» Guides » Guide complet de protection numérique

Guide complet de protection numérique

  • Pypo 

Les révélations d’espionnage d’Edward Snowden de la NSA ont mis en lumière à quel point nous avons sacrifié aux dieux de la technologie et de la commodité, ce que nous tenions pour acquis et que nous considérions autrefois comme un droit humain fondamental : notre vie privée.

Sous de fallacieux prétextes, tous les gouvernements du monde entier s’empressent aujourd’hui de présenter des lois qui leur permettent de surveiller et de stocker tous les e-mails, appels téléphoniques et messages instantanés, toutes les pages Web visitées et toutes les conversations en ligne faites par chacun de leurs citoyens.

A de nombreuses reprises, la presse a fait des parallèles avec le monde dystopique de George Orwell, gouverné par un “Big Brother” qui voit tout. Et il faut bien dire que ces articles sont souvent déprimants de réalisme.

Heureusement, le chiffrement est un moyen très efficace de protéger votre vie privée, vos communications et vos données sur Internet. Le principal problème de l’utilisation du chiffrement est que son utilisation vous signale aux organisations gouvernementales pour un examen plus approfondi de votre profil.

Les détails des règles de collecte de données de la NSA par exemeple ont été révélés par The Guardian en 2013 (en anglais). En résumé, celle-ci examine les données des citoyens américains, puis les rejette si elles s’avèrent inintéressantes. En revanche, les données cryptées sont conservées indéfiniment jusqu’à ce que la NSA puisse les déchiffrer.

La NSA peut conserver aussi indéfiniment toutes les données relatives aux citoyens non américains (celles cryptées comme celles en clair), mais l’aspect pratique suggère que les données chiffrées reçoivent une attention toute particulière.

En revanche, si beaucoup plus de gens commencent à utiliser le chiffrement, les données chiffrées se démarqueront moins, et le travail des organismes de surveillance sera alors rendu plus difficile.

Souvenez-vous :
1 – Votre vie privée ne regarde que vous
2 – L’anonymat n’est pas un crime
3 – Ne faites confiance à aucune entreprise avec votre vie privée, chiffrez tout !

Quelle est la sécurité du chiffrement ?

Suite aux révélations sur l’ampleur de l’attaque délibérée de la NSA contre les normes mondiales de cryptage, la confiance dans le chiffrement s’est fortement érodée.

Examinons donc l’état actuel des choses.

Longueur de la clé de cryptage

La longueur de la clé est le moyen le plus grossier de déterminer combien de temps un chiffrement prendra pour être cassé. C’est le nombre brut de uns et de zéros utilisés dans un code. De même, la forme la plus grossière d’attaque sur un code est connue sous le nom d’attaque par force brute (ou recherche exhaustive des clés). Cela implique d’essayer toutes les combinaisons possibles pour trouver la bonne.

Si quelqu’un est capable de déchiffrer les chiffrements modernes, c’est bien la NSA, mais le faire est un défi considérable. Pour une attaque de force brute :

  • Un chiffrement de clé de 128 bits a 3,4 x10(38) clés possibles. En passant par chacun d’entre eux, des milliers d’opérations ou plus à briser.
  • En 2011, le supercalculateur le plus rapide du monde (l’ordinateur Fujitsu K situé à Kobe, au Japon) était capable d’atteindre une vitesse de pointe Rmax de 10,51 pétaflops. Sur la base de ce chiffre, il faudrait à Fujitsu K : 1,02 x 10(18) (environ 1 milliard) d’années pour casser une clé AES 128 bits par force brute.
  • En 2016, le supercalculateur le plus puissant du monde est le NUDT Tianhe-2 à Guangzhou, en Chine. Presque 3 fois plus rapide que le Fujitsu K, à 33,86 pétaflops, il ne lui faudrait “seulement” environ un tiers de milliard d’années pour casser une clé AES 128 bits. C’est encore long et c’est le chiffre pour casser une seule clé.
  • Une clé de 256 bits nécessiterait 2(128) fois plus de puissance de calcul que celle pour casser une clé de 128 bits.
  • Le nombre d’années nécessaires pour forcer un code de 256 bits est de 3,31 x 10(56) – soit environ 20000….0000 (total 46 zéros) fois l’âge de l’Univers (13,5 milliards ou 1,35 x 10(10) ans !

Le chiffrement à 128 bits

Jusqu’aux révélations d’Edward Snowden, les gens supposaient que le chiffrement à 128 bits était en pratique incassable par la force brute. Ils croyaient qu’il en serait ainsi pour une centaine d’années encore (en tenant compte de la loi de Moore).

En théorie, c’est toujours vrai. Cependant, l’ampleur des ressources que la NSA semble prête à consacrer au chiffrement a ébranlé la confiance de nombreux experts dans ces prévisions. Par conséquent, les administrateurs système du monde entier s’efforcent de mettre à niveau la longueur des clés de chiffrement.

Si et quand l’informatique quantique deviendra disponible, tous les paris seront alors annulés. Les ordinateurs quantiques seront exponentiellement plus puissants que n’importe quel ordinateur existant et rendront tous les chiffrements et suites de chiffrement actuels redondants du jour au lendemain.

En théorie, le développement du cryptage quantique permettra de contrer ce problème. Cependant, l’accès aux ordinateurs quantiques sera d’abord réservé aux gouvernements et aux entreprises les plus puissants et les plus riches. Il n’est pas dans l’intérêt de ces organisations de démocratiser le chiffrement.

En tout cas, pour l’instant, et jusqu’à preuve du contraire, le chiffrement reste votre principal ami dans la reconquête de votre vie privée en ligne.

Notez que le gouvernement américain utilise le cryptage 256 bits pour protéger les données “sensibles” et 128 bits pour les besoins de cryptage “courants”. Cependant, le chiffrement qu’il utilise est AES qui n’est pas non plus sans problèmes.

Les algorithmes de chiffrement

La longueur de la clé de cryptage fait référence à la quantité de nombres bruts impliqués. Le chiffrement fait lui référence aux mathématiques utilisées pour effectuer le cryptage. Ce sont les faiblesses de ces algorithmes, plutôt que la longueur de la clé, qui conduisent souvent à la rupture du cryptage.

De loin les chiffrements les plus communs que vous rencontrerez probablement sont ceux que OpenVPN utilise : Blowfish et AES. En outre, RSA est utilisé pour crypter et décrypter les clés de chiffrement. SHA-1 ou SHA-2 sont utilisés comme fonctions de hachage pour authentifier les données.

Les VPN les plus sûrs utilisent un chiffrement AES. Son adoption par le gouvernement américain a accru sa fiabilité perçue et, par conséquent, sa popularité. Toutefois, il y a lieu de croire que cette confiance pourrait être mal placée.

Le National Institute of Standards and Technology (NIST) des États-Unis a développé et/ou certifié AES, RSA, SHA-1 et SHA-2. Le NIST travaille en étroite collaboration avec la NSA pour le développement de ses algorithmes de chiffrement.

Étant donné les efforts systématiques de la NSA pour affaiblir ou intégrer des portes dérobées dans les normes internationales de cryptage, il y a toutes les raisons de remettre en question l’intégrité des algorithmes du NIST. Le NIST s’est empressé de nier tout acte répréhensible (“Le NIST n’affaiblirait pas délibérément un étalon cryptographique“). Il a également invité le public à participer à un certain nombre de normes proposées en matière de chiffrement, dans le but de renforcer la confiance du public.

Le New York Times, cependant, a accusé la NSA d’avoir introduit des portes dérobées indétectables, ou de subvertir le processus de développement public pour affaiblir les algorithmes, contournant ainsi les normes de cryptage approuvées par le NIST. La nouvelle qu’une norme cryptographique certifiée par le NIST (l’algorithme de la double courbe elliptique (Dual_EC_DRGB) avait été délibérément affaiblie non seulement une fois, mais deux fois, par la NSA a détruit à peu près toute confiance existante.

Qu’il pourrait y avoir une porte dérobée délibérée dans Dual_EC_DRGB avait déjà été remarqué auparavant. En 2006, des chercheurs de l’Université de technologie d’Eindhoven, aux Pays-Bas, ont noté qu’il était assez facile de lancer une attaque contre un “PC ordinaire” et les ingénieurs de Microsoft ont également signalé une porte dérobée suspectée dans l’algorithme.

Malgré ces préoccupations, l’industrie technologique suit le NIST. Microsoft, Cisco, Symantec et RSA incluent tous l’algorithme dans les bibliothèques cryptographiques de leurs produits. Cela s’explique en grande partie par le fait que la conformité aux normes du NIST est une condition préalable à l’obtention de contrats du gouvernement américain.

Les normes cryptographiques certifiées par le NIST sont pratiquement omniprésentes dans le monde entier dans tous les secteurs de l’industrie et des affaires qui dépendent de la confidentialité (y compris l’industrie VPN). Tout cela est plutôt effrayant.

Peut-être parce que tant de choses dépendent de ces normes, les experts en cryptographie n’ont pas voulu faire face à ce problème.

Confidentialité persistante (PFS)

L’une des révélations de l’information fournie par Edward Snowden est qu’un autre programme, nommé Cheesy Name, visait à distinguer les clés de cryptage SSL/TLS, connues sous le nom de “certificats“, qui pourraient être piratées par les supercalculateurs du GCHQ (Quartier Général des Communications du Gouvernement du Royaume Uni).

Le fait que ces certificats puissent être “isolés” suggère fortement que le cryptage RSA 1024 bits (couramment utilisé pour protéger les clés de certificat) est plus faible qu’on ne le pensait auparavant. La NSA et le GCHQ pourraient donc le décrypter beaucoup plus rapidement que prévu.

En outre, l’algorithme SHA-1 largement utilisé pour authentifier les connexions SSL/TLS est fondamentalement cassé. Dans les deux cas, l’industrie s’efforce de corriger les faiblesses le plus rapidement possible. Pour ce faire, il passe aux échanges de clés RSA-2048+, Diffie-Hellman ou Elliptic Curve Diffie-Hellman (ECDH) et à l’authentification par hachage SHA-2+.

Ce que ces problèmes soulignent clairement, c’est l’importance d’utiliser la confidentialité persistante (Perfect Forward Secrecy ou PFS) pour toutes les connexions SSL/TLS.

