WireGuard ou OpenVPN

WireGuard a été conçu avec la vitesse à l’esprit. OpenVPN ne l’a pas été. Ainsi, WireGuard est considérablement plus rapide qu’OpenVPN.

Le protocole WireGuard est optimisé pour utiliser plusieurs cœurs de processeur en même temps, et il utilise des méthodes de chiffrement plus rapides.

Les propres mesures de WireGuard suggèrent que leur protocole est au moins 3 fois plus rapide qu’OpenVPN – avec un débit de 1011 Mbps, comparé aux 258 Mbps d’OpenVPN.

L’équipe de WireGuard admet toutefois que ces résultats sont “vieux et qu’ils n’ont pas été bien conduits.”

Nous avons donc effectué les tests nous-mêmes pour voir quel protocole est le plus rapide.

WireGuard est plus rapide qu’OpenVPN dans la plupart des VPN

NordVPN est un excellent VPN qui a été l’un des premiers à supporter à la fois WireGuard et OpenVPN. Il est donc idéal pour effectuer une comparaison des tests de vitesse.

Nous nous sommes connectés aux serveurs NordVPN dans le monde entier en utilisant soit le protocole OpenVPN (UDP), soit le protocole NordLynx (WireGuard), et nous avons enregistré nos vitesses de connexion.

Voici un résumé de nos conclusions sur la vitesse d’OpenVPN par rapport à celle de WireGuard :

 

Emplacement du serveur	OpenVPN (UDP)	WireGuard (NordLynx)
États-Unis	142 Mbps	254 Mbps (79 % plus rapide)
Royaume-Uni	135 Mbps	286 Mbps (112 % plus rapide)
Allemagne	131 Mbps	277 Mbps (111 % plus rapide)
Japon	139 Mbps	269 Mbps (94 % plus rapide)
Australie	118 Mbps	207 Mbps (75 % plus rapide)

Nos résultats ont montré que WireGuard était toujours 75 % plus rapide qu’OpenVPN, quel que soit l’endroit du monde où nous nous sommes connectés.

Sur les connexions à courte distance, la différence était encore plus prononcée, WireGuard fonctionnant deux fois plus rapidement qu’OpenVPN.

Ces résultats correspondent à ce que NordVPN a constaté en comparant NordLynx et OpenVPN. Ils ont effectué 8 200 tests automatisés quotidiennement pendant un mois et ont conclu que NordLynx était jusqu’à 2 fois plus rapide qu’OpenVPN.

Nous avons ensuite effectué des tests similaires avec d’autres services VPN qui prennent en charge les deux protocoles. Voici les résultats :

	Surfshark VPN		Mullvad VPN		Private Internet Access
Pays	OpenVPN	WireGuard	OpenVPN	WireGuard	OpenVPN	WireGuard
États-Unis	110 Mbps	261 Mbps	64 Mbps	331 Mbps	92 Mbps	28 Mbps
Royaume-Uni	121 Mbps	286 Mbps	345 Mbps	345 Mbps	228 Mbps	181 Mbps
Australie	78 Mbps	235 Mbps	261 Mbps	269 Mbps	111 Mbps	18 Mbps

Comme pour NordVPN, WireGuard est clairement le protocole le plus rapide pour les utilisateurs de VPN Surfshark et Mullvad.

Les résultats du test de vitesse de Private Internet Access (PIA) sont cependant importants à noter. En raison de son manque de maturité, plusieurs services VPN proposent actuellement WireGuard, mais n’ont pas encore optimisé leur service pour maximiser ses performances.

Mullvad en est un bon exemple. Fin avril 2021, il a publié une mise à jour qui a mieux intégré WireGuard dans le service.

Avant la mise à jour, le VPN était environ 70 % plus lent sur WireGuard que sur OpenVPN. Après la mise à jour, WireGuard est maintenant le protocole le plus rapide que vous pouvez utiliser avec Mullvad.

Nous nous attendons à voir une tendance similaire avec d’autres VPN, comme PIA, alors qu’ils travaillent à l’amélioration de WireGuard dans le cadre de leur service.

Dans la vidéo ci-dessus, vous pouvez voir en temps réel la différence entre OpenVPN (UDP) et WireGuard lorsque nous testons les deux en utilisant Proton VPN. La différence dans les vitesses de téléchargement était claire une fois de plus : OpenVPN a atteint une moyenne de 250 Mbps tandis que WireGuard a atteint une moyenne de 335 Mbps.

