Pdf pour télécharger :

guidenum-1

https://zadducarnet.org/index.php/2021/01/10/guide-de-survie/#65-les-t%C3%A9l%C3%A9phones-utilisation-minimale-et-applications-de-messagerie-via-internet

La diversité des tactiques existe aussi dans la protection numérique

Utiliser des outils numériques n’est pas quelque chose d’anodin. Ne pas laisser de traces, de potentielles preuves sur son téléphone ou ordinateur est une mission impossible. Utiliser des smartphones ou ordinateurs quand on connaît les conditions de travail des ouvriers et ouvrières de la chaîne de production de ces objets numériques est un reniement de nos valeurs anticapitalistes.

Pourtant le terrain d’Internet et du numérique est un lieu de lutte important et le déserter totalement serait une erreur. Mener de front la lutte pour se libérer de notre dépendance aux outils numériques tout en se formant à mieux les utiliser pour lutter efficacement via ces outils peut paraître schizophrène. Ce n’est pourtant qu’un aspect de la diversité des tactiques. Il est important de comprendre, de tolérer et de s’entre-aider entre personnes faisant le choix d’utiliser le moins possible les outils numériques et personnes faisant d’Internet leur principal lieu de lutte. Ces deux méthodes de lutte sont complémentaires.

Ce guide est destiné aux personnes utilisant quelques fois des outils numériques (téléphones, ordinateurs, etc.) dans leur militantisme. Il expose quelques menaces et présente des contre-mesures partielles pouvant aider à protéger contre ces menaces.

Il est important de noter que la lutte pour la sécurité informatique est une question de ressources disponibles. Des attaquants puissants avec du temps devant eux pourront toujours contourner les méthodes de protection que l’on met en place. Les mesures de protection que l’on conseille dans ce guide ne sont donc jamais parfaites.

Plan du document

On parlera dans ce guide d’attaques pour obtenir des données numériques que l’on souhaiterait garder privées. On présentera d’abord les attaques les plus courantes, celles liées aux erreurs humaines. On parlera ensuite des attaques spécifiques aux supports physiques que l’on utilise : téléphone et ordinateur. Nous finirons par les attaques spécifiques à la navigation Web, à la messagerie instantanée et aux mails.

Il va sans dire que si vous utilisez un téléphone portable pour consulter Signal, vous pouvez subir des attaques spécifiques aux téléphones ainsi que des attaques spécifiques à la messagerie instantanée Signal.

Pour chaque attaque, nous présenterons des méthodes pour se protéger. Ces méthodes ne seront pas toujours elles mêmes fiables mais peuvent améliorer vos défenses face à un attaquant. Mettre en place une mesure de protection numérique de manière efficace, c’est comprendre en quoi elle nous protège d’une certaine attaque mais aussi de ses limites face à d’autres types d’attaques.

Avec ces mesures de protection, on souhaite complexifier le fichage, éviter la récupération de données en cas de perquisitions et éviter de fournir des preuves judiciaires. Viser l’anonymat total serait beaucoup trop ambitieux. Ce guide n’est qu’un guide de survie, il ne présente que quelques attaques potentielles et quelques contre-mesures et est loin d’être exhaustif.

Pour les personnes pressées, on pourra lire uniquement les conseils de la dernière section « En pratique, que faire ? » qui répète les principales méthodes de protection de la brochure.

1. Les attaques liées aux erreurs humaines

Les erreurs humaines sont la principale source d’attaques réussies.

1.1. Le shoulder surfing

On parle de shoulder surfing quand quelqu’un·e regarde ce qu’on écrit au-dessus de notre épaule. Cela peut être un mot de passe, le nom d’une adresse mail que l’on consulte ou un document sur lequel on travaille. On parlera aussi de shoulder surfing si une caméra arrive à voir notre écran et ce qu’on fait sur le support physique que l’on utilise.

Pour se protéger, on peut faire attention aux caméras, taper ses mots de passe de façon discrète sans avoir peur de passer pour paranoïaque ou tout simplement se mettre dans un coin de pièce quand on est sur notre ordinateur ou notre téléphone.

1.2. Le social engineering

On parle de social engineering quand des personnes nous soutirent des informations que l’on souhaiterait idéalement garder secrètes via des manipulations psychologiques. Cela peut se faire par exemple lors d’une discussion par une question anodine.

La méthode de protection face au social engineering est tout autant collective qu’individuelle. Ne pas être curieux.ses ou poser des questions indiscrètes, cela se travaille¹. Pour aider les gens à oser dire non aux questions auxquelles iels ne souhaitent pas répondre, on peut faire en sorte que cela soit tout à fait accepté dans un collectif sans qu’il y ait de conséquences négatives sur l’image que l’on donne.

1.3. La mauvaise gestion des mots de passe

Les dangers : réutilisation des mêmes mots de passe et mots de passe courts

Plus un mot de passe est utilisé, plus sa sécurité baisse. En effet, quand vous donnez un mot de passe à une application ou un site Internet, vous ne pouvez pas être certain·es que cette application ou site stocke le mot de passe de manière sécurisée. Si les personnes à qui vous avez donné ce mot de passe se font attaquer, les attaquants peuvent récupérer votre identifiant et votre mot de passe et l’essayer sur d’autres services où vous avez donné un mot de passe.

Une autre erreur concernant les mots de passe est leur longueur trop faible. L’élément clé pour déterminer la robustesse d’un mot de passe est la longueur. Si on utilise plusieurs types de caractères (majuscules, chiffres, etc.), on augmente également le temps de calcul nécessaire pour trouver le mot de passe via la force brute de calcul. On considère en ce moment qu’un mot de passe de plus de 16 caractères est un mot de passe solide².

Une méthode facile pour retenir des mots de passe est de retenir une phrase simple comme par exemple « les chevaux aiment bien les carottes roses ». Le mot de passe est alors « chevaux carottes roses » ce qui fait 22 caractères. On peut aussi souhaiter améliorer la robustesse du mot de passe en modifiant légèrement les mots du dictionnaires. Par exemple, « chev@ux carottes r0ses » est un mot de passe plus robuste que « chevaux carottes roses ».

