Securitywatch: à quel point votre vpn étranger est-il dangereux?

À la fin du mois de mai, une histoire a été relatée que je ne cesse de répéter. Il a raconté comment les membres du Congrès américain avaient beaucoup critiqué la menace posée par les VPN étrangers . Les législateurs craignaient que si vous utilisiez un VPN étranger , un gouvernement étranger pourrait écouter votre activité. Les sociétés étrangères , a-t-il affirmé, pourraient être plus sensibles aux pressions de gouvernements étrangers et que ces VPN étrangers pourraient transmettre des informations personnelles, voire le contenu de vos activités en ligne.

Cela pourrait être vrai, mais il n'en est pas moins vrai pour les VPN domestiques. Un VPN crée une connexion cryptée entre votre appareil et un serveur contrôlé par la société VPN. Votre trafic traverse le tunnel, le dissimulant des réseaux de surveillance sur votre réseau local et de votre fournisseur d'accès à Internet - ce qui, ironiquement, selon le Congrès, peut vous espionner pour un profit. Lorsque votre trafic atteint le serveur VPN, celui-ci quitte Internet avant de faire le trajet de retour.

Cela met effectivement les VPN dans le rôle de votre fournisseur de services Internet, dans la mesure où ils peuvent potentiellement voir tout ce que vous faites en ligne. C'est l'une des grandes préoccupations concernant les VPN en tant qu'industrie, et c'est vrai pour tous les VPN. Un VPN basé aux États-Unis pourrait écouter votre activité, transmettre vos informations à la police américaine ou succomber aux pressions des services de renseignement américains. Ce sont les risques liés à l'utilisation d'un VPN, et ils ne sont pas sensiblement modifiés en déplaçant simplement les bureaux de cette société dans un fuseau horaire différent.

Emplacement, emplacement, emplacement

Les VPN sont fondamentalement des outils de protection de la vie privée. S'ils font un mauvais travail en protégeant la vie privée des clients, ils espèrent faire un mauvais travail en concurrence sur le marché. En fait, le discours (souvent discutable) sur les sociétés VPN consiste à savoir si elles maintiennent réellement la confidentialité de vos informations. Les VPN cherchent généralement à au moins se positionner en tant que gardiens de confiance de vos informations, généralement en définissant une stratégie d'entreprise interdisant la collecte d'informations utilisateur, en publiant une politique de confidentialité expliquant les détails et en intégrant la confidentialité dans leur produit réel. Une tendance récente est que les entreprises commanditent des audits de leurs produits par des tiers, afin de renforcer les allégations de fiabilité.

À titre d'exemple des types de démarches entreprises par les services VPN pour assurer votre confidentialité, Private Internet Access vous attribue un ID utilisateur lorsque vous créez un compte. Ceci est distinct des informations que vous fournissez pour traiter votre paiement d'abonnement. Si cela fonctionne correctement, cela signifie que la société ne pourra pas identifier un utilisateur individuel, même si la loi l’y oblige ou si les forces de l’ordre saisissent ses serveurs.

Les VPN existent souvent dans plusieurs endroits à la fois. AnchorFree, la société à l'origine du VPN Hotspot Shield, est basée en Californie et possède un bureau à Zurich, en Suisse. La société affirme opérer sous la juridiction des États-Unis et de la Suisse. Est-ce un VPN étranger ? Le produit d'AnchorFree est largement renommé et vendu par d'autres sociétés, certaines basées aux États-Unis et d'autres non. S'agit -il de VPN étrangers ?

Les sociétés VPN ont souvent des bureaux dans un pays alors qu'elles opèrent sous la juridiction légale d'un autre. Les sociétés VPN gèrent également des parcs de serveurs dans le monde entier. N'importe lequel de ces emplacements peut être différent de celui où la société VPN est sous juridiction légale.

Cela dit, la compétence juridique importe, car c'est dans ce cadre que vos données seront protégées. En ce qui concerne les îles Vierges britanniques, les sociétés VPN ont expliqué que les forces de l'ordre locales n'accepteraient pas simplement des mandats émis par d'autres gouvernements. Au lieu de cela, ces mandats doivent franchir des étapes supplémentaires avant de pouvoir être appliqués à une société située dans les îles Vierges britanniques. De même, des sociétés VPN implantées dans des pays comme l'Allemagne et la Suisse ont mis l'accent sur les lois strictes de ces pays en matière de confidentialité.

Il convient de noter ici qu’il est difficile de vérifier que le fait d’utiliser un service dans un emplacement particulier contribuera réellement à la sécurité de vos données.