Temps de connexion

WireGuard établit également une connexion beaucoup plus rapidement qu’OpenVPN. C’est important car si la connexion est perdue ou si le tunnel VPN se rompt pour une raison quelconque, vous voulez que votre VPN se reconnecte rapidement.

Une étude d’Ars Technica a montré qu’une connexion OpenVPN peut prendre jusqu’à 8 secondes pour s’établir, alors que les connexions WireGuard prennent environ 100 millisecondes.

	OpenVPN	WireGuard
Ciphers de chiffrement et protocoles d’authentification	Couramment utilisés : AES, Blowfish, Camellia Également pris en charge : ChaCha20, Poly1305 (et bien d’autres)	ChaCha20, Poly1035
Confidentialité persistante parfaite	Supportée	Supportée
Vulnérabilités connues	Aucune	Aucune

OpenVPN vous permet d’utiliser une large gamme de chiffrement et d’algorithmes d’authentification, alors que WireGuard ne dispose que d’un ensemble fixe pour chaque version.

Cela signifie que, si une faille de sécurité est découverte dans un algorithme, OpenVPN peut être rapidement configuré pour utiliser autre chose. En revanche, WireGuard nécessiterait une mise à jour logicielle sur tous les appareils. C’est pénible, mais cela permet de s’assurer qu’aucun appareil n’utilise un code non sécurisé.

Il n’y a actuellement aucune faille de sécurité connue dans WireGuard et OpenVPN.

Choix ou sécurité

L’une des principales différences entre OpenVPN et WireGuard est le compromis entre le choix et la sécurité.

OpenVPN utilise la bibliothèque OpenSSL pour le chiffrement, qui a été publiée pour la première fois en 1998 et a fait l’objet de tests approfondis sur le long terme. Cette bibliothèque prend en charge un large éventail de chiffrement, notamment AES, Blowfish et ChaCha20.

WireGuard, en revanche, ne propose pas de choix de chiffrement. Il vous oblige à utiliser ChaCha20 pour le chiffrement et Poly1305 pour l’authentification.

Par conséquent, WireGuard nécessite beaucoup moins de code qu’OpenVPN : environ 4 000 lignes de code contre 70 000 (au moins).

Cette empreinte réduite permet aux chercheurs en sécurité d’auditer et de vérifier plus facilement le code de WireGuard que celui d’OpenVPN. La surface d’attaque possible de WireGuard est également beaucoup plus petite que celle d’OpenVPN.

En outre, un code moins volumineux réduit considérablement la possibilité d’apparition de bogues dans WireGuard.

Les nouveaux algorithmes de chiffrement sont-ils sûrs ?

En général, les chercheurs en sécurité préfèrent les technologies de chiffrement qui existent depuis un certain temps. En effet, les algorithmes plus récents peuvent parfois présenter des vulnérabilités qui n’ont pas encore été identifiées. Il est donc souvent plus sûr d’opter pour une option plus éprouvée.

Dans ce cas, OpenVPN est de loin l’option la plus éprouvée. Il a été publié 18 ans avant WireGuard, et le chiffrement AES qu’il utilise est presque dix ans plus ancien que les algorithmes ChaCha20 et Poly1035 utilisés par WireGuard.

Dans la pratique, cependant, la relative immaturité de WireGuard ne semble pas constituer un risque énorme pour la sécurité. Il y a trois raisons principales à cela :

1. La base de code minimale de WireGuard signifie qu’il peut être audité très rapidement. Cela permet d’atténuer une grande partie des inquiétudes concernant le manque de tests rigoureux du protocole, car les experts peuvent l’auditer beaucoup plus rapidement que le code d’OpenVPN.
2. ChaCha20 est très sûr. Le « 20 » dans « ChaCha20 » signifie qu’il y a 20 cycles de chiffrement pour protéger les données. En 2008, ChaCha7 (avec sept tours) a été cassé, mais ChaCha8 n’a toujours pas été cassé à ce jour. Vous pouvez donc être certain que ChaCha20 offre un niveau de sécurité élevé.
3. L’aval de Linux et de Google. Linus Torvalds, créateur original de Linux, a déclaré : « Le code n’est peut-être pas parfait, mais je l’ai parcouru et comparé aux horreurs que sont OpenVPN et IPSec, c’est une œuvre d’art ». WireGuard a depuis été inclus dans le noyau Linux, ce qui représente un soutien important pour ses références en matière de sécurité. Google est également passé à l’utilisation de ChaCha20 et Poly1305 pour chiffrer le trafic sur ses appareils Android.

