Surveillance
Self-Defense

Activiste ou protestataire ?

  • Activiste ou protestataire ?

    Préserver votre sécurité et celle de vos communications où que vos campagnes vous mènent..

    La révolution peut ne pas être tweetée, mais l'activisme moderne dépend souvent de l'organisation en ligne. Cette liste de lecture vous enseignera à comprendre les risques auxquels les activistes doivent faire face et la manière de les en protéger.

  • Évaluer votre degré de risques

    Tenter de protéger toutes vos données, de tout le monde, en tout temps est irréaliste et épuisant. Mais n’ayez crainte ! La sécurité est un processus, et une planification réfléchie vous permettra d’évaluer ce qui vous convient. La sécurité ne se réduit pas aux outils que vous utilisez ou aux logiciels que vous téléchargez. Elle commence par une compréhension des menaces particulières auxquelles vous êtes exposé et de la façon de vous en prémunir.

    En sécurité informatique, une menace est un événement potentiel qui pourrait compromettre vos efforts pour défendre vos données. Vous pouvez faire obstacle aux menaces auxquelles vous êtes exposé en déterminant ce que vous devez protéger, et contre qui. On appelle ce processus « modélisation des menaces ».

    Ce guide vous apprendra à modéliser les menaces, c’est-à-dire à évaluer les risques auxquels vos renseignements numériques sont exposés et à déterminer les solutions qui vous conviennent le mieux.

    À quoi pourrait ressembler la modélisation des menaces ? Disons que vous souhaitez assurer la sécurité de votre maison et de vos possessions. Voici quelques questions que vous pourriez vous poser :

    Qu’est-ce qui vaut la peine d’être protégé dans ma maison ?

    • Les biens pourraient inclure : des bijoux, des appareils électroniques, des documents financiers, des passeports ou des photos

    Contre qui les protéger ?

    • Les adversaires pourraient être : des cambrioleurs, des colocataires ou des invités

    Dans quelle mesure ai-je besoin de les protéger ?

    • Des cambriolages ont-ils déjà eu lieu dans mon quartier ? Mes colocataires ou invités sont-ils dignes de confiance ? Que pourraient faire mes adversaires ? Quels risques devrais-je prendre en considération ?

    Quelle est l’ampleur des conséquences si j’échoue ?

    • Ai-je quoi que ce soit qui ne peut pas être remplacé dans ma maison ? Ai-je le temps ou l’argent pour remplacer ces choses ? Mon assurance couvre-t-elle les biens volés dans ma maison ?

    Quelles difficultés suis-je prêt à rencontrer pour prévenir ces conséquences ?

    • Suis-je prêt à acheter un coffre pour les documents de nature délicate ? Puis-je me permettre d’acheter une serrure de haute qualité ? Ai-je le temps de louer un coffret de sécurité à ma banque locale et d’y conserver mes biens de valeur ?

    Une fois que vous vous êtes posé ces questions, vous êtes à même d’évaluer les mesures à prendre. Si vous possédez des biens de valeur, mais que le risque d’un cambriolage est moindre, vous ne voudrez alors peut-être pas investir trop d’argent dans une serrure. Mais si le risque est élevé, vous achèterez la meilleure serrure sur le marché ou envisagerez d’acheter un système de sécurité.

    Établir un modèle de menaces vous aidera à comprendre les menaces particulières auxquelles vous êtes exposé, mais aussi à évaluer vos actifs, vos adversaires et leurs possibilités d’action, tout en diminuant les risques possibles.

    Qu’est-ce que la modélisation des menaces et par où commencer ?

    La modélisation des menaces vous aide à cerner les menaces contre ce à quoi vous tenez et à déterminer contre qui vous devez le protéger. Répondez à ces cinq questions pour établir un modèle de menaces :

    1. Que veux-je protéger ?
    2. Contre qui ?
    3. Quelle est l’ampleur des conséquences si j’échoue ?
    4. Dans quelle mesure ai-je besoin de le protéger ?
    5. Quelles difficultés suis-je prêt à rencontrer pour tenter de prévenir des conséquences potentielles ?

    Regardons chacune de ces questions de plus près.

    Que veux-je protéger ?

    Un bien est quelque chose auquel vous tenez et que vous souhaitez protéger. Dans le contexte de la sécurité numérique, on parlera plutôt d’« actifs » qui seront habituellement des informations. Par exemple, vos courriels, vos listes de contacts, vos messages instantanés, votre position géographique et vos fichiers sont tous des actifs possibles.

    Rédigez une liste de vos actifs : les données que vous conservez, où elles se trouvent, qui y a accès, et enfin ce qui empêche les autres d’y accéder.

    Contre qui le protéger ?

    Pour répondre à cette question, il est important de déterminer qui pourrait vouloir prendre vos renseignements ou vous-même pour cible. Une personne ou entité qui présente une menace pour vos biens est un « adversaire ». Votre patron, votre ancien associé, votre concurrent commercial, votre gouvernement ou un pirate sur un réseau public sont des exemples d’adversaires possibles.

    Rédigez une liste de vos adversaires et de ceux qui pourraient vouloir s’emparer de vos actifs. Votre liste peut comprendre des personnes, un organisme gouvernemental ou des entreprises.

    En fonction de l’identité de vos adversaires, dans certaines conditions, vous voudrez peut-être détruire cette liste après avoir modélisé les menaces.

    Quelle est l’ampleur des conséquences si j’échoue?

    Un adversaire peut menacer vos données de différentes façons. Par exemple, un adversaire peut lire vos communications personnelles alors qu’elles transitent par le réseau, ou il peut supprimer ou corrompre vos données.

    Les intentions des adversaires diffèrent considérablement, tout comme leurs attaques. Un gouvernement qui tente d’empêcher la propagation d’une vidéo de violence policière pourrait se contenter de supprimer cette vidéo ou d’y réduire l’accès. Par contre, un adversaire politique souhaitera peut-être avoir accès à un document secret afin de le publier sans que vous le sachiez.

    La modélisation des menaces consiste aussi à comprendre la gravité des conséquences si un adversaire réussissait à attaquer un de vos actifs. Pour ce faire, vous devriez tenir compte de la possibilité d’action de votre adversaire. Par exemple, un fournisseur de télécommunications mobiles peut accéder à tous les relevés de votre téléphone et potentiellement utiliser ces données contre vous. Sur un réseau Wi-Fi ouvert, un pirate peut accéder à vos communications non chiffrées. La possibilité d’action de votre gouvernement pourrait être encore plus étendue.

    Notez ce que votre adversaire pourrait vouloir faire de vos données personnelles.

    Dans quelle mesure ai-je besoin de le protéger ?

    Le risque est la probabilité qu’une certaine menace, contre un actif particulier, se réalise effectivement. Il va de pair avec la possibilité d’action. Bien que votre fournisseur de télécommunications mobiles puisse accéder à toutes vos données, le risque qu’il publie en ligne vos données personnelles pour nuire à votre réputation est faible.

    Il est important d’établir une distinction entre menaces et risques. Bien qu’une menace soit une chose fâcheuse qui pourrait avoir lieu, le risque est la probabilité que cette menace se réalise. Par exemple, il y a menace que votre bâtiment s’effondre, mais le risque que cela arrive est bien plus grand à San Francisco (où les tremblements de terre sont fréquents) qu’à Stockholm (où ce n’est pas le cas). Effectuer une analyse des risques est à la fois un processus personnel et subjectif ; tout le monde n’a pas les mêmes priorités ni ne perçoit les menaces de la même façon. Nombreux sont ceux qui trouvent certaines menaces inacceptables, quel que soit le risque, car la seule présence de menace, probable ou non, ne vaut pas le coût. Dans d’autres cas, les gens ignorent des risques élevés, car ils ne considèrent pas la menace comme un problème.

    Notez les menaces que vous allez prendre au sérieux et celles qui sont trop rares ou trop anodines (ou encore trop difficiles à combattre) pour vous en soucier.

    Quelles difficultés suis-je prêt à rencontrer pour prévenir ces conséquences ?

    Il faut effectuer l’analyse des risques pour répondre à cette question. Tout le monde n’a pas les mêmes priorités ni ne perçoit les menaces de la même façon.

    Par exemple, un avocat qui représente un client dans un cas de sécurité nationale sera probablement prêt à aller beaucoup plus loin pour protéger les communications concernant ce cas, comme chiffrer les courriels, qu’une mère qui envoie fréquemment des vidéos amusantes de chats à sa fille.

    Notez les options qui s’offrent à vous pour vous aider à atténuer vos menaces particulières. Notez aussi si vous avez des contraintes financières, techniques ou sociales.

    La modélisation des menaces comme pratique habituelle

    N’oubliez pas que votre modèle de menace peut évoluer en fonction de votre situation. C’est pourquoi il est de bonne pratique d’effectuer des évaluations fréquentes du modèle de menaces.

    Créez votre propre modèle de menaces en fonction de votre situation particulière. Inscrivez ensuite un rappel futur dans votre agenda, rappel qui vous invitera à revoir votre modèle de menaces et à évaluer si votre liste d’actifs est toujours pertinente à votre situation.

     

    Dernière révision: 
    07-09-2017
  • Communiquer avec les autres

    Les réseaux de communications et Internet ont rendu les communications avec les autres plus aisées que jamais, mais ont répandu la surveillance d’une manière que l’histoire de l’humanité n’a jamais connu. Sans prendre de mesures supplémentaires afin de protéger votre intimité, chaque appel téléphonique, message de texte, e-mail, message instantanée, appel vocal IP (VoIP), vidéo, chat et message au moyen des médias sociaux peut être vulnérable pour les espions.

    Souvent, la manière la plus sûre de communiquer avec les autres est de le faire en personne, sans ordinateurs ni implication quelconque de téléphones. Ce n’est pas toujours possible, la meilleure des choses à faire est donc d'utiliser le chiffrement global si vous communiquez sur un réseau et avez besoin de protéger le contenu de vos communications.

    Comment Fonctionne le Chiffrement Global ?

    Lorsque deux personnes souhaitent communiquer de manière sécurisée (par exemple, Akiko et Boris), elles doivent générer des crypto clés. Avant qu’Akiko n’envoie un message à Boris, elle devra le chiffrer grâce au code de Boris afin que seul ce dernier puisse le déchiffrer. Puis, elle envoie le message déjà chiffré sur Internet. Si quelqu’un espionne Akiko et Boris—et même s’il a accès au service utilisé par Akiko afin d’envoyer ce message (comme son compte e-mail) —il ne pourra visualiser que les données chiffrées et ne pourra pas lire le message. Lorsque Boris le reçoit, il doit utiliser son code afin de de le déchiffrer et de rendre le message lisible.

