Voici comment l’Inde combat les VPN

En avril, l’Inde a adopté une loi qui restreindra considérablement les activités VPN dans le pays à partir du 27 juin 2022. Pourquoi la plus grande démocratie du monde a-t-elle choisi de suivre la voie tracée par certains des régimes les plus répressifs du monde, comme la Russie ou la Chine ? Plus important encore, les nouvelles mesures fonctionneront-elles?

Nouvelle loi

Cependant, examinons d’abord la loi elle-même , qui a été rédigée par CERT-In, l’équipe d’urgence informatique de l’Inde. Cela se résume à un ensemble de protocoles KYC (connaître votre client) qui obligeront le VPN à enregistrer le nom, l’adresse e-mail, l’adresse physique, l’adresse IP et le numéro de téléphone des utilisateurs. Les VPN devront également conserver des journaux ; toutes ces informations doivent être conservées pendant cinq ans (180 jours en cas de demandes techniques).

Bien que devoir révéler toutes vos informations personnelles à un VPN soit déjà déjà assez grave – bien que si vous ne vous êtes pas inscrit de manière anonyme, il en sait probablement déjà beaucoup sur vous – c’est la journalisation obligatoire qui cause le plus de désagréments parmi les utilisateurs de VPN. En effet, le besoin de journalisation est au cœur de ce que fait un VPN.

Dans ce cas, les journaux sont des enregistrements de l’endroit et du moment où vous vous êtes connecté, et tout bon VPN décent ne les conserve pas, cela fait partie de leur promesse de confidentialité. Le seul VPN légitimement privé est un VPN sans journal, et forcer les VPN à les conserver va donc à l’encontre de leur objectif même.

Non seulement VPN

Cependant, il convient de préciser que cette loi ne s’adresse pas seulement aux VPN, mais également aux fournisseurs de toutes sortes de services numériques . Par exemple, les fournisseurs d’hébergement Web ainsi que les échanges cryptographiques et les fournisseurs de VPS sont conçus pour mettre en œuvre ces nouvelles directives KYC. Dans un sens, cela créera une sorte de base de données des internautes indiens.

Pourquoi est-il mis en œuvre

Dans l’état actuel des choses, la nouvelle loi aura des implications considérables pour l’Internet indien. Le gouvernement semble comprendre cela, mais prétend que c’est nécessaire pour endiguer la vague de cybercriminalité, en particulier la fraude financière.

Il est indéniable que le problème est assez grave : les banques indiennes, par exemple, ont déclaré des pertes de 5 000 milliards de roupies (13 milliards de dollars) dans leurs livres en mai 2021. Les données sur la fraude à la consommation sont beaucoup plus difficiles à obtenir, mais plusieurs rapports mentionnent des montants importants. qui paralysent les victimes, parfois à vie. Les États-Unis souffrent également d’appels frauduleux en provenance du sous-continent.

Selon le CERT lui-même , il a traité près de 1,5 million de signalements de cybercriminalité en 2021 ; c’est un nombre assez élevé, même si l’on tient compte du fait qu’il y a une forte probabilité que de nombreuses personnes ne prennent pas la peine de signaler les incidents.

En obligeant les services en ligne à enregistrer les utilisateurs, le gouvernement indien espère rendre ces crimes plus difficiles à commettre. Si le VPN que vous utilisez pour masquer vos activités sait qui vous êtes, vous serez plus facile à attraper. Cependant, pour cacher leurs activités, les VPN sont utilisés non seulement par des criminels, mais aussi par des militants politiques et des journalistes.

Questions relatives aux droits de l’homme

C’est assez inquiétant car l’Inde a reçu de faibles notes de la part des organisations internationales de défense des droits de l’homme. Un rapport d’Amnesty International  détaille la répression du gouvernement indien contre les minorités ainsi que les agriculteurs qui protestent contre les politiques gouvernementales en 2021. Le rapport détaille comment l’Inde a mis en place un « appareil de surveillance illégal massif ».

Selon Reuters , signaler ou dénoncer ces actions signifie que vous subirez encore plus de pression de la part du gouvernement. Des journalistes et des militants en Inde affirment que leurs téléphones ont été piratés et mis sur écoute.

Si la loi sera certainement un outil utile dans la lutte contre la cybercriminalité, si l’ingéniosité des personnes qui tentent d’échapper à leur responsabilité ne doit jamais être sous-estimée, elle peut être utilisée pour plus que cela. Selon Misha Chowdhary du Software Freedom Law Center dans une interview accordée au magazine Wired , « Il semble que le gouvernement indien profite de chaque occasion pour rendre l’accès à Internet plus contrôlé et contrôlé. »

On ne sait toujours pas si ce contrôle sera dirigé uniquement contre les fraudeurs et les fraudeurs, ou s’il sera également dirigé contre les journalistes, les avocats et autres militants.

Qu’est-ce que cela signifie pour un VPN

Cependant, si le gouvernement indien tente de renforcer le contrôle sur Internet dans le pays, il semble qu’il ne le fera pas sans rencontrer de résistance. En ce qui concerne les VPN, de grands fournisseurs de VPN comme ExpressVPN et Surfshark ont ​​annoncé qu’ils se retiraient du pays, tout comme NordVPN . Nous ne pouvons que supposer que beaucoup d’autres suivront.

Cela ne signifie pas que les utilisateurs indiens de VPN, qui, selon les données recueillies par AtlasVPN, représentent environ 20 % de la population, se retrouvent complètement sans recours. Dans ce cas, « pull » signifie que ces fournisseurs de VPN abandonneront simplement leurs serveurs en Inde, mais autoriseront toujours l’accès aux serveurs dans d’autres pays.

Par exemple, un utilisateur à New Delhi qui se connectait à Internet via un serveur à Mumbai pourra désormais y accéder via un serveur dans un autre pays. Bien que cela ne soit probablement pas un problème pour un trop grand nombre de personnes, cela gênera beaucoup plus de personnes car le serveur distant ralentira leur connexion.

Un autre problème est qu’en retirant leurs serveurs de l’Inde, les clients VPN ne pourront plus utiliser les adresses IP indiennes. Très probablement, ce problème sera résolu à l’aide de soi-disant serveurs virtuels : des machines qui peuvent usurper des adresses IP, vous donnant une adresse IP indienne alors que vous vous trouvez à un autre endroit. Cependant, ces serveurs virtuels ne sont pas toujours fiables et il n’est pas clair si la loi indienne peut donner à CERT-In le pouvoir sur les adresses IP indiennes.

contournement de la loi

Cependant, la question reste de savoir à quelles actions les VPN pourraient être confrontés pour avoir contourné la nouvelle loi : par exemple, s’il y aura des sanctions contre les VPN pour avoir accordé l’accès aux utilisateurs indiens sans leur enregistrement. Cette question et bien d’autres ne trouveront probablement de réponse qu’après l’entrée en vigueur de la loi.

Naturellement, non seulement les fournisseurs de VPN essaieront de contourner la nouvelle loi, mais les utilisateurs eux-mêmes ont plusieurs options. Comme nous pouvons le voir, en Chine, les gens trouveront des moyens nouveaux et innovants d’accéder à Internet gratuitement. La nouvelle loi fait en sorte que vous ne pouvez pas utiliser un VPN ou un serveur en Inde, mais cela ne signifie pas que les gens ne tunneliseront pas d’une autre manière.

Quoi qu’il arrive, il semble que l’Internet indien ne sera plus jamais le même.