Votre VPN est-il prêt pour les menaces futures ? #sponso

avec Surfshark

—

Est-ce que vous faites partie de ceux qui pensent qu’un VPN, bah, ça chiffre, ça tourne et tout va bien ? Parce qu’en 2027, les questions à se poser sont un peu différentes (2027 oui, je suis déjà dans le turfu). Même si aujourd’hui vos données sont protégées, est-ce que ce sera encore le cas face à un ordinateur quantique ? (qui n’existe pas encore, mais ça semble vite se rapprocher). Et est ce que vous scannez parfois des QR codes (sur des parcmètres, des tables de restaurant pour charger un menu, etc.) sans réfléchir ?

Si oui, ce que Surfshark vient d’annoncer ces dernières semaines va peut-être intéresser et on va voir ça ensemble.

WireGuard post-quantique : parce que “voler maintenant, déchiffrer plus tard” ça existe déjà

Le premier point est plutôt important : Surfshark vient de déployer une version de WireGuard entièrement post-quantique. Ils seraient même les premiers au monde à avoir implémenté ça.

Comme c’est important de comprendre pourquoi, je vous remets un peu de contexte. On commence à devoir faire à des attaques que l’on appelle “steal now, decrypt later”. À l’heure actuelle des acteurs gouvernementaux (ou autres) interceptent et stockent déjà massivement du trafic chiffré. Et quand arriveront les ordinateurs quantiques capables de casser les algorithmes actuels, on pourra remonter et lire vos données partagées depuis hier. Sympa, non ? Alors oui vous allez me dire que ce ne seront pas des données récentes. Sauf que certaines ne changent pas au cours du temps. Vous aurez toujours le même nom, les mêmes antécédents de santé, très souvent la même adresse physique, le même mail, etc.

Pour lutter contre ce type d’attaque, il faut 3 éléments. D’abord le chiffrement, ensuite l’échange de clés et enfin l’authentification. Le problème, c’est que les 3 sont rarement couplés. Le chiffrement est quelque chose d’assez commun maintenant, le ML-KEM (échange de clés post-quantique) commence à se diffuser, mais le ML-DSA (certificats d’authentification post-quantiques) est un autre niveau de galère. Car il demande de revoir tout le système de confiance et cela derrière chaque connexion sécurisée.

Si l’on regarde du côté des grosses plateformes cloud de gestion de clés (AWS KMS, Google Cloud KMS et les autres mammouths du marché), la moitié seulement a déjà intégré ML-KEM et moins d’une sur 10 dispose du ML-DSA. Et l’on parle de géants, pas des applis de petite échelle qui sont encore moins bien préparées. Ni Apple ni Microsoft ne l’ont activé dans leurs logiciels utilisateurs pour l’instant. Quand les ordinateurs quantiques arriveront, un VPN sans authentification post-quantique sera la porte ouverte au session takeover. La machine quantique se fera passer pour le serveur au moment même où vous vous connecterez.

Surfshark combine donc déjà le duo ML-KEM + certificats ML-DSA dans WireGuard. Ce n’est disponible pour l’instant que sur iOS et macOS, mais les autres plateformes sont prévues dans les prochains mois. Et pour rappel,

ils avaient déjà lancé Dausos

, leur protocole maison conçu post-quantique depuis la première ligne de code. Ils ne rigolent pas sur le sujet.

Changer d’IP toutes les cinq minutes, sans couper

Lorsque vous êtes connecté à un VPN, vous avez une adresse IP (Captain Obvious a pris possession de ce corps). Elle ne change pas tant que vous ne vous déconnectez pas. Or une IP fixe, même si ce n’est pas la vraie, c’est toujours un élément qui permet aux annonceurs et aux data brokers de vous recouper entre les sites et de construire votre profil.

La rotation d’IP de Surfshark change votre adresse automatiquement après quelques minutes (5 à 10 minutes selon la région choisie). Et sans couper votre connexion VPN. Pas de microcoupure, pas de “ah bah mon app a planté pendant que l’IP switchait”.

L’outil va même encore plus loin en proposant la fonctionnalité Multi IP, qui s’appuie sur leur technologie Nexus. Au lieu d’avoir une seule IP de sortie pour tout votre trafic, chaque site que vous visitez passe par une IP différente, pendant la même session VPN. Concrètement cela veut dire que le site A vous voit avec l’IP n°1, le site B avec l’IP n°2, etc. Les deux sites ne peuvent plus vous corréler. Vous pouvez choisir de limiter cette rotation à un pays, une zone ou le monde entier. Pour l’instant, cette dernière option est encore une fois dispo sur macOS uniquement, dans les paramètres avancés. J’entends les pleurs des windosiens et linuxiens jusqu’ici.