    Le chiffrement global implique un certain effort, mais il s’agit de la seule manière grâce à laquelle les utilisateurs peuvent vérifier la sécurité de leurs communications sans devoir faire confiance à la plate-forme qu’ils utilisent. Certains services, tels que Skype, ont prétendu offrir un chiffrement global, il n’en est rien. Afin que le chiffrement global soit sécurisé, les utilisateurs doivent pouvoir vérifier que la crypto clé grâce à laquelle ils chiffrent les messages appartient à la personne à laquelle ils croient qu’elle doive appartenir. Si le logiciel de communication ne dispose pas de cette capacité intégrée, tout chiffrement utilisé peut être intercepté par le prestataire du service lui-même, par exemple, si un gouvernement l’y oblige.

    Vous pouvez lire le livre blanc sur la Liberté d’Expression de la Fondation, Travaux de Chiffrement afin d’obtenir des instructions détaillées sur la manière d’utiliser le chiffrement global pour protéger les messages instantanés et les e-mails. Assurez-vous de consulter également les modules suivants d’Autodéfense contre la surveillance :

    Appels Vocaux

    Lorsque vous réalisez un appel d’un téléphone fixe ou portable, votre appel n’est pas chiffré dans son intégralité. Si vous utilisez un téléphone portable, votre appel peut être (faiblement) chiffré entre le combiné et les antennes-relais. Cependant, si votre conversation voyage sur le réseau téléphonique, elle est vulnérable à toute interception par votre prestataire de téléphonie et, en conséquence, aux gouvernements et organisations qui contrôlent votre compagnie téléphonique. La manière la plus facile d’assurer que vos conversations vocales sont globalement chiffrées est d’utiliser VoIP.

    Méfiez-vous! Les prestataires les plus célèbres de VoIP, tels que Skype et Google Hangouts, offrent le chiffrement du transport afin que les espions ne puissent pas écouter, mais les prestataires sont toujours à même de le faire. En fonction de votre modèle de menace, ceci peut constituer ou non un problème.

    Certains services qui offrent des appels VoIP globalement chiffrés comprennent :

    Afin de maintenir des conversations VoIP globalement chiffrées, les deux parties doivent utiliser le même logiciel (ou un logiciel compatible).

    Messages de Texte

    Les SMS n'offrent pas un chiffrement de bout en bout. Si vous voulez envoyer des SMS chiffrés sur votre téléphone, il vous faudra utiliser une application de messagerie instantanée chiffré au lieu du SMS.

    Quelques applications de messagerie instantanée chiffrées utilisent leur propre protocole. Les utilisateurs de Signal sur Androïde et iOS peuvent parler de manière sécurisé avec les autres utilisateurs du programme. ChatSecure est une application qui chiffre vos conversations avec OTR sur tous types de réseaux utilisant XMPP, ce qui veut dire que vous pouvez choisir un grand nombre de services de messagerie indépendants.

    Messages Instantanés

    Off-the-Record (Confidentiel) (OTR) est un protocole de chiffrement global pour les conversations via texte en temps réel, qui peut être utilisé avec de nombreux services.

    Certains outils qui incorporent OTR à la messagerie instantanée comprennent :

    E-mails

    La plupart des prestataires de services de courrier vous permet d’avoir accès à vos e-mails en utilisant un navigateur Web, comme Firefox ou Chrome. La grande majorité de ces prestataires fournit un support pour HTTPS ou chiffrement de la couche de transport. Vous pouvez savoir si votre prestataire de services de courrier admet HTTPS si vous vous connectez à votre messagerie Web et l’URL en haut de votre navigateur commence par les lettres HTTPS au lieu de HTTP (par exemple : https://mail.google.com).

    Si votre prestataire de services de courrier admet HTTPS, mais pas par défaut, tâchez de remplacer HTTP par HTTPS dans l’URL et actualisez la page. Si vous souhaitez vous assurer que vous utilisez toujours HTTPS sur les sites où il est disponible, téléchargez l’accessoire pour navigateur HTTPS Everywhere pour Firefox ou Chrome.

    Certains prestataires de messagerie Web utilisant HTTPS par défaut, comprennent :

    • Gmail
    • Riseup
    • Yahoo

    Certains prestataires de messagerie Web vous offrent l’option d’utiliser HTTPS par défaut en le sélectionnant dans vos paramètres. Le service le plus célèbre offrant toujours cette option est Hotmail.

    Quelles sont les conséquences du chiffrement de la couche de transport et pourquoi seriez-vous susceptible d’en avoir besoin ? HTTPS, également dénommé SSL (Couche de Connexion Sécurisée) ou TLS (Sécurité de la Couche de Transport), chiffre vos communications de manière à ce que personne d’autre ne puisse les lire sur votre réseau. Ceci peut faire référence aux autres personnes utilisant le même Wi-Fi dans un aéroport ou café, les autres personnes dans votre bureau ou école, les administrateurs de votre Prestataire de Services Internet, les pirates informatiques malveillants, les gouvernements ou les agents du maintien de l’ordre. Les communications envoyées sur votre navigateur Web, y compris les pages Web que vous visitez et le contenu de vos e-mails, les publications sur les blogs et les messages, en utilisant HTTP au lieu de HTTPS sont futiles aux yeux d’un attaquant au moment d’être interceptées et lues.

    HTTPS est le niveau le plus basique de chiffrement de navigation Web que nous vous recommandons. Aussi élémentaire que mettre votre ceinture de sécurité lorsque vous conduisez.

    Mais HTTPS ne peut pas tout faire. Lorsque vous envoyez des e-mails en utilisant HTTPS, votre prestataire de services de courrier obtient toujours une copie non chiffrée de votre communication. Les gouvernements et les agences du maintien de l’ordre peuvent avoir accès à ces données grâce à un mandat. Aux États-Unis, la plupart des prestataires de services de courrier possède une politique conformément à laquelle ils doivent porter à votre connaissance toute requête de vos données d’utilisateur provenant du gouvernement, étant donné qu’ils y sont légalement autorisés, mais ces politiques sont strictement volontaires et, dans bon nombre de cas, les prestataires sont légalement empêchés d’informer les utilisateurs de cette requête de données. Certains prestataires, comme Google, Yahoo et Microsoft, publient des comptes rendus sur la transparence, en y détaillant le nombre de requêtes de données des utilisateurs qu'ils reçoivent en provenance du gouvernement, quels pays présentent ces requêtes et la fréquence avec laquelle la compagnie a respecté ces requêtes en remettant ces données.

    Si votre modèle de menace comprend un gouvernement ou une agence du maintien de l’ordre, ou que vous ayez d’autres raisons de vous assurer que votre prestataire ne peut pas remettre les contenus de vos communications par e-mail à un tiers, vous pouvez envisager d’utiliser le chiffrement global pour vos communications par e-mail.

    PGP (Pretty Good Privacy/Confidentialité Plutôt Bonne) est le standard de chiffrement global de votre courrier. Correctement utilisé, il offre une protection très forte à vos communications. Afin d’obtenir des instructions détaillées sur la manière d’installer et d’utiliser le chiffrement PGP de votre courrier, cf. :

    Ce Que Le Chiffrement Global Ne Peut Pas Faire

    Le chiffrement global protège exclusivement le contenu de vos communications, non les communications en elles-mêmes. Il ne protégé pas vos métadonnées—c’est-à-dire tout le reste, y compris l’objet de votre e-mail, ou la personne avec qui vous communiquez et quand.

    Les métadonnées peuvent fournir des informations extrêmement révélatrices vous concernant, même lorsque le contenu de vos communications demeure secret.

    Les métadonnées relatives à vos appels téléphoniques peuvent divulguer certaines informations très intimes et sensibles. Par exemple :

    • Elles savent que vous appelé un service de sexe par téléphone à 2 heures 24 et parlé pendant 18 minutes, mais elles ne savent pas de quoi vous avez parlé.
    • Elles savent que vous appelé la ligne directe pour la prévention des suicides du haut du Golden Gate Bridge, mais le sujet de votre appel demeure secret.
    • Elles savent que vous avez parlé avec un service de test VIH, puis à votre médecin, et enfin à votre compagnie d'assurance santé la même heure, mais elles ne savent pas de quoi vous avez discuté.
    • Elles savent que vous avez reçu un appel du bureau local de l’Association Nationale des Fusils lorsqu’elle menait une champagne contre la législation anti-pistolets, puis qu’elle a appelé les sénateurs et les représentants au congrès immédiatement après, mais le contenu de ces appels demeure sécurisé contre l’intrusion du gouvernement.
    • Elles savent que vous appelé un gynécologue, parlé pendant une demi-heure, puis appelé la Planification Familiale plus tard dans la journée, mais personne ne sait ce dont vous avez parlé.

    Si vous appelez d’un téléphone portable, les informations concernant votre position consistent en des métadonnées. En 2009, Malte Spitz, politicien du Parti Écologiste, attaqua Deutsche Telekom en justice afin de la forcer à remettre six mois de données stockés sur son téléphone, qu’elle avait rendu disponibles à un journal allemand. La visualisation en résultant démontra un historique détaillé des mouvements de Spitz.

    Protéger vos métadonnées requerra d’utiliser d’autres outils, comme Tor, avec le chiffrement global.

    Afin de visualiser un exemple de la manière dont Tor et HTTPS travaillent ensemble à la protection du contenu de vos communications et métadonnées contre de nombreux attaquants potentiels, vous pouvez consulter cette explication.

    Dernière révision: 
    12-01-2017
  • Assurer la sécurité de vos données

    Si vous possédez un téléphone intelligent, un ordinateur portable ou une tablette, vous transportez avec vous une quantité considérable de données en tout temps. Vos contacts sociaux, vos communications privées, vos documents et photos personnels (dont nombre contiennent des renseignements confidentiels sur des douzaines, voire des milliers de personnes) ne sont que quelques exemples de ce que vous pouvez stocker sur vos appareils numériques. Dans la mesure où nous stockons et transportons tant de données, il peut être difficile d’en assurer la sécurité, d’autant plus qu’elles peuvent vous être enlevées relativement facilement.

    Vos données peuvent être saisies à la frontière, vous être dérobées dans la rue, ou encore vous être volées chez vous et copiées en quelques secondes. Malheureusement, verrouiller votre appareil par mot de passe, NIP ou geste ne protégera pas vos données si l’appareil même est saisi. Il est assez facile de contourner de tels verrous, car vos données sont stockées dans l’appareil sous une forme facilement lisible. Un adversaire n’aurait qu’à accéder directement à la mémoire afin de copier ou d’examiner vos données sans connaître votre mot de passe.

    Cela dit, vous pouvez compliquer la tâche de ceux qui volent physiquement vos données et tentent d’en percer les secrets. Voici quelques mesures que vous pouvez prendre pour augmenter la sécurité de vos données.

    Chiffrer vos données

    Si vous avez recours au chiffrement, votre adversaire doit avoir à la fois votre appareil et votre mot de passe pour désembrouiller les données chiffrées. Il est par conséquent plus sûr de chiffrer toutes vos données que seulement quelques dossiers. La plupart des téléphones intelligents ou ordinateurs offrent le chiffrement du disque entier comme option.

