Lorsque vous ouvrez une application VPN, vous tombez parfois sur un réglage appelé « Protocole », avec des noms comme WireGuard. La plupart des gens n'y touchent jamais, et c'est très bien ainsi. Mais si vous vous êtes déjà demandé ce que signifient ces noms, cet article vous l'explique sans mathématiques ni jargon.

Qu'est-ce qu'un protocole VPN ?

Un protocole, c'est tout simplement un ensemble de règles convenues à l'avance. Votre appareil et le serveur VPN doivent s'entendre sur trois points avant de pouvoir échanger en privé :

  1. Qui est qui. Chaque côté doit être sûr de parler au bon interlocuteur, et non à un imposteur.
  2. Quelles clés secrètes utiliser. Ils ont besoin de clés partagées que personne d'autre ne connaît.
  3. Comment emballer les données. Chaque élément du trafic doit être verrouillé, étiqueté et envoyé de façon que l'autre côté puisse l'ouvrir.

Un protocole VPN est la recette qui couvre ces trois points. Chaque recette fait ses propres compromis entre simplicité, rapidité et apparence du trafic sur le réseau.

Le chiffrement en un paragraphe

Le chiffrement transforme des données lisibles en données brouillées que seule une personne disposant de la bonne clé peut remettre en clair. Le guide Surveillance Self-Defense de l'EFF présente le chiffrement comme un moyen essentiel de protéger l'information contre les personnes malveillantes et les fournisseurs de services, et souligne que, bien utilisé, il est pratiquement impossible à casser. Le chiffrement moderne détecte aussi les falsifications : si quelqu'un modifie ne serait-ce qu'une infime partie d'un message chiffré pendant son trajet, le destinataire s'en aperçoit et le rejette.

Deux sortes de clés entrent en jeu :

  • Les clés publiques et privées. Imaginez un cadenas que vous distribuez librement (la clé publique) et l'unique clé capable de l'ouvrir, que vous gardez pour vous (la clé privée). C'est ainsi que deux inconnus peuvent établir un secret commun sans jamais se rencontrer.
  • Les clés de session. Une fois que les deux côtés se font confiance, ils créent de nouvelles clés temporaires pour les données proprement dites. Elles sont rapides à utiliser et remplacées régulièrement.

Qu'est-ce qu'une « poignée de main » ?

La poignée de main (handshake) est la courte conversation qui ouvre une connexion. C'est le moment où chaque côté prouve son identité et où les deux s'accordent sur les clés de session. Imaginez deux personnes qui se retrouvent dans une gare : elles échangent une phrase convenue d'avance, vérifient l'identité l'une de l'autre, puis passent à une langue secrète qu'elles seules comprennent pour le reste du voyage.

Une bonne poignée de main est rapide, difficile à imiter, et ne révèle les clés à aucune oreille indiscrète.

WireGuard : moderne et volontairement compact

WireGuard a été conçu par Jason Donenfeld et fait l'objet d'un livre blanc public. Son idée maîtresse est de rester petit et simple, car un code simple est plus facile à vérifier. Le site du projet indique qu'il vise à être facile à configurer et à déployer, et qu'il est pensé pour pouvoir être « entièrement relu par une seule personne », sans nécessiter de grandes équipes d'audit.

Voici, en termes simples, ce qui distingue WireGuard :

  • Un ensemble fixe de briques solides. Les anciens protocoles laissent chaque côté négocier parmi une longue liste d'options, ce qui ajoute de la complexité et des risques d'erreur. WireGuard utilise un seul ensemble moderne. D'après sa page consacrée au protocole, cet ensemble comprend ChaCha20 et Poly1305 pour chiffrer et protéger les données, Curve25519 pour s'accorder sur les clés, BLAKE2s pour le hachage et HKDF pour dériver les clés.
  • Une poignée de main fondée sur Noise. La poignée de main de WireGuard repose sur le Noise Protocol Framework, une méthode bien étudiée pour concevoir des échanges de clés. Elle est brève : un message de votre appareil, une réponse du serveur, et le tunnel est prêt.
  • Des clés qui changent sans cesse. La documentation de WireGuard précise que la poignée de main se répète toutes les quelques minutes pour renouveler les clés, ce qui assure une confidentialité persistante parfaite (perfect forward secrecy). Concrètement : même si une clé venait à être volée plus tard, elle ne permettrait pas de déchiffrer le trafic des sessions précédentes.
  • Discret par conception. Un serveur WireGuard ne répond pas aux paquets qui ne prouvent pas qu'ils proviennent d'une clé connue. Pour un scanner non autorisé, le serveur ne répond tout simplement pas.
  • À l'aise avec les appareils en mouvement. Si votre téléphone passe du Wi-Fi aux données mobiles, WireGuard peut maintenir le tunnel depuis la nouvelle adresse sans reconnexion complète.

