Le paradoxe du VPN mobile : 85 % des applications traquent leurs utilisateurs
L'analyse approfondie de plus de 7 000 applications VPN par Proton révèle une réalité dérangeante pour les administrateurs systèmes et les utilisateurs soucieux de leur vie privée : la majorité des solutions de confidentialité disponibles sur les stores mobiles intègrent des bibliothèques de suivi. Si le tunnel chiffré protège le transit des données, l'application elle-même peut devenir une faille de sécurité majeure en exposant la géolocalisation et le comportement des utilisateurs.
En bref
- 85 % des applications VPN téléchargées aux États-Unis contiennent au moins un traqueur tiers.
- 64 % de ces applications accèdent directement à la position géographique de l'utilisateur.
- L'objectif principal des traqueurs est la monétisation publicitaire, non la fonctionnalité réseau.
- Les fournisseurs de services managés (MSP) et les DSI doivent auditer les SDK intégrés dans les outils de mobilité fournis aux employés.
- La présence d'un traqueur n'invalide pas nécessairement le chiffrement du tunnel, mais elle annule le bénéfice de confidentialité global.
Anatomie de la faille : pourquoi un VPN embarque-t-il des traqueurs ?
Pour un consultant en sécurité, il est crucial de distinguer deux couches distinctes : le tunnel VPN (la couche réseau, généralement gérée par le noyau OS ou un service système) et l'application client (la couche UI, qui est un simple binaire natif ou hybride).
Les éditeurs de VPN gratuits ou freemium ont un modèle économique simple : ils vendent des données. Le chiffrement des flux réseau est un argument marketing, mais le business modèle repose sur la collecte de métadonnées via des SDK (Software Development Kits) tiers. Ces bibliothèques sont injectées dans le code de l'application avant sa compilation.
Contrairement à un traqueur web qui se limite aux cookies, les traqueurs mobiles (comme Firebase Analytics, Adjust, AppsFlyer, ou des acteurs publicitaires comme Unity Ads) ont un accès potentiel à :
- L'identifiant publicitaire (IDFA sur iOS, AAID sur Android).
- La géolocalisation précise (si l'utilisateur l'autorise).
- Les performances de l'appareil (RAM, processeur, type de batterie).
- Les événements d'interaction (temps passé, écrans consultés).
Le paradoxe est total : l'utilisateur paie ou installe l'application pour masquer son IP et son activité, mais l'application envoie activement des paquets HTTP vers des serveurs de tracking tiers, souvent en clair ou via des API non sécurisées, contournant ainsi l'esprit même du service.
L'impact technique de l'accès à la géolocalisation
Le chiffre de 64 % des applications accédant à la position est le point le plus critique pour les professionnels de la sécurité. Sur Android, la permission ACCESS_FINE_LOCATION est souvent demandée au démarrage.
Pourquoi un VPN a-t-il besoin de la position ?
Techniquement, un client VPN n'a aucune raison légitime de connaître la position GPS de l'utilisateur pour établir une connexion. La détermination du point de sortie (le serveur VPN) se fait via le DNS et les paquets IP.
Les raisons réelles de cette demande sont :
- Ciblage publicitaire géolocalisé : Vendre de l'espace publicitaire à des marques locales ou régionales.
- Optimisation de la charge serveur (prétendue) : Certains éditeurs affirment utiliser la position pour choisir le serveur le plus proche. En réalité, la résolution DNS et la latence RTT (Round-Trip Time) suffisent largement à cette tâche sans exposer la position précise.
- Collecte de données pour le profil utilisateur : Construire un historique de déplacement (domicile, bureau, voyages) pour enrichir le profil commercial.
Le risque de dé-anonymisation
Même si le tunnel VPN chiffre le trafic, les métadonnées envoyées par le traqueur (qui passent par le tunnel mais sont destinées à des tiers) peuvent contenir la position réelle. Si un traqueur identifie l'utilisateur via son IDFA/AAID et sa position, l'anonymat accordé par l'IP du serveur VPN est compromis. Les attaquants ou les agences publicitaires peuvent recouper ces données pour identifier physiquement l'utilisateur, rendant l'effort de chiffrement inutile pour la protection de l'identité.
Audit des SDK : comment identifier les traqueurs dans une application
En tant qu'administrateur système ou consultant, vous ne pouvez pas vous fier aux descriptions du store. Voici une méthodologie pour auditer les dépendances d'une application VPN ou de tout outil de mobilité.
1. Analyse statique des binaires (Android)
Sur une application APK, vous pouvez extraire les bibliothèques partagées et chercher les signatures de SDK connus.
# Télécharger l'APK (via apkmirror ou le store si disponible)
# Installer apktool et jadx pour l'analyse
# Démonter l'APK
apktool d -o output_folder app_name.apk
# Rechercher les références aux packages de tracking courants
grep -r "com.google.android.gms.ads" output_folder/
grep -r "com.adjust.sdk" output_folder/
grep -r "com.appsflyer" output_folder/
grep -r "io.flutter" output_folder/ # Vérifier si c'est une app Flutter (souvent plus opaque)
# Identifier les permissions dangereuses dans le manifest
cat output_folder/AndroidManifest.xml | grep -i "location"
cat output_folder/AndroidManifest.xml | grep -i "internet"
2. Analyse des permissions iOS (IPA)
Sur iOS, l'analyse est plus difficile en raison du sandboxing, mais l'inspection du Info.plist et des frameworks liés reste possible.