OpenVPN et WireGuard sont tous deux des protocoles VPN très fiables qui offrent une connexion Internet stable dans la plupart des circonstances.

Cependant, seul OpenVPN vous offre la possibilité d’utiliser le protocole de communication TCP. Ceci est utile pour contourner les blocages Internet stricts, car les connexions TCP peuvent utiliser le port 443, qui est le même port que celui utilisé par le trafic HTTPS régulier.

Il est très peu probable que les systèmes de censure de pays comme la Chine, la Russie et la Turquie bloquent le port 443, car cela mettrait un terme à des activités essentielles comme les opérations bancaires et les achats en ligne.

En bref, OpenVPN TCP est plus efficace pour contourner la censure que WireGuard, car WireGuard ne peut être utilisé qu’avec UDP.

Voici un résumé rapide de la comparaison entre UDP et TCP :

	User Datagram Protocol (UDP)	Transmission Control Protocol (TCP)
Prise en charge de WireGuard Support	✓	✗
Prise en charge d’OpenVPN	✓	✓
Caractéristiques de fiabilité	✗	✓
Vitesse	Plus rapide	Plus lent

Nous recommandons généralement d’utiliser UDP dans la mesure du possible car il est plus rapide, plus efficace et tout aussi stable lorsqu’il est utilisé au sein d’un tunnel VPN. Cependant, pour contourner les pare-feu et la censure, un protocole TCP est préférable.

Cela se reflète dans l’option proposée par défaut par les services VPN lorsque vous essayez de vous connecter en Chine.

Nous avons constaté que, dans presque tous les cas, lorsqu’un fournisseur de VPN propose à la fois WireGuard et OpenVPN, le service utilise par défaut le protocole OpenVPN lorsque vous essayez de vous connecter depuis la Chine.

Nous avons également testé quelques services VPN dont nous savons qu’ils fonctionnent bien en Chine pour voir si OpenVPN ou WireGuard était plus efficace pour contourner le Grand Firewall de Chine :

• Astrill VPN a réussi à contourner la censure en utilisant à la fois OpenVPN et WireGuard.
• Private Internet Access (PIA) n’a pu se connecter qu’en utilisant OpenVPN, et a échoué en utilisant WireGuard.

De nos jours, les appareils se déplacent fréquemment entre les réseaux mobiles et les réseaux Wi-Fi. Un bon protocole VPN doit être capable d’effectuer ce changement de manière efficace.

WireGuard est bien meilleur que OpenVPN pour la mobilité. Il gère les changements de réseau de manière transparente, alors que OpenVPN a toujours eu des difficultés lorsque les utilisateurs passent régulièrement d’un réseau à l’autre. De nombreux services VPN ont en fait opté pour l’utilisation d’un protocole différent, IKEv2, pour les appareils mobiles.

IKEv2 est un assez bon protocole VPN, mais il est fermé et certains craignent qu’il ait été compromis par la NSA. WireGuard présente donc une nouvelle solution open-source au problème du choix du protocole VPN à utiliser sur les appareils mobiles.

Si vous utilisez un VPN lors de vos déplacements, nous vous recommandons vivement d’utiliser WireGuard plutôt que OpenVPN.

L’utilisation d’un VPN augmente toujours la quantité totale de données que vous consommez. En effet, le processus de tunnelisation vous oblige à envoyer des informations supplémentaires sur Internet, ce qui entraîne une augmentation de l’utilisation des données.

La surcharge de données peut affecter la vitesse de votre VPN. Si vous avez un contrat de téléphonie mobile avec paiement à l’utilisation, vous risquez également de dépenser plus d’argent et/ou d’atteindre plus tôt la limite de données prévue.

Le protocole VPN que vous utilisez influe sur l’importance de la consommation de données. Nos recherches ont montré que WireGuard consomme beaucoup moins de données qu’OpenVPN. Voici un résumé des résultats :

Pour tester l’utilisation des données de chaque protocole, nous avons utilisé les applications Linux WireGuard et OpenVPN et avons calculé la quantité de données supplémentaires qu’elles ajoutaient à notre connexion, par rapport à l’absence de VPN. Pour chaque test, nous avons copié un fichier test de 209 Mo entre deux serveurs virtuels. Nous avons effectué chaque test trois fois et calculé l’augmentation moyenne des données.