Alors il faut tout de même mentionner que l’option monde (global) peut parfois faire capoter certains sites ou applications qui détestent voir votre IP changer toutes les cinq minutes. C’est une fonctionnalité adaptée pour les gens paranos qui veulent le niveau de vie privée maximum, moins pour binge-watcher tranquillement.

Une petite info rapide supplémentaire pour ceux qui ont (ou prendront) un abonnement One ou One+ et qui bénéficient donc de l’antivirus. Dorénavant la moindre ligne de code passe par plusieurs étapes : peer review (humains + IA), tests internes, analyses de vulnérabilité & co et sont certifiés via le processus de signature Microsoft. Ça ne parait pas flamboyant dit comme ça, mais un driver ou une mise à jour, non signé ou mal testé, reste une porte d’entrée pour pas mal de bouses numériques. Un fournisseur

qui documente ses pratiques

de déploiement, c’est encore trop rare dans l’industrie alors que ça devrait être la base. Ici tout le processus est écrit noir sur blanc et ça va avec la politique d’ouverture de la firme (audits indépendants, politique de non-conservation des logs, etc.)

Le quishing c’est quoi ?

Maintenant, parlons d’une menace qui trouve sa source dans notre vie quotidienne. Le quishing (contraction de QR code et phishing) fait référence aux QR codes malveillants qui redirigent vers de fausses pages de connexion. Ou déclenchent de manière automatique un téléchargement de malware dès qu’il a été scanné. Pourquoi c’est en train de devenir le vecteur à la mode ? Il y a 3 raisons principales et elles sont assez faciles à comprendre :

• Déjà vos yeux ne peuvent pas lire un QR code. Si c’est le cas faites-le-moi savoir lol. Un lien de phishing, vous pouvez le survoler pour voir ou il mène avant de cliquer. Un QR code c’est beaucoup moins simple. Le contenu est invisible jusqu’à ce que les dégâts soient faits.
• Les filtres de votre fournisseur d’email sont prévus pour scanner du texte, pas des images. Une URL en clair dans un mail se fait flagger tout de suite alors que la même URL encodée dans un QR code passe comme une lettre à la poste.
• Le scan est dans 99% des cas effectué via un mobile, hors des protections de votre PC perso ou d’entreprise : pas de filtre DNS, pas d’EDR, rien.

Les chiffres avancés sont probablement bien plus élevés que vous ne le pensez. Les QR codes représentaient déjà plus de 10% de toutes les attaques de phishing en 2025. Leur but est le vol d’identifiants, récupérer vos numéros de CB, de vous faire vous connecter à un fax site bancaire, etc. Et beaucoup de personnes scannent sans même imaginer qu’une arnaque de la sorte est possible. Il faut dire que ce n’est pas très difficile à mettre en place. Il suffit de placer des dizaines/centaines de stickers par-dessus de vrais codes (parcmètres, bornes de recharge, tables de restaurant, dépliants de musée, distributeurs de billets, etc) et le tour est joué.

Les QR Code c’est l’enfer

Les réflexes à avoir ? Penser à lire l’aperçu d’URL avant d’ouvrir (votre caméra la montre parfois) ou installez une appli de lecture de QR qui propose la prévisualisation avant ouverture, se méfier de tous QR code dans un mail (surtout non désiré), vérifier qu’un sticker n’a pas été collé par-dessus un autre. Et passer par l’application officielle plutôt que par le QR code pour tout paiement. La prudence, ça marche souvent.

D’un côté on a un ordinateur quantique (qui n’existe pas encore, mais qui va changer beaucoup de choses en termes de cybersécurité) et de l’autre des QR code malveillants qui se propagent déjà. La menace a plusieurs visages. Entre les deux, disposer d’une suite d’outils qui s’adaptent en continu et qui anticipent le futur, c’est toujours bon à prendre.

L’offre du moment

Les tarifs restent les mêmes et font de la firme au requin l’un des meilleurs rapport qualité/prix depuis de nombreuses années (mon comparatif des meilleurs VPN du moment pour plus d’infos). Sur un engagement 24 mois (+3 mois offerts) l’offre :

• Starter (VPN seul) revient à 2,49 € HT/mois
• One à 2,99 € HT/mois (VPN + antivirus, Alert, Alternative ID, la protection anti-scam et le web content blocker)
• et One+ à 4,49 € HT/mois (avec Incogni en plus de tout ce qui est compris dans One)

Profite de l’offre du moment !