Les gestionnaires de mots de passe permettent de se simplifier la vie

Pour éviter d’utiliser plusieurs fois le même mot de passe et avoir des mots de passe longs, on conseille d’utiliser un gestionnaire de mot de passe et d’utiliser au maximum des mots de passe à usage unique.

KeepassXC est un gestionnaire de mot de passe. Cette application peut stocker dans une base de données un grand nombre de mots de passe. Idéalement le mot de passe principal qui débloque la base de mots de passe doit être long et unique à cette base de données. Cela permet de ne pas avoir à se souvenir de tout les mots de passe à usage unique que vous utilisez, mais uniquement de celui qui permet de débloquer la base de données.

Comme illustré ci-dessus, on préférera les mots de passe mélangeant des lettres et des chiffres à des mots de passe ne comportant que des chiffres. Cette remarque est particulièrement importante pour les codes de déverrouillage de téléphones. Préférez quand cela est possible des codes de déverrouillage avec des lettres aux codes qui ne comportent que des chiffres.

Comme illustré ci-dessus, on préférera les mots de passe mélangeant des lettres et des chiffres à des mots de passe ne comportant que des chiffres. Cette remarque est particulièrement importante pour les codes de déverrouillage de téléphones. Préférez quand cela est possible des codes de déverrouillage avec des lettres aux codes qui ne comportent que des chiffres.

1.4. Les réseaux sociaux

La quantité d’informations que vous pouvez donner sur vous-mêmes sur un réseau social est considérable. Utiliser un compte sur un réseau social pour consulter des informations militantes, c’est offrir à la police et aux géants du Web (Facebook, Twitter, Instagram, etc.) des données que vous souhaiteriez probablement garder cachées et un pouvoir considérable³. Les réseaux sociaux sont conçus pour se rendre indispensables et addictifs ce qui est dangereux.

Il peut paraître compliqué de quitter d’un jour à l’autre un réseau social que l’on utilise très régulièrement pour communiquer et s’informer. C’est pourtant ce que l’on conseille. Pour faciliter la transition, vous pouvez essayer de déterminer pourquoi vous avez l’impression d’avoir besoin des réseaux sociaux.

Si vous utilisez les réseaux sociaux pour vous informer, on vous conseille d’utiliser les flux RSS⁴. Si c’est pour rester en contact avec d’autres collectifs, vous pouvez leur demander d’utiliser d’autres moyens de communications (listes mails, publier sur les réseaux Mutu ou sur un site Internet leurs contenus, etc).

Si vous utilisez les réseaux sociaux pour toucher un grand nombre de personnes dans une optique militante, on vous conseille de faire attention à poster systématiquement vos contenus sur d’autres supports pour ne pas exclure les militant·es qui font le choix de ne plus les utiliser⁵.

Si vous aimez quand même le concept des réseaux sociaux par exemple pour rester en contact avec des ami·es, le réseau Mastodon⁶ est plus respectueux de la vie privée même s’il est loin d’être exempt de certains défauts (addiction par exemple). Vous pouvez aussi choisir de ne plus poster sur les réseaux sociaux tout en gardant votre compte et en le consultant épisodiquement, vous garderez ainsi contacts avec vos ami·es. Cependant notez bien que les réseaux sociaux sont conçus pour vous attirer donc cette stratégie est complexe à mettre en place dans la pratique.

2. Attaques spécifiques aux téléphones portables

On essayera de voir les spécificités et quelques mesures de protections face aux attaques suivantes :

– récupération des données que stockent les fournisseurs d’accès téléphoniques,

– récupération des données que stockent les applications de vos téléphones (par exemple via une perquisition d’un téléphone lors d’une garde à vue),

– prise de contrôle d’un téléphone à distance (via divers bugs d’applications).

2.1. Les données accessibles via les opérateurs téléphoniques : géolocalisation et métadonnées

Tout ce que l’on dit là concerne tout les téléphones portables, qu’ils soient dits intelligents ou pas.

Toutes les 5 minutes, votre téléphone envoie un signal aux antennes proches (qui peuvent déterminer votre position via une triangulation de 3 antennes), le numéro de la carte SIM active dans le téléphone ainsi que le numéro IMEI de l’emplacement de la carte SIM. Le numéro IMEI est un numéro de série qui identifie de manière unique le téléphone.

Dès que vous passez un appel ou envoyez un SMS, les opérateurs téléphoniques stockent les métadonnées de ce coup de fil ou SMS pendant 2 ans dans la facture détaillée. Ces métadonnées consistent en : géolocalisation approximative des deux correspondant.es, date et heure de la communication ainsi que durée de l’appel.

Attaque possible : récupération des métadonnées et de la géolocalisation via une simple demande

La police peut demander aux opérateurs les informations suivantes de manière automatique et très rapide⁷ (le prix fixé au journal officiel est entre parenthèses) :

– identification d’une personne via son numéro de téléphone (4,59 euros),

– obtenir la facture détaillée d’un numéro de téléphone (15,30 euros),

– mettre sur écoute un numéro de portable (24 euros),

– liste des numéros utilisant telle borne de télécommunication (12,75 euros),

– en cas de cartes prépayées, la police peut demander où a été vendue cette carte pour 15,30 euros,

– les adresses IP auxquelles un téléphone se connecte.

Comment marche schématiquement la surveillance automatisée de masse des militant.es

La facture détaillée d’un numéro de téléphone contient de nombreuses informations analysables facilement par ordinateurs. C’est un moyen d’enquête utilisé massivement. Un exemple d’utilisation de ces données est le suivant : on attribue à chaque personne un score de dangerosité via ses déplacements dans des lieux de lutte et ses communications avec d’autres militant·es. On peut ainsi détecter de nouveaux lieux de luttes de manière totalement automatisée en remarquant que beaucoup de personnes avec un haut score de dangerosité s’y rendent. De même on peut détecter les nouveaux et nouvelles militant·es via les communications qu’iels ont avec d’ancien·nes militant·es et leur passage dans des lieux de lutte. Cet exemple est particulièrement important pour comprendre que la surveillance de masse est un enjeu collectif et non un enjeu individuel.