Il s’agit d’un système dans lequel une nouvelle clé de cryptage privée unique (sans clé supplémentaire dérivée de celle-ci) est générée pour chaque session. Pour cette raison, il est également connu comme un échange de clés temporaires.

En utilisant PFS, si une clé SSL est compromise, cela n’a pas beaucoup d’importance car de nouvelles clés sont générées pour chaque connexion. Elles sont aussi souvent rafraîchies lors des connexions. Pour accéder de manière significative aux communications, ces nouvelles clés devraient également être compromises. Cela rend la tâche si ardue qu’elle est effectivement impossible.

Malheureusement, il est pratique courante (parce que c’est facile) pour les entreprises d’utiliser une seule clé de chiffrement privée. Si cette clé est compromise, l’attaquant peut accéder à toutes les communications cryptées avec elle.

OpenVPN et PFS

Le protocole VPN le plus utilisé est OpenVPN. Il est considéré comme très sûr. L’une des raisons en est qu’il permet l’utilisation de clés temporaires.

Malheureusement, cela n’est pas mis en œuvre par de nombreux fournisseurs de VPN. Sans PFS, les connexions OpenVPN ne sont pas considérées comme sécurisées.

Il convient également de mentionner ici que les hachages HMAC SHA-1 couramment utilisés pour authentifier les connexions OpenVPN ne sont pas une faiblesse. En effet, le HMAC SHA-1 est beaucoup moins vulnérable aux attaques par collision que les hachages SHA-1 standard.

Alors, le cryptage est-il sécurisé ?

Sous-estimer l’ambition ou la capacité de la NSA à compromettre tout chiffrement est une erreur. Cependant, le cryptage reste la meilleure défense que nous ayons contre cette organisation et toutes les autres comme elle.

Pour autant que l’on sache, les chiffrements forts tels que AES (malgré les doutes concernant sa certification NIST) et OpenVPN (avec confidentialité persistante) restent sécurisés.

Comme l’a déclaré Bruce Schneier, spécialiste du chiffrement au Berkman Center for Internet and Society de Harvard et défenseur de la vie privée,

"Faites confiance aux maths. Le chiffrement est votre ami. Utilisez-le bien et faites de votre mieux pour que rien ne puisse le compromettre. C'est comme ça que vous pourrez rester en sécurité même face à la NSA."

N’oubliez pas non plus que la NSA n’est pas le seul adversaire potentiel. Cependant, la plupart des criminels et même les gouvernements sont loin d’avoir la capacité de la NSA à contourner le cryptage.

L’importance du chiffrement de bout en bout

Le chiffrement de bout en bout (e2e) signifie que vous chiffrez les données sur votre propre appareil. Vous êtes le seul à détenir les clés de cryptage (sauf si vous les partagez). Sans ces clés, un adversaire aura beaucoup de mal à déchiffrer vos données.

De très nombreux services et produits n’utilisent pas le chiffrement e2e. Au lieu de cela, ils chiffrent vos données et détiennent les clés pour vous.

Cela peut être très pratique, car cela permet de récupérer facilement les mots de passe perdus, de synchroniser entre les appareils, etc. Cela signifie toutefois que ces tiers pourraient être contraints de remettre vos clés de cryptage.

Microsoft en est un bon exemple. Il chiffre tous les e-mails et fichiers contenus dans OneDrive (anciennement SkyDrive), mais il conserve également les clés de cryptage. En 2013, il les a utilisés pour débloquer les courriels et les fichiers de ses 250 millions d’utilisateurs dans le monde entier en vue d’une inspection par la NSA.

Évitez fortement les services qui chiffrent vos données sur leurs serveurs, plutôt que de chiffrer vos propres données sur votre propre machine.

HTTPS

Bien que le chiffrement fort soit récemment devenu à la mode, les sites Web utilisent le chiffrement fort de bout en bout depuis 20 ans. Après tout, si les sites Web n’étaient pas sécurisés, les achats en ligne ou les opérations bancaires n’auraient pas été rendues possibles.

Le protocole de chiffrement utilisé pour cela est HTTPS, qui signifie HTTP Secure (ou HTTP sur SSL/TLS). Il est utilisé pour les sites Web qui ont besoin de sécuriser les communications des utilisateurs et constitue l’épine dorsale de la sécurité Internet.

Lorsque vous visitez un site Web HTTP non sécurisé, les données sont transférées en clair. Cela signifie que n’importe qui peut voir tout ce que vous faites en visitant ce site. Cela inclut les détails de vos transactions lorsque vous effectuez des paiements. Il est même possible de modifier les données transférées entre vous et le serveur web.

Avec HTTPS, un échange de clé cryptographique se produit lorsque vous vous connectez pour la première fois au site Web. Toutes les actions ultérieures sur le site sont chiffrées, et donc cachées des regards indiscrets. Toute personne qui regarde peut voir que vous avez visité un certain site Web, mais ne peut pas voir quelles pages individuelles vous avez lues ou quelles données ont été transférées.

Capture d'écran montrant l'icône de cadenas vert signalant HTTPS
Icône cadenas vert signalant HTTPS

Il est facile de savoir si vous visitez un site Web sécurisé par HTTPS : il suffit de chercher un cadenas verrouillé à gauche de l’URL principale / barre de recherche. Par exemple, le site Web pypo.eu est sécurisé par HTTPS. A moins que vous n’utilisiez un VPN en lisant cette page web, votre FAI peut voir que vous avez visité pypo.eu, mais ne peut pas voir que vous lisez cet article en particulier. HTTPS utilise un chiffrement de bout en bout.

Il y a des problèmes liés au HTTPS, mais en général, il est sûr. Si ce n’était pas le cas, aucune des milliards de transactions financières et de transferts de données personnelles qui ont lieu chaque jour sur Internet ne serait possible. L’Internet lui-même (et peut-être l’économie mondiale) s’effondrerait du jour au lendemain.

Métadonnées

Une limitation importante du chiffrement est qu’il ne protège pas nécessairement les utilisateurs de la collecte de métadonnées.

Même si le contenu des courriels, des conversations vocales ou des sessions de navigation sur le Web ne peut pas être facilement surveillé, savoir quand, où, de qui, à qui et à quelle fréquence une telle communication a lieu peut en dire long sur vous. C’est un outil puissant entre de mauvaises mains.

Par exemple, même si vous utilisez un service de messagerie chiffrée tel que WhatsApp, Facebook sera toujours en mesure de savoir à qui vous envoyez des messages, à quelle fréquence, pendant combien de temps et plus encore.

Bien que la NSA cible les communications individuelles, sa principale préoccupation est la collecte de métadonnées. Comme l’avocat général de la NSA, Stewart Baker, l’a reconnu ouvertement.

"Les métadonnées vous disent absolument tout sur la vie de quelqu'un. Si vous avez assez de métadonnées, vous n'avez pas vraiment besoin de contenu."

Les technologies telles que les VPN et Tor peuvent rendre la collecte des métadonnées très difficile. Par exemple, un FAI ne peut pas collecter de métadonnées relatives à l’historique de navigation des clients qui utilisent un VPN pour masquer leurs activités en ligne.

Notez, cependant, que de nombreux fournisseurs VPN enregistrent eux-mêmes certaines métadonnées. Cela devrait être pris en considération lors du choix d’un service pour protéger votre vie privée.

Veuillez également noter que les applications mobiles contournent généralement tout VPN qui s’exécute sur votre appareil et se connectent directement aux serveurs de leurs éditeurs. C’est pourquoi, l’utilisation d’un VPN, par exemple, n’empêchera pas WhatsApp d’envoyer des métadonnées à Facebook.

Identifiez votre modèle de menace

Lorsque vous réfléchissez à la façon de protéger votre vie privée et de rester en sécurité sur Internet, considérez attentivement qui ou ce qui vous préoccupe le plus. Se défendre contre tout est presque impossible. Et toute tentative de le faire va probablement sérieusement dégrader votre utilisation (et votre plaisir) d’Internet.

S’inquiéter d’être pris à télécharger une copie illicite de Game of Thrones plutôt que d’être la cible d’un gouvernement est sans doute plus adapté (pour 99% des utilisateurs) pour déterminer votre besoin réel en matière de protection de votre vie privée. Cela devrait être aussi moins stressant et vous laisser avec un Internet plus utilisable et des défenses plus efficaces contre les menaces qui vous importent vraiment.

Bien sûr, si vous vous appelez Edward Snowden, ou êtes un activiste ou journaliste d’investigation à Mediapart, alors les organisations comme la NSA peuvent faire partie de votre modèle de menace.

Utilisez des logiciels libres et open source (FOSS)

L’ampleur de l’attaque de la NSA contre la cryptographie publique et son affaiblissement délibéré des normes internationales communes de chiffrement ont démontré qu’aucun logiciel propriétaire ne peut être considéré comme fiable. Même les logiciels spécialement conçus pour la sécurité.

La NSA a coopté ou contraint des centaines d’entreprises technologiques à intégrer des portes dérobées dans leurs programmes, ou à affaiblir la sécurité afin de lui permettre d’y accéder. Les entreprises américaines et britanniques sont particulièrement suspectes, bien que les rapports indiquent clairement que les entreprises du monde entier ont accédé aux demandes de la NSA et des autorités gouvernementales.

Le problème avec les logiciels propriétaires est que les États peuvent assez facilement approcher et convaincre les seuls développeurs et propriétaires de jouer “collectif”. De plus, leur code source est gardé secret. Il est donc facile d’ajouter ou de modifier le code sans que personne ne s’en aperçoive.

Code open source

La meilleure réponse à ce problème est d’utiliser des logiciels libres open source (FOSS pour Free Open-Source Software). Souvent développé conjointement par des personnes disparates et sans aucun lien entre elles, le code source est à la disposition de tous pour être examiné et évalué par des pairs. Cela réduit au minimum les risques que quelqu’un l’ait trafiquée.

Idéalement, ce code devrait être également compatible avec d’autres implémentations, afin de minimiser la possibilité d’intégrer une porte dérobée.

