Fiche pratique : sécurité et confidentialité sur l'Internet

Cette fiche fait partie d'un ensemble d'outils pour aller vers la démocratie.

Cette page est le second volet concernant la sécurité informatique. Les précautions décrites dans la page précédente prérequises.
Les questions de confidentialité courante (réseaux sociaux, usage des mots de passe...) sont traitées dans la page précédente.

La présente page se centre sur les mesures destinées à contrer les atteintes à la vie privée, la surveillance et la censure. Elle ne présente que des solutions relativement faciles à mettre en oeuvre, des liens sont donnés pour approfondir ces questions.

Pour une présentation des enjeux et de l'actualité, lire : surveillance et contrôle dans la page d'introduction à l'Internet.

Sommaire

1. Chiffrement
2. Navigation anonyme
3. Pour aller plus loin
4. Liens pour approfondir le sujet de la sécurité informatique

---

1. Chiffrement de vos courriers électroniques, de vos messages instantanés et des fichiers

La confidentialité des échanges est une condition nécessaire à un fonctionnement social démocratique. Seules des organisations totalitaires peuvent prétendre avoir droit de regard sur ce que vous lisez et écrivez.

Les courriels et messages instantanés sont comparables à des cartes postales sans enveloppes. Ils sont parfaitement lisibles par toute personne (par exemple votre employeur) ayant accès à leur lieu de stockage ou de passage. Ils peuvent être facilement interceptés par des personnes à l'affût d'informations.
(Les réseaux échelon et dcs1000 mis en place par la NSA interceptent et analysent automatiquement la quasi-totalité des messages échangés. En France le système s'appelle Hérisson.).
Si vous transmettez des informations sensibles, il est donc indispensable de chiffrer (encrypt / cypher / cipher) vos messages. Pour cela vous devez utiliser un logiciel de génération de clés (keys) et de chiffrement/déchiffrement (encryption/decryption). Les clés peuvent aussi servir à signer (authentifier) vos messages pour éviter l'usurpation d'identité et en contrôler l'intégrité.

Chiffrer ses courriels et messages instantanés est une opération simple : des logiciels automatisent les procédures. Une fois ceux-ci installés, la seule chose que vous aurez à faire sera de taper votre mot de passe de temps à autre. Le chiffrement des messages peut et devrait devenir une opération banale. (On parle aussi - improprement - de "cryptage".)

Il faut remarquer que si votre message ne peut être lu que par son (ou ses) destinataire(s), par contre on peut savoir avec qui vous échangez des messages chiffrés ! Il faut donc prendre l'habitude de chiffrer systématiquement le maximum de messages avec le maximum de correspondants de façon que les messages vraiment sensibles soient noyés dans la masse de vos communications ordinaires. Vous devrez donc convaincre le maximum de vos correspondants habituels de prendre eux-mêmes cette habitude.

Pour plus de détail sur ces questions et pour un guide de mise en oeuvre, se reporter à notre fiche pratique spécifique consacrée à la confidentialité des courriers électroniques et de la messagerie instantanée.

Le chiffrement peut tout aussi bien s'appliquer à des fichiers ou à des partitions entières. Il est recommandé de chiffrer entièrement les disques car certains logiciels font des copies temporaires de fichiers dans leur état déchiffré. Par ailleurs les fichiers effacés simplement en vidant la corbeille peuvent être reconstitués facilement. L'effacement sécurisé nécessite des dispositifs spécialisés.

Note juridique : actuellement (2012) en France, l'utilisation du chiffrement est libre. Mais la législation peut évoluer. Consultez le site officiel du gouvernement.

2. Utilisation de solutions de navigation anonyme

La confidentialité de la navigation web est une condition nécessaire à un fonctionnement social démocratique. Seules des organisations totalitaires peuvent prétendre avoir droit de regard sur ce que vous lisez et écrivez.

Un utilisateur d'Internet est identifié par son adresse I.P. sur le réseau (votre fournisseur d'accès génère votre adresse I.P. et il sait qui vous êtes - ou au moins il connaît votre numéro de téléphone !). Et même si vous utilisez une solution de contournement qui permet de passer par une autre I.P., les informations que transmet votre navigateur (user agent string) suffisent la plupart du temps à vous identifier de manière unique.

Les sites que vous consultez sur la Toile (et les recherches que vous effectuez sur les moteurs de recherche) en disent long sur vous. Ces informations peuvent être utilisées à des fins de marketing ou de surveillance policière ou politique. Les gangsters et les services secrets disposent de solutions élaborées (notamment piratage) pour masquer leur identité. Mais le simple citoyen peut-être l'objet de tous les contrôles. Encore une fois plus vous donnez d'information à un tiers plus vous lui donnez le pouvoir de vous influencer, de vous piéger, et de vous contrôler. Souvenez-vous de ces dissidents chinois jetés en prison après avoir été repérés par leurs connexions Internet. La Chine n'est-elle pas la société modèle dont rêvent tous les capitalistes ?

