Dausos le protocole VPN maison de Surfshark

Pourquoi ne pas simplement utiliser WireGuard ?

C’est la question légitime à se poser. WireGuard® est rapide, son code est minimaliste, et il est aujourd’hui considéré comme la référence technique du secteur. La réponse de Surfshark est que les protocoles VPN actuels n’ont pas été spécifiquement conçus pour un usage VPN grand public, ils ont été adaptés à cet usage après coup, ce qui introduit des compromis.

WireGuard® n’est pas un protocole d’entreprise recyclé : il a été développé par Jason Donenfeld comme protocole nouvelle génération et généraliste, délibérément simple. Mais adapter n’importe quel protocole à une infrastructure multi-utilisateurs à grande échelle crée des contraintes d’ingénierie réelles. La différence centrale mise en avant par Surfshark, c’est l’architecture de tunnel : dans la plupart des VPN, plusieurs utilisateurs partagent le même tunnel sur un serveur. Dausos alloue à chaque utilisateur son propre tunnel dédié et privé. En théorie, cela réduit les interférences, améliore les performances et renforce l’isolation.

Un algorithme de chiffrement conçu pour le matériel d’aujourd’hui

Presque tous les VPN utilisent aujourd’hui AES-256-GCM, un standard solide qui date des années 2000. Dausos utilise à la place AEGIS-256X2. La différence de vitesse vient d’une décision de conception : depuis une dizaine d’années, les processeurs intègrent des circuits dédiés au chiffrement (les instructions AES-NI). AES-GCM les exploite, mais il a été conçu avant qu’ils existent. AEGIS a été développé spécifiquement pour en tirer le maximum, sur du matériel récent, il chiffre davantage de données pour une charge processeur équivalente. AEGIS est actuellement en cours de standardisation à l’IETF, ce qui lui donne une légitimité sérieuse au-delà du simple argument commercial.

Sur le plan de la résistance quantique, Dausos utilise un échange de clés hybride combinant X25519 et ML-KEM (l’algorithme post-quantum standardisé par le NIST en 2024), et signe ses certificats avec ML-DSA. C’est l’approche recommandée, pas un simple label. La sécurité post-compromission est également intégrée : chaque session génère des clés indépendantes des précédentes, ce qui signifie qu’une compromission passée ne permet pas de déchiffrer les sessions futures.

Surfshark avance une amélioration de vitesse pouvant atteindre 30 % par rapport aux protocoles standards, sur la base de tests internes. Ce chiffre reste à confirmer par des benchmarks indépendants.

Dausos dans le mouvement plus large des protocoles maison

Surfshark n’est pas le premier à emprunter cette voie. NordVPN a développé NordLynx, qui encapsule WireGuard® dans une couche double-NAT pour résoudre des problèmes de confidentialité inhérents à WireGuard standard, et travaille actuellement sur NordWhisper, un protocole orienté contournement de censure basé sur TLS. ExpressVPN a construit Lightway sur la bibliothèque wolfSSL. Mullvad a développé GotaTun, une réimplémentation de WireGuard® en Rust, accompagnée d’un audit public dès le lancement.

Ce que fait Dausos, c’est entrer dans ce club avec une proposition cryptographique différente, centrée sur AEGIS-256X2. C’est la distinction technique qui le caractérise par rapport aux autres protocoles maison du secteur.

Ce qu’on en pense

Dausos est accompagné d’un audit. Cure53 a examiné le protocole en février et mars 2026 et n’a relevé aucun finding critique ou élevé sur le protocole lui-même, les éléments les plus sévères concernaient l’environnement d’hébergement externe. C’est un résultat sérieux. Surfshark a publié une synthèse des résultats, mais le rapport PDF complet de Cure53 n’est pas disponible publiquement.

Sur la disponibilité : Dausos est actuellement disponible uniquement sur macOS, via la version App Store de l’application Surfshark, pas la version DMG. Il est publié en version bêta, ce qui signifie que des problèmes de connectivité ou de performance peuvent survenir. Windows, Android, iOS et Linux sont annoncés sans calendrier précis.

Cet article sera mis à jour à la publication du rapport Cure53 complet et lors du déploiement sur les autres plateformes.