# Utiliser un outil comme iMazing ou extraire le binaire avec unzip
unzip app_name.ipa -d extracted_ipa
# Vérifier les frameworks intégrés
ls -la extracted_ipa/Frameworks/
# Rechercher les références à des SDK de tracking dans le binaire principal
strings extracted_ipa/Payload/AppName.app/AppName | grep -i "firebase"
strings extracted_ipa/Payload/AppName.app/AppName | grep -i "analytics"
strings extracted_ipa/Payload/AppName.app/AppName | grep -i "tracking"
3. Monitoring réseau temps réel
La preuve ultime réside dans le trafic réseau. Même si le VPN est actif, les requêtes vers les serveurs de tracking sont visibles.
Utilisez une proxy locale (comme mitmproxy ou Charles Proxy) sur un appareil de test :
# Lancer mitmproxy
mitmproxy --mode transparent
# Sur l'appareil mobile, configurer la proxy manuellement ou via un profil MDM
# Lancer l'application VPN et observer les flux
Points de vigilance :
- Des requêtes vers
doubleclick.net,google-analytics.com,adjust.com,appsflyer.com. - Des en-têtes HTTP contenant des identifiants uniques (UUID, IDFA).
- Des requêtes POST contenant des données JSON avec des clés comme
location,gps,device_id.
Conséquences pour la stratégie de sécurité d'entreprise
Pour les DSI et les consultants en cybersécurité, cette étude impose une révision de la politique de mobilité.
1. Distinction claire entre "Confidentialité" et "Sécurité"
Il faut éduquer les utilisateurs finaux : un VPN gratuit avec traqueurs est un outil de sécurité réseau (il protège contre l'espionnage du réseau local, ex. Wi-Fi public) mais échoue en confidentialité (il expose l'identité et les habitudes). Pour des données sensibles, seul un VPN d'entreprise (Zero Trust Network Access, WireGuard, ou solutions commerciales auditables) doit être utilisé.
2. Politique de "Bring Your Own VPN" (BYOV)
Si vous autorisez les employés à utiliser leurs propres applications VPN pour se connecter aux réseaux non fiables, imposez des règles strictes :
- Interdiction des applications gratuites non auditées.
- Exigence d'applications open-source (comme OpenVPN, WireGuard, ou les clients officiels de Proton, Mullvad, etc., après audit de leurs versions spécifiques).
- Utilisation de profiles MDM pour bloquer l'installation d'applications VPN non approuvées (sur iOS/Android Enterprise).
3. Surveillance des flux sortants (Egress Filtering)
Même si un VPN est actif, les traqueurs tentent de sortir. Configurez vos pare-feu et votre SD-WAN pour bloquer les domaines connus de tracking publicitaire aux points d'accès Wi-Fi de l'entreprise ou des sites distants.
# Exemple de règle de blocage dans un proxy inversé ou un pare-feu
# Bloquer les domaines de tracking courants
deny host doubleclick.net;
deny host google-analytics.com;
deny host adjust.com;
deny host appsflyer.com;
deny host unityads.com;
Bonnes pratiques pour consultants IT
- Audit des dépendances : Intégrez l'analyse des SDK tiers dans votre processus de sélection d'outils de mobilité. N'acceptez pas "juste parce que c'est un VPN".
- Privilégier le minimalisme : Les clients VPN open-source (WireGuard, OpenVPN) n'ont pas d'interface utilisateur complexe et donc pas de raison d'intégrer des SDK de tracking. Utilisez des clients tiers minimalistes.
- Vérifier les mises à jour : Les éditeurs peuvent ajouter des SDK de tracking lors d'une mise à jour mineure. Surveillez les changelogs et re-auditez les applications critiques.
- Sensibiliser les utilisateurs : Expliquez que l'autorisation de la localisation dans une application VPN n'est jamais "nécessaire" au sens technique strict. Si l'app la demande, c'est pour le tracking.
- Utiliser des alternatives locales : Pour les besoins de sécurité réseau ponctuels, préférez les solutions intégrées au système (VPN intégré à Windows/macOS, ou les profils WireGuard natifs sur Android/iOS) qui ne passent pas par une couche applicative tierce.
Points clés
- Le tunnel n'est pas l'application : Un chiffrement fort du trafic ne protège pas des fuites de données causées par le code de l'application elle-même.
- La géolocalisation est un indicateur de tracking : 64 % des applications VPN accèdent à la position, un accès inutile pour la fonctionnalité réseau mais précieux pour la publicité.
- L'audit est obligatoire : Les consultants doivent inspecter les binaires et le trafic réseau pour détecter les SDK cachés (Firebase, Adjust, AppsFlyer).
- Stratégie d'entreprise : Restreignez l'usage des VPN personnels et imposez des solutions auditables, open-source ou commerciales certifiées pour les données sensibles.
- Méfiance envers le "Gratuit" : Le modèle économique des VPN gratuits repose sur la vente de données utilisateurs. Pour une vraie confidentialité, il faut payer pour le service ou utiliser des outils open-source sans interface publicitaire.
Source : IT Connect