Wyden demande à la NSA de reconnaître qu'un seul saut VPN ne suffit pas
Un sénateur américain en exercice a demandé à la National Security Agency de dire tout haut ce que les chercheurs en vie privée répètent depuis des années : un VPN commercial ordinaire ne protège pas d'un adversaire étatique. Le 2 septembre 2026, Ron Wyden a écrit au directeur de la NSA, le général Joshua Rudd, pour souligner que les recommandations fédérales considèrent toujours un VPN à un seul saut comme une protection suffisante, et a réclamé des réponses non classifiées avant le 14 octobre. La demande est étroite et technique, et elle vise exactement l'hypothèse la plus fragile de l'argumentaire de vente des services VPN.
Ce que dit la lettre
L'argument de Wyden s'appuie sur une analyse du Congressional Research Service, qu'il cite directement : un VPN à un seul saut, aussi solidement chiffré soit-il, n'offre pour ainsi dire aucune protection face à un adversaire capable de contraindre ce fournisseur unique ou de s'y infiltrer. Le point faible n'est pas le chiffrement, c'est l'unique point de concentration. Tout ce que vous faites traverse une seule entreprise, dans une seule juridiction, sur un seul parc de serveurs, et celui qui atteint cette entreprise voit l'autre bout de chaque connexion.
En face, la lettre nomme les architectures qui suppriment ce point unique : le routage par plusieurs noeuds et les mixnets. Wyden demande à la NSA d'évaluer leur efficacité réelle, en citant Tor, Nym et Apple Private Relay, et de préciser comment les systèmes de proxy multi-hop se comparent aux conceptions de type mixnet.
L'attaque n'exige pas de casser le chiffrement
Le mécanisme décrit s'appelle la corrélation de trafic, et il mérite d'être compris car il explique pourquoi le "chiffrement de niveau militaire" n'y répond pas. Un observateur capable de voir les deux côtés d'un serveur VPN n'a rien à déchiffrer. Il compare l'instant et le volume des données chiffrées qui entrent avec l'instant et le volume de celles qui sortent, et le motif relie un utilisateur à une destination. Le chiffrement masque le contenu. Il ne masque pas la forme du trafic.
Ce type d'observation n'est pas à la portée d'un voisin ni d'un réseau de café. Il est à la portée d'une organisation qui voit de larges pans d'internet à la fois, ou qui peut se placer à l'intérieur d'un fournisseur. C'est précisément ce modèle de menace dont parle Wyden.
Ce que couvrent réellement les recommandations officielles actuelles
La lacune que pointe la lettre n'est pas que l'État aurait dit quelque chose de faux. C'est que les conseils existants répondent à une autre question. Les publications de la NSA et de la CISA sur les VPN portent essentiellement sur la protection des équipements VPN d'accès distant contre le piratage : les corriger, les durcir, retirer les produits obsolètes. C'est un guide pour l'administrateur qui protège une passerelle d'entreprise.
Ce n'est pas un guide pour la personne qui choisit un VPN grand public afin d'empêcher un service de renseignement étranger de lire ses communications. Wyden l'écrit ainsi : les Américains confrontés à des menaces étrangères avancées, y compris les agents publics, les sous-traitants de la défense, les journalistes et les défenseurs des droits humains, méritent des conseils clairs et honnêtes sur la meilleure façon de protéger leurs communications contre la surveillance d'adversaires étrangers. Aujourd'hui, ces personnes lisent un conseil écrit pour un autre problème.
Ce que cela change pour un utilisateur ordinaire
Il serait facile d'y lire "les VPN ne servent à rien", et ce n'est pas ce que dit la lettre. Un VPN à un seul saut fait toujours ce qu'il a toujours fait : il éloigne votre trafic du réseau local et du fournisseur d'accès, il empêche les sites de lire votre quartier dans votre adresse IP, il contourne les blocages fondés sur l'endroit d'où vous semblez venir. Face à un annonceur, un opérateur de réseau ou un censeur, c'est bien réel.
Ce qui change avec le modèle de menace, c'est le rôle du fournisseur lui-même. Quand l'adversaire peut contraindre ou compromettre l'entreprise, ce qui faisait l'intérêt du montage, un opérateur unique voyant les deux bouts, devient le point de rupture. C'est pour cela qu'existe le routage multi-hop, et que Tor et les mixnets sont construits ainsi : aucun opérateur ne doit savoir à la fois qui vous êtes et ce que vous avez demandé. Le prix, c'est la vitesse, et pour la plupart des gens, la plupart du temps, l'échange n'en vaut pas la peine.
Pourquoi la question arrive maintenant
Wyden tire depuis des années sur le même fil : ce que l'État sait de la surveillance des Américains et ce qu'il leur en dit. Nous avons rendu compte de ses alertes précédentes, dont l'idée que l'usage d'un VPN peut affaiblir les protections juridiques d'un utilisateur américain au titre du renseignement extérieur. Cette lettre est la moitié technique du même argument : si la position officielle est qu'un VPN commercial suffit, alors il faut soit l'étayer, soit la mettre à jour.