Une solution basique consiste à passer par l'intermédiaire d'un serveur proxy (ou VPN) qui relaye vos connexions : ainsi le site sur lequel vous vous connectez ne voit que l'adresse I.P. du proxy. Problème : le proxy lui sait tout sur vous !
Le réseau de serveurs mis en place dans le cadre du projet libre The Onion Router (TOR) résoud ce problème : vos connexions passent par plusieurs serveurs TOR, choisis au hasard parmi des centaines qui sont disponibles dans le monde entier. Les données qui circulent sont chiffrés à l'intérieur du réseau TOR (mais pas en entrée ni en sortie).
Pour y accéder il vous suffit d'installer le logiciel client TOR sur votre machine ou sur une clé USB. Il est distribué dans un paquettage "Tor browser bundle" contenant une interface - Vidalia - et le navigateur Firefox avec en particulier l'extension TORButton (qui modifie la chaîne user agent, permet d'éviter d'y laisser toute trâce de vos connection et permet l'activation et la désactivation de TOR à la demande). L'utilisation de TOR peut réduire quelque peu votre débit de connexion*, au hasard des serveurs relais.
Vous pouvez vous même facilement faire de votre machine un serveur TOR, ce qui augmente la sécurité de tous. Plus il y a d'utilisateurs et de serveurs TOR, mieux l'anonymat est assuré.

TOR reste vulnérable aux attaques dites temporelles : si un espion vous soupçonne de vous connecter à un certain site, il peut écouter simultanément ce qui sort de votre machine et ce qui entre dans le site de destination et mettre ces informations en rapport. Des solutions existent pour contrer ce type d'attaque mais elle introduisent d'importants délais, ce qui limite leur usage en pratique à l'envoi de courrier électronique.

*Il existe des sites permettant de tester votre débit de connection à un instant donné. Voir liens pratiques.

Explications sur TOR : sur le site de l'EFF (en anglais).

Note : le projet de loi Etats-Unien sur le copyright "SOPA" (examen reporté en 2012) envisage l'interdiction de TOR. Le chainage de VPN successifs peut être une solution analogue et alternative à l'usage de TOR (mais ni libre ni gratuite).

3. Pour aller plus loin

De ce qui précède, pour se protéger le plus efficacement, il vous faut donc :

1. Utiliser toutes les solutions de sécurisation de votre machine (anti-virus, anti-spyware, pare-feu) ou passer à l'OS GNU/Linux.
2. Naviguer avec Firefox en bloquant les scripts, les cookies et les publicités et en ayant éliminé de Firefox tous les plug-in présentant des failles de sécurité (lecteurs multimedia).
3. Naviguer sur les sites sensibles via TOR (avec TORButton).
4. Faire de votre machine un serveur TOR.
5. Chiffrer vos fichiers sensibles (mieux : tous les disques) sur votre machine (elle peut-être volée ou piratée à distance).
6. Créer un compte courriel anonyme en utilisant TOR et utiliser ce compte exclusivement via le réseau TOR.
7. Chiffrer avec GnuPG le maximum de vos communications (ne donner dans vos courriels non chiffrés aucune information susceptible de vous identifier ou d'identifier d'autres personnes).
8. Utiliser une solution anonyme et chiffrée de messagerie instantanée (Torchat).
9. Si vous voulez mettre en place un site Internet anonyme, utilisez votre compte courriel anonyme pour obtenir un hébergement (gratuit ou qui accepte les paiements en bitcoin ou en espèces !) et faites les mises à jour de votre site Internet via TOR exclusivement. Alternative : vous pouvez directement inclure votre site en tant que service caché du réseau TOR. Si vous êtes un dissident politique, votre hébergement doit se situer dans un pays étranger, hors d'atteinte de la police de votre pays.

Naturellement toutes ces précautions ne sont pas forcément nécessaires pour tout le monde. Toutefois plus les gens qui chiffrent leurs communications et s'anonymisent seront nombreux plus cela assurera de protection à ceux qui en ont le plus besoin : les dissidents politiques. C'est pourquoi nous invitons tous les gens qui tiennent à la liberté et veulent faire progresser la démocratie à utiliser le maximum de ces options.

A noter : Freenet est un réseau internet alternatif décentralisé, assurant l'anonymat et la sécurité, fonctionnant sur le principe des échanges de pair-à-pair (peer-to-peer / P2P).

