Plus tôt cette année, de nombreux législateurs et régulateurs du monde entier, une fois de plus, ont tenté de contrôler et de réguler Internet au nom de la protection des enfants, mais ce nouveau cycle de discussions politiques autour d’interdictions efficaces de l’usage des VPN semble voué à l’échec. Bien que les gouvernements puissent rendre certains sites Web ou applications plus difficiles d’accès, éliminer complètement les solutions de contournement disponibles nécessiterait des niveaux de vérification d’identité, de surveillance des réseaux et de contrôle des appareils que la plupart des démocraties libérales ne veulent tout simplement pas accepter.
En effet, les gouvernements occidentaux s’appuient de plus en plus sur des restrictions d’accès basées sur l’âge à des sites Web et des applications spécifiques, certains États allant même plus loin en imbriquant ces restrictions dans des couches plus profondes de l’architecture technologique. L’Australie est devenue le premier pays à imposer, l’année dernière, une interdiction nationale pour les personnes de moins de 16 ans sur les plateformes de médias sociaux couvertes; l’Utah et le Texas ont poursuivi des politiques similaires au niveau des boutiques d’applications, et la Californie pousse la responsabilité de connaître l’âge d’un utilisateur jusqu’aux systèmes d’exploitation commerciaux à partir de 2027 (les systèmes d’exploitation open source en sont exemptés). Des mesures analogues sont envisagées dans d’autres juridictions en Amérique du Nord et en Europe.
Et comme les restrictions d’âge qui dépendent de la localisation géographique peuvent souvent être contournées en masquant l’adresse IP, certains gouvernements ont tourné leur attention vers la prochaine cible logique : les VPN. L’Utah a tenté de rendre potentiellement responsables les sites qui diffusent du contenu pour adultes lorsque des mineurs échappent aux vérifications d’âge via des VPN, tandis que les régulateurs britanniques ont été fortement critiqués en s’interrogeant sur la manière de traiter des préoccupations similaires. À chaque fois que les utilisateurs trouvent un moyen de franchir une étape, les législateurs semblent répondre en allant un cran plus bas dans la pile technologique.
Bien que toutes ces lois comportent leurs propres formes de réglementation intrusive, la tendance générale observée par de nombreux observateurs est un durcissement global sur l’anonymat en ligne. « Je vois à quelle vitesse la vérification d’âge devient une composante de chaque proposition politique », a récemment publié sur X le cryptographe et professeur associé de informatique à Johns Hopkins, Matthew Green, ouvrant un fil sur ses inquiétudes face à la poussée de ces politiques dans divers domaines. « Tout cela ne concerne pas l’âge, c’est bien, en fin de compte, une question d’identité. »
La vérification de l’âge est un véhicule d’autant plus puissant pour étendre le contrôle en ligne qu’elle est présentée comme une mesure de protection des enfants, invoquant la menace politiquement intouchable que Timothy C. May associerait aux « Quatre Cavaliers de l’Infocalypse » : les terroristes, les pédophiles, les trafiquants de drogue et les blanchisseurs d’argent. Même dans les endroits où une vérification d’identité réelle n’est pas encore imposée par la loi, les inquiétudes subsistent quant au fait que l’infrastructure de base pour une telle exigence est désormais en place et prête à être exploitable à l’avenir.
En effet, les développeurs eux-mêmes, en particulier ceux qui tiennent à respecter leurs utilisateurs et à permettre les fonctionnalités de protection de la vie privée et de l’anonymat, s’inquiètent de plus en plus de cette poussée sans fin vers une surveillance totale d’Internet. Par exemple, la présidente de la Signal Foundation, Meredith Whittaker, a exprimé ses préoccupations lors d’un interview avec Bloomberg, déclarant franchement : « Nous préférerions quitter un marché que d’affaiblir les garanties techniques sur lesquelles les gens fondent leur vie privée. »
Tout ceci est-il un LARP ?
Bien sûr, si Signal quittait le Royaume-Uni en se retirant des boutiques d’applications locales, cela n’empêcherait pas nécessairement les habitants d’y continuer à l’utiliser. Signal pourrait encore être téléchargé sur des appareils Android en contournant la boutique officielle Google Play. Si Google continue d’imposer davantage de restrictions sur le sideloading, les utilisateurs pourraient se tourner vers des systèmes d’exploitation alternatifs axés sur la confidentialité et la sécurité, comme GrapheneOS. Les VPN pourraient aussi être utilisés pour contourner les blocages éventuels sur le site de Signal ou sur les connexions réseau. Aucune de ces solutions de contournement ne serait toutefois utile si Signal lui-même cessait d’offrir son service aux utilisateurs britanniques. Tout dépend en fin de compte de la manière dont Signal se retire du marché et de la profondeur à laquelle les législateurs souhaitent aller dans les restrictions d’accès.
« Même la Chine a du mal à faire respecter les interdictions de VPN et Tor malgré le contrôle total des opérateurs et des fournisseurs sur son territoire via la Grande Muraille », a déclaré l’auteur pseudonyme Seth for Privacy, qui est directeur des opérations chez le portefeuille crypto axé sur la confidentialité Cake Wallet, à Gizmodo. « Et le Royaume-Uni et certains États américains disposent de beaucoup moins de contrôle total sur la politique réseau que la Chine. »
Carl Dong, fondateur et PDG d’Obscura, un fournisseur de VPN axé sur la protection de la vie privée où aucune partie unique ne peut relier votre identité à vos activités, a partagé un sentiment similaire lorsque nous lui avons demandé s’il est possible de mettre en œuvre les types de propositions anti-VPN qui émergent au Royaume-Uni et aux États-Unis en pratique. « Non, » a répondu Dong. « Quiconque a 4 dollars et dix minutes peut lancer un VPN personnel. Comme beaucoup de pays l’ont déjà appris après des décennies et des milliards dépensés dans l’échec de la censure d’Internet : l’information veut être libre. »
D’après Dong, ce type de lois peut avoir l’effet exactement inverse de celui recherché. « Je trouve les interdictions envisagées des services VPN particulièrement ironiques », a déclaré Dong. « Pour protéger les enfants, on les empêche d’utiliser la technologie qui les protège du pistage en ligne ? Cela va simplement pousser les utilisateurs occasionnels des VPN audités vers des VPN gratuits non audités dont la seule source de revenus est la vente des données des utilisateurs. »
Dong a ajouté que lier les identifiants gouvernementaux à l’historique de navigation et remettre ces identifiants à des tiers place ces documents « à une assignation près de l’œil du gouvernement et à une violation près du marché libre », en plus d’enraciner le duopole d’Apple et de Google, puisqu’ils sont les deux seules entreprises en mesure d’effectuer une attestation de l’appareil à une telle échelle.
« Tel qu’ils se présentent, ces politiques représentent le plus grand bond vers la surveillance massive et la censure que le monde occidental ait connu depuis des décennies », a affirmé Dong.
Selon Ben Arc, qui travaille sur le type de logiciel capable d’être utilisé pour contourner ce genre de politiques chez LNBits et Nostr.com, les répressions contre la vie privée et l’anonymat en ligne peuvent en réalité encourager des améliorations des outils logiciels dédiés à renforcer ces protections.
« Les gouvernements qui luttent pour la vie privée en ligne renforcent les solutions de protection de la vie privée en ligne », a confié Arc à Gizmodo. « Les VPN ont gagné en popularité et en acceptation grâce aux restrictions sur le contenu pour adultes, et maintenant les gouvernements doivent lutter contre les VPN. Puis ce sera au tour des serveurs privés et des personnes qui créent leurs propres VPN avec WireGuard. Tout cela devient assez ridicule et peu faisable à faire respecter. »
« Des prestataires comme Obscura ont été conçus dès le départ pour éviter la détection des VPN par les ISP via QUIC, une technologie qui rend le trafic VPN exactement semblable au trafic HTTP/3 ordinaire », a ajouté Seth for Privacy. « Mullvad et Proton VPN proposent aussi de fortes techniques d’obfuscation pour les utilisateurs avancés, et Tor continue d’améliorer sa résistance à la censure via des outils comme Snowflake au fil des années pour permettre à ceux qui se trouvent dans des juridictions encore plus répressives (par exemple la Chine ou l’Iran) d’accéder encore à un Internet libre et ouvert. »
En d’autres termes, les efforts visant à empêcher complètement certains usages d’Internet restent largement performatifs à moins que les gouvernements soient prêts à imposer des contrôles extrêmement intrusifs. Les gouvernements peuvent rendre la contournement suffisamment difficile pour modifier le comportement des utilisateurs ordinaires, mais les éliminer complètement nécessiterait un contrôle de plus en plus draconien des réseaux, de la distribution logicielle, du matériel et de l’identité des utilisateurs. Et même ces mesures pourraient ne pas arrêter les utilisateurs les plus déterminés. Des systèmes satellites comme Starlink peuvent offrir une autre voie pour contourner les coupures Internet nationales pour les personnes capables d’obtenir et de faire fonctionner des terminaux physiques, laissant aux gouvernements le soin de criminaliser, confisquer, localiser ou tenter de brouiller le matériel Starlink lui-même.
Comme l’a mentionné Arc, l’un des exemples les plus directement applicables est déjà le système de vérification d’âge imposé sur les sites pour adultes dans diverses juridictions. Plusieurs études ont montré que ce genre de restrictions augmente l’intérêt pour les VPN et déplace le trafic ou l’activité de recherche des plateformes conformes vers des alternatives non conformes ou non gated. Une étude de la situation en Australie a notamment révélé que 85 % des 12-15 ans utilisent encore les réseaux sociaux malgré l’interdiction de comptes pour moins de 16 ans.
La crypto est un autre domaine où les VPN ont été largement utilisés pour contourner les restrictions géographiques qui permettent à des plateformes offshore d’échapper à l’intégralité du régime KYC et anti-blanchiment des États-Unis pour leurs utilisateurs. Par exemple, une analyse menée par le professeur d statistics de Rutgers, Harry Crane, commandée par un groupe industriel représentant les concurrents de Polymarket, estimait que les Américains représentaient environ 22 % à 30 % du volume des échanges sur la plateforme offshore de Polymarket, malgré l’interdiction pour les États-Unis d’y accéder. Binance et KuCoin ont également permis à des clients américains d’accéder à leurs bourses cryptographiques offshore via des contournements géographiques avant de plaider coupables dans des affaires fédérales distinctes concernant le non-respect des obligations d’enregistrement et de lutte contre le blanchiment d’argent. Plus récemment, Polymarket a intensifié ses efforts pour identifier et bloquer les utilisateurs accédant à sa plateforme offshore via des VPN face à une pression juridique et réglementaire croissante dans le monde.
Au-delà des VPN et de Tor, Arc a également évoqué Nostr comme un obstacle plus récent pour les législateurs tentant de réguler les réseaux sociaux via des plateformes centralisées. Nostr est un protocole ouvert qui permet aux utilisateurs de communiquer via des relais indépendamment exploités plutôt que par une seule entreprise qui peut être ordonnée de bloquer des comptes ou de contrôler l’accès. « Nostr est un vrai défi pour toutes ces lois », a déclaré Arc. « Par exemple, les profils ne sont que des paires de clés cryptographiques, donc pour empêcher un utilisateur de créer un profil, il faudrait que les gouvernements réglementent et interdisent les mathématiques. Les relais qui transmettent le contenu sont faciles à gérer, et cela devient un jeu du “chat et souris”. Nostr est lui-même une machine à trolling conçue pour discréditer des lois générales mal pensées qui attaquent la vie privée et l’anonymat. »
En de nombreuses manières, Nostr peut être vu comme une continuation du mouvement des logiciels libres et open-source (FLOSS), qui a également joué un rôle clé dans la résistance contre les tentatives de répression gouvernementale des activités Internet liées au chiffrement fort de bout en bout dans les années 1990 et à la piratage sur Internet dans les années 2000.
« Les gouvernements peuvent absolument rendre l’accès plus difficile pour les plateformes centralisées, mais pour les écosystèmes décentralisés et les FLOSS, c’est bien plus difficile, c’est pourquoi la plupart d’entre nous travaillent dans le FLOSS et des projets comme Nostr et imaginent que le FLOSS prévaudra », a déclaré Arc.
En d’autres termes, le problème clé pour les législateurs et les régulateurs est que cypherpunks écrivent du code. Les développeurs ont réagi à ces évolutions réglementaires en écrivant des logiciels qui chiffrent les données et décentralisent les infrastructures autant que nécessaire pour contourner les nouvelles restrictions. Et dans cette nouvelle vague de restrictions potentielles sur les VPN, la plupart des logiciels requis pour contourner ces règles existent déjà.
Les parlementaires et régulateurs reculent déjà
Dans l’Utah, la société mère de Pornhub, Aylo, a poursuivi l’État pour bloquer la loi qui rendrait des entreprises comme Pornhub responsables lorsqu’un mineur de l’Utah accède au site via un VPN. Aylo soutenait que, comme les sites Web ne peuvent pas déterminer de manière fiable si un visiteur masquant son emplacement se trouve physiquement dans l’Utah, la seule façon d’éliminer le risque de responsabilité serait d’appliquer une vérification d’âge conforme à l’Utah à chaque visiteur dans le monde. Un juge a émis une ordonnance préliminaire en septembre contre l’application de la disposition concernée, après avoir estimé probable qu’elle serait inconstitutionnelle. L’affaire a ensuite été suspendue jusqu’à la fin de la session législative de 2027 afin que les législateurs puissent envisager des amendements; en attendant, l’ordonnance associée reste en vigueur.
Le sénateur d’État de l’Utah Todd Weiler, le représentant Steve Eliason et le sénateur d’État Calvin R. Musselman n’ont pas répondu à des questions envoyées par courrier électronique sur la façon dont les lois peuvent être conciliées avec les libertés civiles ou réellement appliquées face aux contournements technologiques.
On ne sait pas encore si d’autres États suivront l’exemple de l’Utah sur le langage relatif au VPN ou s’ils se retireront une fois les aspects pratiques et constitutionnels plus clairs. De l’autre côté de l’Atlantique, alors Ministre britannique de la Safety Online, Kanishka Narayan, a déclaré en juillet : « Nous avons décidé de ne pas limiter les VPN », et l’ancien secrétaire à la Technologie britannique, Liz Kendall, a confirmé la même chose dans une déclaration écrite au Parlement, affirmant que les VPN ont « des usages légitimes en matière de protection de la vie privée et de sécurité ».
Plus récemment, le représentant américain Darrell Issa a présenté, à la mi-septembre, le American Copyright Protection Act, qui permettrait aux titulaires de droits d’auteur d’obtenir des ordonnances judiciaires obligeant les grands fournisseurs de VPN (ceux desservant au moins 100 000 utilisateurs ou abonnés américains mensuels), les FAI et les résolveurs DNS à prendre des mesures commercialement raisonnables pour bloquer des sites de piratage étrangers désignés. Un projet de loi bicaméral concurrent, le DEFEND IP Act, a été présenté peu après par le sénateur Thom Tillis, la représentante Zoe Lofgren et d’autres, mais il exclut explicitement les entités qui fournissent exclusivement des services VPN. Aucun des deux textes n’a été entendu. En plus, Issa part à la retraite à la fin de ce mandat et Tillis ne se représente pas, de sorte que les deux mesures devraient expirer avec le Congrès actuel et n’aboutir à rien.