    Pour les téléphones intelligents et les tablettes :

    • Android offre le chiffrement du disque entier lors de la configuration initiale de votre téléphone pour les appareils plus récents, ou n’importe quand par la suite dans ses paramètres de « Sécurité » pour tous les appareils.
    • Les appareils Apple tels que l’iPhone ou l’iPad font référence à la « protection des données » et l’activent quand vous définissez un code.

    Pour les ordinateurs :

    • Apple propose une fonction intégrée de chiffrement du disque entier sur macOS appelée FileVault.
    • Les versions de Linux offrent habituellement le chiffrement du disque entier lors de la configuration initiale de votre système.
    • Windows Vista et versions ultérieures proposent une fonction de chiffrement du disque entier appelée BitLocker.

    Le code de BitLocker est fermé et propriétaire, ce qui signifie que les spécialistes chargés de l’examen critique peuvent difficilement connaître son niveau de sécurité. L’utilisation de BitLocker exige que vous fassiez confiance à Microsoft pour qu’ils fournissent un système de stockage sécurisé sans vulnérabilités cachées. D’autre part, si vous utilisez déjà Windows, vous faites déjà confiance à Microsoft dans la même mesure. Si vous vous inquiétez de la surveillance du genre d’adversaires qui pourraient connaître ou tirer partie d’une porte dérobée soit dans Windows soit dans BitLocker, envisagez un système d’exploitation de remplacement tel que GNU/Linux ou BSD, plus précisément une version qui a été renforcée pour résister aux attaques visant la sécurité, telle que Tails ou Qubes OS. Vous pouvez par ailleurs envisager d’installer un autre logiciel de chiffrement de disque, Veracrypt (site en anglais), pour chiffrer votre disque dur.

    Souvenez-vous : quel que soit le nom que votre appareil lui donne, le chiffrement n’est efficace que si votre mot de passe l’est. Si un adversaire prend possession de votre appareil, il aura tout le temps nécessaire pour découvrir vos mots de passe. Une façon efficace de créer un mot de passe robuste et mémorisable (page en anglais) est d’utiliser des dés (page en anglais) ainsi qu’une liste de mots (page en anglais) pour choisir des mots au hasard. Ensemble, ces mots forment votre « phrase de passe ». Une phrase de passe est une sorte de mot de passe rallongé pour une sécurité accrue. Pour le chiffrement du disque, nous recommandons de choisir un minimum de six mots. Consulter notre guide sur la création de mots de passe robustes pour plus d’informations.

    Il serait peut-être irréaliste que vous appreniez et saisissiez une longue phrase de passe sur votre téléphone intelligent ou sur votre appareil mobile. Ainsi, bien que le chiffrement puisse être utile pour prévenir des accès occasionnels, vous devriez protéger les données vraiment confidentielles en les mettant à l’abri d’un accès physique par des adversaires, ou à l’écart dans un appareil bien plus sûr.

    Créer un appareil sûr

    Il peut être difficile d’assurer la sécurité d’un environnement. Dans le meilleur des cas, vous devez changer vos mots de passe, vos habitudes et peut-être aussi les logiciels que vous utilisez sur votre ordinateur principal ou sur votre appareil. Dans le pire des cas, vous devez constamment évaluer si vous divulguez des informations confidentielles ou le danger que représentent vos pratiques. Même si vous connaissez les problèmes, vous ne pourrez peut-être pas appliquer de solutions, car parfois les personnes avec qui vous devez communiquer ont des pratiques de sécurité numérique dangereuses. Par exemple, vos collègues de travail vous demandent peut-être d’ouvrir les pièces jointes aux courriels qu’ils vous envoient, même si vous savez que vos adversaires pourraient usurper leur identité et vous envoyer des programmes malveillants.

    Alors, quelle est la solution ? Envisagez de tenir à l’écart vos données et communications précieuses dans un appareil plus sûr. Vous pouvez utiliser l’appareil sûr pour conserver l’exemplaire principal de vos données confidentielles. N’utilisez cet appareil qu’occasionnellement et quand vous le faites, veillez bien davantage à vos actions, sciemment. Si vous devez ouvrir des fichiers joints ou utiliser des programmes non sécurisés, faites-le sur une autre machine.

    Un ordinateur supplémentaire, sécurisé, n’est peut-être pas une option aussi coûteuse que vous le pensez. Un ordinateur qui est rarement utilisé et qui n’exécute que quelques programmes n’a pas besoin d’être particulièrement rapide ni récent. Vous pouvez acheter un ancien mini-ordinateur portable pour une fraction du prix d’un ordinateur portable ou d’un téléphone moderne. Les machines plus anciennes offrent aussi l’avantage que les logiciels sécurisés comme Tails fonctionneront vraisemblablement mieux sur ces machines que sur les nouveaux modèles.

    Lors de la mise en place d’un ordinateur sûr, quelles mesures prendre pour le rendre sûr ?

    1. Gardez votre appareil bien à l’abri et ne parlez pas de l’endroit où il se trouve, un endroit où vous pourriez savoir s’il a été manipulé, altéré à votre insu, par exemple dans une armoire sous clé.
    2. Chiffrez le disque dur de votre ordinateur avec une phrase de passe robuste afin que s’il était volé, les données resteraient illisibles sans la phrase de passe.
    3. Installez un système d’exploitation axé sur la confidentialité et la sécurité comme Tails. Vous ne pourrez peut-être pas (ou ne voudrez pas) utiliser un système d’exploitation à code source ouvert dans votre travail de tous les jours, mais si vous devez seulement stocker, modifier et rédiger des courriels confidentiels ou des messages instantanés à partir de cet appareil sûr, Tails fonctionnera bien et offrira par défaut des paramètres assurant une sécurité élevée.
    4. Assurez-vous que votre appareil est déconnecté, hors ligne. Il n’est pas surprenant que la meilleure façon de vous protéger contre les attaques provenant d’Internet ou contre la surveillance en ligne soit de ne jamais vous connecter à Internet. Vous pourriez vous assurer que votre appareil sûr ne se connecte jamais à un réseau local ou Wi-Fi, et que vous ne copiez des fichiers sur cette machine qu’en utilisant des supports physiques comme des DVD ou des clés USB. En sécurité des réseaux, on parlera d’« isolement », car l’ordinateur n’a pas de contact avec le reste du monde. Bien qu’extrême, cela pourrait être une solution si vous souhaitez protéger les données auxquelles vous accédez rarement, mais que vous ne voulez jamais perdre (telles qu’une clé de chiffrement, une liste de mots de passe ou une copie de sauvegarde de données confidentielles que quelqu’un vous a confiée). Dans la plupart de ces cas, vous pourriez envisager de n’avoir qu’un appareil de stockage caché, plutôt qu’un ordinateur complet. Par exemple, une clé USB chiffrée cachée en lieu sûr est probablement aussi utile (ou aussi inutile) qu’un ordinateur complet déconnecté d’Internet.
    5. Ne vous connectez pas à vos comptes habituels. Si vous utilisez votre appareil sûr pour vous connecter à Internet, créez des comptes Web et courriel séparés que vous utiliserez pour les communications à partir de cet appareil, et utilisez Tor (voir nos guides pour Linux, macOS, Windows) pour cacher votre adresse IP aux yeux de ces services. Si quelqu’un décide de cibler plus précisément votre identité avec des programmes malveillants ou intercepte seulement vos communications, des comptes séparés combinés à Tor peuvent aider à briser le lien entre votre identité et cette machine particulière.

    Bien qu’avoir un appareil sûr qui contient des informations importantes et confidentielles puisse contribuer à les protéger des adversaires, cela crée aussi une cible évidente. Vous courez alors le risque de perdre le seul exemplaire de vos données si la machine était détruite. Si la perte de toutes vos données pouvait profiter à votre adversaire, ne les gardez pas au même endroit, aussi sûr soit-il. Chiffrez une copie et conservez-la ailleurs.

    Une variante de l’idée d’une machine sûre est d’avoir une machine qui ne l’est pas : un appareil que vous n’utilisez que si vous vous rendez en un lieu dangereux ou si vous tentez une opération risquée. Par exemple, de nombreux journalistes et activistes emportent avec eux un simple mini-ordinateur portable lors de leurs déplacements. Cet ordinateur ne contient aucun de leurs documents ni contacts habituels ni courriels, et ne représenterait qu’une perte minimale s’il était confisqué ou examiné par balayage. Vous pouvez appliquer la même stratégie aux téléphones mobiles. Si vous utilisez habituellement un téléphone intelligent, envisagez d’acheter un téléphone mobile jetable pour certaines communications particulières lors de vos déplacements.

    Dernière révision: 
    28-06-2018
  • Créer des mots de passe robustes

    Créer des mots de passe robustes en utilisant des gestionnaires de mots de passe

    La réutilisation de mots de passe est une pratique de sécurité particulièrement mauvaise. Si une personne malveillante met la main sur un mot de passe que vous avez réutilisé pour plusieurs services, elle peut accéder à bon nombre de vos comptes. C’est pourquoi il est si important d’avoir plusieurs mots de passe uniques et robustes.

    Heureusement, un gestionnaire de mots de passe peut vous aider. Un gestionnaire de mots de passe est un outil qui crée et enregistre des mots de passe pour vous, afin que vous puissiez utiliser de nombreux mots de passe différents sur des sites et des services différents sans avoir à les mémoriser. Les gestionnaires de mot de passe :

    • génèrent des mots de passe robustes qu’un être humain ne pourra probablement pas deviner.
    • enregistrent plusieurs mots de passe (et les réponses à des questions de sécurité) en toute sécurité.
    • protègent tous vos mots de passe avec un mot de passe maître unique (ou une phrase de passe).

    KeePassXC est un exemple de gestionnaire de mots de passe à code source ouvert et gratuit. Vous pouvez conserver cet outil sur votre bureau ou l’intégrer à votre navigateur Web. KeePassXC n’enregistre pas automatiquement les changements que vous effectuez lors de son utilisation, et s’il plantait après que vous ayez ajouté des mots de passe, vous pourriez les perdre pour toujours. Vous pouvez changer ce comportement dans les paramètres.

    Vous demandez-vous si un gestionnaire de mots de passe est le bon outil pour vous ? Si un adversaire puissant comme un gouvernement vous cible, il pourrait ne pas l’être.

    Rappelez-vous que :

    • utiliser un gestionnaire de mot de passe crée un point de défaillance unique.
    • les gestionnaires de mots de passe sont une cible évidente pour les adversaires.
    • les recherches suggèrent que de nombreux gestionnaires de mots de passe comportent des vulnérabilités.

    Si les attaques numériques coûteuses vous inquiètent, envisagez une solution plus rudimentaire. Vous pouvez créer des mots de passe robustes manuellement (voir « Créer des mots de passe robustes en utilisant des dés » ci-dessous), les prendre par écrit et les conserver sur vous en sécurité.