Il est bien sûr possible que des agents gouvernementaux aient infiltré des groupes de développement open-source et introduit du code malveillant à l’insu de quiconque. De plus, la quantité de code qu’impliquent de nombreux projets signifie qu’il est souvent impossible de procéder à un examen complet par les pairs de l’ensemble du code.

Malgré ces pièges potentiels, FOSS reste la formule logicielle la plus fiable et la plus inviolable du marché. Si vous vous souciez vraiment de la confidentialité, vous devriez essayer de l’utiliser exclusivement (jusqu’à et y compris l’utilisation de systèmes d’exploitation FOSS tels que Linux).

Mesures que vous pouvez prendre pour améliorer votre vie privée

Même dans un monde idéal, tout peut ne pas être parfait et si un État ou une organisation puissante veut obtenir des informations à votre sujet, ils le pourront très probablement. Pour autant, il y a des mesures que vous pouvez prendre pour améliorer votre vie privée.

Payez vos achats de façon anonyme

Une étape pour améliorer votre vie privée est de payer vos achats anonymement. Lorsqu’il s’agit de biens physiques livrés à une adresse réelle, cela sera difficilement réalisable. Mais pour des services en ligne, ceci peut s’avérer tout à fait possible.

Il est de plus en plus courant de trouver des services qui acceptent les paiements par l’intermédiaire de Bitcoins ou d’autres cryptomonnaies. Quelques-uns, acceptent même de l’argent liquide envoyé anonymement par la poste.

Bitcoin

Bitcoin est une monnaie virtuelle décentralisée et open-source qui utilise la technologie peer-to-peer (tout comme BitTorrent et Skype). Le concept est particulièrement révolutionnaire et passionnant parce qu’il ne nécessite pas l’intervention d’un intermédiaire (par exemple une banque contrôlée par l’État).

La question de savoir si les bitcoins représentent une bonne opportunité d’investissement fait l’objet d’un vif débat et n’entre pas dans le cadre de ce guide.

Autres façons de rester privé en ligne

Un service VPN et le navigateur Tor sont les moyens les plus populaires de garder l’anonymat et d’échapper à la censure en ligne, mais il existe d’autres options. Les serveurs proxy, en particulier, sont très populaires. À notre avis, cependant, ils sont inférieurs à l’utilisation d’un VPN.

Il est aussi possible d’utiliser Tor et un VPN ensemble pour fournir des avantages de sécurité significatifs. Tor est un outil vital pour les internautes qui ont besoin d’un maximum d’anonymat. Les VPN, cependant, sont un outil de protection de la vie privée beaucoup plus pratique pour l’utilisation quotidienne d’Internet.

Tor peut également constituer un outil pratique pour lutter contre la censure. Cependant, de nombreux gouvernements s’efforcent de contrer ce phénomène en bloquant l’accès au réseau (avec un succès variable).

Une bonne alternative réside aussi dans l’utilisation du navigateur Brave en Navigation privée avec Tor. Ce faisant, vous combinez les avantages de la navigation en mode privé avec une connexion des sites Web visités via le réseau sécurisé Tor.

D’autres services qui peuvent être d’intérêt comprennent JonDonym, Lahana, I2P et Psiphon. Vous pouvez combiner plusieurs de ces services avec Tor et/ou un VPN pour plus de sécurité.

Sécurisez votre navigation sur le Web

Les gouvernements ne sont pas les seuls à espionner les citoyens. Les annonceurs et les entreprises qui ont fait de la publicité en ligne leur business le font aussi ! Ils utilisent des tactiques très sournoises pour vous suivre sur le web et construire un profil de vous afin de vous vendre toujours plus de choses. Ou de vendre ces informations à d’autres personnes qui veulent vous vendre plus de choses.

La plupart des gens qui se préoccupent des cookies savent comment les supprimer. La plupart des navigateurs ont également un mode de navigation privé qui bloque les cookies et empêche le navigateur d’enregistrer votre historique Internet.

C’est une bonne idée de toujours surfer en utilisant la navigation privée. Mais ce n’est pas suffisant pour empêcher les organisations de vous suivre sur Internet. Votre navigateur laisse beaucoup d’autres traces au fur et à mesure de votre activité Web.

Effacez les entrées DNS en cache

Pour accélérer l’accès à Internet, votre navigateur met en cache l’adresse IP qu’il reçoit de votre serveur DNS par défaut (voir la section sur le changement de votre serveur DNS).

Sous Windows, vous pouvez voir les informations DNS en cache en tapant “ipconfig /displaydns” à l’invite de commande (cmd.exe).

  • Pour effacer le cache DNS sous Windows, ouvrez la fenêtre d’invite de commande et tapez : ipconfig /flushdns [entrée].
  • Vider le cache sous OSX 10.4 et moins en ouvrant Terminal et en tapant : lookupd -flushcache [entrée].
  • Pour effacer le cache sous OSX 10.5 et supérieur, ouvrez Terminal et tapez : dscacheutil -flushcache [entrée].

Effacez les cookies Flash

Un développement particulièrement insidieux est l’utilisation généralisée des cookies Flash. Désactiver les cookies dans votre navigateur ne les bloque pas toujours, bien que les navigateurs modernes le fassent.

Ceux-ci peuvent vous suivre de la même manière que les cookies réguliers. Ils peuvent être localisés et supprimés manuellement dans les répertoires suivants :

  • Windows : C:Users[username]AppDataLocal\MacromediaFlash Player #SharedObjects
  • macOS : [Répertoire utilisateur] /Bibliothèque/Préférences/Macromedia/Flash Player/#SharedObjects
    et [Répertoire utilisateur] /Bibliothèque/Préférences/Macromedia/Flash Player/macromedia.com/support/flashplayer/sys/

Une meilleure tactique, cependant, est d’utiliser l’utilitaire CCleaner (disponible pour Windows et macOS). Il nettoie les cookies Flash gênants et une foule d’autres déchets qui ralentissent votre ordinateur et laissent des traces de votre activité derrière vous. Pour ce faire, vous devez configurer CCleaner correctement.

Grâce à une prise de conscience croissante des cookies Flash, y compris les “cookies zombies” (bits de code Flash persistants qui reproduisent les cookies réguliers lorsqu’ils sont modifiés ou supprimés), et au fait que la plupart des navigateurs modernes incluent les cookies Flash dans le cadre de leurs fonctions régulières de contrôle des cookies, l’utilisation des cookies Flash est en baisse. Ils représentent toutefois toujours une menace sérieuse.

Autres technologies de suivi Web

Les sociétés Internet gagnent beaucoup trop d’argent pour laisser l’utilisateur installer des bloqueurs de publicité sans réagir. Elles déploient donc des trésors d’ingéniosité et de technologie pour développer de nouvelles méthodes de suivi de plus en plus sournoises et sophistiquées.

Empreinte digitale du navigateur

La configuration de votre navigateur (en particulier les plugins de navigateur utilisés), ainsi que les détails de votre système d’exploitation, vous permettent d’être identifié (et suivi) de manière unique avec un degré de précision inquiétant.

Un aspect particulièrement insidieux (et ironique) est que plus vous prenez de mesures pour éviter le suivi (par exemple en utilisant les plugins listés plus loin), plus votre empreinte digitale devient unique.

La meilleure défense contre les empreintes digitales du navigateur serait d’utiliser un système d’exploitation et un navigateur aussi courants et simples que possible. Malheureusement, cela vous expose à d’autres formes d’attaque et réduit la fonctionnalité quotidienne de votre ordinateur à un point tel que la plupart d’entre nous trouveront l’idée impraticable.

Utiliser le navigateur Tor avec le réseau Tor désactivé est une solution partielle à ce problème. Cela vous aidera à rendre votre empreinte digitale identique à celle de tous les autres utilisateurs de Tor, tout en bénéficiant du renforcement supplémentaire intégré dans le navigateur Tor.

Stockage Web HTML5

Intégré à HTML5 (le remplaçant tant vanté de Flash) réside le stockage Web, également connu sous le nom de DOM (Document Object Model). Plus effrayant et beaucoup plus puissant que les cookies, le stockage Web est un moyen analogue de stocker des données dans un navigateur.

Il est cependant beaucoup plus persistant et possède une capacité de stockage beaucoup plus importante. De plus, il ne peut normalement pas être surveillé, lu ou supprimé sélectivement de votre navigateur Web.

Tous les navigateurs activent le stockage Web par défaut, mais vous pouvez le désactiver. Les utilisateurs de Chrome peuvent utiliser l’extension Click&Clean.

Pour vous protéger des cookies Flash/zombie et des ETags, et nettoyer le stockage DOM, vous pouvez installer l’excellent Cookie Autodelete.

N’oubliez pas que l’utilisation de ces extensions augmentera l’unicité de l’empreinte digitale de votre navigateur.

ETags

Faisant partie du protocole HTTP, le protocole pour le Web, les ETags sont des marqueurs utilisés par votre navigateur pour suivre les changements de ressources à des URL spécifiques. En comparant les changements de ces marqueurs avec une base de données, les sites Web peuvent créer une empreinte digitale, qui peut être ensuite utilisée pour vous suivre.

Les ETags peuvent également être utilisés pour faire émerger les cookies HTTP et HTML5. Et une fois installés sur un site, ils peuvent être utilisés par des entreprises associées pour vous suivre également.

Ce type de suivi de cache est pratiquement indétectable, donc une prévention fiable est très difficile. Effacer votre cache entre chaque site Web que vous visitez devrait fonctionner, tout comme vider complètement votre cache.

Ces méthodes sont toutefois ardues et auront un impact négatif sur votre expérience de navigation.

Vol d’Historique

Maintenant, on va commencer à évoquer les choses qui fâchent vraiment. Le vol d’historique exploite la conception même du web. Il permet à un site Web que vous visitez de découvrir votre historique de navigation.

La mauvaise nouvelle, c’est que cette information peut être combinée avec le profilage des réseaux sociaux pour vous identifier. C’est aussi presque impossible à prévenir.

La seule bonne nouvelle, c’est que la prise d’empreintes digitales sur les réseaux sociaux, bien qu’effrayante, n’est pas fiable. Si vous masquez votre adresse IP avec un bon VPN (ou Tor) alors vous aurez créé un écart important entre votre réelle identité et celle calculée par le suivi de votre comportement web.

