Des serveurs qui oublient tout au redémarrage : l'argument RAM-only
Ou : l’art de n’avoir rien à remettre, et la question de savoir à quel moment c’est vrai.
La réponse courte : un serveur VPN « RAM-only », ou sans disque, ne possède aucun support de stockage persistant. À chaque démarrage, il charge en mémoire vive une image système en lecture seule, signée et vérifiée, qui contient le système d’exploitation et toute la pile logicielle. À l’extinction, tout disparaît : configuration, fichiers temporaires, et d’éventuels journaux qu’on aurait oublié de désactiver. ExpressVPN a lancé cette architecture en avril 2019 sous le nom de TrustedServer, NordVPN a annoncé en octobre 2020 que tous ses serveurs classiques fonctionnaient en mémoire vive, Surfshark a terminé la même année, et Mullvad a achevé sa migration en septembre 2023. C’est devenu un argument commercial central dans la question de ce qu’un VPN peut être contraint de livrer, et il mérite qu’on regarde ce qu’il couvre exactement.
Ce qu’il couvre est réel. Un serveur saisi éteint, ou débranché pour être emporté, ne contient plus rien d’exploitable sur l’activité des utilisateurs. Un journal activé par erreur ne survit pas au redémarrage suivant. Et comme chaque machine repart d’une image identique, la dérive de configuration entre deux serveurs d’un même parc disparaît, ce qui intéresse autant les administrateurs que les auditeurs. Mullvad décrit un système d’un peu plus de 200 Mo, démarré par un chargeur dédié, qui repart à chaque fois sur un noyau fraîchement construit et sans trace de fichier journal.
Serveur RAM-only : ce que l’absence de disque ne protège pas
Le point faible tient en une phrase, et c’est Proton qui l’a écrite en expliquant pourquoi il n’utilise pas cette architecture : les avantages du RAM-only ne s’appliquent que si le serveur est éteint. Tant qu’il tourne, les données sont en mémoire, et quiconque dispose d’un accès administrateur à la machine voit ce qu’elle traite, quel que soit le support. Proton préfère chiffrer intégralement ses disques en AES-256, avec des clés stockées hors du serveur. Les deux approches ont des défenseurs sérieux, et le désaccord porte moins sur la sécurité que sur le scénario qu’on juge le plus probable : la saisie d’une machine éteinte, ou l’accès à une machine allumée.
La mémoire vive n’est pas non plus aussi oublieuse qu’on le dit. Des chercheurs de Princeton ont montré en 2008, dans un article présenté à USENIX Security, que la mémoire conserve son contenu de quelques secondes à quelques minutes après la coupure, et bien plus longtemps si on la refroidit : c’est l’attaque par démarrage à froid. Le scénario suppose un accès physique rapide et du matériel adapté, ce qui le réserve à des adversaires motivés. Mais il suffit à relativiser le mot « impossible » qu’on lit parfois dans les argumentaires.
Le cas le plus parlant reste un incident antérieur à la migration. Un serveur loué par NordVPN dans un centre de données finlandais a été compromis entre le 31 janvier et le 20 mars 2018, par le biais d’un outil d’administration à distance du prestataire, et l’affaire n’a été rendue publique qu’en octobre 2019. Aucune architecture sans disque ne protège contre quelqu’un qui accède à la machine pendant qu’elle fonctionne. Ce qu’elle garantit, c’est qu’il n’y aura rien à relire après coup.
| Situation | Serveur RAM-only | Disque chiffré |
|---|---|---|
| Machine saisie éteinte | Rien à exploiter | Rien sans les clés, stockées ailleurs |
| Journal activé par erreur | Effacé au redémarrage | Persiste jusqu’à suppression |
| Accès administrateur à une machine allumée | Tout est visible | Tout est visible |
| Accès physique immédiat après coupure | Démarrage à froid théoriquement possible | Même risque si les clés sont en mémoire |
Qui vérifie que le serveur est vraiment sans disque
L’affirmation « nos serveurs n’écrivent rien » se contrôle de la même façon qu’une politique no-log : par un tiers qui regarde les machines. Mullvad a annoncé que ses audits de serveurs porteraient désormais uniquement sur des déploiements sans disque. Ce qu’un auditeur peut réellement constater, et ce qui lui échappe, est décrit dans ce que certifie un audit indépendant.
Le jour où quelqu’un vient chercher la machine
L’argument du serveur sans disque a été éprouvé lors de perquisitions et de saisies réelles, en Suède, en Ukraine ou, selon le fournisseur concerné, en Turquie, avec des résultats qui ne tiennent pas tous à l’architecture. Les affaires documentées sont reprises dans les saisies et réquisitions qui ont mis le no-log à l’épreuve.
Le pays compte encore, même sans disque
Un serveur qui ne garde rien protège contre la saisie ponctuelle, pas contre une loi qui imposerait demain de journaliser. C’est tout le sens du débat suisse actuel, et la raison pour laquelle le pays du fournisseur reste le premier critère, développé dans le droit du pays où le service est établi.