C'est cette combinaison qui explique pourquoi WireGuard est devenu un choix courant pour les applications VPN modernes.

Où se situe TLS ?

Vous utilisez déjà chaque jour, sans le remarquer, un autre protocole important : TLS, le « S » de HTTPS. Quand le cadenas apparaît dans votre navigateur, c'est TLS qui protège la page. Sa version actuelle, TLS 1.3, est définie dans la RFC 8446. Lui aussi utilise une poignée de main pour s'accorder sur les clés, puis chiffre la conversation.

TLS compte pour les VPN, car certains protocoles VPN sont construits par-dessus. Leur trafic est enveloppé dans le même type de connexion chiffrée que celui des sites web sécurisés ordinaires.

Pourquoi certains réseaux traitent le trafic VPN à part

Le chiffrement cache le contenu d'un paquet, mais chaque protocole garde une silhouette reconnaissable. Pensez à des enveloppes : vous ne pouvez pas lire la lettre, mais vous voyez la taille et la forme de l'enveloppe, ainsi que le rythme auquel les lettres arrivent. Les équipements réseau peuvent examiner ces silhouettes, une technique souvent appelée classification du trafic ou inspection approfondie des paquets (DPI).

Les organisations s'en servent pour de nombreuses raisons. Un réseau d'entreprise peut n'autoriser que certains types de trafic. Le réseau d'un hôtel peut limiter tout ce qu'il ne reconnaît pas. Certains fournisseurs d'accès à Internet gèrent le trafic selon son type.

Comme WireGuard utilise un format de message fixe et compact, ses paquets peuvent être faciles à reconnaître. Ce n'est pas une faiblesse de son chiffrement, qui reste solide, mais cela signifie que certains réseaux peuvent l'identifier, puis le ralentir ou l'arrêter.

C'est pourquoi certains protocoles modernes s'intéressent à l'apparence du trafic, et pas seulement à la manière dont il est verrouillé. Il existe deux grandes approches :

  • Modifier la silhouette. Changer la taille des paquets ou ajouter du remplissage pour que le trafic ne corresponde pas à un motif simple et figé.
  • Utiliser une enveloppe familière. Faire passer le tunnel à l'intérieur d'une connexion TLS, afin qu'il ressemble au trafic web chiffré que la plupart des réseaux traitent déjà.

Dans les deux cas, vos données restent chiffrées de bout en bout entre votre appareil et le serveur VPN. L'objectif est une connexion fiable et privée. Respectez toujours les lois et les règles réseau qui s'appliquent à vous.

Les protocoles des applications VPNRice

VPNRice propose trois protocoles, ainsi qu'un mode Auto :

  • WireGuard. Le protocole standard décrit plus haut. Un bon choix par défaut sur la plupart des réseaux domestiques et mobiles.
  • RiceGuard. WireGuard avec un brouillage supplémentaire des paquets. Il conserve la cryptographie de WireGuard mais modifie la silhouette des paquets.
  • RiceGuardX. Construit sur VLESS avec REALITY, un protocole fondé sur TLS : le tunnel circule donc à l'intérieur d'une connexion TLS.
  • Auto. L'application choisit un protocole pour vous et en change si une connexion ne fonctionne pas.

Les trois protocoles et le mode Auto sont disponibles sur Android et Android TV. Sur iPhone et iPad, le mode Auto n'utilise pas RiceGuardX. L'application Windows propose WireGuard, RiceGuardX et Auto. Les extensions Chrome et Firefox fonctionnent différemment : ce sont des proxys de navigateur qui font passer uniquement le trafic de votre navigateur par les serveurs VPNRice (les sites que vous ouvrez en HTTPS restent chiffrés de bout en bout).

Lequel choisir ?

Pour la plupart des gens, la réponse honnête est : laissez le mode Auto. Si vous voulez expérimenter :

  • Utilisez WireGuard lorsque votre réseau est ordinaire et que vous souhaitez une configuration simple et bien connue.
  • Si la connexion est instable sur un réseau donné, le mode Auto essaiera un autre protocole ; vous pouvez aussi en changer manuellement.

Quel que soit votre choix, l'essentiel ne change pas : un chiffrement solide, une poignée de main rapide et des clés renouvelées régulièrement.

À retenir

  • Un protocole est le règlement que suivent votre appareil et le serveur VPN pour communiquer en privé.
  • La poignée de main prouve les identités et met en place de nouvelles clés.
  • WireGuard est moderne, compact et utilise un ensemble fixe de cryptographie solide.
  • Certains réseaux reconnaissent le trafic VPN à sa silhouette, même s'ils ne peuvent pas le lire.
  • Les protocoles plus récents modifient l'apparence du trafic tout en le gardant chiffré.

Envie de voir ces protocoles à l'œuvre ? Téléchargez VPNRice, ouvrez le réglage Protocole et passez de l'un à l'autre pour voir lequel fonctionne bien sur votre réseau.