Face à la géolocalisation : cartes SIM prépayées et ne pas toujours prendre son téléphone avec soi

Il est possible d’utiliser des cartes SIM prépayées (Lebara, Lycamobile par exemple). On peut associer une fausse identité à ces cartes SIM et non sa vraie identité. Il n’empêche que votre carte SIM prépayée sera quand même géolocalisée toutes les 5 minutes. De plus, les autorités pourraient recouper votre fausse identité d’une carte SIM prépayée avec votre vraie identité civile un jour. Les prix des appels, des SMS ainsi que des données Internet des cartes SIM prépayées sont importants.

Notez bien que si vous mettez une carte SIM prépayée avec une fausse identité dans un téléphone que vous utilisiez auparavant, le numéro IMEI du téléphone reste le même. Cela permet d’établir un lien entre votre fausse identité et votre vraie identité. Si vous achetez un téléphone neuf avec un moyen de paiement nominatif, le numéro IMEI du téléphone sera aussi relié à votre identité. Pour compliquer la tâche des autorités de relier votre fausse identité de carte SIM prépayée avec votre vraie identité, utilisez un téléphone acheté cash où vous n’avez jamais mis de cartes SIM à votre nom.

Notez que même des solutions partielles comme les cartes SIM prépayées sous des faux noms peut considérablement compliquer le travail de la justice. Même si les services de renseignement arrivent à relier votre fausse identité à votre vraie identité, ils devront encore le prouver aux juges.

Pour éviter d’être géolocalisé, on peut choisir de ne pas prendre systématiquement son téléphone avec soi et ne le consulter qu’à un lieu quasi-fixe. Faites attention, les changements d’habitude abrupts (éteindre son téléphone juste avant une manifestation par exemple) sont facilement repérables par une analyse automatisée. Il vaut mieux si cela est possible le laisser allumer chez soi comme si on était resté à la maison.

Enlever sa carte SIM et éteindre son téléphone régulièrement et en faire une habitude est utile.

Pour laisser moins de métadonnées, utiliser les applications de communication via Internet

Pour protéger nos données de ces attaques de la police, on peut choisir de communiquer via nos téléphones exclusivement en utilisant nos connexions Internet via diverses applications comme Signal, Conversations ou Element (voir plus bas). Même en demandant à votre fournisseur d’accès internet votre relevé détaillé de la facture d’Internet, la police aura accès à moins de métadonnées. En effet, le fournisseur d’accès Internet saura juste que vous demandez à communiquer avec le serveur de Signal à telle heure et pas avec qui vous souhaitez communiquer.

Face aux écoutes, choisissez bien vos sujets de discussion par téléphone

N’hésitez pas à couper votre interlocuteur.ice si iel parle d’un sujet sensible par téléphone. Cela n’est absolument pas le bon moyen de communication pour ce genre de discussions car les SMS et appels ne sont pas chiffrés et donc visibles par l’opérateur ainsi que par la police en cas de mise sur écoute.

Il est important de noter que les écoutes sont enregistrées numériquement, stockées et peuvent resservir des années plus tard lors d’une enquête.

2.2. Données accessibles via les applications de vos téléphones

Chaque fois que vous installez une application, cette dernière stocke des données sur votre téléphone ainsi que sur des serveurs distants (le « cloud »). La police peut récupérer ces données par exemple en accédant à votre téléphone via une perquisition ou en demandant aux propriétaires ou développeurs de l’application les données qu’ils ont sur vous.

Ces données peuvent être les suivantes  :

• pour les applications de messagerie, l’intégralité de vos messages potentiellement même ceux supprimés,
• pour les applications de type GPS, toutes les adresses que vous avez rentrées dans votre GPS ainsi que l’historique de vos trajets,
• pour les applications d’achats, l’historique de vos achats, vos cartes bleues enregistrées, vos recherches,
• pour les navigateurs Web, votre historique de navigation (même s’il est supprimé de votre téléphone si les serveurs de l’application le stockent),
• vos photos, vidéos, etc,
• vos contacts.

Mesures de protection : chiffrer votre téléphone et limiter les données des applications

Vous ne pouvez pas garantir que les autorités n’auront pas accès aux données que vos applications stockent. Lors d’une perquisition d’un téléphone, considérez que toutes les données de votre téléphone sont accessibles aux autorités facilement. Vous pouvez essayer de ralentir la police au maximum en choisissant de chiffrer votre téléphone avec un code de déverouillage long. Cette option est disponible sur de nombreux systèmes d’exploitation. Cependant sachez que le chiffrement des données ne sera utile que si le téléphone est saisi quand il est éteint. De plus des entreprises comme la société israélienne Cellebrite ont annoncé avoir trouvé des failles⁸ face au chiffrement des données de plusieurs marques de téléphones.

La stratégie de protection principale est donc tout simplement de limiter les données que stockent les applications de votre téléphone. Sur toutes les applications, vous pouvez modifier les paramètres de confidentialité. Mettez les au maximum systématiquement.

On conseille de se séparer définitivement de tout téléphone qui a passé un moment dans les mains de la police loin de votre surveillance car des mouchards peuvent y avoir été mis.

Mesure de protection : ne pas se fier aux applications financées en revendant vos données

Dans la mesure du possible, désactivez le stockage de vos données sur le cloud ce que de nombreux téléphones et nombreuses applications font automatiquement. Vos données ne devraient être stockées que en local sur votre téléphone et non sur des serveurs distants. Cela peut être compliqué à faire avec certaines applications comme celles que les GAFAM⁹ proposent.

Vous ne pourrez en effet jamais faire confiance à des applications qui se financent en revendant vos données pour ne pas conserver vos historiques de données. Choisir des logiciels dits libres¹⁰, c’est quelques fois trouver des applications faites par des personnes luttant pour la vie privée sur Internet et contre la surveillance de masse.

Ainsi pour installer des logiciels sur Android, on recommande d’utiliser F-Droid et non le Google Play Store. Comme application GPS, on préférera OpenStreetMap et Firefox ou Tor Browser comme navigateur Web.

En général, essayez de limiter au maximum votre dépendance aux GAFAM. On recommande ainsi de limiter au maximum la présence sur les réseaux sociaux (Twitter, Facebook, Instagram, etc.), de ne pas utiliser Chrome ou Gmail, etc.

2.3. Prise de contrôle à distance d’un téléphone

On quitte ici le domaine de la surveillance de masse pour la surveillance individuelle. Les services de renseignement ont eu les moyens de prendre le contrôle total des téléphones à distance et l’ont probablement encore aujourd’hui. On ne sait pas exactement si cela est facile ou pas, si cela est fréquent ou pas et cela dépend des marques des téléphones mais cela est une possibilité.

