VPN : les protocoles de chiffrement

PPTP

PPTP signifie Point to Point Tunnelling Protocol, c’est celui que vous devez éviter à tout prix.

Il est vieux et a trop de problèmes de sécurité pour être utilisé aujourd’hui. Si vous voulez un accès VPN pour vous protéger, ça n’aurait aucun sens de choisir le protocole PPTP pour chiffrer votre connexion, cela revient à ne rien mettre du tout (ou presque).

Pourquoi est-il encore proposé alors ? Car c’est un protocole populaire qui a été implémenté dans Windows sous différentes formes depuis Windows 95. Bon, il a quand même quelques avantages : il est facile à configurer et les clients PPTP sont intégrés dans la plupart des systèmes d’exploitation, y compris Windows.

→ Conclusion : PPTP est vieux et vulnérable, et même s’il est intégré dans beaucoup de systèmes d’exploitations et est facile à configurer : oubliez-le !

OpenVPN

Basé sur des technologies open source (librairie OpenSSL et protocoles SSL v3/TLS v1), OpenVPN tend à devenir un standard en matière de sécurité.

OpenVPN est très sécurisé s’il est configuré pour utiliser l’algorithme de chiffrement AES (128 ou 256 bits) ; l’algorithme Blowfish étant lui plus faible. Aucune connexion OpenVPN n’a jamais été compromise jusqu’à maintenant. OpenVPN possède également beaucoup d’options de configuration (vous pouvez par exemple le paramétrer pour qu’il fonctionne sur un port en particulier).

Quand vous utilisez OpenVPN, le trafic réseau est quasiment impossible à distinguer du trafic HTTPS standard (lorsque vous vous connectez à un site web sécurisé c’est une connexion HTTPS – au lieu de HTTP). Les connexions OpenVPN sont ainsi difficiles à bloquer pour quiconque (votre FAI par exemple) voudrait vous empêcher d’utiliser ce type de chiffrement.

Malheureusement, OpenVPN n’est pas intégré de base dans la plupart des systèmes d’exploitations. Sur Windows ou Android par exemple, vous aurez besoin d’installer et d’exécuter une application tierce sur votre machine pour faire fonctionner votre connexion OpenVPN.

→ Conclusion : OpenVPN est très sécurisé, même si vous aurez besoin d’installer une application tierce pour le faire fonctionner. C’est le protocole que vous devez privilégier.

L2TP/IPsec

L2TP (Layer 2 Tunnel Protocol) est un protocole VPN qui n’offre aucun chiffrement ! C’est pourquoi il est souvent implémenté avec l’algorithme de chiffrement IPsec pour combler ce manque

Comme il est intégré dans la plupart des systèmes d’exploitation PC et mobiles, il est facile à configurer.

Malheureusement, le protocole L2TP utilise uniquement le port UDP 500 : cela veut dire qu’on ne peut pas le masquer en utilisant un autre port, comme c’est le cas avec OpenVPN. C’est donc un protocole plus facile à bloquer et aussi moins efficace pour contourner les pare-feux.

L’algorithme de chiffrement IPsec est sécurisé mais c’est malheureusement une solution plus lente qu’OpenVPN : le trafic doit être converti en L2TP puis chiffré avec IPsec.

→ Conclusion : L2TP/IPsec est un protocole sécurisé. Il est facile à configurer mais il est facilement bloquable (par votre FAI par exemple) et il est moins efficace qu’OpenVPN. Privilégiez OpenVPN si vous le pouvez. Dans le cas contraire, utilisez-le en lieu et place du PPTP !

SSTP

SSTP (Secure Socket Tunneling Protocol) a été introduit dans Windows Vista Service Pack 1. C’est un protocole propriétaire de Microsoft, c’est donc sans surprise dans Windows qu’il est le mieux supporté.

SSTP est sans doute plus stable sur Windows puisqu’il est directement intégré dans le système d’exploitation à l’inverse de OpenVPN (qui exige l’installation d’une application tierce). C’est là son plus gros point fort. SSTP est aussi supporté par d’autres systèmes d’exploitation mais il est encore loin d’être aussi répandu que le PPTP.

SSTP peut être configuré pour utiliser l’algorithme de chiffrement AES (très performant). Pour les utilisateurs de Windows, il est clairement meilleur que le PPTP mais comme c’est un protocole propriétaire, il n’est pas autant mis à l’épreuve que OpenVPN qui lui est open source. Parce qu’il utilise SSL v3 (comme OpenVPN), il a la possibilité d’outrepasser les pare-feux.

→ Conclusion : SSTP ressemble à OpenVPN, même s’il est plus destiné aux utilisateurs de Windows. Son point faible est qu’il ne peut pas être évalué de façon efficace comme il s’agit d’un protocole propriétaire. Etant donné qu’il peut être configuré pour utiliser l’algorithme de chiffrement AES, il est plus fiable que le L2TP/IPsec (et encore plus que le PPTP bien évidemment).