VPNet : le nouveau VPN passé au crible

Une architecture conçue pour dissocier les utilisateurs du trafic

VP.NET LLC présente VP.NET comme un VPN « zero trust » conçu pour empêcher toute association entre les identités, les adresses IP attribuées et l’activité en ligne.

L’entreprise affirme être dans l’impossibilité d’associer une adresse IP et un horaire à un utilisateur actuel ou passé. Elle indique donc ne pas pouvoir conserver ni transmettre ces informations.

Le système utilise Intel SGX, une technologie qui crée une enclave sécurisée au sein des serveurs. Selon VP.NET, une fois le logiciel déployé, même les opérateurs de l’infrastructure, y compris l’entreprise elle-même, ne peuvent en modifier le fonctionnement ni y introduire de mécanismes de surveillance.

Il s’agit des déclarations du fournisseur. Aucun test indépendant n’a été communiqué pour vérifier leur application effective à l’ensemble de l’infrastructure.

Ce que propose le service

VP.NET LLC est contrôlée par ses fondateurs Matt Kim, Mark Karpeles, Roger Ver et Andrew Lee. Les serveurs VPN sont hébergés dans des data centers tiers situés en Allemagne, en France, aux États-Unis, au Royaume-Uni et au Japon.

L’entreprise déclare utiliser ses propres serveurs DNS et empêcher, grâce à son architecture et à des techniques d’obfuscation, toute corrélation entre le trafic entrant et le trafic sortant. Elle ne propose en revanche pas de localisations virtuelles.

Le service prend en charge des protocoles compatibles avec ceux utilisés par WireGuard®, que VP.NET recommande aux utilisateurs. Il inclut également :

• un kill switch ;
• une protection contre les fuites DNS ;
• une protection contre les fuites IPv6 ;
• la prise en charge d’IPv4, mais pas de configuration dual stack IPv4/IPv6 ;
• l’absence, pour le moment, de port forwarding.

Les versions exactes du client, du logiciel serveur et des composants SGX concernés n’ont pas été communiquées.

Abus, DMCA et demandes des autorités

VP.NET affirme ne pas pouvoir surveiller l’activité des utilisateurs. Lorsqu’il reçoit un signalement d’abus valide, le système peut néanmoins intervenir en temps réel pour bloquer le flux de données concerné.

La même procédure s’applique aux notifications DMCA : l’équipe juridique examine la demande et, si elle la juge valide, les systèmes bloquent automatiquement les transmissions associées à ce flux. Selon l’entreprise, ce blocage ne permet pas de retrouver l’identité de l’utilisateur.

VP.NET affirme en outre qu’une demande visant à relier un utilisateur, même inactif, au trafic correspondant serait incompatible avec l’architecture adoptée. Pour obtenir ces données, il faudrait donc, selon la société, une modification législative ou une procédure parlementaire aux États-Unis.

Paiements, assistance et aspects restant à vérifier

Les paiements par carte passent par Stripe, tandis que les cryptomonnaies de tout type, y compris celles axées sur la confidentialité, sont acceptées directement. L’entreprise prévoit également l’introduction de cartes cadeaux de centaines de marques.

VP.NET déclare ne pas relier les données de paiement à l’utilisation du compte ni aux adresses IP attribuées. L’assistance est gérée à l’aide d’outils internes ; pour les e-mails classiques, les utilisateurs peuvent choisir Gmail. Le site intègre également Google Analytics.

La société affirme traiter tout le trafic de la même manière, sans port forwarding et sans associer les flux aux identités. Des vérifications indépendantes restent toutefois nécessaires pour évaluer la configuration réelle des enclaves SGX, la mise en œuvre des kill switches et des protections contre les fuites, ainsi que le comportement observable des clients.

Pour les personnes qui envisagent d’utiliser le service, aucune version vulnérable ni mise à jour corrective à installer n’a été signalée à ce jour. Il reste néanmoins recommandé de vérifier les clients officiels, d’activer le kill switch et de contrôler régulièrement les paramètres DNS, IPv4 et IPv6 depuis un réseau de test.