WireGuard a en fait la plus petite surcharge de données de tous les protocoles VPN que nous avons testés, y compris IKEv2 et PPTP. En revanche, c’est OpenVPN qui en a le plus.

Vous pouvez consulter les résultats complets de cette enquête et en savoir plus sur l’utilisation des données VPN dans notre guide sur les données mobiles et les VPN.

Protocole	Journalisation	Atténuations
OpenVPN	Aucune	Pas nécessaire
WireGuard	Adresse IP stockée sur le serveur jusqu’à ce qu’il redémarre	Disponible avec la plupart des fournisseurs de VPN commerciaux

Une caractéristique essentielle d’un service VPN sûr est qu’il ne stocke aucune information permettant de vous identifier personnellement. Cela s’applique également au protocole VPN utilisé.

Alors qu’OpenVPN fonctionne sans qu’il soit nécessaire d’enregistrer une adresse IP, WireGuard exige que les adresses IP autorisées soient stockées sur le serveur jusqu’à son redémarrage.

Ce point est préoccupant du point de vue de la protection de la vie privée, car si le serveur est compromis, l’adresse IP pourrait être utilisée pour vous relier à votre activité, ce qui supprimerait le principal avantage de l’utilisation d’un VPN.

Sachez donc que si vous utilisez l’implémentation standard de WireGuard, il est probable que votre adresse IP soit enregistrée au moins pendant la durée de votre session.

Heureusement, la plupart des services VPN commerciaux qui prennent en charge WireGuard ont mis en place des solutions de contournement pour minimiser ces risques d’atteinte à la vie privée. En voici quelques exemples :

• NordVPN : NordVPN a combiné WireGuard avec sa technologie propriétaire Double Network Address Translation (NAT) pour créer NordLynx. Au lieu de stocker votre adresse IP statique jusqu’au redémarrage du serveur, NordLynx attribue une adresse IP dynamique unique à chaque tunnel VPN, de sorte que chaque session dispose d’une adresse IP différente qui ne dure que le temps de la session.
• Mullvad : Pour maximiser la confidentialité lors de l’utilisation de WireGuard, Mullvad supprime votre adresse IP de ses serveurs après 10 minutes d’inactivité. En outre, Mullvad vous suggère d’utiliser sa fonction multi-sauts pour acheminer votre trafic via deux serveurs ou plus lorsque vous utilisez WireGuard.
• IVPN : IVPN supprime votre adresse IP après trois minutes d’inactivité. Il génère également une nouvelle adresse IP de manière aléatoire toutes les 24 heures, afin d’éviter les problèmes liés à l’utilisation d’une adresse IP statique.

Ces mesures d’atténuation suffiront à la plupart des utilisateurs. Toutefois, si vous vous trouvez dans un pays où la censure est stricte ou dans un pays où les autorités peuvent essayer de poursuivre les utilisateurs de VPN, ce n’est probablement pas un risque à prendre.

Nous vous recommandons également de vérifier auprès de votre fournisseur de VPN les mesures d’atténuation qu’il a mises en place pour les utilisateurs de WireGuard, si vous êtes préoccupé par votre vie privée.

OpenVPN est supporté nativement par presque tous les services VPN commerciaux, alors que WireGuard est beaucoup moins répandu.

WireGuard rattrape rapidement son retard, cependant. Bien qu’il ne soit sorti qu’en 2019, le protocole a déjà été mis en œuvre dans de nombreux VPN de premier plan – souvent à la fois sur les applications de bureau et les applications mobiles.

Voici un aperçu des protocoles pris en charge sur 15 des VPN les plus populaires :

Protocole VPN	ExpressVPN	NordVPN	CyberGhost	IPVanish	Surfshark	PrivateVPN	PIA	Windscribe	Proton VPN	Astrill	VPNArea	Hotspot Shield	Mullvad	TunnelBear	PureVPN
OpenVPN	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓	✓
WireGuard	✗	✓	✓	✓	✓	✗	✓	✓	✓	✓	✗	✓	✓	✗	✓

Traditionnellement, la plupart des VPN utilisent OpenVPN comme protocole par défaut, en particulier sur les ordinateurs de bureau.

