Un serveur proxy a pour fonction de gérer le trafic internet entrant ou sortant d'un réseau privé. Si la fonction paraît unique, elle recouvre en réalité de très nombreux usages :
- il filtre la navigation : il peut par exemple bloquer, pour un utilisateur en entreprise, la possibilité de naviguer sur des sites sans rapport avec son travail;
- il accélère la navigation : grâce à un système de cache, il peut rendre beaucoup plus rapide la consultation des pages les plus fréquemment demandées par un groupe d'utilisateurs;
- il renforce le niveau de sécurité de l'appareil avec lequel vous naviguez : c'est en effet le proxy qui établit la connexion vers l'IP/le port que l'on souhaite contacter (par exemple www.sito.com sur le port 80) — ce ne sera jamais votre PC qui établira la connexion, mais le proxy, qui se chargera ensuite de rediriger le résultat, en l'occurrence une page http;
- il se comporte comme un pare-feu, avec ses règles spécifiques de filtrage contextuel;
- il renforce la confidentialité de l'internaute;
- il réserve la navigation aux seuls appareils autorisés au sein du réseau local dont ils font partie : par exemple un réseau d'entreprise où la navigation depuis les serveurs est interdite, sauf vers les domaines de l'éditeur des systèmes d'exploitation et du fabricant du matériel;
- en masquant votre IP, il peut aussi masquer votre position, rendant vaines les tentatives de géolocalisation de l'IP.
Son travail consiste essentiellement à intercepter et à gérer le trafic entre les appareils et les protocoles utilisés. Il existe aussi les reverse proxies : ces serveurs particuliers effectuent, comme leur nom l'indique, le travail inverse, c'est-à-dire qu'ils interceptent les requêtes des clients pour le compte d'un ou plusieurs serveurs et, si nécessaire, les transmettent aux serveurs de destination (qui fournissent le service demandé). Ce type de configuration empêche non seulement quiconque de communiquer directement avec les serveurs, mais améliore aussi les performances grâce à la répartition de charge : il est en effet possible de gérer le trafic entrant en le distribuant entre plusieurs serveurs qui fournissent le même service, au lieu de le concentrer sur une seule machine. Là encore, le bénéfice est multiple, y compris un niveau de sécurité accru pour les serveurs qui, de fait, ne sont pas exposés directement sur internet.
Comment se déroule le travail du proxy
- Étape 1 — les requêtes sont envoyées depuis votre adresse IP vers le serveur proxy;
- Étape 2 — le serveur proxy transmet la requête vers l'extérieur en utilisant sa propre adresse IP;
- Étape 3 — les réponses sont adressées au serveur proxy;
- Étape 4a — le serveur proxy transmet les données demandées à votre navigateur;
- Étape 4b — ou bien votre navigateur reçoit une page d'avertissement indiquant que le trafic demandé n'est pas autorisé.
Il n'y a cependant pas que des avantages. Puisque le proxy connaît toutes vos requêtes et tout le trafic qui vous est destiné, il vous expose automatiquement à un risque de sécurité et de confidentialité. En clair : si vous ne « faites pas confiance » au serveur proxy que vous utilisez, vous pourriez courir des risques identiques, voire supérieurs, à ceux encourus en ne l'utilisant pas du tout.
Les trois grands types
- Transparent proxy — essentiellement utilisé pour mettre en cache les pages à forte fréquence d'accès, ainsi que pour filtrer les sites non souhaités par l'organisation. Ce type de proxy n'effectue aucun masquage de l'IP, qui reste de fait celle de l'appareil depuis lequel on navigue.
- Distorting proxy — fournit une adresse IP factice au serveur web contacté, tout en s'identifiant néanmoins comme proxy. L'adresse IP factice garantit l'anonymat, mais le véritable avantage est que vous pouvez amener le serveur distant à vous géolocaliser à un emplacement fictif. Ce type de proxy est souvent utilisé pour contourner les restrictions typiques des sites qui proposent des contenus selon la zone géographique.
- Anonymous proxy — garde l'adresse IP de votre appareil cachée aux sites web que vous visitez. Cela peut aider à éviter les usurpations d'identité, tout en permettant une exploration anonyme; toutefois, les proxies anonymes se présentent malgré tout comme des serveurs proxy, et certains sites web pourraient vous refuser l'accès. Il existe une version de l'anonymous proxy à haut niveau d'anonymat : ce mode ajoute la rotation de l'IP de sortie, de sorte que votre appareil se présentera vers l'extérieur avec des adresses IP qui changent au fil du temps. Ce second type de proxy anonyme ne se présente pas à l'extérieur comme un proxy, ce qui garantit la « couverture » de vos traces numériques et en fait l'un des types de serveurs proxy les plus sûrs.
Des risques, ou seulement des bénéfices?
Il n'existe évidemment aucun système qui ne comporte aussi des risques. Il peut arriver, par exemple, que le serveur proxy ne chiffre pas le trafic web : ce point est assurément fondamental et lourd de conséquences pour votre confidentialité, et peut vous exposer au vol de mots de passe et d'autres données sensibles.
Sans que ce soit une pratique courante, il peut aussi arriver que certains services open proxy gratuits tracent et revendent les informations des utilisateurs (email, nom, historique de navigation, etc.) : mieux vaut donc se renseigner avant d'utiliser un proxy, et de manière générale la première règle de la sécurité informatique s'applique toujours : « Ne pas faire confiance! ». Utiliser un serveur proxy d'entreprise est évidemment une tout autre histoire — même si, dans ce cas, l'entreprise pourrait tracer les activités de l'utilisateur pour de justes raisons de sécurité; l'utilisateur devrait toutefois être informé de cette pratique.
Un système plus sûr
Un VPN (Virtual Private Network) offre une protection nettement meilleure. Que vous naviguiez depuis chez vous, depuis la pizzeria ou depuis l'entreprise, faire transiter votre trafic par un VPN est assurément un choix plus sûr.
Du point de vue de la confidentialité, la différence n'est finalement pas si perceptible : s'il est vrai que le « canal » de transit est plus sûr (trafic toujours chiffré dans les deux sens), il n'en reste pas moins que le gestionnaire du serveur VPN doit mériter notre confiance — raison pour laquelle les VPN sont souvent utilisés en entreprise, où il importe de tenir à l'écart les utilisateurs non désirés et indésirables.
Rien n'empêche de raisonner en termes de « double » protection, c'est-à-dire un serveur proxy accessible exclusivement à travers un VPN. Cette configuration ne conviendrait évidemment pas à un utilisateur à domicile; pour l'entreprise qui veut protéger ses utilisateurs même lorsqu'ils utilisent des ordinateurs portables ou d'autres appareils mobiles, en revanche, elle peut offrir la sécurité d'un transit chiffré depuis l'appareil de l'utilisateur jusqu'au serveur VPN et, de là, une navigation protégée et régulée par le proxy. Concevoir ce type de périmètres — et en vérifier réellement la solidité — est l'un des métiers de la sécurité.
Article publié à l'origine sur le blog de VPS GREEN, le service VPS sur notre cloud privé green.