Extensions de navigateur pour la confidentialité

D’abord développées pour Firefox, tous les navigateurs modernes supportent désormais une multitude d’extensions. Beaucoup d’entre eux ont pour but d’améliorer votre vie privée lorsque vous naviguez sur Internet. Voici une liste indispensable sans lesquels personne ne devrait jamais surfer le Web :

uBlock Origin (Firefox, Chrome, Brave, Opera, Edge)

Un bloqueur d’annonces FOSS léger qui fait également office de module anti-tracking.

Notez que pour la compatibilité des navigateurs, nous parlons ici de Microsoft Edge basé sur Chromium et compatible avec les extensions du Chrome Web Store.

Privacy Badger (Firefox, Chrome, Brave, Opera, Edge)

Développé par l’Electronic Frontier Foundation (EFF), il s’agit d’un excellent add-on anti-pistage (FOSS) qui sert à la fois de bloqueur d’annonces. Il est largement recommandé d’utiliser Privacy Badger et uBlock Origin ensemble pour une protection maximale.

HTTPS Everywhere (Firefox, Chrome, Brave, Opera, Edge)

Un autre outil essentiel de l’EFF. HTTPS Everywhere s’assure que vous vous connectiez toujours à un site Web en utilisant une connexion HTTPS sécurisée si elle est disponible.

Cookie autodelete (Firefox, Chrome, Brave, Edge)

Supprime automatiquement les cookies lorsque vous fermez l’onglet du navigateur qui les a créés. Ceci assure un haut niveau de protection contre le suivi via les cookies sans “casser” les sites Web. Il offre également une protection contre les cookies Flash/zombie et les ETags, et nettoie le stockage DOM.

NoScript ( Firefox, Chrome, Brave, Edge)

C’est un outil extrêmement puissant qui vous donne un contrôle inégalé sur les scripts que vous exécutez sur votre navigateur. Cependant, de nombreux sites Web ne supporteront pas NoScript, et il faut pas mal de connaissances techniques pour le configurer et l’ajuster pour qu’il fonctionne comme vous le souhaitez.

Il est facile d’ajouter des exceptions à une liste blanche, même si cela nécessite une certaine compréhension des risques qui pourraient être impliqués. N’est définitivement pas fait pour un utilisateur occasionnel, mais davantage pour un utilisateur averti. Ensuite NoScript sera très difficile à battre.

Il est important de signaler qu’il peut valoir la peine de garder NoScript installé même si vous “Autoriser les scripts globalement”, car cela protège toujours contre les choses désagréables telles que les scripts inter-sites et le détournement de clics (clickjacking).

uMatrix (Firefox, Chrome, Brave, Opera, Edge)

Développé par l’équipe derrière uBlock Origin, uMatrix est à mi-chemin entre uBlock et NoScript. Il fournit beaucoup de protection personnalisable, mais nécessite pas mal de travail et de savoir-faire pour être mis en place correctement.

Notez que si vous utilisez NoScript ou uMatrix, il n’est pas nécessaire d’utiliser également uBlock Origin et Privacy Badger.

En plus de ces extensions, la plupart des navigateurs modernes (y compris les navigateurs mobiles) incluent une option “Ne pas me pister”. Ceci indique aux sites Web de désactiver le suivi et le suivi inter-sites lorsque vous les visitez.

Pensez à activer cette option. Toutefois, la mise en œuvre est purement volontaire de la part des propriétaires de sites Web, donc aucune garantie qu’un site respecte votre requête de ne pas vous pister.

Cette liste ne prétend pas non plus être exhaustive de toutes les extensions populaires de navigateur liées à la protection de la vie privée qui existent. Néanmoins, en installant ces modules de navigateurs et en suivant ces quelques conseils, vous devriez commencer à restaurer votre confidentialité sur Internet.

Si vous êtes un utilisateur de Firefox, vous pouvez également vous référer aux articles spécifiques à ce navigateur en cliquant ici.

Comme évoqué précédemment, rappelez-vous que l’utilisation d’un plugin de navigateur augmente le caractère unique de votre navigateur. Cela vous rend plus susceptible d’être suivi par les empreintes digitales du navigateur.

Sécurité du navigateur mobile

La liste d’extensions ci-dessus se concentre sur les navigateurs de bureau. Il est tout aussi important de protéger nos navigateurs sur les smartphones et les tablettes.

Malheureusement, la plupart des navigateurs mobiles ont beaucoup de retard à rattraper à cet égard.

Cependant, uBlock Origin existe en version Android pour Firefox. Vous pouvez aussi télécharger Firefox Focus, entièrement centré sur la confidentialité et la préservation des données personnelles en limitant le pistage de la navigation par des traqueurs.

Sous iOS, vous trouverez des bloqueurs publicitaires tels que : 1Blocker disponible gratuitement sur l’App Store et Purify payant à 2,29 €. Tous deux font un excellent travail de blocage.

Sous Android, vous pouvez regarder du côté de AdLock, un bloqueur efficace accessible par abonnement à 8 € par an. Cette application globale peut empêcher la lecture automatique de vidéos, de pop-ups et de publicités générales dans tout le mobile. Les applications autonomes de blocage des publicités étant rejetées du Play Store de Google, il vous faudra télécharger et installer l’application (fichier .apk) directement sur votre appareil.

Enfin, la navigation privée, l’option “Ne pas suivre” et la gestion avancée des cookies sont de plus en plus courants sur tous les navigateurs mobiles.

Utilisez un moteur de recherche qui ne vous suit pas

La plupart des moteurs de recherche, Google pour ne citer que lui, stockent des informations vous concernant. Cela inclut :

  • Votre adresse IP
  • Date et heure de la requête
  • Vos termes de recherche
  • ID du cookie : ce cookie, déposé dans le dossier cookies de votre navigateur, identifie de manière unique votre ordinateur. Grâce à lui, le moteur de recherche peut retracer une demande de recherche jusqu’à votre ordinateur.

Le moteur de recherche transmet généralement vos informations à la page Web demandée. Il les transmet également aux propriétaires des bannières publicitaires de tiers sur cette page. Lorsque vous surfez sur Internet, les annonceurs établissent votre profil, très imprécis et douteux.

Ceci est ensuite utilisé pour cibler des publicités adaptées à vos besoins théoriques. Vous pouvez régilièrement évaluer la précision du profil ainsi établi de vous en fonction des publicités dont vous êtes la cible.

En outre, les gouvernements et les tribunaux du monde entier demandent régulièrement des données de recherche à Google et à d’autres grands moteurs de recherche. En règle générale, ces informations sont remises en bonne et due forme.

Certains moteurs de recherche, cependant, ne recueillent pas les données des utilisateurs. Il s’agit notamment de :

DuckDuckDuckGo

L’un des moteurs de recherche privés les plus connus, DuckDuckGo s’engage à ne pas suivre ses utilisateurs. Chaque recherche est anonyme et aucun profil publicitaire n’est construit.

Capture d'écran de la page d'accueil de DuckDuckGo
Accueil DuckDuckGo

DuckDuckGo dit se conformer aux demandes légales, mais comme il ne suit pas les utilisateurs, “il n’y a rien d’utile à leur donner”. DuckDuckGo est un très bon moteur de recherche, et grâce à l’utilisation de “bangs” il permet de rechercher dans d’autres moteurs de recherche anonymement.

Explication : les bangs sont des raccourcis qui vous amènent rapidement aux résultats de recherche sur d’autres sites. Par exemple, si vous voulez chercher sur Google anonymement, il vous suffit de taper !google avant les termes de votre recherche dans le champ recherche de DDG. Il existe plus de 13 000 bangs et vous pouvez faire des recherches sur tous les plus grands sites comme Wikipedia (!w) ou Amazon (!amz).

Le point délicat reste néanmoins sa juridiction qui est aux États-Unis.

StartPage

Une autre alternative populaire à Google est StartPage. Basé aux Pays-Bas il retourne les résultats des moteurs de recherche Google. StartPage anonymise ces recherches Google et s’engage à ne pas stocker ou partager des informations personnelles et à n’utiliser aucun cookie d’identification. C’est le moteur de recherche qui a aujourd’hui la préférence de Pypo. Pour plus de détails, consultez le comparatif entre Startpage et DuckDuckGo.

SearX

Les moteurs de recherche ci-dessus se fondent sur la confiance de leurs utilisateurs pour préserver leur anonymat. Si cela vous inquiète, alors vous pouvez envisager SearX. Il s’agit d’un moteur de recherche open source décentralisé et distribué, regroupant les résultats d’autres moteurs de recherche sans stocker d’informations sur ses utilisateurs. Pas de journaux, pas de publicités et pas de suivi. Il fonctionne sous des instances à consulter ici.

La bulle de filtrage

Un avantage supplémentaire à utiliser un moteur de recherche qui ne vous suit pas est qu’il évite l’effet “bulle de filtrage“. Ce concept est né des algorithmes développés par les moteurs de recherche et les réseaux sociaux pour apporter à l’utilisateur une expérience très (trop) personnalisée de l’Internet, mise en place à son insu.

Par “souci” d’apporter à l’utilisateur le meilleur de ce qu’il attend (sans même véritablement l’exprimer ou y consentir expressément), des entreprises comme Facebook ou Google présentent à leurs utilisateurs, un fil d’actualités ou des résultats de recherche calculés sur la base d’un profil. Ces entreprises agissent en fait comme des censeurs, décidant, à la place de l’utilisateur, ce qu’il doit voir et comment ce contenu doit être organisé.

La plupart des moteurs de recherche utilisent vos termes de recherche antérieurs (et les choses que vous “aimez” sur les réseaux sociaux) pour vous profiler. Ils peuvent alors retourner les résultats qu’ils pensent susceptibles de vous intéresser.

Cela peut avoir pour conséquence que vous ne recevrez que des résultats de recherche qui correspondent à votre point de vue. Cela vous enferme dans une “bulle filtrante”. Vous ne pouvez pas voir d’autres points de vue et opinions parce qu’ils sont déclassés dans vos résultats de recherche.

Cela vous empêche d’accéder à la texture riche et à la multiplicité de l’apport humain. C’est aussi dangereux, car cela peut confirmer les préjugés et vous empêcher de voir le “tableau d’ensemble”.