    Attendez un peu. Ne sommes-nous pas censés garder les mots de passe dans notre tête et ne jamais les prendre par écrit ? En fait, les prendre par écrit et les conserver quelque part comme dans votre portefeuille est pratique, car vous saurez au moins si vos mots de passe écrits disparaissent ou sont volés.

    Créer des mots de passe robustes en utilisant des dés

    Vous devriez mémoriser quelques mots de passe et ils devraient être particulièrement robustes. Cela inclut :

    Une des nombreuses difficultés qui survient quand les gens choisissent eux-mêmes des mots de passe est que les gens ne sont pas très doués pour faire des choix aléatoires imprévisibles (site en anglais). Une manière efficace de créer un mot de passe robuste et mémorisable est d’utiliser des dés et une liste de mots (pages en anglais) pour choisir des mots au hasard. Ensemble, ces mots forment votre « phrase de passe ». Une « phrase de passe » est un genre de mot de passe, mais plus long, pour une sécurité accrue. Pour le chiffrement de disques et pour votre gestionnaire de mots de passe, nous recommandons de choisir un minimum de six mots.

    Pourquoi utiliser un minimum de six mots ? Pourquoi utiliser des dés pour choisir les mots d’une phrase au hasard ? Plus long et plus aléatoire sera le mot de passe, plus difficile il sera de le deviner, pour les ordinateurs et pour les êtres humains. Pour découvrir pourquoi il vous faut un tel long mot de passe difficile à deviner, voici une vidéo explicative (en anglais).

    Tentez de créer une phrase de passe en utilisant une des listes de mots de la FFÉ (liste en anglais).

    Si votre ordinateur ou votre appareil se trouve compromis et si un programme malveillant est installé, le programme malveillant peut vous regarder taper votre mot de passe maître et pourrait voler le contenu du gestionnaire de mots de passe. Il est donc encore très important de garder votre ordinateur et vos autres appareils exempts de programmes malveillants si vous utilisez un gestionnaire de mots de passe. 

    Un mot sur les « questions de sécurité »

    Faites attention aux « questions de sécurité » que les sites Web utilisent pour confirmer votre identité. Des réponses honnêtes à ces questions sont souvent des faits qui peuvent être découverts et qu’un adversaire peut facilement trouver et utiliser pour complètement passer outre votre mot de passe.

    Donnez plutôt des réponses fictives que personne d’autre que vous ne connaît. Par exemple, si la question de sécurité demande :

    « Quel est le nom de votre premier animal de compagnie ? »

    Votre réponse pourrait être un mot de passe aléatoire généré par votre gestionnaire de mots de passe. Vous pouvez enregistrer ces réponses fictives dans votre gestionnaire de mots de passe.

    Pensez aux sites où vous avez utilisé des questions de sécurité et envisagez de changer vos réponses. N’utilisez pas les mêmes mots de passe ou les mêmes réponses à des questions de sécurité pour plusieurs comptes sur différents sites Web ou services. 

    Synchroniser vos mots de passe sur plusieurs appareils

    De nombreux gestionnaires de mots de passe vous permettent d’accéder à vos mots de passe sur plusieurs appareils grâce à une fonction de synchronisation des mots de passe. Cela signifie que lorsque vous synchronisez votre fichier de mots de passe sur un appareil, il est mis à jour sur tous vos autres appareils.

    Les gestionnaires de mots de passe peuvent enregistrer vos mots de passe « dans le nuage », c’est-à-dire chiffrés sur un serveur distant. Quand vous avez besoin de vos mots de passe, ces gestionnaires récupèrent et déchiffrent les mots de passe pour vous automatiquement. Les gestionnaires de mots de passe qui utilisent leurs propres serveurs pour enregistrer vos mots de passe ou pour aider à les synchroniser sont plus pratiques, mais ils sont un peu plus vulnérables aux attaques. Si vos mots de passe sont enregistrés à la fois sur votre ordinateur et dans le nuage, un assaillant n’a pas à prendre le contrôle de votre ordinateur pour trouver vos mots de passe. (Il devra toutefois craquer la phrase de passe de votre gestionnaire de mots de passe.)

    Si cela est inquiétant, ne synchronisez pas vos mots de passe dans le nuage et préférez plutôt les enregistrer seulement sur vos appareils.

    Conservez une sauvegarde de votre base de données de mots de passe au cas où. Il est utile d’avoir une sauvegarde si vous perdez votre base de données de mots de passe lors d’un plantage ou si votre appareil vous est enlevé. Les gestionnaires de mots de passe offrent habituellement une façon de créer un fichier de sauvegarde, ou vous pouvez utiliser votre programme de sauvegarde habituel.

    L’authentification multifacteur et les mots de passe à usage unique

    Des mots de passe robustes et uniques rendent l’accès à vos comptes par des personnes malveillantes beaucoup plus difficile. Pour mieux protéger vos comptes, activez l’authentification à deux facteurs.

    Certains services offrent l’authentification à deux facteurs (aussi appelée A2F, authentification multifacteur ou vérification en deux étapes) qui exige que les utilisateurs possèdent deux composantes (un mot de passe et un second facteur) pour accéder à leur compte. Le second facteur peut être un code secret à usage unique ou un nombre généré par un programme exécuté par un appareil mobile.

    L’authentification à deux facteurs en utilisant un téléphone mobile peut être effectuée de deux façons :

    • votre téléphone peut exécuter une application d’authentification qui génère des codes de sécurité (comme Google Authenticator ou Authy) ou vous pouvez utiliser un dispositif matériel autonome (comme une YubiKey) ; ou
    • le service peut vous envoyer un texto contenant un code supplémentaire de sécurité que vous devez taper lorsque vous vous connectez.

    Si vous le pouvez, choisissez l’application d’authentification ou le dispositif matériel autonome plutôt que de recevoir des codes par texto. Il est plus facile pour l’assaillant de rediriger ces codes vers son propre téléphone que de passer outre l’application d’authentification.

    Certains services, comme Google, vous permettent aussi de générer une liste de mots de passe à usage unique. Ils doivent être imprimés ou pris par écrit et portés sur vous. Chacun de ces mots de passe ne fonctionne qu’une fois, et si l’un d’eux est volé par un programme malveillant alors que vous le saisissez, le voleur ne pourra pas l’utiliser pour quoi que ce soit à l’avenir.

    Si vous ou votre organisation exploitez votre propre infrastructure de communication, il existe des logiciels libres qui peuvent être utilisés pour activer l’authentification à deux facteurs pour accéder à vos systèmes. Cherchez des logiciels mettant en œuvre la norme ouverte « Mots de passe uniques temporisés » ou RFC 6238.

    Vous devrez parfois divulguer votre mot de passe

    Les lois sur la divulgation des mots de passe diffèrent d’un endroit à l’autre. Dans certains pays, vous pourrez légalement contester une demande de divulgation de votre mot de passe, alors que dans d’autres, les lois locales permettent au gouvernement d’en demander la divulgation et même de vous emprisonner sur la base du soupçon que vous pourriez connaître un mot de passe ou une clé. Des menaces de dommage corporel peuvent être utilisées pour forcer quelqu’un à donner son mot de passe. Ou vous pourriez vous trouver dans une situation, par exemple en traversant une frontière, où les autorités pourraient vous retarder ou saisir vos appareils si vous refusez de donner un mot de passe ou de déverrouiller votre appareil.

    Nous offrons séparément un guide pour traverser la frontière des É.-U. qui donne des conseils sur la façon de gérer les demandes d’accès à vos appareils alors que vous voyagez vers les États-Unis ou en sortez. Dans d’autres situations, vous devriez penser à la façon dont quelqu’un pourrait vous forcer, ou forcer autrui, à divulguer vos mots de passe et quelles pourraient en être les conséquences.

    Dernière révision: 
    15-10-2017
  • Participer à des manifestations (International)

    Avec la prolifération des technologies personnelles, les manifestants de toutes tendances politiques documentent leurs manifestations de manière croissante—et les affrontements avec la police—en utilisant des dispositifs électroniques tels que les caméras et les téléphones portables. Dans certains cas, obtenir cet unique cliché de l’émeute policière fonçant droit sur vous et le publier quelque part sur Internet, est un acte d’une puissance exceptionnelle qui peut attirer une attention vitale sur votre cause. Les conseils suivants sont utiles à mémoriser si vous vous trouvez dans une manifestation et vous souciez de protéger vos dispositifs électroniques si ou lorsque vous serez interrogé, détenu ou arrêté par la police. Souvenez-vous que ces conseils sont des directrices générales, si vos préoccupations sont particulières, veuillez-en parler à un avocat.

    Notre guide pour participer à des manifestations aux États-Unis se trouve ici.

    Préparer Vos Dispositifs Personnels en vue d’une Manifestation

    Pensez soigneusement au contenu de votre téléphone avant de l’emmener à une manifestation. Votre téléphone contient des fortunes en données privées, qui peuvent comprendre votre liste de contacts, les personnes que vous avez récemment appelées, vos messages de texte et vos e-mails, vos photos et vidéos, les données de votre localisation par GPS, votre historique de navigation sur le Web et vos mots de passe ou connexions actives, ainsi que le contenu de vos comptes e-mail et médias sociaux. Grâce aux mots de passe stockés, l’accès au dispositif peut permettre à quiconque d’obtenir encore plus d’informations sur les serveurs à distance. (Vous pouvez vous déconnecter de ces services).

    Dans de nombreux pays, les personnes sont requises d’enregistrer leurs cartes SIM lorsqu’elles acquièrent un téléphone portable. Si vous emmenez votre téléphone portable à une manifestation, il est plus facile pour le gouvernement de savoir que vous vous y trouvez. Si votre participation à une manifestation doit demeurer secrète aux yeux du gouvernement ou des forces du maintien de l’ordre, masquez votre visage afin qu’il soit plus difficile de vous identifier sur les photos. Cependant, sachez que les masques peuvent vous causer des problèmes dans certains endroits étant donné les lois anti-masques. De même, évitez d’emmener votre téléphone portable. Si vous devez absolument emmener un téléphone portable, emmenez-en-un dont vous ne soyez pas propriétaire.

    Afin de protéger vos droits, vous souhaitez sans doute blinder votre téléphone contre de telles recherches. Vous devriez également envisager d’emmener un téléphone jetable ou alternatif à la manifestation, qui ne contienne aucune donnée sensible, que vous n’avez jamais utilisé afin de vous connecter à vos communications ou comptes de médias sociaux, et que vous perdrez ou vous-en séparerez pendant quelque temps sans problème. Si votre téléphone contient trop d’informations sensibles et personnelles, l’option ci-dessus peut être la meilleure.