Cette attaque permet entres autres de :

– noter tout ce que vous écrivez dans votre téléphone (mots de passes, etc.)

– activer le micro à distance,

– activer la caméra à distance.

Face à cette attaque, il y a peu à faire. On peut essayer de l’empêcher en amont en installant le moins d’applications possibles et en désactivant le Bluetooth. C’est souvent via des failles de sécurité du Bluetooth ou d’une application que l’attaquant s’introduit dans votre téléphone. Cela peut aussi être en vous envoyant un SMS avec un lien comme pour le logiciel Pegasus¹¹.

On peut aussi cacher les caméras des téléphones via des stickers pour éviter que quelqu’un ayant piraté votre téléphone puisse prendre des photos ou vidéos sans que vous le sachiez.

Ne pas utiliser de téléphones ou ne pas l’avoir avec soi ou l’utiliser le moins possible constituent les meilleurs méthodes de protection face à cette attaque.

2.4. Conclusion : le téléphone, un objet que l’on peut difficilement protéger

Comme on l’a vu avec la dernière attaque, les téléphones ne seront jamais « sécurisés ». Quoi que l’on fasse, une carte SIM active est géolocalisée toutes les 5 minutes ce qui suffit pour avoir accès à une quantité impressionnante d’informations même si cette carte SIM n’est pas reliée à votre vraie identité (cependant elle pourra l’être plus tard si la police arrive un jour à recouper vos différentes identité numériques et civiles).

Les applications comme Signal permettent d’éviter la surveillance de masse via les factures détaillées de téléphonie mais absolument pas de garantir des communications privées avec d’autres gens dans le cas d’un piratage d’un téléphone présent dans la communication.

Il vaut mieux éviter d’utiliser des téléphones et en avoir le moins souvent besoin pour des activités sensibles. Par exemple il vaut mieux éviter de lire ses mails sur son smartphone si on a un ordinateur accessible pour le faire suffisamment régulièrement.

3. Attaques spécifiques aux ordinateurs

On envisagera les attaques suivantes :

– tentative d’intrusion par virus,

– perquisition de l’ordinateur.

3.1. Les virus

Les virus peuvent s’introduire sur votre ordinateur pour des effets indésirables allant de la récupération de quelques données à la prise de contrôle totale de votre ordinateur en passant par diverses formes d’espionnage (caméra activable à distance, etc.) ou de demande de rançon pour récupérer vos données (ransomware).

Pour vous protéger des virus, on vous conseille de mettre à jour vos applications dès que l’on vous le propose. Il s’agit souvent de mises à jour de sécurité qui vous protègent contre des failles que des attaquants pourraient utiliser pour entrer sur votre ordinateur.

Faites également attention aux documents que vous ouvrez sur votre ordinateur notamment sur Windows. Il n’est pas compliqué de mettre un virus dans un fichier PDF ou Word qui infecte votre ordinateur si vous l’ouvrez avec Acrobat ou MS Office. Les applications libres sous Linux comme LibreOffice sont plus résistantes face à ce type d’attaques.

Un antivirus à jour et un pare-feu sur Windows sont plus que nécessaires pour les utilisateur·ices de Windows. Nous ne savons pas si le pare-feu Windows présent de base sur Windows est suffisant ou s’il faut le compléter avec d’autres applications de protections

Si votre ordinateur a une Webcam, on peut cacher la caméra avec un sticker afin qu’un utilisateur ayant pris le contrôle de notre ordinateur ne puisse pas prendre de photos ou vidéos.

3.2. Les perquisitions

Si votre ordinateur tombe dans les mains de la police et que vous n’avez rien préparé, ils auront accès à une quantité impressionnante de données sur vous. Cela va même jusqu’aux fichiers que vous avez supprimé si vous n’avez pas pensé à les écraser proprement via des applications spécifiques. Le mot de passe administrateur d’un mac ou d’un Windows ne vous protège absolument pas et le choisir long ne servira qu’à vous protéger d’ami·es intrusif·ves n’ayant pas le temps de se renseigner pour les contourner.

Pour ralentir l’obtention de vos données, vous pouvez choisir de chiffrer vos données. Plusieurs options s’offrent à vous : Veracrypt ou Luks¹². Attention cependant, vous ne pourrez faire confiance au chiffrement de vos données via Luks ou Veracrypt que si votre ordinateur est éteint.

Toutefois si la justice vous présente une demande de vos mots de passes ou clés de chiffrement, vous êtes tenu·es de les donner et vous encourez une peine maximum de 3 ans d’emprisonnement et 270 000 euros d’amende en cas de refus. Ces demandes ne sont que rarement effectuées dans le cadre de gardes à vue mais plutôt lors d’enquêtes plus longues¹³ donc ne donnez pas vos codes lors des gardes à vue. Veracrypt permet via un système de chiffrement avec deux mots de passe (un vrai et un faux) de tenter de contourner ces demandes en donnant uniquement le faux mot de passe.

Ne faites plus confiance à un ordinateur ou tout autre objet informatique tombé entre les mains de la police. Ils peuvent y installer des programmes espions sans que vous le sachiez. Cela peut même se faire sans que vous le sachiez si des personnes ont accès pendant quelques minutes à votre ordinateur sans surveillance. Un système d’exploitation sur une clé USB comme Tails peut être plus facilement protégé qu’un ordinateur car facilement transportable sur vous à tout moment.

L’autre danger d’une perquisition est la perte de vos données personnelles. Pour contrer cela, pensez à faire des sauvegardes que vous stockez dans des lieux sûrs et que vous actualisez régulièrement.

4. Attaques spécifiques à la navigation Web

On parlera de l’espionnage de votre navigation Web via :

– la demande des données que possède votre fournisseur d’accès Internet

– la surveillance des communications non chiffrées,

– les trackers.

4.1. Données de votre fournisseur d’accès Internet

Quand vous naviguez sur le Web, vous demandez à votre fournisseur d’accès Internet de communiquer avec les serveurs qui gèrent les sites Web que vous visitez. Ce dernier peut donc savoir quels sites vous consultez, ce que vous y faites et stocke ces données. Les autorités peuvent demander à votre fournisseur d’accès Internet l’historique de votre utilisation d’Internet et donc de votre navigation Web en particulier.