Supprimez votre historique Google

Vous pouvez consulter les informations collectées par Google à votre sujet en vous connectant à votre compte Google et en visitant Mon activité. De là, vous pouvez supprimer l’historique que Google a de vous par activité ou par service Google. Puisque vous lisez ce guide de confidentialité, vous voudrez probablement Supprimer -> Toute la période.

Bien sûr, nous ne pouvons ici que nous fier à la parole de Google d’effacer vraiment ces données. Mais ça ne coûte rien de le faire puisque Google nous le permet.

Capture d'écran de la fonction Supprimer Mon activité Google
Supprimer Mon activité Google

Afin d’empêcher Google de continuer à collecter de nouvelles informations vous concernant, consultez la page “Commandes relatives à l’activité“. À partir de là, vous pouvez demander à Google de cesser de collecter des informations sur votre utilisation des différents services Google.

Ces mesures n’empêcheront évidemment pas quelqu’un qui vous espionne délibérément de recueillir vos renseignements. Mais au moins, cela empêchera Google de vous profiler.

Même si vous envisagez de passer à l’un des services privés, anonymes, sécurisés, “no tracking” énumérés ci-dessus, la plupart d’entre nous ont déjà construit un historique Google substantiel, que toute personne lisant cet article voudra probablement supprimer.

Bien entendu, la suppression et la désactivation de votre historique Google signifient que de nombreux services Google qui s’appuient sur ces informations pour fournir leur magie hautement personnalisée cesseront de fonctionner, ou ne fonctionneront pas aussi bien. Alors, dites au revoir à Google maintenant !

Sécurisez votre courriel

La plupart des services de messagerie offrent une connexion HTTPS sécurisée. Google a même ouvert la voie en corrigeant la principale faiblesse de l’implémentation de SSL. Il peut donc s’agir de services de messagerie sécurisés. Cependant, si le service de messagerie lit vos e-mails à des fins publicitaires et transmet vos informations et vos discussions à qui lui en fait la demande (comme Google et Microsoft l’ont fait avec la NSA), alors nous ne sommes plus dans une correspondance privée et sécurisée !

La réponse à cette préoccupation légitime réside une nouvelle fois dans le chiffrement de bout en bout des messages. C’est à dire que l’expéditeur chiffre son e-mail, et seul le destinataire peut le déchiffrer. Malheureusement, le plus gros problème avec l’utilisation d’un système de courrier électronique crypté est que vous ne pouvez pas l’imposer unilatéralement. Vos contacts, destinataires et expéditeurs, doivent également jouer le jeu pour que tout fonctionne.

Essayer de convaincre votre grand-mère d’utiliser le cryptage PGP et vous devriez vivre un grand moment de solitude. De la même manière, tenter de convaincre vos clients de l’utiliser vous fera apparaître suspect à leurs yeux.

PGP

La plupart des gens considèrent Pretty Good Privacy (PGP) comme le moyen le plus sûr et le plus privé pour envoyer et recevoir des e-mails. Malheureusement, PGP n’est pas facile à utiliser. Pas vraiment même. Il en résulte un très faible nombre de personnes prêtes à utiliser PGP (en fait, seulement quelques “cryptogeeks”).

Avec PGP, seul le corps d’un message est chiffré, mais pas l’en-tête, le destinataire, l’heure d’envoi, etc. Ces métadonnées peuvent toujours être très précieuses pour un adversaire, même s’il ne peut pas lire le message réel.

Malgré ses limites, PGP reste un des rares moyens d’envoyer des e-mails en toute sécurité.

GNU Privacy Guard

PGP était autrefois open-source et libre, mais est maintenant la propriété de Symantec. La Free Software Foundation a toutefois repris la bannière OpenPGP open source et, grâce à un financement important du gouvernement allemand, a publié GNU Privacy Guard (également connu sous le nom de GnuPG ou simplement GPG).

GnuPG est une alternative libre et open source à PGP. Il suit le standard OpenPGP et est entièrement compatible avec PGP. Il est disponible pour Windows, macOS et Linux. Quand on parle de PGP, la plupart des gens de nos jours veulent dire GnuPG.

Bien que le programme de base utilise une interface en ligne de commande simple, des versions plus sophistiquées sont disponibles pour Windows (Gpg4win) et Mac (GPGTools). Alternativement, EnigMail ajoute la fonctionnalité GnuPG aux clients de messagerie autonomes Thunderbird et SeaMonkey.

PGP sur les appareils mobiles

K-9 Mail est un client de messagerie bien connu pour Android avec support PGP intégré. Il peut être combiné avec Android Privacy Guard pour fournir une expérience PGP plus conviviale. Les utilisateurs iOS peuvent essayer iPGMail (2,29 €)

Utilisez PGP avec votre service de messagerie Web existant

PGP est un véritable casse-tête à utiliser. Si douloureux, en fait, que peu de gens s’en donnent la peine. Mailvelope est une extension de navigateur pour Firefox et Chrome qui permet le cryptage PGP de bout en bout dans votre navigateur.

Il fonctionne avec les services de webmail par navigateur populaires tels que Gmail, Hotmail, et Yahoo. Cela rend l’utilisation de PGP aussi indolore que possible. Cependant, ce n’est pas aussi sûr que d’utiliser PGP avec un client de messagerie dédié.

Utiliser un service de Webmail dédié crypté

Les services de messagerie Web chiffrés, axés sur la protection de la vie privée se sont multipliés au cours des deux dernières années environ. Les plus notables sont ProtonMail et Tutanota. Ils sont beaucoup plus faciles à utiliser que PGP et, contrairement à PGP, masquent les métadonnées des e-mails. Ces deux services (avec un forfait gratuit) permettent également aux non-utilisateurs de répondre en toute sécurité aux courriels chiffrés qui leur sont envoyés par les utilisateurs.

Même s’ils ne sont pas aussi sûrs que l’utilisation de PGP avec un programme de messagerie autonome, ces services de messagerie chiffrée sont aussi faciles à utiliser que Gmail, tout en étant beaucoup plus privés et sécurisés. Ils ne scanneront pas non pas vos courriels pour vous vendre des choses et chiffreront vos messages de bout en bout.

Autres précautions relatives à la confidentialité des courriels

Nous discutons du chiffrement des fichiers et des dossiers ailleurs. Mais notez que si vous souhaitez simplement protéger les fichiers que vous envoyez, vous pouvez simplement les chiffrer avant de les envoyer par courrier électronique régulier.

Il est également possible de chiffrer les e-mails stockés en cryptant le dossier de stockage des e-mails à l’aide d’un programme tel que VeraCrypt.

En fin de compte, les courriels sont un système de communication peu fiable par nature, du fait de leur conception. Lorsqu’il s’agit de confidentialité et de sécurité, le courrier électronique est fondamentalement peu sûr. Les appels audio ou vidéo chiffrés de bout en bout et la messagerie instantanée sont des moyens beaucoup plus sûrs de communiquer en ligne.

Sécurisez vos conversations vocales

Les appels téléphoniques ordinaires, fixes ou mobiles, ne sont jamais sécurisés, et vous ne pouvez rien faire pour cela. Partout, tous les gouvernements tiennent à pouvoir continuer à enregistrer tous les appels téléphoniques de leurs citoyens.

Contrairement aux courriels et à l’utilisation d’Internet, les conversations téléphoniques sont toujours très ouvertes. Même si vous achetez des téléphones anonymes et jetables (comportements qui vous identifient alors comme étant soit paranoïaques, soit très criminels), beaucoup d’informations peuvent être recueillies par la collecte de métadonnées.

Si vous voulez garder vos conversations vocales complètement privées, alors vous devez utiliser la VoIP avec un chiffrement de bout en bout. Les applications VoIP (Voice over Internet Protocol) vous permettent de parler sur Internet. Elles vous permettent souvent aussi de passer des appels vidéo et d’envoyer des messages instantanés. Ces services VoIP permettant des appels bon marché ou gratuits partout dans le monde sont donc devenus extrêmement populaires. Skype, en particulier, est devenu un nom familier.

Malheureusement, Skype appartient désormais à Microsoft. Comme celui-ci a parfaitement démontré le problème avec la plupart de ses services (comme avec celui du courrier électronique), les connexions VoIP à destination et en provenance d’un intermédiaire peuvent être sécurisées, mais si l’intermédiaire ne fait que transmettre vos conversations à la NSA ou à une autre organisation gouvernementale, cette sécurité n’a pratiquement aucun sens.

Ainsi, comme pour le courrier électronique, ce qu’il faut, c’est un chiffrement de bout en bout où un tunnel chiffré est créé directement entre les participants à une conversation. Et personne d’autre.

Les bonnes alternatives Skype

Signal (Android, iOS) en plus d’être probablement l’application de messagerie instantanée (IM) la plus sécurisée actuellement disponible (avec Wire), vous permet également de passer des appels VoIP sécurisés.

Comme pour la messagerie, Signal exploite votre carnet d’adresses habituel. Si un contact utilise aussi Signal, vous pouvez commencer une conversation VoIP cryptée avec lui. Si un contact n’utilise pas Signal, vous pouvez soit l’inviter à utiliser l’application, soit lui parler en utilisant votre connexion téléphonique non sécurisée.

Le chiffrement utilisé par Signal pour les appels VoIP n’est pas aussi fort que celui utilisé pour la messagerie texte. Cela est probablement dû au fait que le chiffrement et le déchiffrement des données utilisent une puissance de traitement, de sorte qu’un chiffrement plus fort aurait un impact négatif sur la qualité des appels. Mais dans la plupart des cas, ce niveau de cryptage devrait être plus que suffisant. Mais si vous avez besoin d’un niveau de confidentialité très élevé, vous devriez probablement vous en tenir à la messagerie texte.

Wire (Windows, MacOS, Linux, iOS, Android) est un logiciel gratuit pour une utilisation personnelle qui offre toutes les fonctionnalités de Skype. Sauf que tout est chiffré. Cela comprend les appels vocaux, les vidéoconférences, le transfert de fichiers et la messagerie. Nul besoin d’un numéro de téléphone pour vous inscrire, un e-mail (même temporaire) suffit. A charge pour vous ensuite de communiquer votre pseudo (le nôtre est @pypo) à vos interlocuteurs, comme vous le feriez avec votre numéro de téléphone.