    Protection du mot de passe et options de chiffrement : Protégez toujours votre téléphone au moyen d’un mot de passe. Sachez que protéger simplement votre téléphone au moyen d’un mot de passe ou le bloquer n’est pasune barrière effective contre l’analyse des experts en criminologie. Android et iPhone fournissent tous deux l’option de chiffrer le disque dans son intégralité sur leurs systèmes d’exploitation, vous devriez les utiliser, bien que la plus sûre des options soit de laisser le téléphone ailleurs.

    L’un des problèmes du chiffrement des téléphones portables consiste en ce qu’Android utilise le même mot de passe afin de chiffrer le disque et de débloquer l’écran. Cette conception est des plus mauvaises car elle oblige l’utilisateur à sélectionner un mot de passe trop faible au niveau du chiffrement, ou de saisir un mot de passe trop long et peu pratique pour l’écran. Le meilleur compromis peut consister en 8-12 caractères assez aléatoires mais non moins faciles à saisir rapidement sur votre dispositif personnel. Si vous disposez d’un accès à la source sur votre téléphone Android et savez comment utiliser les scripts shell, lisez here. (See also "Communiquer avec les Autres” afin d’en savoir plus sur la manière de chiffrer les textes ou appels vocaux.)

    Faîtes une copie de sauvegarde de vos données : Il est important que vous fassiez régulièrement une copie de sauvegarde des données stockées dans votre téléphone, tout particulièrement si votre dispositif atterrit dans les mains d’un agent de police. Vous pouvez ne pas récupérer votre téléphone pendant un bon moment (voire jamais) et il est possible que son contenu soit éliminé, accidentellement ou non.

    Pour des raisons similaires, envisagez d’écrire un numéro de téléphone important mais non compromettant sur votre corps avec un marqueur indélébile si vous perdez votre téléphone, mais il vous est permis de réaliser un appel.

    Informations relatives à la localisation de l’emplacement du téléphone portable :Si vous emportez un téléphone portable à une manifestation, il est plus facile pour le gouvernement de deviner que vous êtes à la recherche d’informations pour votre prestataire. (Nous croyons que la loi requiert du gouvernement d’obtenir un mandat individuel afin d’obtenir les informations relatives à la localisation, mais le gouvernement n’est pas d’accord). Si vous devez dissimuler votre participation à une manifestation face au gouvernement, évitez d’emmener votre téléphone portable. Si vous devez absolument emmener un téléphone portable, rendez-vous à la manifestation avec un téléphone dont vous ne soyez pas propriétaire.

    Si l’arrestation lors de la manifestation vous préoccupe, il serait utile de pré arranger un message avec un ami de confiance se trouvant en lieu sûr. Écrivez votre texte à l’avance à cette personne et mettez-le à la queue afin de pouvoir rapidement l’envoyer en cas d’urgence, pour l’avertir que vous avez été arrêté. De manière similaire, il serait utile de planifier un appel préprogrammé à un ami suite à la manifestation—s’il n’a pas de nouvelles de vous, il peut supposer que vous avez été arrêté.

    Outre savoir que votre téléphone a été saisi et que vous avez été arrêté, cet ami de confiance devrait pouvoir modifier les mots de passe de vos comptes d’e-mail et médias sociaux dans le cas où vous seriez contraint de remettre vos mots de passe aux autorités.

    Veuillez noter que la dissimulation ou la destruction délibérée des preuves peut être considérée comme un acte illégal en soi dans certains ressorts (y compris dans de nombreuses démocraties sociales).

    Assurez-vous que votre ami et vous-même comprenez la loi et les risques avant de vous engager dans une telle entreprise. Par exemple, si vous vous manifestez dans un pays dont l’état de droit constitue une forte tradition et où se manifester en soi n’est pas un délit, il se peut que conspirer afin d’éloigner de vos comptes les forces du maintien de l’ordre vous conduise à violer la loi alors qu’au préalable, vous auriez pu partir sans être accusé. Par ailleurs, si vous vous souciez de la sécurité physique de vos collègues et vous-même entre les mains d’une milice non-identifiée, protéger les identités de vos amis et vos propres données peut devenir une priorité plus importante que de vous montrer conforme lors d’une enquête.

    Vous vous trouvez à la manifestation – et alors?

    Une fois à la manifestation, souvenez-vous que les forces du maintien de l’ordre peuvent contrôler les communications dans la région. Vous devriez chiffrer vos chats en utilisant ChatSecure, ou vos messages de texte et conversations téléphoniques en utilisant Signal.

    Souvenez-vous que même si vos communications sont chiffrées, vos métadonnées ne le sont pas, votre téléphone portable pourra toujours signaler votre position et les métadonnées, informer de vos communications, comme la personne avec qui vous parlez et la durée de l'appel.

    Si vous souhaitez que votre identité et localisation demeurent secrètes, assurez-vous de retirer toutes les métadonnées de vos photos avant de les publier.

    Dans d’autres circonstances, les métadonnées peuvent être utiles afin de démontrer la crédibilité des preuves recueillies lors de la manifestation. Le Projet Guardian a élaboré un outil dénommé InformaCam qui vous permet de stocker les métadonnées avec les informations relatives aux coordonnées GPS actuelles de l’utilisateur, l’altitude, le relèvement au compas, le relevé des luxmètres, les signatures des dispositifs voisins, les antennes-relais et les réseaux Wi-Fi, et ainsi d’éclaircir les circonstances et contextes exacts dans lesquels l’image digitale a été prise.

    Dernière révision: 
    19-11-2015
  • Participer à des manifestations (États-Unis)

    Avec la prolifération des technologies personnelles, les manifestants de toutes tendances politiques documentent leurs manifestations de manière croissante—et les affrontements avec la police—en utilisant des dispositifs électroniques tels que les caméras et les téléphones portables. Dans certains cas, obtenir cet unique cliché de l’émeute policière fonçant droit sur vous et le publier quelque part sur Internet, est un acte d’une puissance exceptionnelle qui peut attirer une attention vitale sur votre cause.

    Les conseils suivants sont utiles à mémoriser si vous vous trouvez dans une manifestation et vous souciez de protéger vos dispositifs électroniques si ou lorsque vous serez interrogé, détenu ou arrêté par la police. Souvenez-vous que ces conseils sont des directrices générales, si vos préoccupations sont particulières, veuillez-en parler à un avocat.

    Vous habitez en dehors des É.-U. ? Consultez notre guide Participer à des manifestations (international)

    Protégez votre téléphone avant de vous manifester

    Pensez soigneusement au contenu de votre téléphone avant de l’emmener à une manifestation.

    Votre téléphone contient des fortunes en données privées, qui peuvent comprendre votre liste de contacts, les personnes que vous avez récemment appelées, vos messages de texte et vos e-mails, vos photos et vidéos, les données de votre localisation par GPS, votre historique de navigation sur le Web et vos mots de passe ou connexions actives, ainsi que le contenu de vos comptes e-mail et médias sociaux. Grâce aux mots de passe stockés, l’accès au dispositif peut permettre à quiconque d’obtenir encore plus d’informations sur les serveurs à distance.

    La Cour Suprême des États-Unis a récemment disposé que la police doit être pourvue d’un mandat afin d’obtenir ces informations lorsque quelqu’un est arrêté, mais les limites exactes de cette jurisprudence sont toujours à l’examen. En outre, les forces du maintien de l’ordre chercheront parfois à saisir un téléphone, en croyant que celui-ci contient la preuve d’un délit (comme des photos que vous avez pu prendre au cours de la manifestation), ou partie d’une recherche technique. Elles peuvent obtenir ce mandat par la suite afin d’examiner le téléphone qu’elles ont déjà saisi.

    Afin de protéger vos droits, vous souhaitez sans doute blinder votre téléphone contre de telles recherches. Vous devriez également envisager d’emmener un téléphone jetable ou alternatif à la manifestation, qui ne contienne aucune donnée sensible, que vous n’avez jamais utilisé afin de vous connecter à vos communications ou comptes de médias sociaux, et que vous perdrez ou vous-en séparerez pendant quelque temps sans problème. Si votre téléphone contient trop d’informations sensibles et personnelles, l’option ci-dessus peut être la meilleure.

    Protection du mot de passe et options de chiffrement : Protégez toujours votre téléphone au moyen d’un mot de passe. Sachez que protéger simplement votre téléphone au moyen d’un mot de passe ou le bloquer n’est pasune barrière effective contre l’analyse des experts en criminologie. Android et iPhone fournissent tous deux l’option de chiffrer le disque dans son intégralité sur leurs systèmes d’exploitation, vous devriez les utiliser, bien que la plus sûre des options soit de laisser le téléphone ailleurs.

    L’un des problèmes du chiffrement des téléphones portables consiste en ce qu’Android utilise le même mot de passe afin de chiffrer le disque et de débloquer l’écran. Cette conception est des plus mauvaises car elle oblige l’utilisateur à sélectionner un mot de passe trop faible au niveau du chiffrement, ou de saisir un mot de passe trop long et peu pratique pour l’écran. Le meilleur compromis peut consister en 8-12 caractères assez aléatoires mais non moins faciles à saisir rapidement sur votre dispositif personnel. Si vous disposez d’un accès à la source sur votre téléphone Android et savez comment utiliser les scripts shell, lisez here. (See also "Communiquer avec les Autres” afin d’en savoir plus sur la manière de chiffrer les textes ou appels vocaux.)

    Faîtes une copie de sauvegarde de vos données : Il est important que vous fassiez régulièrement une copie de sauvegarde des données stockées dans votre téléphone, tout particulièrement si votre dispositif atterrit dans les mains d’un agent de police. Vous pouvez ne pas récupérer votre téléphone pendant un bon moment (voire jamais) et il est possible que son contenu soit éliminé, accidentellement ou non. Alors que nous croyons qu’il ne serait pas approprié pour la police d’éliminer vos informations, la possibilité existe.

    Pour des raisons similaires, envisagez d’écrire un numéro de téléphone important mais non compromettant sur votre corps avec un marqueur indélébile si vous perdez votre téléphone, mais il vous est permis de réaliser un appel.

    Informations relatives à la localisation de l’emplacement du téléphone portable :Si vous emportez un téléphone portable à une manifestation, il est plus facile pour le gouvernement de deviner que vous êtes à la recherche d’informations pour votre prestataire. (Nous croyons que la loi requiert du gouvernement d’obtenir un mandat individuel afin d’obtenir les informations relatives à la localisation, mais le gouvernement n’est pas d’accord). Si vous devez dissimuler votre participation à une manifestation face au gouvernement, évitez d’emmener votre téléphone portable. Si vous devez absolument emmener un téléphone portable, rendez-vous à la manifestation avec un téléphone dont vous ne soyez pas propriétaire.

    Si vous êtes détenu, il est possible que vous ne puissiez contacter aucun collègue. Il serait utile de planifier un appel préprogrammé à un ami suite à la manifestation—s’il n’a pas de nouvelles de vous, il peut supposer que vous avez été arrêté.

    Vous vous trouvez à la manifestation – et alors ?

