« Obfuscation » est l’un de ces nombreux anglicismes importés dans le vocabulaire de l’informatique, et plus particulièrement chez les meilleurs VPN. On parle aussi d’obscurcissement pour les puristes de la langue de Molière (bien qu’ils ne soient pas nombreux dans la tech), mais commençons par la définition du mot :
Dans le cas de l’obfuscation VPN, c’est la première définition qui s’applique le mieux : le trafic du VPN se fait passer pour autre chose afin de cacher sa vraie nature. La seconde concerne l’obfuscation de code, un autre usage du mot. Dans un contexte d’attaques régulières contre les VPN, de l’arsenal législatif coercitif à l’interdiction pure et simple, l’obfuscation est une méthode à connaître puisqu’elle permet de passer outre les restrictions et la surveillance du trafic internet.
En Russie, le régulateur Roskomnadzor bloque depuis 2023 des protocoles VPN entiers, comme WireGuard, L2TP et OpenVPN. Il s’appuie sur l’inspection approfondie des paquets (DPI) des équipements installés chez les fournisseurs d’accès, a rapporté Mediazona. Un VPN classique y est reconnu à la seule forme de son trafic. L’obfuscation sert justement à masquer cette signature.
L’obfuscation VPN est une fonction qui camoufle le trafic d’un VPN pour qu’il ressemble à du trafic internet ordinaire, le plus souvent du HTTPS. Le fournisseur d’accès, un pare-feu d’entreprise ou un système de censure d’État voient toujours des données chiffrées, mais ne reconnaissent plus la signature d’un protocole VPN comme OpenVPN ou WireGuard, et ne peuvent donc plus la bloquer.
Pour comprendre, il faut revenir au fonctionnement d’un VPN : un tunnel chiffré entre un appareil et un serveur VPN afin de dissimuler le trafic internet. Le FAI (Fournisseur d’Accès Internet) ne voit qu’un flux de données chiffrées tandis que le site de destination ne perçoit que l’adresse IP du serveur VPN qui sert d’intermédiaire entre l’appareil et Internet.
Le contenu des activités en ligne est chiffré, mais l’usage du VPN, lui, reste visible. Même si un FAI ne peut déchiffrer les données dissimulées par un VPN, il est tout à fait en mesure de savoir si l’on utilise un VPN ou non. Si le trafic VPN est reconnaissable, il peut être bloqué par les filtres réseaux du « Grand Firewall » chinois par exemple, ou par toute autre mesure de blocage des VPN.
L’obfuscation répond à ce problème. Bien que cette fonctionnalité soit parfois surnommée « VPN furtif », elle n’invisibilise pas le trafic VPN. L’obfuscation sert à camoufler le trafic VPN de façon à le faire passer pour du trafic internet ordinaire et ainsi contourner les filtres réseaux et les DPI (inspection approfondie des paquets) en plus d’augmenter son niveau de confidentialité.
Un fournisseur VPN peut obfusquer un trafic internet de différentes manières, avec certains protocoles VPN propriétaires mêlant WireGuard ou OpenVPN avec une couche de chiffrement SSL ou TLS supplémentaire qui camoufle le tunnel VPN, brouille la présence de protocoles connus ou fait passer le VPN par des ports courants, comme le port 443 du HTTPS, ou par des ports tirés au hasard. En dehors des protocoles propriétaires, voici les principaux outils pour obfusquer un trafic internet :
Un serveur VPN obfusqué sert d’abord à contourner la censure. La plupart des outils d’obfuscation VPN, comme Shadowsocks ou Obfsproxy, ont été développés afin de contourner la censure internet appliquée par les régimes autoritaires (Chine, Corée du Nord, Iran, Russie, Arabie Saoudite, Égypte, etc.) et surtout leurs filtres réseaux qui détectent le trafic VPN. Si on est amené à voyager dans un de ces pays, un serveur VPN obfusqué est un outil à la fois utile et discret pour reprendre contact avec le monde extérieur. Selon les pays, l’usage des VPN y est toutefois restreint, voire interdit, même si les autorités se montrent parfois plus coulantes avec les touristes.
Utiliser un serveur VPN obfusqué permet également d’élever son niveau de confidentialité en ligne. Même dans les régimes démocratiques comme en France ou aux États-Unis, le trafic internet fait l’objet d’une surveillance par les FAI. Les profils à risque comme les journalistes, les opposants politiques ou les militants associatifs ont tous un intérêt à recourir à l’obfuscation afin de ne pas attirer l’attention.
Enfin, certains sites bloquent l’accès aux utilisateurs de VPN. Un serveur obfusqué n’y change pas grand-chose : ces sites repèrent surtout l’adresse IP du serveur VPN, inscrite sur des listes noires, alors que l’obfuscation ne camoufle que le trafic entre l’appareil et le serveur. C’est par exemple le cas de certaines plateformes de SVoD qui mettent en place un géoblocage. Rappelons toutefois que contourner ce géoblocage représente une violation des CGU de la plateforme.
À lire aussi : Utiliser un VPN est-il 100 % légal en France ? Des spécialistes répondent à nos questions
L’obfuscation présente plusieurs avantages en matière de confidentialité et de liberté de navigation. L’obfuscation permet de :
L’obfuscation a cependant certaines limites à prendre en compte et qui peuvent même devenir contraignantes pour certains usages :
NordVPN, Surfshark, ExpressVPN, Proton VPN, VyprVPN, IPVanish et X-VPN proposent tous l’obfuscation, mais pas de la même façon : certains l’activent par défaut, d’autres demandent de choisir un protocole ou des serveurs dédiés. Nous avons publié un avis détaillé sur chacun d’eux, sauf X-VPN (liens ci-dessous) :
Chez certains fournisseurs, l’obfuscation n’exige même pas d’abonnement payant. Proton VPN donne accès à Stealth dans son offre gratuite. X-VPN ouvre ses protocoles Everest aux utilisateurs gratuits, sauf la version Everest TLS-3, réservée à l’offre payante.
Oui, l’obfuscation ajoute une couche de traitement supplémentaire (chiffrement ou brouillage des en-têtes de paquets) qui augmente la latence et réduit le débit par rapport à un protocole VPN classique.
L’impact varie selon la technique utilisée : un brouillage XOR léger coûte entre 0 et 5 % de débit, Shadowsocks autour de 5 à 15 %, et les approches par enveloppement TLS (comme Stealth de Proton VPN) jusqu’à 15 à 30 %. Sur un réseau rapide, la différence reste souvent imperceptible.
Pas vraiment. Netflix repère surtout les VPN grâce aux adresses IP de leurs serveurs, qu’il inscrit sur des listes noires. L’obfuscation ne change pas cette adresse : elle camoufle seulement le trafic entre l’appareil et le serveur VPN.
Non. Sur un réseau qui laisse passer les VPN, un protocole classique comme WireGuard reste plus rapide. L’obfuscation sert surtout sur un réseau qui bloque les VPN : pays qui pratique la censure, réseau d’entreprise ou d’établissement scolaire.
Et le second meilleur moyen de nous donner un coup de pouce, c’est d’ajouter Frandroid à vos sources préférées sur Google.
Journaliste Services @ Frandroid, je m'occupe de l'actualité chaude et des dossiers froids sur les télécoms, les VPN et bien d'autres domaines, quand je ne suis pas plongé dans un livre, sur un jeu AAA ou indé ou à tester des recettes trouvées sur Insta. Membre de la secte des grimpeurs en bloc.
C'est enregistré ! Surveillez votre boîte aux lettres, vous allez entendre parler de nous !