Le cryptage est ensuite transparent. En tant que remplacement direct de Skype, Wire semble difficile à battre.

Sécurisez vos messages texte

Cette section se recoupe un peu avec la précédente sur la VoIP. De nombreux services VoIP, y compris Signal et Wire, disposent également d’une fonctionnalité de chat/IM intégrée.

Signal est largement considéré comme l’application de messagerie texte la plus sûre du marché. Nous considérons Wire comme une alternative au moins aussi bonne, actuellement quand il s’agit d’avoir une conversation sécurisée et privée.

Signal remplace l’application de messagerie texte par défaut de votre téléphone Android et utilise la liste de contacts habituelle de votre téléphone. Si un contact utilise également Signal, tous les messages qui lui sont envoyés ou reçus sont chiffrés de bout en bout de manière sécurisée. Si un contact n’utilise pas Signal, vous pouvez l’inviter à utiliser l’application ou simplement envoyer un message texte non chiffré par SMS ordinaire.

Le génie des applications comme Wire ou Signal est qu’elles opèrent exactement de la même manière que les autres applications non sécurisées et populaires du marché, avec un chiffrement totalement transparent pour l’utilisateur. Cela facilite grandement la tâche pour convaincre vos amis, votre famille et vos collègues d’utiliser l’une ou l’autre application.

Note sur WhatsApp

Vous êtes nombreux à utiliser WhatsApp (en fait 1 milliard 500 millions !) qui utilise le même chiffrement de bout en bout développé pour Signal. Contrairement à Signal, cependant, WhatsApp (propriété de Facebook) conserve les métadonnées et présente d’autres faiblesses non présentes dans l’application Signal.

Malgré ces problèmes, la plupart de vos contacts utilisent probablement WhatsApp et il est peu probable qu’ils soient convaincus de passer à Signal ou Wire. Compte tenu de cette situation très courante, WhatsApp offre une sécurité et une confidentialité considérablement améliorées que vos contacts peuvent continuer à utiliser sans risque pour leur vie privée.

Malheureusement, cet argument a été sérieusement miné par l’annonce selon laquelle WhatsApp partage les carnets d’adresses des utilisateurs avec sa société mère Facebook par défaut. Ceci peut être désactivé, mais la grande majorité des utilisateurs ne se donneront pas la peine de le faire.

Jetez votre téléphone portable !

Tant que nous sommes sur le sujet des téléphones, nous devons également mentionner que lorsque vous portez votre téléphone, chacun de vos mouvements peut être suivi. Et ce n’est pas seulement grâce au GPS et à Google Assistant ou Siri.

Les relais téléphoniques peuvent facilement suivre même les téléphones cellulaires les plus modestes. De plus, l’utilisation des capteurs IMSI Stingray a proliféré parmi les forces de police du monde entier.

Ces dispositifs imitent les tours de téléphonie cellulaire. Ils peuvent non seulement identifier et suivre de façon unique les téléphones cellulaires individuels, mais aussi intercepter les appels téléphoniques, les messages SMS et le contenu Internet non crypté.

L’utilisation d’une application de messagerie cryptée de bout en bout comme Signal empêchera une telle interception. Cependant, si vous ne voulez pas être pisté et identifié de façon unique par votre téléphone, la seule vraie solution est de laisser votre téléphone à la maison.

Sécurisez votre stockage dans le Cloud

Avec l’augmentation des débits d’Internet, le stockage au niveau du serveur est devenu moins cher et les différents appareils que nous utilisons pour accéder à Internet plus nombreux, il devient de plus en plus clair que le stockage en ligne s’impose comme une évidence.

Le problème, ici, est de s’assurer que les fichiers stockés dans le “nuage” restent sécurisés et privés. Et ici, les grands acteurs ont fait la preuve qu’ils n’étaient pas du tout à la hauteur. Google, Dropbox, Amazon, Apple et Microsoft ont tous travaillé de concert avec la NSA. Ils se réservent également le droit, dans leurs termes et conditions d’utilisation, d’examiner vos dossiers et de les remettre aux autorités s’ils reçoivent une décision de justice.

Pour garantir la sécurité de vos fichiers dans le cloud, vous pouvez adopter un certain nombre de mesures.

Chiffrez manuellement vos fichiers avant de les télécharger dans le Cloud

La méthode la plus simple et la plus sûre consiste à chiffrer manuellement vos fichiers à l’aide d’un programme tel que VeraCrypt ou Cryptomator. Ceci a l’avantage que vous pouvez continuer à utiliser votre service de stockage en ligne préféré, même s’il est intrinsèquement peu sûr, car vous détenez toutes les clés de cryptage de vos fichiers.

Comme nous le verrons plus loin, il existe des applications mobiles capables de gérer les fichiers VeraCrypt ou EncFS, ce qui permet la synchronisation entre appareils et plates-formes. Des fonctions telles que la gestion des versions des fichiers ne fonctionneront pas avec les fichiers individuels car le conteneur crypté les cache, mais il est possible de récupérer les versions antérieures du conteneur.

Si vous êtes à la recherche d’une bonne alternative à Dropbox, vous pouvez consulter le site de BestBackups.com qui est spécialisé dans les actualités et les solutions en matière de services de stockage en ligne.

Utilisez un service de cloud chiffré automatiquement

Ces services chiffrent automatiquement les fichiers avant de les télécharger dans le cloud. Évitez tout service qui chiffre les fichiers côté serveur, car ils sont vulnérables à être déchiffrés par le fournisseur de services lui-même.

Toutes les modifications apportées aux fichiers ou aux dossiers sont synchronisées avec les versions déchiffrées localement avant d’être sécurisées et envoyées vers le cloud.

Tous les services listés ci-dessous ont des applications iOS et Android, de sorte que vous pouvez facilement synchroniser entre vos ordinateurs et appareils mobiles. Cette commodité a un (petit) prix en matière de sécurité, car les services stockent brièvement votre mot de passe sur leurs serveurs pour vous authentifier et vous diriger vers vos fichiers.

  • TeamDrive est un service allemand de sauvegarde et de synchronisation de fichiers en ligne qui s’adresse principalement aux entreprises. Il offre également des comptes personnels gratuits et à faible coût. TeamDrive utilise un logiciel propriétaire, mais a été certifié par le Centre régional indépendant pour la protection des données du Schleswig-Holstein.
  • Tresorit est, lui, basé en Suisse, ce qui permet aux utilisateurs de bénéficier des lois strictes de ce pays en matière de protection des données. Il fournit un chiffrement côté client, mais il y a un souci…. les données des utilisateurs sont stockées sur les serveurs Microsoft Windows Azure. Étant donné la méfiance généralisée à l’égard de tout ce qui se passe aux États-Unis, il s’agit d’un choix étrange. Mais comme le chiffrement côté client garantit que les clés cryptographiques sont conservées avec l’utilisateur à tout moment, cela ne devrait pas être un problème.
  • SpiderOak, disponible pour toutes les plates-formes majeures, offre un service de cloud computing “zéro connaissance”, sécurisé et automatiquement chiffré. Il utilise une combinaison de 2048 bit RSA et 256 bit AES pour crypter vos fichiers.

Notez que tous ces services cloud sont des sources fermées. Cela signifie que nous devons simplement leur faire confiance pour faire ce qu’ils prétendent faire (bien que TeamDrive ait fait l’objet d’un audit indépendant).

Utilisez Syncthing pour la synchronisation sans nuage

Syncthing est un programme de synchronisation de fichiers P2P (peer-to-peer) décentralisé , open source, disponible en version de bureau MacOS, Windows, Linux et sécurisé, entre des périphériques sur un réseau local ou via Internet.

Agissant plus ou moins comme un remplaçant de Dropbox, Syncthing synchronise les fichiers et les dossiers entre les périphériques, mais sans les stocker dans “le nuage”. A bien des égards, il est donc similaire à BitTorrent Sync, sauf qu’il est complètement libre et open-source (FOSS).

Syncthing est un programme de synchronisation de fichiers en continu, entre deux ordinateurs ou plus et remplace les services de synchronisation et de stockage propriétaires par une solution open source, digne de confiance et totalement décentralisée.

Syncthing vous permet de sauvegarder vos données en toute sécurité sans avoir à faire confiance à un fournisseur de cloud tiers. Les données sont sauvegardées sur un ordinateur ou un serveur que vous contrôlez directement et ne sont en aucun cas stockées par un tiers.

C’est ce qu’on appelle dans le milieu de la technologie un modèle “BYO” (Bring Your Own pour “apportez le vôtre”), où vous fournissez le matériel, au lieu d’un fournisseur commercial tiers. Le cryptage utilisé est également entièrement de bout en bout, car vous le chiffrez sur votre appareil, et vous seul pouvez le déchiffrer. Personne d’autre ne détient les clés de cryptage.

L’une des limites du système est qu’il ne s’agit pas d’un véritable service en nuage et qu’il ne peut donc pas être utilisé comme un lecteur supplémentaire par des appareils portables à capacité de stockage limitée. Du côté positif, cependant, vous utilisez votre propre stockage et n’êtes donc pas lié aux limites de données (ou aux frais) des fournisseurs de cloud computing.

Chiffrez vos fichiers, dossiers et disques locaux

Bien que le présent document soit axé sur la sécurité et la protection de la vie privée sur Internet, un aspect important de la protection de votre vie numérique est de veiller à ce que les fichiers stockés localement ne soient pas accessibles par des tiers indésirables.

Bien sûr, il ne s’agit pas seulement de stockage local. Vous pouvez également chiffrer les fichiers avant de les envoyer par e-mail ou de les téléverser vers le stockage en ligne.

VeraCrypt

VeraCrypt est un logiciel gratuit open source de chiffrement de disque complet pour Windows, Mac OSX et Linux. La prise en charge mobile des conteneurs VeraCrypt est disponible via des applications tierces.

Avec VeraCrypt vous pouvez :

  1. Créer un disque virtuel crypté (volume) que vous pouvez monter et utiliser comme un disque réel (et qui peut être transformé en volume caché).
  2. Chiffrer une partition ou un périphérique de stockage entier (par exemple un disque dur ou une clé USB).
  3. Créer une partition ou un disque de stockage contenant un système d’exploitation complet (qui peut être masqué).