Cependant, nous voyons maintenant un nombre croissant de fournisseurs changer leur allégeance à WireGuard.

Par exemple, CyberGhost utilise maintenant WireGuard par défaut sur Android et iOS, et NordVPN utilise sa version NordLynx de WireGuard par défaut dans la plupart de ses applications.

Facilité d’utilisation

Pour configurer manuellement le protocole, WireGuard est beaucoup plus simple qu’OpenVPN. Encore une fois, cela est dû au code simplifié de WireGuard et au manque de choix en matière de configurations de chiffrement, ce qui le rend très simple à installer.

La légèreté du code de WireGuard est également un atout pour l’utilisation d’un VPN sur les petits appareils informatiques et les appareils intégrés. OVPN, par exemple, comprend une application en ligne de commande compatible avec WireGuard pour les ordinateurs monocartes Raspberry Pi.

Cela dit, OpenVPN est plus facile à utiliser pour la plupart des utilisateurs de VPN, simplement parce qu’il est pris en charge par un plus grand nombre de services VPN. Il suffit de télécharger le VPN de votre choix et, dans presque tous les cas, le protocole OpenVPN sera configuré et prêt à être utilisé.

OpenVPN et WireGuard sont deux types de protocoles VPN. Un protocole VPN est une technologie utilisée pour créer un tunnel sécurisé entre votre appareil et un serveur VPN.

En d’autres termes, un protocole VPN est un élément clé du fonctionnement d’un VPN.

Vous pouvez utiliser OpenVPN et WireGuard indépendamment l’un de l’autre pour créer votre propre connexion VPN. Cependant, ils sont plus couramment utilisés dans le cadre de VPN personnels.

Voici un aperçu des principales caractéristiques de chaque protocole :

Caractéristique	OpenVPN	WireGuard
Date de sortie	Mai 2001	Septembre 2019
Chiffrement	AES, Blowfish, Camellia	ChaCha20, Poly1305
Longueur du code	Plus de 70 000 lignes	~4 000 lignes
Open Source	Oui	Oui
Sécurité	Forte	Forte
Confidentialité	Forte	Nécessite des mesures d’atténuation
Vitesse	Modérée	Rapide

OpenVPN

Le logiciel original de OpenVPN a été créé en 2001 par James Yonan.

Yonan a créé OpenVPN pour s’assurer que sa connexion était privée lorsqu’il voyageait en Asie centrale et utilisait les connexions Internet asiatiques et russes.

Aujourd’hui, M. Yonan est le directeur technique d’OpenVPN Inc. Cette société fournit des services interentreprises et gère OpenVPN.

Le PDG et fondateur de l’entreprise est Francis Dinha, qui a grandi en Irak et partage les préoccupations de M. Yonan concernant la protection de la vie privée contre la surveillance de l’État.

Le logiciel OpenVPN a été téléchargé plus de 60 millions de fois et presque tous les VPN utilisent aujourd’hui ce protocole.

OpenVPN est disponible sous une licence open-source, ce qui signifie que tout le monde peut consulter son code sous-jacent.

Pendant plus d’une décennie, OpenVPN a été considéré comme le summum de la sécurité des VPN. Cependant, avec la sortie de WireGuard, il existe un nouveau prétendant à cette première place.

WireGuard

WireGuard a été créé par Jason A. Donenfeld de Edge Security, et a sorti sa première version stable en septembre 2019.

WireGuard est conçu pour améliorer les protocoles VPN existants en étant plus simple, plus rapide et plus facile à utiliser.

Contrairement à OpenVPN, WireGuard est « cryptographiquement opinionné », pour reprendre les termes de Donenfeld. Cela signifie qu’il a choisi une solution pour chaque aspect de la sécurité du VPN.

Par conséquent, WireGuard offre moins de choix qu’OpenVPN, mais il est aussi beaucoup moins complexe.

Comme OpenVPN, WireGuard est également open source.

Bien qu’il n’ait été publié qu’en septembre 2019, WireGuard a déjà été incorporé dans un certain nombre de services VPN. NordVPN, par exemple, a construit son protocole propriétaire NordLynx au-dessus de lui.

Alors, lequel est le meilleur, OpenVPN ou WireGuard ? Commençons par comparer leurs vitesses.