AmneziaWG vs WireGuard : ce qui change vraiment sous le capot
Un handshake WireGuard commence toujours par un type de message fixe — l’octet 0x01 — suivi d’une structure de champs prévisible. Cet unique octet suffit souvent à un système d’inspection profonde des paquets (DPI) pour repérer la session avant même que le trafic réel ne circule. AmneziaWG a été conçu précisément pour supprimer cette empreinte, tout en conservant intactes la vitesse et la cryptographie de WireGuard. Voici ce qui change réellement entre les deux, et pourquoi cela compte pour une connexion stable sur des réseaux exigeants envers les schémas de trafic VPN.
Même cœur cryptographique, signature réseau différente
AmneziaWG n’est pas un nouveau protocole VPN créé à partir de zéro — c’est un fork de WireGuard-Go qui conserve le même handshake Noise Protocol, le même échange de clés Curve25519 et le même chiffrement ChaCha20-Poly1305. Les garanties de sécurité ne changent pas. Ce qui change, c’est tout ce qu’un observateur extérieur sur le réseau peut réellement voir : la taille des paquets, les octets d’en-tête et le motif temporel autour du handshake.
WireGuard a été conçu pour la vitesse brute et un code minimal, pas pour se dissimuler des opérateurs réseau — cela n’a jamais fait partie de son cahier des charges. Pour en savoir plus sur la configuration de cette couche d’obfuscation, consultez la page du protocole AmneziaWG.
Comment le DPI repère réellement WireGuard classique
Le trafic WireGuard standard est facile à isoler car son message de handshake commence toujours par le même champ de type, et les tailles de paquets autour d’une session suivent un motif étroit et répétitif. Des chercheurs qui étudient le comportement des systèmes DPI à grande échelle ont rapporté qu’un handshake WireGuard classique était repéré en environ 30 secondes après le début d’une session, sur certaines des infrastructures de filtrage les plus agressives utilisées aujourd’hui.
Les méthodes de détection plus récentes vont encore plus loin. Des articles de sécurité réseau de 2026 décrivent des systèmes DPI combinant des modèles de machine learning avec une analyse du timing des paquets et de l’entropie pour identifier WireGuard à partir d’à peine une centaine de paquets — sans déchiffrer le moindre octet.
Un système DPI n’a pas besoin de casser le chiffrement. Il lui suffit que votre trafic paraisse statistiquement différent de tout le reste sur le réseau.
Voilà la vraie surface d’attaque : non pas le chiffre, mais la forme du trafic.
Ce qu’AmneziaWG change sur le réseau
La couche d’obfuscation d’AmneziaWG, documentée dans la documentation technique du projet lui-même, agit en perturbant cette forme avant même que le vrai handshake ne commence :
- Paquets de bruit (Jc, Jmin, Jmax) — le client envoie un nombre configurable de paquets de bruit de taille aléatoire avant le vrai handshake, brisant le motif de taille fixe que recherche le DPI.
- En-têtes aléatoires — l’octet de type de message et les autres champs d’en-tête ne correspondent plus aux constantes connues de WireGuard.
- Remplissage des messages — les longueurs de paquets varient pour que le trafic de session ne se regroupe pas dans une distribution de taille reconnaissable.
- Paquets de signature — du trafic leurre supplémentaire conçu pour ressembler à d’autres protocoles courants plutôt qu’à un handshake VPN.
La version 2.0 du protocole a étendu cela à une imitation plus complète des en-têtes et des tailles de paquets, allant au-delà de l’approche « paquets de bruit uniquement » des versions précédentes. Rien de tout cela ne touche au chiffrement sous-jacent — ce qui change, c’est ce que voit un observateur extérieur, pas ce que les deux points échangent réellement.
WireGuard vs AmneziaWG en un coup d’œil
| WireGuard | AmneziaWG | |
|---|---|---|
| Chiffrement | ChaCha20-Poly1305, Curve25519 | Identique |
| Motif de handshake | Fixe, reconnaissable | Aléatoire, avec paquets de bruit |
| Surcoût de vitesse | Aucun (référence) | Faible, dû aux paquets de bruit |
| Résistance au DPI | Faible — repérable en quelques secondes | Élevée — conçue pour cela |
| Idéal pour | Réseaux ouverts, routeurs domestiques | Réseaux restreignant les schémas de trafic VPN reconnaissables |
Ce qui se passe quand vous vous connectez
- Vous vous connectez à l’application RunVPN — via Google, e-mail ou Telegram.
- L’application récupère automatiquement sa configuration depuis les serveurs de RunVPN — rien à importer ou coller manuellement.
- Un tunnel s’ouvre en utilisant AmneziaWG par défaut, réglé pour une connexion stable même sur des réseaux qui restreignent les schémas de trafic VPN reconnaissables.
- Vous appuyez sur connecter, et le trafic passe par le tunnel — les paramètres d’obfuscation sont déjà correctement définis des deux côtés.
Pour les réseaux particulièrement exigeants, RunVPN propose aussi VLESS-Reality comme second protocole, fonctionnant sur le moteur Xray.
FAQ
AmneziaWG est-il plus lent que WireGuard ? Les paquets de bruit ajoutent un léger surcoût, mais dans un usage quotidien — navigation, streaming, messagerie — vous ne remarquerez pas la différence. Le chemin de chiffrement principal est identique à celui de WireGuard.
AmneziaWG remplace-t-il totalement WireGuard ? Non — il est construit par-dessus. Même échange de clés, même suite de chiffrement. La couche d’obfuscation s’ajoute, elle ne redessine pas le modèle de sécurité.
Pourquoi est-ce important si mon réseau n’est pas restrictif ? Même sur un réseau ouvert, un schéma de trafic moins reconnaissable signifie une exposition réduite à la classification automatique du trafic en général — cela fait partie d’une posture de confidentialité plus large, pas d’une solution miracle unique.
Dois-je configurer quoi que ce soit moi-même ? Non. RunVPN configure AmneziaWG automatiquement après votre connexion — il n’y a aucun profil manuel, aucun réglage de paquets de bruit ni aucun paramètre de handshake à toucher.