Pour se protéger de cette attaque, on conseille d’utiliser Tor. Le principe de Tor est très simple, il essaye de faire en sorte qu’aucun serveur ne sache avec qui vous souhaitez communiquer en utilisant 3 nœuds qui n’ont accès qu’à des informations partielles¹⁴.

À défaut d’utiliser Tor, vous pouvez utiliser un VPN. Le principe est similaire sauf qu’à la place d’avoir 3 nœuds tenus par des acteurs probablement différents, vous n’avez plus qu’un acteur intermédiaire entre vous et le serveur final. Cet intermédiaire a donc accès à l’intégralité de vos demandes de communication contrairement à Tor. Cependant votre fournisseur d’accès Internet sait juste que vous souhaitez communiquer avec le serveur de votre VPN.

Pour utiliser Tor, on peut installer Tor Browser sur téléphone ou ordinateur, utiliser le système d’exploitation Tails sur ordinateur ou installer Orbot sur téléphone.

Cependant il est important de noter que la navigation Web n’est pas le seul moment où vous utilisez Internet depuis un ordinateur. En utilisant Tor Browser par exemple, vous ne protégez votre IP que pendant votre navigation mais pas le reste du temps. Le système d’exploitation Tails est pensé pour que absolument toutes les connexions à Internet passent par Tor.

Tor n’est par contre pas parfait et comporte des faiblesses¹⁵. Régulièrement, des attaques réussissent contre Tor car de nombreux acteurs puissants (NSA, Europol, FBI, etc.) cherchent à lever l’anonymat que Tor procure notamment dans la lutte contre le marché noir.

De plus, le fournisseur d’accès Internet connaît vos heures d’accès à Tor ainsi que le volume de données qui transitent par Tor. Via ces éléments, on peut tenter de retrouver ce que vous avez fait sur Tor. D’où l’importance d’utiliser Tor pas uniquement pour des activités sensibles. En faisant cela, on participe à cacher dans la masse des personnes ayant besoin de protéger leur anonymat.

4.2. Surveillance des communications non chiffrées

De nombreux sites Internet utilisent encore le protocole HTTP. Ce protocole fait que les communications entre vous et le serveur final auquel vous souhaitez accéder ne sont pas chiffrées ni pour le serveur final ni pour votre fournisseur d’accès Internet.

On conseille d’utiliser le plus souvent le protocole HTTPS qui chiffre vos données de bout-à-bout c’est-à-dire que seuls vous et le serveur auquel vous souhaitez accéder ont accès aux données que vous demandez. Un module installable sur Firefox s’appelle HTTPS everywhere, elle force votre navigateur à utiliser le protocole HTTPS quand cela est possible.

Mais sachez que HTTPS ne vous protège que lors du transport des informations entre vous et le site web que vous consultez¹⁶. Ce dernier a toujours accès à de nombreuses informations pour vous identifier.

4.3. Trackers, cookies

Les trackers sont des données que votre navigateur Web fournit aux sites que vous souhaitez consulter qui peuvent permettre de vous identifier et de vous pister. Certains cookies sont des cookies dits de pistage et sont mis par des sites malveillants pour analyser vos habitudes de visite et d’achats en lignes.

Pour vous protéger des cookies malveillants entre autres, on conseille d’installer Privacy Badger, uBlock Origin et Cookie Autodelete sur votre navigateur Firefox. Pensez aussi à mettre les paramètres de confidentialité au maximum et d’être tout le temps en navigation privée.

Mais les cookies malveillants ne sont pas la seule méthode de pistage. Quand vous communiquez avec un site Web, vous communiquez un ensemble d’informations sur votre navigateur, une empreinte¹⁷, qui peut vous identifier. Dans cette empreinte, on peut par exemple trouver la résolution de votre navigateur, la version exacte de votre navigateur, le langage de votre navigateur, l’heure de votre ordinateur, les polices d’écritures que vous avez installées, etc.

Le système d’exploitation Tails fait en sorte que cette empreinte de navigateur soit la plus standardisée possible et soit la même pour toustes les utilisateur·ices de Tails. N’hésitez pas aussi à utiliser systématiquement Tor Browser. Plus de personnes utiliseront Tor Browser, plus ce navigateur aura une empreinte générique.

5. Attaques spécifiques aux systèmes de messagerie instantanées

Les conversations qui passent via Internet sont souvent chiffrées : Signal, XMPP, Matrix, mails, etc. On va essayer de comprendre comment ça se passe précisément pour mieux visualiser les risques de ces mécanismes de chiffrements.

Quand un message va de Alice à Betty via Internet, des données transitent par un grand nombre de serveurs. Les systèmes de chiffrement font en sorte que ces serveurs intermédiaires ne puissent pas déchiffrer ces données en le contenu du message entre Alice et Betty.

Si aucun mécanisme de chiffrement n’est mis en place pour une conversation sur Internet, cela signifie que des attaques sur n’importe quel serveur intermédiaire permettent de récupérer la conversation.

5.1. Transfert des mails

La plupart des clients mails utilisent le protocole TLS qui est un système de chiffrement. Ce protocole chiffre la communication entre les serveurs mails de l’expéditeur·ice et du destinataire.

Cependant les serveurs de mails ont accès aux communications et peuvent les lire. Par exemple, si vous utilisez un compte Gmail, Google lit vos communications et récupère les données.

Un système de chiffrement dit bout-à-bout est un système qui chiffre les communications de manière à ce que seul·es le ou la destinataire et l’expéditeur·ice puisse déchiffrer. Le système TLS n’est donc pas un système de chiffrement bout-à-bout.

Pour mieux vous protéger, y compris de vos hébergeurs d’adresse mails, on vous conseille d’utiliser le protocole PGP¹⁸ qui est un mécanisme de chiffrement bout-à-bout que vous contrôlez. Vous n’aurez de plus plus à faire confiance aux acteurs intermédiaires pour bien chiffrer vos données vu que vous le ferez vous-mêmes.