    Gardez le contrôle sur votre téléphone : Garder le contrôle signifie conserver le téléphone sur vous à tout moment, ou le remettre à un ami de confiance si vous vous êtes engagé dans une action qui peut conduire à votre arrestation.

    Envisagez de prendre des photos et faire des vidéos : Le seul fait de savoir que des caméras documenteront l’évènement peut suffire à décourager la police de déraper au cours de la manifestation. La Fondation Frontières Digitales croit que vous disposez du droit de documenter les manifestations publiques, en vertu du Premier Amendement, y compris l’intervention de la police. Cependant, veuillez comprendre que la police puisse ne pas être d’accord et citer à l’appui diverses lois locales et étatiques. Si vous envisagez d’enregistrer des fichiers audio, vous devez revoir ce guide plus qu’utile, la Commission des Reporters pour la Liberté de la Presse, est-il possible d’enregistrer ?

    Si vous souhaitez que votre identité et localisation demeurent secrètes, assurez-vous de retirer toutes les métadonnées de vos photos avant de les publier.

    Dans d’autres circonstances, les métadonnées peuvent être utiles afin de démontrer la crédibilité des preuves recueillies lors de la manifestation. Le Projet Guardian a élaboré un outil dénommé InformaCam qui vous permet de stocker les métadonnées avec les informations relatives aux coordonnées GPS actuelles de l’utilisateur, l’altitude, le relèvement au compas, le relevé des luxmètres, les signatures des dispositifs voisins, les antennes-relais et les réseaux Wi-Fi, et ainsi d’éclaircir les circonstances et contextes exacts dans lesquels l’image digitale a été prise.

    Si vous prenez des photos ou réalisez des vidéos, la police peut également chercher à saisir votre téléphone afin d’obtenir le matériel à titre de preuve. Si vous êtes journaliste, vous pouvez revendiquer votre privilège de reporter à protéger le matériel que vous n’avez pas encore publié. La RCFP dispose d’un guide expliquant le Privilège du Reporterdans divers états.

    Si vous vous souciez d’être identifié, masquez votre visage afin de ne pas être identifié sur les photos. Les masques peuvent entraîner des problèmes dans certains endroits étant donné les lois anti-masques.

    Au-secours ! Au-secours ! Je me fais arrêter

    Souvenez-vous que vous avez le droit de garder le silence—en ce qui concerne votre téléphone et le reste.

    Si la police vous interroge, vous pouvez demander poliment mais fermement à parler à votre avocat et requérir, poliment mais fermement, de cesser toute interrogatoire jusqu’à ce que votre avocat soit présent. Il vaut mieux ne rien dire jusqu’à ce que vous ayez la possibilité de parler à un avocat. Cependant, si vous décidez de répondre aux questions, assurez-vous de dire la vérité. Mentir à un officier de police est considéré comme un délit, mentir aux forces du maintien de l’ordre peut entraîner bien plus de problèmes que les données qu’elles souhaitent saisir sur votre ordinateur.

    Si la police demande à voir votre téléphone, vous pouvez lui répondre que vous ne consentez pas à la recherche du dispositif. Elle peut toujours le rechercher avec un mandat suite à votre arrestation, mais au moins il est clair que vous ne lui en avez pas donné la permission.

    Si la police vous demande le mot de passe de votre dispositif électronique (ou vous demande de le débloquer), vous pouvez poliment vous y refuser et luidemander de parler à votre avocat. Si la police vous demande si le téléphone vous appartient, vous pouvez lui répondre qu’il est légalement en votre possession sans admettre ni en démentir la propriété ou le contrôle. Chaque arrestation est différente et vous aurez besoin d'un avocat qui vous aidera à régler vos circonstances particulières.

    Demandez à votre avocat de vous parler du Cinquième Amendement, lequel vous protège de devoir fournir au gouvernement un témoignage auto-compromettant. Si le fait de remettre un code de chiffrement ou un mot de passe déclenche l’exercice de ce droit, même un tribunal ne peut pas vous obliger à divulguer cette information. Si le fait de remettre un code de chiffrement ou un mot de passe révèlera au gouvernement des informations dont il ne dispose pas (comme la preuve que vous contrôlez des fichiers sur un ordinateur), il existe une forte probabilité que le Cinquième Amendement puisse vous protéger. Si, cependant, le fait de remettre des mots de passe et des codes de chiffrement n’est pas considéré comme un “acte de témoignage”, démontrant par exemple que vous contrôlez les données, le Cinquième Amendement peut ne pas vous protéger. Votre avocat vous aidera à comprendre son application dans une situation particulière.

    Le simple fait que la police ne puisse pas vous obliger à remettre un mot de passe ne signifie pas qu’elle ne puisse pas faire pression sur vous. La police peut vous détenir et vous envoyer en prison au lieu d’être immédiatement libéré si elle croit que vous refusez de coopérer. Vous devrez décider de vous montrer conforme ou non.

    La police a saisi mon téléphone, comment puis-je le récupérer ?

    Si votre téléphone ou dispositif électronique a été illégalement saisi et ne vous est pas immédiatement rendu à votre libération, votre avocat peut déposer une plainte auprès du tribunal afin qu’il vous soit restitué. Si la police croit avoir trouvé la preuve d’un délit sur votre dispositif électronique, y compris dans vos photos ou vidéos, elle peut le conserver à titre de preuve. Elle peut également tâcher de vous déchoir de votre dispositif électronique, mais vous pouvez le contester auprès du tribunal.

    Les téléphones portables et autres dispositifs électroniques sont une composante essentielle des manifestations du XXIe siècle. Tout le monde aux États-Unis, à la fois les citoyens et ceux qui ne le sont pas, peuvent et devraient pouvoir exercer leur droit à la parole et de libre réunion en vertu du Premier Amendement et, heureusement, les conseils ci-dessus peuvent constituer un guide utile afin que vous puissiez gérer les risques menaçant votre propriété et confidentialité de manière intelligente.

     

    Dernière révision: 
    09-01-2015
  • Choisir vos outils

    Alors que tant d’entreprises et sites Web offrent des outils dont le but est d’aider les utilisateurs à améliorer leur propre sécurité numérique, comment choisissez-vous les outils qui vous conviennent ?

    Nous n’avons pas de liste infaillible d’outils qui peuvent vous défendre (bien que vous pouvez trouver des choix courants dans nos Guides sur les outils). Mais si vous avez une idée précise de ce que vous essayez de protéger et contre qui, ce guide peut vous aider à choisir les outils appropriés en suivant quelques recommandations élémentaires.

    Souvenez-vous, la sécurité ne se limite pas aux outils que vous utilisez ni aux logiciels que vous téléchargez. Elle commence par une compréhension des menaces uniques que vous confrontez et de la façon dont vous pouvez contrecarrer ces menaces. Plus de renseignements se trouvent dans notre guide Évaluer votre degré de risques.

    La sécurité est un processus, pas un achat

    La première chose à vous rappeler avant de changer les logiciels que vous utilisez ou d’acheter de nouveaux outils est qu’aucun outil ou logiciel ne vous donnera en toutes circonstances une protection absolue contre la surveillance. Il est par conséquent important de considérer vos pratiques de sécurité numérique de façon holistique. Par exemple, si vous utilisez des outils sécurisés sur votre téléphone, mais que vous n’avez pas de mot de passe sur votre ordinateur, les outils sur votre téléphone ne vous aideront pas beaucoup. Si quelqu’un veut se procurer des renseignements sur vous, il choisira la manière la plus simple de les obtenir, pas la plus difficile.

    De plus, il est impossible de se protéger contre toutes sortes de mauvais tours ou d’assaillants, et vous devriez vous concentrer sur les personnes qui pourrait vouloir vos données, ce qu’elles pourraient en tirer et comment elles pourraient les obtenir. Si votre plus grande menace est la surveillance physique d’un détective privé sans accès aux outils de surveillance par Internet, il est inutile d’acheter quelque système téléphonique chiffré coûteux qui prétend être à l’épreuve des organismes de renseignement. Par ailleurs, si vous faites face à un gouvernement qui emprisonne habituellement les dissidents parce qu’ils utilisent des outils de chiffrement, il pourrait être logique d’utiliser des tactiques plus simples, comme mettre en place des codes préétablis à l’apparence anodine pour transmettre des messages, plutôt que de courir le risque de laisser des preuves que vous utilisez des logiciels de chiffrement sur votre ordinateur portable. On appelle modélisation des menaces la détermination d’un ensemble d’attaques possibles contre lesquelles vous prévoyez de vous protéger.

    Compte tenu de tout cela, voici quelques questions que vous pouvez poser au sujet d’un outil avant de le télécharger, de l’acheter ou de l’utiliser.

    Est-il transparent ?

    Nombreux sont les chercheurs en matière de sécurité qui estiment que la transparence se traduit par des outils plus sécurisés.

    Une grande partie des logiciels que la communauté de la sécurité numérique utilise et recommande sont à code source ouvert. Cela signifie que le code qui définit le fonctionnement de ces logiciels est accessible au public afin de pouvoir être examiné, modifié et partagé par d’autres. En faisant preuve de transparence sur le fonctionnement de leur programme, les créateurs de ces outils invitent autrui à découvrir des vulnérabilités informatiques et à contribuer à améliorer le programme.

    Les logiciels à code source ouvert offrent la possibilité d’une sécurité accrue sans toutefois la garantir. L’avantage du code source ouvert s’appuie en partie sur une communauté de technologues qui examinent le code, ce qui pour les petits projets (et même pour les projets populaires et complexes) pourrait s’avérer difficile à faire.

    Lorsque vous envisagez d’utiliser un outil, vérifiez si son code source est accessible et s’il propose un audit de sécurité indépendant pour confirmer la qualité de sa sécurité. À tout le moins, les logiciels et le matériel devraient inclure une explication technique détaillée de leur fonctionnement pour qu’elle soit examinée par d’autres experts.

     

    Ses créateurs présentent-ils clairement ses avantages et ses inconvénients ?

    Aucun logiciel ni matériel n’est complètement sécurisé. Cherchez des outils dont les créateurs ou les vendeurs sont honnêtes quant aux limites de leur produit.

    Les énoncés trompeurs qui prétendent que le code est de « calibre militaire » ou « à l’épreuve des organismes de renseignement » sont des indicateurs. Ces déclarations indiquent que les créateurs sont présomptueux ou qu’ils ne veulent pas envisager les défaillances possibles de leur produit.

    Dans la mesure où les assaillants tentent toujours de découvrir de nouvelles atteintes à la sécurité des outils, les logiciels et le matériel doivent être mis à jour pour corriger les vulnérabilités. Cela pourrait constituer un grave problème si les créateurs ne sont pas disposés à le faire, soit parce qu’ils craignent une mauvaise publicité, soit parce qu’ils n’ont pas conçu l’infrastructure pour le faire. Cherchez des créateurs qui sont prêts à effectuer ces mises à jour et qui sont parfaitement honnêtes sur leurs raisons de le faire.