Si vos exigences de sécurité sont importantes (usage de données sensibles, activisme politique), voici quelques liens vers des outils et guides pratiques pour aller plus loin :

Diceware	world.std.com/%7Ereinhold/diceware.html (diceware.com)	Une méthode simple pour générer manuellement des phrases de passe très robustes.
Polippix	www.polippix.org	Une distribution de logiciels libres sous forme d'un CD de démarrage (boot) qui intégre des solutions d'anonymisation (TOR, changement d'adresse MAC), de chiffrement des courriels et des communications téléphoniques. Le fichier (image ISO) à graver sur CD est téléchargeable sur le site. L'usage d'un CD de démarrage est particulièrement utile lorsque l'on se connecte à Internet en utilisant un autre ordinateur que le sien.
FreedomBox	www.freedomboxfoundation.org/	Projet expérimental d'un mini-serveur personnel permettant de se connecter directement sans fil aux autres FreedomBox pour recréer un réseau alternatif, decentralisé et sécurisé.
EFF : defending privacy at the U.S. border	www.eff.org/wp/defending-privacy-us-border-guide-travelers-carrying-digital-devices	Guide de l'Electronic Frontier Foundation à l'attention des voyageurs (la douane des U.S.A. peut examiner et copier toutes vos données numériques) et plus généralement de toute personne manipulant des données sensibles.

Avertissement : aucune protection, aucun chiffrement, aucune anonymisation n'est efficace à 100%. Voir ici (lien vers assiste.com.free.fr). Passer au système d'exploitation (OS) libre Gnu/Linux augmentera de façon substantielle votre sécurité. Mais si tout ceci ne vous suffit pas, renoncez à l'Internet, et même aux ordinateurs !
Les seules véritables solutions aux problèmes de sécurité et de liberté [informatique] sont politiques.

Voir notre guide pour passer à l'informatique libre.

4. Liens pour approfondir le sujet de la sécurité informatique

Remarque : lorsque vous consultez une page traitant de sécurité informatique, assurez-vous que celle-ci soit à jour. Si les principes restent les mêmes, les technologies évoluent rapidement.

4.1. Tests en ligne

Test du réseau TOR	check.torproject.org torcheck.xenobite.eu	Permet de vérifier si vous accédez effectivement à Internet à travers le réseau d'anomysation TOR.
Test des informations visibles vous concernant	ipid.shat.net	Permet de voir quelles sont les informations visibles par tout destinataire de votre connexion. Notamment votre adresse I.P.
Test d'identification	panopticlick.eff.org	Permet de voir si les informations transmises par le navigateur suffisent à vous identifier de manière unique.
Test de vulnérabilité de votre navigateur	whattheinternetknowsaboutyou.com	Permet de voir si votre historique de navigation peut être détecté par un site web.

4.2. Documentation générale sur la sécurité et la confidentialité informatique

Fiches pratiques du CECIL	www.lececil.org/node/7687	Solutions alternatives pour minimiser les risques liés au traçage et à la surveillance.
Malekal	www.malekal.com	Sécurité informatique, bien documenté et expliqué. Inclu un forum.
Assiste	assiste.com.free.fr	Sécurité informatique et confidentialité. Site très complet. Toutefois les descriptifs de logiciels ne sont plus à jour (voir les dates sur chaque page).
Securiser	www.secuser.com	Sécurité informatique.
Contourner la censure	contournerlacensure.net	Site et ouvrage téléchargeable faisant le point sur les dispositifs de contournement, d'anonymisation et de protection de la vie privée.
Free.Korben	free.korben.info	Tutoriaux participatifs (wiki) sur les thématiques de la liberté de l'Internet.
Anonymat	www.anonymat.org	Anonymat et confidentialité.
Fédération Informatique et Libertés	www.vie-privee.org/liens/liens.php	Ressources sur le site de la Fédération Informatique et Libertés.
Page sur la sécurité informatique (par le syndicat CNT de l'Industrie Informatique de la région parisienne)	www.cnt-f.org/sii/CNTsii/SecuriteInfo.html	Propose notamment un questionnaire pour évaluer votre degré d'exposition au risque.
Bug brother	www.bugbrother.com bugbrother.blog.lemonde.fr	Propose plusieurs manuels pratique pour améliorer votre confidentialité. Blog sur l'actualité de la censure et de la surveillance.
Privacy International	www.privacyinternational.org	A la manière d'Amnesty, surveille et classe les différents pays en fonction des mesures de respect de la confidentialité de la vie privée. (La France avant-dernière en Europe, devant la Grande-bretagne.)
Electronic Frontier Fondation	www.eff.org	Civil liberties group defending your rights in the digital world.
EFF : SSD	ssd.eff.org/	Surveillance self-defence
Electronic privacy info center (E.P.I.C.)	epic.org	Site U.S. sur la protection de la vie privée sur Internet.
Owni #spyfiles	owni.fr/2011/12/03/une-journee-sous-surveillance/ owni.fr/2011/12/13/des-chevaux-de-troie-dans-nos-democraties/	Série d'articles suite aux révélations de Wikileaks concernant l'activité des sociétés de surveillance.
Owni : guide de la sécurité pour les VRP en voyage	owni.fr/2010/05/24/petit-manuel-de-contre-espionnage-informatique/	Guide de la sécurité pour les VRP en voyage
SebSauvage	http://sebsauvage.net/	Site sécurité informatique et tutoriels
Guide d'autodéfense numérique	guide.boum.org/
Guide du blogueur anonyme	advocacy.globalvoicesonline.org/projects/guide/

Autres liens vers des associations de résistance au contrôle des populations.