Faites attention également aux usurpations d’identité. Il n’est pas si compliqué de se faire passer pour quelqu’un·e d’autre lors de l’envoi d’un mail. On ne peut donc pas être certain·e sans procéder à des vérifications que c’est bien la personne que vous pensez qui vous envoie un mail même si l’adresse mail semble correspondre.

Le système PGP vous protège de ces usurpations via un système de signature numérique.

Les métadonnées de vos communications mails (heure d’envoi, émetteur et destinataire) restent accessibles à de nombreux acteurs quels que soient le protocole.

Client mail ou webmail?

Les clients mails comme Thunderbird, l’application « Mails » d’Apple permettent de centraliser sur une même application plusieurs adresses mails. On conseille de les utiliser uniquement si le disque dur de l’ordinateur est chiffré car sinon toute personne ayant accès à votre ordinateur pourra lire vos mails. Il faudra préférer consulter ses adresses mails sur Tor Browser si le disque dur n’est pas chiffré.

Si le disque dur est chiffré, les clients mails sont bien pratiques notamment si on a plusieurs adresses mails car on compartimente les adresses selon les usages. On peut les configurer pour que la connexion aux serveurs mails passent par Tor ; cela est fait automatiquement sur Tails.

5.2. Signal, WhatsApp, Telegram, XMPP, Matrix

Signal, WhatsApp, Telegram, XMPP, Matrix utilisent un protocole de chiffrement bout-à-bout avec quelques spécificités selon les protocoles sur lesquels on ne s’attardera pas ici¹⁹. Ce principe assure que les seuls appareils ayant les clés de déchiffrement des messages sont ceux des correspondant·es. Les serveurs qui permettent la conversation (par exemple celui de Signal) ne peuvent pas déchiffrer les conversations. Cela assure que si les autorités piratent uniquement les serveurs de Signal, ils n’auront pas accès aux messages mais seulement aux métadonnées.

Ce chiffrement bout-à-bout ne protège par contre pas d’attaques visant les appareils des correspondant·es et les autorités essaient de trouver des solutions pour avoir accès aux messages via des failles²⁰.

Signal, Telegram et WhatsApp utilisent votre numéro de téléphone portable. Cela est un risque car comme on l’a vu, les autorités peuvent récupérer votre nom via un numéro de téléphone portable si vous payez un abonnement à votre nom.

C’est pourquoi l’on préfère XMPP ou Matrix qui demandent juste un compte XMPP ou un compte Matrix pour fonctionner ce qui est plus anonymisable. À défaut, on préfèrera Signal à Telegram ou WhatsApp car Facebook contrôle WhatsApp et Telegram envisage de se financer via de la publicité.

On pourra aussi essayer d’enregistrer un compte avec un faux numéro de téléphone ; diverses techniques sont possibles.

De plus XMPP et Matrix sont des applications décentralisées ce qui peut compliquer la tâche des autorités pour récupérer des métadonnées. En effet les applications centralisées centralisent ces métadonnées sur un seul serveur. Si les autorités arrivent à pirater le serveur de Signal, ils ont donc accès aux métadonnées de toutes les conversations passant par Signal.

Dans le cas d’une application décentralisée, pour avoir accès aux métadonnées d’une conversation, il faut que les autorités piratent un serveur utilisé pour cette conversation. En piratant ce serveur, elles n’auront accès qu’aux métadonnées des utilisateur·ices de ce serveur et pas aux métadonnées d’autres conversations passant par d’autres serveurs. De plus les applications décentralisées sont moins sensibles aux attaques par déni de service²¹ pour bloquer les communications.

Une attaque spécifique aux applications utilisant un numéro de téléphone comme Signal, Telegram ou WhatsApp est la suivante. Les autorités pourraient demander à un opérateur une copie de votre carte SIM, installer Signal dessus et récupérer ainsi l’intégralité de vos messages sur un smartphone qu’ils possèdent²² si elles ont accès au code PIN que vous avez donné à Signal.

Pour vous protéger de cette attaque, pensez à choisir un code PIN long et unique à votre compte Signal. Choisissez de même un mot de passe sécurisé pour vos comptes XMPP ou Matrix.

5.3. Hébergeur d’adresse mails

Selon l’adresse mail que vous avez, vos données sont stockées sur des serveurs différents (les serveurs de riseup pour les adresses riseup, les serveurs de Google pour Gmail, etc.). Ces serveurs ont souvent accès au contenu de vos mails si vous n’utilisez pas le protocole PGP. Ils ont en tout cas accès aux métadonnées des mails, c’est-à-dire aux heures des communications et aux adresses mails qui communiquent.

Choisir un hébergeur mail, c’est choisir à quel serveur vous faites confiance. Faites vous plutôt confiance à riseup ou à Google ? La réponse n’est pas si évidente car vu que beaucoup de militant·es utilisent riseup, les serveurs de riseup sont surveillés et subissent des attaques régulières.

Pour se protéger face aux attaques sur les serveurs mails que vous utilisez, vous pouvez :

• utiliser le protocole PGP de chiffrement des mails pour que même le serveur mail n’ait jamais accès à vos mails sans votre clé privée personnelle,
• essayer de décentraliser vos données au maximum et ne pas tout mettre sur les mêmes serveurs (on devrait ainsi éviter de toustes utiliser riseup)²³.

Un des dangers de la centralisation des adresses mails sur les mêmes serveurs par exemple riseup est l’attaque par déni de service (DoS). Un attaquant peut empêcher toustes les utilisateur·ices d’un même serveur d’accéder à leurs mails pendant un laps de temps en attaquant ce serveur. Cette attaque peut bloquer vos communications. Elle est similaire dans ce sens au brouillage d’antennes réseau pour la téléphonie mobile.

Une adresse mail peut tendre vers l’anonymat si vous compartimentez ses usages. Avoir plusieurs adresses mails pour notre vie personnelle, notre travail, notre activité militante est bénéfique. Sinon les autorités peuvent retrouver votre identité via votre adresse mail. On pourra aussi choisir d’avoir plusieurs adresses mails²⁴ selon les lieux de lutte que l’on visite de la même manière qu’on pourra choisir différents pseudos selon les lieux de lutte sur lesquels on va.

