le passé, j’avais fait un article sur les bonnes mauvaises idées
de l’utilisation des proxys pour se rendre (soit disant anonyme).
Ce billet tient à présenter les dangers des VPN qui sont au final les mêmes que celle des proxys.
J’ai simulé un VPN à partir d’un
OpenVPN sur une machine de chez moi qui a un pied sur la toile via une connexion Orange/Wanadoo.
Je me connecte depuis un PC sous Windows à partir d’un wifi public, en l’occurrence FreeWifi pour simuler l’internaute.
Comprendre le VPN
Le
but étant donc de se connecter à mon serveur VPN depuis la connexion
FreeWifi, un peu comme un internaute va se connecter avec sa connexion
internet vers un serveur VPN et rediriger tout le traffic vers ce VPN.
Ce dernier va établir alors les connexions aux services demandés via du
NAT.
Le schéma ci-dessous résume la connexion :
Ci-dessous, la connexion en FreeWifi, l’adresse IP retournée est bien celle de Free.
Vous pouvez aussi lire la page :
Qu’est-ce-qu’un VPN
VPN et Sécurité
On
lance la connexion vers le serveur OpenVPN – les routes se mettent, les
petites télé dans le systray sont vertes qui stipules que la connexion
VPN est OK.
On rafraîchit la page et notre IP est bien chez Orange/Wanadoo.
La connexion vers internet passe donc bien via notre serveur VPN qui en réalité établie pour nous la connexion.
Côté Serveur – on peux lister les connexions natées.
Ici la source 10.8.0.4 est l’adresse IP de notre client VPN,
destination sont les serveur WEB (port 80) contenues sur la page
adresseip.com (174.120.0.154).
Comme vous pouvez déjà le voir, lister les connexions établies se fait très facilement.
Ensuite que se passe-t-il si on se connecte à des services dont
l’authentification est non cryptées, par exemple Facebook ou le forum CommentCamarche ?
et bien même chose…. on récupère les informations en sniffant très facilement.
Ci-dessous la requête POST vers commentcamarche.net avec en paramètre le login et le pass :
et ci-dessous le cookie d’authentification de la requête POST de Facebook.
Comme vous pouvez le constater, récupérer des informations issues des connexions non cryptées est vraiment très simple.
Le problème est identique à celui de l’utilisation des proxys qui permet au final
des attaques man in the middle .
Etant donné que la connexion passe un tiers, ou en réalité, c’est le
tiers qui établie la connexion pour vous, ce dernier peux tout voir dès
lors que la connexion au service n’est pas cryptée.
Tout ça pour
en venir au fait, qu’il faut vraiment faire attention, dans le cas où
vous souhaitez utiliser ces services, à quelle service vous souscrivez.
De par les désirs de filtrage qui émergent ces dernières années, les
solutions de VPN ont le vent en poupe, dans ces solutions, il y aussi
bien sûr des arnaques – comme des services fantômes :
SuperVPN : mon oeil !Récupérer
le trafic est assez simple, on peux donc imaginer des services VPN qui
revendent des informations récupérées (adresse email etc) ou même des
solutions VPN issus de la cybercriminalité pour voler des informations.
Conclusion et liens connexes
Comme
recommandé, avant de souscrire, faites des recherches sur la société
qui propose le service, lisez bien les conditions d’utilisation etc et
si vous ne savez pas qui ou quoi se cache derrière une solution
proposée, ne souscrivez pas.
Soyez vigilant.
REF.:
