Détection de VPN : fonctionnement, ASN et listes
La détection de VPN consiste à décider si une adresse IP appartient à un réseau connu pour relayer le trafic d’autres personnes, à partir de deux sources principales : le numéro de système autonome (ASN) de l’adresse, qui indique qui exploite le réseau, et les listes de blocage des adresses de sortie de VPN, de proxys et de Tor connues. Aucune des deux sources n’est complète ; la détection est donc une estimation de probabilité et non une preuve.
Si cela est possible, c’est qu’une sortie de VPN doit bien se trouver quelque part. Les services VPN commerciaux louent des serveurs dans des datacenters et annoncent de l’espace d’adressage depuis une poignée de réseaux, et ces adresses se comportent différemment d’une connexion haut débit domestique. La détection cherche à reconnaître cette empreinte.
Premier signal : l’attribution d’ASN
Chaque adresse IP publique se trouve dans un bloc annoncé par un système autonome, identifié par un ASN. La recherche d’ASN renvoie le propriétaire enregistré, l’organisation et le pays pour un numéro tel qu’AS15169, et la recherche d’IP principale renvoie le même asn et la même organisation avec chaque adresse. Si l’organisation est une société d’hébergement, une plateforme cloud ou un CDN, l’adresse est peu susceptible d’être celle d’une personne chez elle, et ipto l’expose sous la forme is_datacenter. S’il s’agit d’un FAI grand public, l’adresse correspond probablement à un foyer ou à un abonné mobile. Le contexte est détaillé dans ce qu’est un ASN.
La preuve par l’ASN est forte dans le cas courant, où un fournisseur de VPN exploite des serveurs dans des baies louées, mais elle a deux faiblesses. Beaucoup de trafic non VPN provient aussi de datacenters : scripts, services de supervision, sorties d’entreprise légitimes et applications hébergées dans le cloud. Et un VPN qui sort via un FAI grand public ne laisse aucune empreinte de datacenter. L’ASN est donc un a priori, pas une conclusion.
Second signal : les listes publiées
La seconde source est constituée de listes d’adresses déjà identifiées comme des points de terminaison de VPN, des proxys ou des relais Tor. Tor est le cas le plus simple car le réseau publie ouvertement ses relais, mais les listes de sorties changent vite, comme expliqué dans pourquoi une liste statique de sorties Tor devient obsolète. Pour les VPN commerciaux, les listes sont constituées à partir d’observations et de données des fournisseurs, et doivent être actualisées fréquemment car les fournisseurs font tourner et ajoutent constamment des serveurs. Sur ipto, les flux VPN, Tor et abus sont actualisés toutes les 6 heures et les jeux de données d’IP et d’ASN quotidiennement, et les résultats apparaissent sous la forme is_vpn, is_tor et is_abuser dans la recherche d’IP. Vous pouvez aussi parcourir directement les flux de menaces sous-jacents.
La preuve par les listes est plus spécifique que celle par l’ASN, puisqu’une adresse présente sur une liste a été identifiée individuellement. Mais elle accuse un retard : un serveur ajouté ce matin peut ne figurer sur aucune liste avant la prochaine actualisation, et les listes peuvent conserver des adresses entre-temps réattribuées à des clients ordinaires.
Combiner les signaux
Les deux sources se complètent. Une adresse située dans un ASN d’hébergement et présente sur une liste de sorties est un VPN ou un proxy à haute confiance. Une adresse qui n’est que dans un ASN d’hébergement mérite de la prudence mais pas d’être automatiquement considérée comme un VPN. Une adresse qui correspond à une liste mais se trouve dans un ASN grand public peut être une entrée obsolète ou une sortie résidentielle. Passer une adresse dans le vérificateur de VPN, Tor et proxy montre quelles listes ont correspondu et à quel réseau appartient l’adresse, afin que vous voyiez les preuves plutôt qu’un simple oui ou non.
Là où la détection échoue
Soyez explicite sur les angles morts lorsque vous concevez en fonction du résultat :
- Les serveurs nouveaux ou renouvelés peuvent passer inaperçus jusqu’à ce que les flux rattrapent leur retard.
- Les proxys résidentiels passent par de vraies connexions domestiques et ressemblent à des utilisateurs ordinaires. ipto ne les détecte pas ; voir la détection de proxys résidentiels pour comprendre pourquoi c’est difficile.
- IPv6 : les indicateurs VPN, Tor et abus couvrent actuellement les plages IPv4 ; une adresse IPv6 renvoie donc false pour eux plutôt qu’une supposition, même si l’ASN, l’organisation et la localisation fonctionnent toujours.
- Les VPN auto-hébergés sur un serveur personnel dans la plage d’un petit fournisseur peuvent ne jamais figurer sur aucune liste.
Traitez un résultat négatif comme « non connu comme VPN », pas comme « définitivement direct ».
Utiliser le résultat judicieusement
La plupart des utilisateurs de VPN sont légitimes : employés sur des tunnels d’entreprise, voyageurs, personnes soucieuses de leur vie privée. Un indicateur fonctionne mieux comme une entrée de risque déclenchant une réponse proportionnée, comme une étape de vérification supplémentaire, un score de confiance plus bas ou un examen manuel pour les actions de grande valeur, plutôt qu’un blocage automatique. Les schémas pour cela se trouvent dans réduire les faux positifs dans la détection de VPN, et le vérificateur de score de fraude montre comment les signaux d’IP peuvent être combinés avec des preuves d’e-mail, de téléphone et de User-Agent en un seul score de 0 à 100.
Pour l’essayer, appelez GET https://ipto.to/v1/ip/:ip avec des adresses de vos propres journaux (gratuit, sans inscription, 1 000 requêtes par jour) et examinez les indicateurs à côté de l’ASN. Le schéma de réponse se trouve dans la documentation de l’API.