5.4. Fiabilité des mécanismes de chiffrement

L’attaque frontale des mécanismes de chiffrement demande une puissance de calcul considérable. La seule menace concrète pour des particuliers est en cas d’évolution de technologie permettant de calculer beaucoup plus rapidement qu’avant ce qui compromettrait l’ensemble messages chiffrés du passé. Certains mécanismes ont intégré ce risque pour éviter qu’on puisse déchiffrer un vieux message après un certain temps²⁵.

6. En pratique, que faire ?

6.1. Prendre au sérieux la surveillance numérique

Ce guide n’est pas uniquement pour les militant·es aguerri·es. La surveillance numérique est principalement mise en place grâce à de grandes bases de données²⁶ récupérées via de nombreuses personnes y compris des personnes qui pensent n’avoir rien à cacher²⁷. Ces données sont ensuite analysées par ordinateur.

Dans une conversation à plusieurs, c’est la personne la moins protégée qui détermine le niveau de sécurité de la conversation. Se protéger, c’est donc aussi protéger les autres. La surveillance est un enjeu collectif et non individuel.

6.2. Bien choisir son système d’exploitation pour son ordinateur

On pourra différencier les systèmes d’exploitation selon les usages que l’on fait (personnel, militant, travail, etc.). On pourrait ainsi avoir une clé Tails pour un usage militant et un ordinateur avec Linux pour un usage plus personnel (famille, achats en ligne, etc.).

Le système d’exploitation Tails est facilement utilisable par une personne ayant peu de connaissances informatiques²⁸. Parmi les avantages qu’une clé Tails offre, on peut citer entre autres :

• Tails propose un environnement qui vous protège contre un grand nombre d’attaques et vous empêche de faire certaines erreurs,
• Tails vient équipé en applications pratiques,
• Tails passe par Tor systématiquement pour l’intégralité de vos connexions à Internet,
• les utilisateur·ices de Tails se ressemblent sur Internet ce qui procure une certaine forme d’anonymat,
• vos données dans le stockage persistent d’une clé Tails sont chiffrées via Luks.

Les problèmes de Tails sont les suivants :

• complexité d’installer d’autres applications que celles fournies de base,
• le fait de passer par Tor systématiquement vous empêche parfois de vous connecter à des services que vous utilisiez d’habitude,
• surveillance considérable de Tails et attaques quelques fois réussies contre Tails²⁹. Tails peut donner un faux sentiment de sécurité ce qui peut être dangereux.

Linux, plus compliqué à protéger mais plus flexible

Linux est l’autre choix naturel pour la protection numérique. Il permet de chiffrer l’intégralité de votre disque dur via le système Luks ce qui n’est pas négligeable. De plus, peu de virus existent sur Linux.

Il faudra par contre installer vous-mêmes Tor et vous y connaître un peu pour protéger votre anonymat sur Internet.

Windows ou Mac plutôt à éviter

Beaucoup de virus sont présents sur Windows alors que les Mac et Linux sont moins sujets aux virus. Ces derniers sont en effet des systèmes d’exploitation plus rares ce qui rend le développement de virus moins rentable. Cela est un point positif mais n’empêche absolument pas des développeurs malveillants de créer des virus pour Linux, Mac ou même Tails.

On conseille d’éviter Windows et Mac aussi parce que les sociétés Microsoft et Apple sont des multinationales contre lesquelles de nombreux·ses militant·es luttent.

6.3. Faites des sauvegardes régulières de vos données

Les sauvegardes permettent de récupérer vos données en cas de perte de votre matériel informatique (accident, perquisition, etc.). Si vous utilisez Tails, il est possible de faire une copie conforme de votre clé Tails³⁰. Pour les ordinateurs sur Linux, Windows ou Mac, vous pouvez avoir un disque dur chiffré où vous copiez les données que vous ne souhaitez pas perdre. Stockez vos sauvegardes dans des endroits à l’abri des perquisitions.

6.4. Sécuriser ses échanges mails et préférer les mails aux échanges via téléphone

On pourra faire attention à créer plusieurs adresses mails selon les usages : personnel, militant, etc.

Les mails sont globalement plus sécurisables que les téléphones à condition d’utiliser le protocole PGP et de ne jamais consulter ses mails sur son téléphone. Ce protocole n’est pas compliqué à mettre en place. Attention cependant à ne pas perdre vos clés de chiffrement en faisant des sauvegardes dans des lieux sûrs.

6.5. Les téléphones : utilisation minimale et applications de messagerie via Internet

On peut essayer au maximum de garder nos téléphones loin de nous la plupart du temps. Cela nous forcera à moins compter sur eux et limitera notre dépendance à cet outil dangereux³¹. Si on prend en plus l’habitude d’enlever sa carte SIM quand on n’utilise pas son téléphone, c’est encore mieux.

Pour éviter d’être trop facilement espionnables, on préfèrera utiliser des applications de messagerie par Internet comme Signal, Conversations pour le protocole XMPP ou Element pour Matrix tout en étant conscient·e que ces outils ne vous protègent pas contre tout les types d’attaques.

On pourra aussi choisir d’utiliser au maximum des cartes SIM prépayées pour compliquer la géolocalisation de notre identité. Pour coupler ça à l’utilisation d’applications de messagerie par Internet, on peut par exemple fonctionner par partage de connexions avec des cartes SIM prises par des prêtes noms qui acceptent d’être géolocalisés à un endroit où iels ne sont pas.

6.6. Bien gérer ses mots de passe et options de confidentialité

Si cela n’est pas déjà fait, on peut choisir un nouveau mot de passe fort pour créer une base de données de mots de passe et tendre vers le fait d’avoir des mots de passe uniques pour chaque service que l’on utilise.

On conseille de mettre au maximum les options de confidentialité des applications que l’on utilise et installer des modules supplémentaires de protection de la vie privée. Sur Firefox, on recommande les modules suivants : Privacy Badger, Ublock Origin, HTTPS everywhere, Cookie Autodelete.

6.7. Limiter l’utilisation des réseaux sociaux

Le mieux est évidemment de quitter les réseaux sociaux. Si cela est compliqué pour vous, limitez votre activité dessus au strict minimum. Pour aider collectivement les personnes quittant les réseaux sociaux, ne postez que des documents (articles, images, vidéos, etc.) déjà présents sur un autre support et en mettant un lien vers ce dernier.

