Turbo VPN affichait « connecté » alors que votre vraie IP restait visible
Le client Windows de Turbo VPN annonçait une connexion active alors que la véritable adresse IPv4 de l'utilisateur restait visible. TechRadar a publié cette semaine ce constat, et il a fallu deux correctifs à l'entreprise pour arrêter les fuites : la version d'urgence 3.7.0.0 n'est arrivée qu'après l'envoi d'un second dossier de preuves techniques. Le danger tient à ce que rien ne semblait anormal. L'application affichait connecté, et il n'y avait aucune raison d'en douter.
L'application ne construisait aucun tunnel
Le détail le plus utile n'est pas qu'il y ait eu fuite, mais pourquoi. Le protocole maison Lepus ne créait pas de tunnel chiffré à l'échelle du système, comme le fait normalement un VPN. Il lançait à la place un processus ShadowsocksR local, activait le réglage proxy de Windows et faisait tourner un proxy sur le port 46288.
Cette distinction décide de ce qui est protégé. Un proxy configuré dans les réglages de Windows attrape les applications qui respectent ce réglage, c'est-à-dire surtout les navigateurs. Tout le reste continue d'utiliser la connexion ordinaire : trafic de fond du système, messageries de bureau, services de mise à jour, outils en ligne de commande. L'interface indique pourtant connecté, car du point de vue de l'application le proxy est bien actif. L'utilisateur voit du vert et suppose que cela couvre la machine.
Il a fallu deux correctifs
Après le premier signalement, Turbo VPN a publié un correctif. Insuffisant. La version 3.6.0.0 continuait de laisser fuir des adresses IPv6, et pas seulement sur les protocoles maison Lepus et LinkSentinel, mais aussi sur des connexions OpenVPN standard. Ce n'est qu'après de nouvelles preuves techniques qu'est arrivée la version 3.7.0.0, qui bloque l'IPv6 non chiffré côté client et force le trafic dans le tunnel IPv4 chiffré. Les tests confirment que cette version tient.
Il faut garder le périmètre net : les fuites décrites ici ont été trouvées dans le client Windows. Ce n'est pas une raison de se rassurer sur les applications mobiles, mais c'est ce qui a été testé et publié.
Ce n'était pas le premier avertissement
Le contexte éclaire cette architecture. En 2025, Citizen Lab a publié à FOCI une recherche sur ce qu'elle appelle les liens cachés entre applications VPN. Huit applications distribuées par Innovative Connecting, Autumn Breeze et Lemon Clove, dont Turbo VPN, Snap VPN et VPN Proxy Master, totalisant plus de 380 millions de téléchargements, partageaient du code, des dépendances et un mot de passe Shadowsocks codé en dur. Un mot de passe partagé et codé en dur signifie que quiconque l'extrait peut déchiffrer le trafic qu'il est censé protéger.
La même recherche signale des algorithmes de chiffrement obsolètes, une collecte non divulguée de données de localisation, une vulnérabilité à l'injection de paquets, du code obfusqué qui résiste à l'analyse, et des liens de propriété entre les trois sociétés et Qihoo 360, entreprise chinoise de cybersécurité sanctionnée par les États-Unis en 2020. Elle avance aussi un point qui explique l'architecture : ce sont des services de couche applicative bâtis sur Shadowsocks, un protocole conçu pour franchir la Grande Muraille numérique, pas pour protéger la vie privée.
Comment vérifier votre VPN en cinq minutes
Cela vaut pour tout fournisseur, y compris les bons. Connectez-vous d'abord, puis vérifiez :
- Ouvrez une page de test de fuite et confirmez que l'adresse IPv4 affichée est celle du serveur, pas la vôtre.
- Vérifiez l'IPv6 sur la même page. Les fuites IPv6 sont la panne la plus fréquente, car beaucoup de clients tunnellisent l'IPv4 et ignorent discrètement l'IPv6.
- Vérifiez les serveurs DNS listés. S'ils appartiennent à votre fournisseur d'accès, votre navigation lui est visible quel que soit le tunnel.
- Testez le trafic hors navigateur. Faites un ping ou une trace depuis un terminal et voyez s'il sort par le tunnel. C'est exactement ce qu'un montage proxy seul échoue à faire.
- Coupez le tunnel pendant un téléchargement. S'il continue, il n'y a pas de kill switch fonctionnel, et chaque déconnexion future vous exposera.
D'où l'argument pratique en faveur d'un fournisseur vérifiable plutôt que simplement populaire. Ce qui distingue un service sérieux n'est pas son nombre d'installations, mais si le protocole est documenté, si des auditeurs indépendants ont pu entrer et si leurs rapports sont publiés, si la protection contre les fuites et le kill switch sont actifs par défaut, et si la propriété est annoncée clairement plutôt que reconstituée à partir de registres. Une application gratuite avec des centaines de millions d'installations peut rester un proxy de navigateur avec un mot de passe partagé. Nous avions examiné un échec voisin quand WebKit laissait fuir la vraie IP et le DNS en contournant les proxys, et l'écart entre les promesses et la pratique quand un VPN sans logs a perdu 58 millions d'enregistrements de connexion.