    Les activités passées sont un bon indicateur du comportement futur des créateurs d’outils. Si le site Web d’un outil liste les problèmes antérieurs en donnant des liens vers des mises à jour et des informations régulières (comme plus particulièrement la date de la dernière mise à jour du logiciel), vous pouvez avoir une meilleure assurance qu’ils continueront à offrir ce service à l’avenir.

    Qu’arrive-t-il si les créateurs sont compromis ?

    Quand les créateurs d’outils de sécurité conçoivent des logiciels et du matériel, ils doivent (comme vous) avoir un modèle de menaces précis. Les meilleurs créateurs décriront clairement dans leur documentation contre quelle sorte d’adversaires ils peuvent vous protéger.

    Mais il existe un assaillant auquel de nombreux fabricants ne veulent pas penser : eux-mêmes ! Que se passe-t-il s’ils sont compromis ou décident d’attaquer leurs propres utilisateurs ? Par exemple, un tribunal ou un gouvernement pourrait obliger une entreprise à remettre des données personnelles ou à créer une « porte dérobée » qui supprimerait toutes les protections que leur outil offre. Prenez donc en considération le ou les pays où les créateurs se trouvent. Si vous pensez devoir vous protéger contre le gouvernement de l’Iran, par exemple, une compagnie située aux É.-U. pourra résister aux ordonnances des tribunaux iraniens, même si elle doit se conformer aux ordonnances étasuniennes.

    Même si un créateur peut résister à la pression gouvernementale, un assaillant pourrait tenter de s’introduire dans les systèmes du créateur d’outils afin d’attaquer ses clients.

    Les outils les plus résilients sont ceux qui prennent ce genre d’attaque en considération et sont conçus pour s’en défendre. Cherchez des renseignements qui affirment qu’un créateur ne peut pas accéder aux renseignements personnels et non des promesses qu’il ne le fera pas. Cherchez des organisations ayant la réputation de se battre contre les ordonnances de remise des données personnelles (page en anglais).

    A-t-il fait l’objet d’un rappel ou a-t-il été critiqué en ligne ?

    Les entreprises qui vendent des produits et les passionnés qui font la promotion de leur dernier logiciel peuvent être induits en erreur, trompeurs ou même mentir de façon éhontée. Un produit qui était sécuritaire à l’origine pourrait comporter des vulnérabilités importantes dans le futur. Assurez-vous d’être au courant des dernières nouvelles concernant les outils que vous utilisez.

    Se tenir au courant des dernières nouvelles au sujet d’un outil est une tâche importante pour une seule personne. Si vos collègues utilisent un produit ou un service particulier, collaborer avec eux pour rester informés.

     

    Quel téléphone devrais-je acheter ? Quel ordinateur ?

    L’on demande souvent aux formateurs en matière de sécurité : « Devrais-je acheter un téléphone Android ou un iPhone ? » ou « Devrais-je acheter un PC ou un Mac ? » ou « Quel système d’exploitation devrais-je utiliser ? ». Il n’y a pas de réponses simples à ces questions. La sécurité relative des logiciels et des appareils change constamment alors que de nouvelles vulnérabilités sont découvertes et que des bogues anciens sont corrigés. Les entreprises peuvent se faire concurrence pour vous offrir une meilleure sécurité ou elles peuvent toutes subir la pression des gouvernements pour affaiblir cette sécurité.

    Cependant, un conseil d’ordre général s’avère presque toujours. Quand vous achetez un appareil ou un système d’exploitation, assurez-vous de le garder à jour grâce aux mises à jour logicielles. Les mises à jour corrigeront souvent des problèmes de sécurité présents dans du code plus ancien que les attaques peuvent exploiter. Veuillez noter que certains téléphones et systèmes d’exploitation plus anciens pourraient ne plus recevoir de soutien, même pour les mises à jour de sécurité. Notamment, Microsoft a indiqué clairement que les versions de Windows Vista, XP et antérieures ne recevront plus de correctifs, même pour les problèmes graves de sécurité. Cela signifie que si vous les utilisez, vous ne pouvez pas vous attendre à ce qu’il soit à l’abri des assaillants. Il en est de même pour OS X avant 10.11 ou El Capitan.

    Maintenant que vous avez pris en considération les menaces auxquelles vous faites face et savez quoi chercher dans un outil de sécurité numérique, vous pouvez choisir avec plus de confiance les outils les plus appropriés à votre situation particulière.

    Les produits mentionnés dans Autodéfense contre la surveillance

    Nous essayons de faire en sorte que les logiciels et le matériel mentionnés dans ACS satisfassent aux critères indiqués ci-dessus. Nous nous sommes employés, en toute bonne foi, à ne lister que les produits qui :

    • possèdent une excellente connaissance de ce que nous savons actuellement en matière de sécurité numérique,
    • font généralement preuve de transparence en ce qui concerne leur fonctionnement (et leurs défauts),
    • offrent des mécanismes de défense contre la possibilité que les créateurs mêmes puissent être compromis et
    • sont actuellement maintenus, avec un vaste parc d’utilisateurs disposant de bonnes connaissances techniques.

    Au moment de la rédaction, nous pensons qu’ils touchent un grand nombre d’utilisateurs qui examinent les vulnérabilités qu’ils pourraient comporter et soulèveraient publiquement leurs préoccupations. Comprenez cependant que nous ne disposons pas de ressources pour examiner leur sécurité ni la garantir. Nous n’avalisons pas ces produits et ne pouvons garantir une sécurité absolue.

    Dernière révision: 
    19-04-2018
  • Guide pratique : contourner la censure en ligne

    Ce document survole le contournement de la censure en ligne, sans prétendre être exhaustif.

    Les gouvernements, les entreprises, les écoles et les fournisseurs de service Internet utilisent parfois des logiciels pour empêcher leurs utilisateurs d’accéder à certains sites Web et services. C’est ce que l’on appelle le filtrage ou le blocage d’Internet, ce qui constitue une forme de censure. Le filtrage se présente de diverses manières. Les censeurs peuvent bloquer des pages Web particulières ou même des sites Web entiers. Le contenu est parfois bloqué d’après les mots-clés qu’il contient.

    Il existe différentes façons de combattre la censure sur Internet. Certaines vous protègent contre la surveillance, mais beaucoup ne le font pas. Si quelqu'un contrôlant votre connexion à connexion à Internet filtre ou bloque un site, vous pouvez presque toujours utiliser un outil de contournement pour accéder à information dont vous avez besoin. Note : Les outils de contournement qui promettent confidentialité et sécurité ne sont pas toujours confidentiels ni sécurisés, et les outils qui utilisent des termes comme « anonymiseur » ne gardent pas toujours votre identité entièrement secrète.

    L’outil de contournement qui vous convient le mieux dépend de votre modèle de menaces. Si vous ne savez pas ce qu’est votre modèle de menaces, commencez ici.

    Dans cet article, nous parlerons de quatre façons de contourner la censure :

    • Visiter un mandataire Web pour accéder à un site Web bloqué.
    • Visiter un mandataire Web chiffré pour accéder à un site Web bloqué.
    • Utiliser un réseau privé virtuel (RPV) pour accéder à des sites Web ou des services bloqués.
    • Utiliser le navigateur Tor pour accéder à un site Web bloqué et protéger votre identité.

    Techniques de base

    Les outils de contournement fonctionnent actuellement en réacheminant votre trafic Web afin qu’il évite les machines responsables du blocage ou du filtrage. Un service qui redirige votre connexion Internet par-delà ces obstacles est parfois appelé un mandataire.

    HTTPS est la version sécurisée du protocole HTTP que vous utilisez pour accéder aux sites Web. Un censeur bloquera parfois seulement la version non sécurisée (HTTP) d’un site. Cela signifie que vous pouvez accéder au site bloqué en saisissant simplement la version de l’adresse Web qui commence par HTTPS.

    Cela est utile si la censure que vous combattez bloque des pages Web précises d’après leur contenu. HTTPS empêche les censeurs de lire votre trafic Web et ils ne peuvent donc pas savoir quels mots-clés sont envoyés ni quelles pages Web particulières vous visitez.

    Les censeurs peuvent quand même voir les noms de domaine de tous les sites Web que vous visitez. Donc, si vous visitez par exemple « eff.org/https-everywhere », les censeurs peuvent voir que vous êtes sur « eff.org », mais pas que vous êtes sur la page « https-everywhere ».

    Si vous soupçonnez ce type de blocage simple, essayez de saisir https:// devant le domaine au lieu de http :

    Essayez d’installer l’extension HTTPS partout (site en anglais mais l’extension est en français) de la FFÉ pour activer HTTPS partout automatiquement lorsque cela est possible.

    Vous pourriez aussi contourner les techniques de censure de base en essayant un nom de domaine ou une URL de remplacement. Par exemple, au lieu de visiter http://twitter.com, vous pourriez utiliser la version mobile du site sur http://m.twitter.com. Les censeurs qui bloquent les sites ou les pages Web travaillent à partir d’une liste noire de sites Web bannis, et tout ce qui n’est pas sur cette liste noire passera donc. Ils pourraient ne pas connaître toutes les différentes versions du nom d’un site Web particulier, spécialement si les administrateurs du site savent qu’il est bloqué et enregistre plus d’un domaine.

    Les mandataires Web

    Un mandataire Web (tel que http://proxy.org/, en anglais) est un site Web qui permet à ses utilisateurs d’accéder à d’autres sites Web bloqués ou censurés. C’est donc une bonne façon de contourner la censure. Afin d’utiliser un mandataire Web, visitez le mandataire et saisissez l’adresse Web que vous souhaitez voir ; le mandataire affichera alors la page Web que vous avez demandée.

    Cependant, les mandataires Web n’offrent aucune sécurité et seront un mauvais choix si la surveillance de votre connexion Internet fait partie de votre modèle de menaces. Ils ne vous aideront pas à utiliser des services bloqués tels que vos applis de messagerie instantanée. Le mandataire Web conservera un journal complet de toutes vos activitiés en ligne, ce quie pourrait représenter, pour certains utilisateurs, un risque de divulgation des renseignements personnels, selon leur modèle de menaces.

    Les mandataires chiffrés

    De nombreux outils mandataires utilisent le chiffrement pour offrir une couche supplémentaire de sécurité en plus de la capacité d’éviter le filtrage. La connexion est chiffrée et personne ne peut donc savoir ce que vous visitez. Bien que les mandataires chiffrés soient habituellement plus sécurisés que les mandataires Web en clair, le fournisseur de l’outil peut détenir des renseignements sur vous. Ils pourraient par exemple conserver vos nom et adresse courriel dans ses dossiers. Cela signifie que ces outils n'offrent pas un anonymat total.

    La forme la plus simple de mandataire Web chiffré est celle qui commence par « https » : le chiffrement habituellement proposé par les sites Web sécurisés sera utilisé. Soyez toutefois prudent, car les propriétaires de ces mandataires peuvent voir les données que vous envoyez et recevez d’autres sites Web sécurisés.

    Ultrasurf et Psiphon sont de tels outils.

    Les réseaux privés virtuels

    Un réseau privé virtuel (RPV) chiffre et envoie toutes les données Internet de votre ordinateur par un autre ordinateur. Cet ordinateur pourrait appartenir à un service RPV commercial ou sans but lucratif, à votre entreprise ou à un contact de confiance. Une fois qu’un service RPV est correctement configuré, vous pouvez l’utiliser pour accéder à des pages Web, au courriel, à la messagerie instantanée, à la voix sur IP et à tout autre service Internet. Un RPV met votre trafic à l’abri de l’espionnage local, mais votre fournisseur de RPV peut quand même conserver des journaux des sites Web auxquels vous accédez et même laisser un tiers surveiller directement votre navigation sur le Web. Selon votre modèle de menaces, la possibilité que le gouvernement surveille votre connexion RPV ou obtienne les journaux du RPV peut représenter un risque de taille. Pour certains utilisateurs, cela pourrait être plus important que les avantages à court terme offerts par l’utilisation d’un RPV.

    Pour des renseignements sur des services RPV précis, cliquez ici (site en anglais).

    Nous, à la FFÉ, ne pouvons répondre des évaluations de ces RPV. Des RPV dont les politiques de confidentialité sont exemplaires pourraient être exploités par des personnes sournoises. N’utilisez pas un RPV en lequel vous n’avez pas confiance.

    Tor

    Tor est un logiciel à code source ouvert conçu pour assurer votre anonymat sur le Web. Le navigateur Tor est un navigateur Web qui s’appuie sur le réseau d’anonymat Tor. Grâce à la manière dont Tor achemine votre trafic de navigation sur le Web, il vous permet aussi de contourner la censure (consultez notre Guide pratique : utiliser Tor pour Linux, macOS et Windows).

    Lorsque vous démarrez le navigateur Tor pour la première fois, vous pouvez choisir une option qui indique que vous êtes sur un réseau censuré :

    Tor n’évitera pas seulement presque toutes les censures nationales, mais, s’il est configuré correctement, il peut aussi protéger votre identité contre une surveillance hostile sur les réseaux de votre pays. Tor peut cependant s’avérer lent et difficile à utiliser.

    Pour apprendre à utiliser Tor sur un ordinateur, cliquez ici (Linux), ici (macOS) ou ici (Windows), mais assurez-vous de cliquer sur « Configurer » au lieu de « Se connecter » dans la fenêtre affichée ci-dessus.

    Dernière révision: 
    10-08-2017
  • Comment vous protéger sur les réseaux sociaux

    Les réseaux sociaux sont parmi les sites Web les plus populaires d’Internet. Facebook compte plus d’un milliard d’utilisateurs, Instagram et Twitter des centaines de millions chacun. Les réseaux sociaux ont généralement été conçus autour de l’idée de partager des articles, des billets, des photographies et des renseignements personnels. Ils sont aussi maintenant devenus des forums d’organisation et d’expression. Ces activités peuvent compter sur la protection des renseignements personnels et le pseudonymat.

    C’est pourquoi il est important de prendre en considération les questions suivantes en utilisant les réseaux sociaux : comment puis-je interagir avec ces sites tout en me protégeant, en protégeant l’essentiel de ma vie privée, mon identité, mes contacts et associations ? Quels sont les renseignements que je veux garder confidentiels et contre qui les protéger ?

    Selon votre situation, vous pourriez devoir vous protéger contre le réseau social même, contre les autres utilisateurs du site ou les deux.

    Conseils à retenir lors de la création d’un compte

    • Souhaitez-vous utiliser votre vrai nom ? Certains sites de médias sociaux ont des « politiques du vrai nom », mais elles sont devenues moins strictes au fil du temps. Si vous ne souhaitez pas utiliser votre vrai nom en vous inscrivant sur un site de réseau social, ne le faites pas.
    • En vous inscrivant, ne fournissez pas plus de renseignements que nécessaire. Si vous sentez le besoin de cacher votre identité, utilisez une adresse courriel séparée et évitez de communiquer votre numéro de téléphone. Chacun de ces renseignements peut déterminer votre identité et relier différents comptes les uns aux autres.
    • Soyez vigilant dans votre choix d’une image ou d’une photo de profil. Outre les métadonnées qui pourraient inclure l’heure et le lieu de prise de la photo, l’image même pourrait fournir des renseignements. Avant de choisir une photo, demandez-vous : a-t-elle été prise à l’extérieur de votre domicile ou de votre lieu de travail ? Des adresses ou des plaques de nom de rue sont-elles visibles ?
    • Sachez que votre adresse IP pourrait être journalisée, enregistrée lors de l’inscription.
    • Choisissez un mot de passe robuste et, si possible, activez l’authentification à deux facteurs.
    • Méfiez-vous des « questions de sécurité » telles que « Dans quelle ville êtes-vous né ? » ou « Quel est le nom de votre animal de compagnie ? », car leurs réponses peuvent être découvertes dans vos renseignements trouvés dans les médias sociaux. Vous pourriez plutôt choisir des réponses de sécurité fictives. Une bonne manière de se rappeler les réponses aux questions de sécurité, si toutefois vous choisissez d’en utiliser pour plus de sûreté, est de noter les réponses que vous avez choisies dans un gestionnaire de mots de passe.

     

    Examiner la politique de confidentialité du site de média social

    Les informations enregistrées par des tiers sont assujetties à leurs propres politiques et pourraient être utilisées à des fins commerciales ou partagées avec d’autres entreprises telles que des sociétés de commercialisation. Examiner les politiques de confidentialité est une tâche presque impossible. Vous pourriez toutefois lire les paragraphes qui décrivent comment les données sont utilisées, quand elles sont partagées avec d’autres parties, et comment le service répond aux demandes d’organismes d’application de la loi.

    Les sites de réseaux sociaux sont habituellement des entreprises à but lucratif qui recueillent souvent des informations de nature délicate au-delà de ce que vous fournissez explicitement : où vous êtes, les champs d’intérêt et publicités auxquels vous réagissez, quels autres sites vous avez visités (p. ex. grâce aux boutons « J’aime »). Envisagez de bloquer les témoins tiers et d’utiliser des extensions de blocage des traqueurs (page en anglais) pour vous assurer que des informations parasites ne sont pas transmises passivement à des tiers.

    Changer vos paramètres de confidentialité

    Changez plus particulièrement vos paramètres par défaut. Par exemple, souhaitez-vous partager vos articles et billets avec le public ou seulement avec un groupe précis de personnes ? Devrait-il être possible de vous trouver en utilisant votre adresse courriel ou votre numéro de téléphone ? Souhaitez-vous que votre position géographique soit partagée automatiquement ?

    Bien que chaque plateforme de média social utilise ses propres paramètres, vous trouverez des tendances.

    • Les paramètres de confidentialité répondent habituellement à la question : « Qui peut voir quoi ? » Vous y trouverez probablement des paramètres concernant les valeurs par défaut du lectorat (« public » « amis des amis », « amis seulement », etc.), de la position géographique, des photos, des renseignements de contact, d’étiquetage, la possibilité de trouver votre profil lors de recherches.
    • Les paramètres de sécurité couvriront probablement le blocage, la mise en sourdine d’autres comptes, la possibilité que des tentatives non autorisées d’accès à votre compte vous soient signalées. Vous trouverez parfois dans cette section des paramètres de connexion, tels l’authentification à deux facteurs et une adresse courriel ou un numéro de téléphone de secours. Ces paramètres de connexion peuvent parfois se trouver dans une section paramètres du compte ou paramètres de connexion, avec des options pour changer votre mot de passe.

    Profiter des « bilans » de sécurité et de confidentialité. Facebook, Google et d’autres sites Web d’importance offrent des fonctions de « bilan de sécurité ». Ces guides, de type tutoriel, vous feront parcourir les paramètres habituels de confidentialité et de sécurité, dans un langage simple, et s’avèrent très pratiques pour les utilisateurs.

    Enfin, souvenez-vous que les paramètres de confidentialité sont susceptibles de changer. Ces paramètres de confidentialité sont parfois renforcés, deviennent plus précis, parfois ce n’est pas le cas. Prêtez une attention particulière à ces changements afin de savoir si une information qui était confidentielle sera partagée, ou si des paramètres supplémentaires vous permettront de mieux contrôler la protection de vos données personnelles.

    Avoir des profils distincts et séparés

    Pour nombre de nous, il est essentiel que différentes identités de compte restent séparées. Que ce soit pour des sites Web de rencontre, des profils professionnels, des comptes anonymes et des comptes dans diverses communautés.

    Les numéros de téléphone et les photos sont deux sortes d’informations à surveiller. Les photos, plus particulièrement, peuvent insidieusement relier des comptes que vous souhaitez garder séparés. C’est une situation étonnamment habituelle avec les sites de rencontres et les profils professionnels. Si vous souhaitez préserver votre anonymat ou vous assurer que l’identité d’un certain compte est séparée des autres, utilisez une photo ou une image que vous n’utilisez nulle part ailleurs en ligne. Pour vous en assurer, vous pouvez utiliser la fonction de recherche inversée d’image de Google. Votre nom (même les pseudonymes) et votre adresse courriel font partie des variables qui pourraient être reliées à votre identité. Si vous découvrez qu’un de ces renseignements se trouve où vous ne vous y attendiez pas, ne soyez pas effrayé et ne paniquez pas. Ayez plutôt une approche mesurée : au lieu de tenter de supprimer tous les renseignements vous concernant sur Internet tout entier, concentrez-vous sur certaines informations, où elles se trouvent, et ce que vous pouvez y faire.

    Se familiariser avec les paramètres des groupes Facebook

    Action sociale, revendication et autres activités potentiellement délicates se retrouvent de plus en plus dans les groupes Facebook, et les paramètres des groupes peuvent être déroutants. Apprenez-en davantage sur les paramètres de groupe (page en anglais), et si des participants souhaitent aussi le faire, travaillez avec eux pour vous assurer que vos groupes Facebook sont confidentiels et sécurisés.

    La protection de la vie privée et des renseignements personnels est un sport d’équipe

    Ne changez pas seulement vos propres paramètres de médias sociaux et votre comportement. Allez plus loin en parlant à vos amis des données potentiellement délicates que vous divulguez en ligne les uns les autres. Même si vous ne possédez pas de compte de réseau social, et même si vous retirez les étiquettes vous concernant des articles et billets, des amis pourraient quand même vous identifier involontairement, signaler votre position géographique et rendre publiques leurs connexions avec vous. Protéger la vie privée et les renseignements personnels ne signifie pas seulement de nous occuper de nous, mais aussi les uns des autres.

    Dernière révision: 
    02-07-2018
Next:
JavaScript license information