Qu'est-ce qu'un proxy transparent ? Détection et risques

Un proxy transparent (également appelé un proxy d'interception ou un proxy forcé) se trouve dans le chemin du réseau et traite votre trafic sans aucune configuration sur votre appareil. Vous ne l'avez pas configuré ; l'opérateur du réseau redirige vos connexions à travers lui automatiquement, généralement en interceptant le trafic sur le port 80 (et de plus en plus avec l'interception TLS sur le port 443). Le nom a un double sens : il est transparent pour votre appareil car rien ne change de votre côté, et il est souvent censé être invisible pour vous en tant qu'utilisateur.

Notez le conflit de terminologie. Dans les niveaux d'anonymat des proxies, "transparent" signifie un proxy qui transmet votre véritable IP dans les en-têtes (pas d'anonymat). Un proxy transparent/interceptant du réseau est lié mais distinct : il est défini par comment il est déployé (silencieusement, en chemin) plutôt que par ce qu'il révèle. De nombreux proxies d'interception transmettent votre IP, donc les deux sens se chevauchent souvent.

Les organisations utilisent des proxies transparents pour des raisons opérationnelles légitimes : mise en cache pour économiser de la bande passante, filtrage de contenu (écoles bloquant des catégories, lieux de travail appliquant des règles d'utilisation acceptable), portails d'authentification (le portail captif sur le Wi-Fi public est un proxy d'interception), surveillance et journalisation, et DLP. Les FAI les utilisent parfois pour la mise en cache ou l'injection de notifications.

Les risques dépendent de l'étendue de l'interception. Un proxy de mise en cache sur HTTP simple peut voir et enregistrer chaque page non chiffrée que vous demandez. Un proxy interceptant TLS est plus intrusif : pour inspecter HTTPS, il déchiffre votre trafic en présentant son propre certificat (ce qui nécessite un certificat racine installé sur votre appareil, courant sur les machines d'entreprise et d'école gérées) — ce qui signifie qu'il peut lire un trafic supposément privé. Au-delà de la surveillance, un proxy transparent peut injecter du contenu, limiter, ou casser des sites, et il sape la confidentialité que vous supposez qu'HTTPS vous accorde.

Comment vous protéger : un VPN chiffre votre trafic avant qu'il n'atteigne le réseau, de sorte qu'un proxy transparent ne voit qu'un tunnel opaque qu'il ne peut pas mettre en cache, filtrer ou lire — à condition que l'appareil ne fasse pas confiance à un certificat racine d'interception contrôlé par l'opérateur.

Parce qu'il est conçu pour être invisible, la détection nécessite un peu de recherche. Signes pratiques et vérifications : comparez l'adresse IP publique que l'internet voit et les en-têtes de réponse pour des entrées révélatrices comme Via ou X-Cache qu'un proxy de mise en cache ajoute ; essayez de vous connecter à un service sur un port inhabituel et voyez s'il est redirigé silencieusement ou bloqué ; inspectez le certificat sur un site HTTPS connu — s'il est émis par votre entreprise ou une autorité inattendue plutôt que par la véritable CA du site, l'interception TLS est en cours ; et vérifiez si des certificats racines inattendus sont installés sur votre appareil. Si des requêtes HTTP simples renvoient des en-têtes de cache que vous ne vous attendiez pas, quelque chose sur le chemin est en train d'intercepter.