7. Ressources utiles :

• https://tails.boum.org/home/index.fr.html Le site de Tails pour installer Tails et apprendre à l’utiliser
• https://guide.boum.org/ Les tomes 1 et 2 du guide d’autodéfense numérique sont des références.
• https://riseup.net/en/security Le site de Riseup regroupe de nombreux tutoriels/
• https://rebellyon.info/Comment-s-organiser-en-ligne-Une-brochure-22066 Une brochure qui regroupe pleins de conseils pratiques sur Comment s’organiser en ligne.
• https://fr.vpnmentor.com/blog/la-plupart-des-lgbtq-se-font-harceler-en-ligne-voici-comment-rester-en-securite/ regroupe de nombreux conseils à destination des LGBTQI+ pour éviter le harcèlement en ligne
• https://atelier.mediaslibres.org/M-I-F-I-P-5-pratiques-de-base-pour.html est un article écrit dans la même optique que ce guide de survie.
• https://securityinabox.org/en/ regroupe de nombreux tutoriels en anglais et possède une version francaise : https://securityinabox.org/fr/
• Le site Infokiosques.net regroupe quelques brochures sur l’informatique : https://infokiosques.net/informatique
• Le site de la quadrature du net mène diverses actions contre la surveillance et écrit des articles sur l’actualité https://www.laquadrature.net/

Notes de bas de page

¹ Pour plus d’informations sur la culture de la sécurité, on pourra lire une brochure de Crimethinc sur Infokiosques https://infokiosques.net/lire.php?id_article=556
² Wikipedia sur les mots de passe
³ https://infokiosques.net/spip.php?article1725 pour se rendre compte de ce que peut faire Facebook avec le pouvoir qu’on lui donne en l’utilisant.
⁴ Le site Infokiosques.net propose quelques tutoriels pour apprendre à utiliser les flux RSS https://infokiosques.net/spip.php?article794
⁵ Nous avons publié un article sur le sujet des réseaux sociaux
⁶ Plus d’informations sur Mastodon ici
⁷ Source : un article de mediapart
⁸ Voir l’article de Streetpress à ce sujet
⁹ GAFAM désigne des géants du Web (Google, Apple, Facebook, Amazon, Microsoft). Pour savoir ce que beaucoup de militant·es reprochent aux GAFAM, on pourra se renseigner sur un site de la quadrature du net https://gafam.laquadrature.net/
¹⁰ Pour plus d’information sur le mouvement du logiciel libre, on peut consulter Wikipedia : https://fr.wikipedia.org/wiki/Logiciel_libre
¹¹ Voir la page Wikipedia sur le logiciel Pegasus
¹² Un comparatif entre Veracrypt et Luks se trouve ici : https://tails.boum.org/doc/encryption_and_privacy/luks_vs_veracrypt.inline/index.en.html
¹³ Paris-luttes.info a publié un article sur le sujet
¹⁴ On pourra se reporter au chapitre 7 du tome 2 du guide d’autodéfense numérique pour le fonctionnement de Tor.
¹⁵ Wikipedia parle des faiblesses de Tor
¹⁶ Voir ce lien pour mieux comprendre les protocoles SSL et HTTPS
¹⁷ Vous pouvez tester votre empreinte sur le site https://coveryourtracks.eff.org/
¹⁸ Pour plus d’infos sur comment mettre en place le protocole PGP : https://emailselfdefense.fsf.org/fr/
¹⁹ Un article Wikipédia compare schématiquement les différents protocoles
²⁰ Voir l’article du 24/05/2017 sur https://attaque.noblogs.org/files/2020/06/french_intelligence_fr.pdf
²¹ Il semblerait que la messagerie Telegram ait été attaquée à Hong Kong en 2019 pendant les manifestations https://en.wikipedia.org/wiki/Denial-of-service_attack#Hong_Kong’s_Telegram
²² https://dijoncter.info/qu-est-ce-qu-on-connait-de-signal-1510. Pour une critique plus détaillée de Signal, on pourra consulter une brochure traduite en français de l’américain : https://iaata.info/Parlons-de-Signal-3517.html.
²³ CHATONS propose des services libres et décentralisés comme par exemple l’hébergement d’adresse mails. On pourra cependant préférer pour des raisons judiciaires des services à l’étranger. Voir leur site : https://chatons.org/.
²⁴ Si vous avez une adresse mail riseup, vous pouvez créer des alias https://riseup.net/aliases
²⁵ Voir la notion de confidentialité persistante
²⁶ Et cette surveillance est en plein essor comme le montre l’actualité : https://www.laquadrature.net/2020/12/08/decrets-pasp-fichage-massif-des-militants-politiques/
²⁷ Pour vous convaincre que tout le monde a quelque chose à cacher, https://www.ted.com/talks/glenn_greenwald_why_privacy_matters
²⁸ Un tutoriel pour apprendre à utiliser Tails est disponible sur Infokiosques.net https://infokiosques.net/spip.php?article1726
²⁹ https://tails.boum.org/doc/about/warning/index.fr.html recense de nombreuses limitations de Tails.
³⁰ Voir ce tutoriel pour créer une sauvegarde d’une clé Tails
³¹ Le témoignage de Julie sur Cortana recueilli par la Quadrature du Net est édifiant sur les possibilités d’espionnage offertes par les téléphones portables : https://www.laquadrature.net/2018/05/18/temoin_cortana/

Crédits des images

Dans l’ordre :

1. Image de la quadrature du net pour illustrer la censure
2. Logo de la Zad du Carnet CC-BY-SA 4,0
3. Représentation de la triade Disponibilité (D), Intégrité (I) et Confidentialité (C) par Ljean
4. Capture d’écran du logiciel KeepassXC
5. Image trouvée sur reddit
6. Logo de Technopolice.fr CC-BY-SA 4.0
7. Logo de Linux Unified Key Setup
8. Image extraite du guide d’autodéfense numérique
9. Logo de XMPP
10. Image extraite d’un cours sur Dane
11. Image extraite du guide d’autodéfense numérique
12. Logo de Tails
13. Image de la quadrature du net pour illustrer la censure

Prochains ajouts

• Le logo de Tails a été oublié dans les images. Il sera ajouté dans la prochaine version
• Dans la partie sur les clients mails, on a oublié de parler des interactions entre le protocole PGP et le client mail ou webmail.