Tous les chiffrements sont effectués à la volée en temps réel, ce qui rend le fonctionnement de VeraCrypt transparent. La possibilité de créer des volumes cachés et des systèmes d’exploitation cachés fournit un “doute raisonnable“, car il devient impossible de prouver leur existence (à condition que toutes les précautions nécessaires soient prises).

AES Crypt

AES Crypt est un logiciel de cryptage de fichiers disponible sur plusieurs systèmes d’exploitation – Windows, MacOS, Linux (Crypt4All Lite pour Android est compatible) qui utilise la norme industrielle Advanced Encryption Standard (AES) pour chiffrer facilement et en toute sécurité les fichiers.

Cette petite application multi-plateforme est très pratique pour chiffrer les fichiers individuels. Bien que seuls les fichiers individuels puissent être chiffrés, cette limitation peut être surmontée quelque peu en créant des fichiers zip à partir de dossiers, puis en chiffrant le fichier zip avec AES Crypt.

Chiffrement complet du disque sur les appareils mobiles

Tous les nouveaux iPhones et iPads sont désormais livrés avec un chiffrement complet du disque. Certains appareils Android le font aussi. Sinon, vous pouvez le réaliser manuellement.

Conseils et astuces de sécurité

Utilisez Linux plutôt qu’un système d’exploitation commercial

Comme nous le faisions remarquer au début de ce guide, on ne peut faire confiance à aucun logiciel commercial pour qu’il ne soit pas doté d’une porte dérobée par la NSA.

Une alternative plus sûre à Windows (en particulier Windows 10 !) ou MacOS est Linux. C’est un système d’exploitation libre et open-source. Notez, cependant, que certaines compilations incorporent des composants qui ne sont pas open source.

Il est beaucoup moins probable que Linux ait été compromis par la NSA. Bien sûr, cela ne veut pas dire que la NSA n’a pas essayé. C’est un système d’exploitation beaucoup plus stable et généralement plus sûr que ses concurrents commerciaux.

Tails par exemple est une distribution Linux sécurisée préférée d’Edward Snowden. Le navigateur par défaut est IceCat, anciennement IceWeasel, un dérivé de Firefox pour Debian qui a reçu le traitement complet du pack du navigateur Tor.

Malgré de grands pas dans la bonne direction, Linux, reste malheureusement un peu moins convivial que Windows ou MacOS. Les utilisateurs moins familiers avec l’informatique auront donc plus de difficultés à l’utiliser.

Cependant, si vous êtes sérieux au sujet de votre vie privée numérique, Linux est sans aucun doute la voie à suivre. L’une des meilleures choses à son sujet est que vous pouvez exécuter l’OS entier à partir d’un CD Live, sans avoir besoin de l’installer. Il est donc facile d’essayer différentes distributions Linux. Il ajoute également une couche supplémentaire de sécurité lorsque vous accédez à Internet.

Le système d’exploitation existe complètement séparément de votre système d’exploitation habituel. L’OS temporaire peut être compromis, mais comme il n’existe que dans la RAM et disparaît lorsque vous redémarrez dans votre OS normal, ce n’est pas un problème.

Exemples de distributions Linux

Il existe des centaines de distributions Linux. Ces solutions vont du remplacement complet des ordinateurs de bureau à la distribution de produits spécialisés.

  1. Ubuntu est une distribution Linux très populaire du fait qu’elle est l’une des plus faciles à utiliser. Une communauté Ubuntu enthousiaste y contribue pour beaucoup. Il constitue donc un bon point de départ pour ceux qui souhaitent utiliser un système d’exploitation beaucoup plus sûr.
  2. Mint est une autre distribution Linux populaire destinée aux utilisateurs débutants. C’est beaucoup plus semblable à Windows qu’à Ubuntu, de sorte que les “switchers” Windows sont souvent plus à l’aise qu’avec Ubuntu. Mint est construit sur Ubuntu, donc la plupart des trucs et programmes spécifiques à Ubuntu fonctionnent aussi avec Mint. Cela inclut les clients VPN.
  3. Debian Mint est basé sur Ubuntu, et Ubuntu est basé sur Debian. Ce système d’exploitation Linux hautement flexible et personnalisable est populaire auprès des utilisateurs plus expérimentés.
  4. Tails est célèbre car c’est l’OS de choix d’Edward Snowden. Il est très sécurisé et achemine toutes les connexions Internet via le réseau Tor. Il s’agit toutefois d’un outil hautement spécialisé en matière de protection de la vie privée. En tant que tel, il ne remplace pas favorablement la convivialité d’un ordinateur de bureau sous Windows ou macOS.

En revanche, Ubuntu, Mint et Debian font tous d’excellents systèmes conviviaux pour remplacer Windows et MacOS. Ubuntu et Mint sont largement recommandés comme bons points de départ pour les débutants sous Linux.

Utilisez une machine virtuelle (VM)

Un niveau de sécurité supplémentaire peut être atteint en n’accédant à Internet (ou en n’y accédant que pour certaines tâches) qu’à l’aide d’une “machine virtuelle”. Il s’agit de logiciels qui émulent un disque dur sur lequel un système d’exploitation tel que Windows ou Linux est installé. Notez que virtualiser MacOS est délicat.

Ceci émule efficacement un ordinateur à l’aide d’un logiciel, qui s’exécute sur votre système d’exploitation normal.

La beauté de cette approche est que tous les fichiers sont autonomes dans la machine virtuelle. L’ordinateur “hôte” ne peut pas être infecté par des virus capturés à l’intérieur de la machine virtuelle. C’est pourquoi une telle configuration est populaire parmi les gros téléchargeurs P2P.

La machine virtuelle peut être également entièrement chiffrée. Elle peut même être “cachée” à l’aide de programmes tels que VeraCrypt.

Les machines virtuelles émulent le matériel. Elles exécutent un autre système d’exploitation complet en plus de l’OS “standard”, l’hôte. L’utilisation de l’un d’entre eux nécessite donc des ressources importantes en termes de puissance de traitement et d’utilisation de la mémoire. Cela dit, les distributions Linux ont tendance à être assez légères. Cela signifie que de nombreux ordinateurs modernes peuvent gérer ces ressources avec un impact minimal sur les performances perçues.

Le logiciel de virtualisation gratuit le plus populaire est VirtualBox qui est open source. Comme indiqué ci-dessus, VeraCrypt vous permet de chiffrer un système d’exploitation entier, ou même de masquer son existence.

Essayez Whonix

Whonix fonctionne dans une machine virtuelle VirtualBox. Cela garantit que les fuites de DNS ne sont pas possibles, et que “même les programmes malveillants avec des privilèges root ne peuvent pas découvrir l’adresse IP réelle de l’utilisateur”.

Il se compose de deux parties, dont la première agit comme une passerelle Tor (connue sous le nom de Whonix Gateway). Le second (connu sous le nom de Whonix Workstation), se trouve sur un réseau complètement isolé. Ceci permet d’acheminer toutes ses connexions via la passerelle Tor. Cet isolement du poste de travail loin de la connexion Internet (et tous isolés de l’OS hôte à l’intérieur d’une VM), rend Whonix hautement sécurisé.

Note sur Windows 10

Plus que toute autre version du système d’exploitation de Microsoft, Windows 10 est un cauchemar en matière de confidentialité. Même avec toutes ses options de collecte de données désactivées, Windows 10 continue d’envoyer un grand nombre de données de télémétrie à Microsoft.

Cette situation s’est encore aggravée avec l’assistant Cortana. Il s’agit d’un service qui recueille une grande quantité de renseignements à votre sujet afin de vous offrir une expérience informatique hautement personnalisée. Tout comme Google Now, il est très utile, mais ruine cette utilité en envahissant considérablement votre vie privée.

Le meilleur conseil en termes de confidentialité est d’éviter d’utiliser Windows. MacOS est mieux mais encore idéal. Utilisez Linux à la place si vous le pouvez. Vous pouvez toujours configurer un “dual boot” sur votre système pour qu’il démarre sous Linux ou Windows et n’utiliser Windows qu’en cas d’absolue nécessité. Par exemple, lorsque vous jouez à des jeux, dont beaucoup ne fonctionnent que sous Windows.

Si vous devez vraiment utiliser Windows, il existe un certain nombre d’applications tierces pour renforcer la sécurité et la confidentialité, bien plus que si vous jouiez avec les paramètres Windows. Celles-ci interviennent généralement sous le capot de Windows, ajustant les paramètres du registre et introduisant des règles de pare-feu pour empêcher l’envoi de télémesures à Microsoft.

Ces application tierces peuvent être très efficaces. Cependant, vous donnez à ces programmes un accès direct au fonctionnement le plus profond de votre système d’exploitation. Espérons donc que leurs développeurs soient honnêtes ! L’utilisation de ces applications se fait à vos propres risques. Pour information, W10Privacy fonctionne bien mais n’est pas open-source.

Protégez votre BIOS par mot de passe

Le chiffrement intégral du disque à l’aide de VeraCrypt est un excellent moyen de sécuriser physiquement vos disques. Mais pour que cela soit efficace, il est essentiel de définir des mots de passe forts dans le BIOS pour le démarrage et la modification des paramètres du BIOS. C’est également une bonne idée d’empêcher le démarrage à partir de tout autre périphérique que votre disque dur.

Désactiver Flash

Il est de notoriété publique depuis longtemps que Flash Player est un logiciel incroyablement peu sûr. De nombreux acteurs majeurs de l’industrie Internet ont fait de gros efforts pour éradiquer son utilisation.

Les produits Apple, par exemple, ne supportent plus Flash (par défaut). De plus, les vidéos YouTube sont maintenant diffusées en HTML5 plutôt qu’en Flash.

La meilleure politique est de désactiver Flash dans votre navigateur. Dans Firefox, réglez au minimum Flash sur “Ask to Activate”, pour que vous puissiez choisir de charger ou non le contenu Flash. Si vous devez vraiment visionner du contenu Flash, je vous suggère de le faire dans un navigateur séparé que vous n’utilisez pour rien d’autre.