L'un des moyens par lesquels les VPN cherchent à protéger leurs clients et à se vendre eux-mêmes consiste à localiser leur entreprise. NordVPN, par exemple, est basé au Panama, ce qui en fait une publicité pour la protection de la vie privée et la sécurité des clients en raison de la législation locale. ProtonVPN tient à préciser qu’il est suisse. Lorsque j'examine un VPN, j'énumère généralement son emplacement et sa juridiction légale avec les protocoles VPN et la politique de confidentialité, car effectivement, l'emplacement d'une société VPN est une autre caractéristique.

L'emplacement peut aussi avoir une valeur émotionnelle. Certains lecteurs m'ont dit qu'ils ne pouvaient pas faire confiance aux entreprises basées en Europe de l'Est, en raison de leur association avec des groupes de piratage russes. D'autres m'ont dit que tout VPN basé aux États-Unis est inacceptable à cause de l'historique de surveillance de masse de ce pays. Les VPN basés à Hong Kong (en tant que semi-distincts de la Chine continentale) sont souvent attaqués avec des accusations selon lesquelles l'Etat de surveillance doit les maîtriser étroitement. Beaucoup avancent un argument similaire contre l’autorisation de Huawei de fournir des équipements d’infrastructure Internet.

Ces sociétés s'opposent souvent à l'argument selon lequel les règles spéciales de la ville en font un excellent emplacement pour les données privées.

En fait, il est fort probable que les États-Unis mènent l'une des opérations de surveillance et de collecte de données les plus agressives au monde. Les entreprises de médias sociaux reçoivent parfois des lettres de sécurité nationale du DHS, qui les obligent à transmettre des informations et à ne pas divulguer ce qu'elles ont fait. La NSA a exploité ce qui est peut-être la plus grande opération d'interception de données que le monde ait jamais vue, une opération qui a touché les citoyens américains ainsi que des cibles à l'étranger.

En outre, la NSA a été accusée de tirer parti de la position critique des États-Unis dans l'infrastructure de données, des lignes par lesquelles le trafic Internet mondial circule et de le copier en temps réel - peut-être ironiquement, étant donné que les États-Unis avancent le même argument. contre Huawei, comme mentionné ci-dessus. Sans parler des accords de partage d’informations qui permettent à de nombreux pays alliés, y compris les États-Unis, d’échanger des renseignements quel que soit leur emplacement. Compte tenu de tout cela, il est difficile de discuter avec des personnes qui considèrent les sociétés VPN basées aux États-Unis comme un risque potentiel.

Cela compte (et ne compte pas)

Si tout fonctionne correctement, il devrait y avoir peu de différence entre un VPN étranger et un autre ayant tout ou partie de ses bureaux aux États-Unis. Le calcul qui fait fonctionner le cryptage ne respecte pas les frontières. De même, les mesures visant à protéger la confidentialité et la sécurité des utilisateurs sont bien comprises et peuvent être mises en œuvre n’importe où. De nombreuses entreprises de réseaux privés virtuels choisissent où baser leurs entreprises afin de bénéficier des lois locales sur la protection de la vie privée, ou peut-être de faire appel à une réaction émotionnelle des consommateurs.

• Dénigrement, désinformation et mauvais journalisme: l'état de l'industrie du VPN Déracinement, la désinformation et du mauvais journalisme: état de l'industrie du VPN
• La confidentialité en ligne est un droit, pas un luxe La confidentialité en ligne est un droit, pas un luxe
• Pour sauver Internet, il faut rompre pour sauver Internet, il faut rompre pour Internet

Ce qui compte, c’est que les sociétés VPN ne chiffrent pas les choses correctement ou que, par ignorance ou par volonté, elles ne suivent pas les meilleures pratiques en matière de protection de la vie privée de leurs utilisateurs. Un VPN mal sécurisé peut être étranger , mais il pourrait également être basé dans la même rue que moi. Au lieu de s’interroger sur le siège des entreprises ou sur leurs «valeurs», le Congrès devrait soutenir les méthodes permettant aux utilisateurs et aux chercheurs de vérifier les déclarations des entreprises de réseau privé virtuel.

Le secteur de la sécurité regorge de marketing axé sur la peur, l’incertitude et le doute, collectivement appelés FUD. Une longue discussion sur les VPN étrangers dans les salles du Congrès tombe dans cette catégorie, en particulier lorsque le groupe conclut que les menaces, quelles qu'elles soient, sont minimes. FUD a toujours un but, et au lieu de demander où est le meilleur endroit pour mettre un VPN, nous devrions peut-être nous concentrer sur les raisons pour lesquelles cette conversation a eu lieu.