Changez de serveur DNS et sécurisez votre DNS avec DNSCryp

Nous sommes habitués à taper des noms de domaine faciles à comprendre et à mémoriser dans nos navigateurs Web. Mais ces noms de domaine ne sont pas les “vraies adresses” des sites Web. La véritable adresse, telle qu’elle est comprise par un ordinateur, est un ensemble de nombres connu sous le nom d’adresse IP.

Pour traduire les noms de domaine en adresses IP, par exemple, pypo.eu à son adresse IP 77.105.168.180, le système de noms de domaine (DNS) est utilisé.

Par défaut, ce processus de traduction est effectué sur les serveurs DNS de votre FAI. Ainsi, votre fournisseur d’accès Internet dispose d’un registre de tous les sites Web que vous visitez.

Heureusement, il existe un certain nombre de serveurs DNS publics gratuits et sécurisés, dont OpenDNS et Comodo Secure DNS. Nous préfèrons l’OpenNIC à but non lucratif, décentralisé, ouvert, non censuré et démocratique.

Nous vous recommandons de changer les paramètres réseau de votre système pour utiliser l’un d’entre eux à la place des serveurs de votre FAI.

DNSCrypt

DNSCrypt est au trafic DNS ce que SSL est au trafic HTTP (le transformant en trafic HTTPS crypté) .

Le DNS n’a pas été conçu dans une optique de sécurité et il est vulnérable à un certain nombre d’attaques. La plus importante de ces attaques est une attaque de type “homme du milieu“, connue sous le nom d’usurpation d’identité DNS (ou empoisonnement du cache DNS). C’est là que l’attaquant intercepte et redirige une requête DNS. Cela pourrait, par exemple, être utilisé pour rediriger une demande légitime de service bancaire vers un site Web frauduleux conçu pour recueillir les détails du compte et les mots de passe des victimes.

Le protocole open-source DNSCrypt résout ce problème en chiffrant vos requêtes DNS. Il authentifie également les communications entre votre appareil et le serveur DNS.

DNSCrypt est disponible pour la plupart des plates-formes (les appareils mobiles doivent néanmoins être rootés / jailbreakés), mais supporte le serveur DNS de votre choix. Ceci inclut de nombreuses options OpenNIC.

DNS et VPN

Ce processus de traduction DNS est généralement effectué par votre FAI. Lorsque vous utilisez un VPN, cependant, toutes les requêtes DNS doivent être envoyées via votre tunnel VPN crypté. les DNS sont alors gérés par votre fournisseur VPN à la place.

En utilisant les bons scripts, un site Web peut déterminer quel serveur a résolu une requête DNS qui lui était adressée. Cela ne lui permettra pas d’identifier votre adresse IP réelle exacte mais lui permettra de déterminer votre FAI (à moins que vous n’ayez changé de serveur DNS, comme indiqué ci-dessus).

Cela empêchera les tentatives de géolocalisation de votre emplacement et à la police et à d’autres services d’obtenir vos coordonnées auprès de votre fournisseur d’accès Internet. Les fournisseurs d’accès Internet tiennent des registres de ces choses, tandis que les bons fournisseurs de VPN ne tiennent pas de registres.

La plupart des fournisseurs VPN utilisent leurs propres serveurs DNS dédiés afin d’effectuer eux-mêmes cette tâche de traduction DNS. Si vous utilisez un bon VPN, vous n’avez donc pas besoin de changer votre serveur DNS ou d’utiliser DNSCrypt, car les requêtes DNS sont chiffrées par le VPN.

Malheureusement, les requêtes DNS ne sont pas toujours envoyées par le tunnel VPN comme elles le devraient. C’est ce qu’on appelle une fuite DNS.

Notez que de nombreux fournisseurs de VPN offrent une “protection contre les fuites DNS” dans leur logiciel personnalisé. Ces applications utilisent des règles de pare-feu pour acheminer tout le trafic Internet à travers le tunnel VPN, y compris les requêtes DNS. Elles sont généralement très efficaces.

Utilisez des mots de passe sécurisés

On nous l’a tous assez souvent répété : utilisez des mots de passe longs et complexes, en utilisant des combinaisons de lettres, de majuscules et de chiffres standard. Et utilisez un mot de passe différent pour chaque service… !

On sait aussi que peu sont ceux qui suivent ce conseil à la lettre et que devant un nombre croissant de services Internet auxquels chacun d’entre nous se connecte chaque jour, cela relève de mission impossible.

Heureusement, il existe des solutions !

Solutions Low Tech

Voici quelques idées qui amélioreront grandement la sécurité de vos mots de passe et qui ne nécessiteront presque aucun effort pour être mises en œuvre :

  1. Insérez un espace au hasard dans votre mot de passe : cette mesure simple réduit considérablement le risque que quelqu’un craque votre mot de passe. Non seulement il introduit une autre variable mathématique dans l’équation, mais la plupart des craqueurs potentiels supposent que les mots de passe se composent d’un mot continu. Ils concentrent donc leurs efforts dans cette direction.
  2. Utilisez une phrase comme mot de passe : encore mieux, cette méthode vous permet d’ajouter beaucoup d’espaces et d’utiliser de nombreux mots d’une manière facile à mémoriser. Au lieu d’avoir “pancakes” comme mot de passe, vous pourriez avoir “J’aime habituellement 12 pancakes pour le petit déjeuner” à la place.
  3. Utiliser Diceware : c’est une méthode pour créer des phrases de passe fortes. Les mots individuels de la phrase de passe sont générés de façon aléatoire par des dés lancés. Cela introduit un haut degré d’entropie dans le résultat. Les cryptographes apprécient donc bien les phrases de passe de Diceware. L’EFF a récemment introduit une nouvelle liste de mots de passe Diceware étendue visant à améliorer encore les résultats des mots de passe Diceware.
  4. Utilisez plus de quatre chiffres dans votre code PIN : si possible, utilisez plus de quatre chiffres pour vos PIN. Comme pour l’ajout d’un espace supplémentaire aux mots, cela rend le code mathématiquement beaucoup plus difficile à casser. La plupart des craqueurs partent du principe que seuls quatre chiffres sont utilisés.

Solutions High Tech

Nous ne reviendrons pas ici sur la nécessité d’utiliser un gestionnaire de mot de passe. Vous pourrez trouver les bonnes raisons de vous armer d’un bon gestionnaire de mots de passe ici et ici.

Il existe aussi une pléthore de programmes de gestion de mots de passe. Aujourd’hui, notre choix se porte principalement sur la solution gratuite et open source multi-plateforme Bitwarden.

Ce gestionnaire de mots de passe gratuit et open-source (FOSS) disponible pour tous les OS de bureau et mobile, générera pour vous des mots de passe complexes et les stockera derrière un cryptage fort. Avec Bitwarden, finie la corvée des mots de passe, vous vous souviendrez d’un mot de passe principal, et l’application de bureau ou mobile ainsi que les extensions pour tous les navigateurs populaires feront le reste et synchroniseront vos mots de passe entre vos différents appareils.

Pour une utilisation limitée aux mots de passe des services Web uniquement, vous pouvez opter pour le gestionnaire de mots de passe intégré à Firefox qui aura le mérite de pouvoir se synchroniser entre vos différents Firefox installés sur vos ordinateurs, tablettes et smartphones.

Réseaux sociaux

Leur mission : vous encourager à partager toutes vos activités, vos pensées, vos humeurs, vos photos, celles de vos enfants, de votre repas, de vos vacances, les détails de votre coup de foudre ou de votre rupture.

C’est l’antithèse de la vie privée et aux antipodes d’une sécurité minimale.

On pourrait disserter pendant des heures sur le bien fondé d’un tel service Internet (d’autres s’en chargent) mais si vous ne le savez pas déjà, Facebook est le “pire” des réseaux sociaux en termes de confidentialité, car il vend chaque détail de votre vie à des annonceurs avides de profilage. Il transmet également vos données personnelles à la NSA. Mais tous les réseaux sociaux sont intrinsèquement liés au partage de l’information.

Pendant ce temps, tous les réseaux sociaux commerciaux tirent profit de la collecte de vos données personnelles, de vos goûts, de vos aversions, des endroits que vous visitez, des choses dont vous parlez, des gens avec qui vous traînez (et de ce qu’ils aiment, n’aiment pas, etc.), et de leur revente ensuite.

La meilleure façon de préserver votre vie privée sur les réseaux sociaux est de loin de les éviter complètement. Supprimez tous vos comptes existants !

Malheureusement, cela peut s’avérer délicat. Il est peu probable, par exemple, que vous puissiez supprimer toute trace de votre présence sur Facebook. Pire encore pour votre vie privée (s’il en est encore), ces réseaux sociaux sont de plus en plus souvent l’endroit où nous discutons, partageons des photos et interagissons d’une autre manière avec nos amis.

Ils sont l’une des principales raisons d’utiliser Internet et jouent un rôle central dans notre vie sociale. Bref, nous ne sommes pas prêts à les abandonner.

Voici donc quelques idées pour essayer de garder un minimum d’intimité dans les réseaux sociaux.

L’autocensure

S’il y a des choses que vous ne voulez pas (ou ne devriez pas) rendre publiques, ne les affichez pas sur Facebook, Twitter et autre Instagram ! Une fois affiché, il est très difficile de retirer ce que vous avez dit. Surtout s’il a été partagé (ou re-tweeté).

Gardez vos conversations privées

Il n’est pas rare que les gens discutent de détails très personnels, comme de la date prévue d’un dîner, le lieu d’un rendez-vous, ou même qu’ils se disputent en utilisant les publications et commentaires publics. Utilisez plutôt les messageries de ces plateformes (Messenger, direct message, etc.)

Cela ne cachera pas vos conversations aux annonceurs, à la loi ou à la NSA, mais cela éloignera les interactions potentiellement embarrassantes de vos amis et de vos proches. Ils ne veulent probablement pas entendre certaines choses, de toute façon.

Utilisez des pseudos

Rien ni personne peut vous empêcher d’utiliser un faux nom. En fait, étant donné que les employeurs vérifient presque systématiquement les pages Facebook de leur personnel (et de leurs candidats), il est presque indispensable d’utiliser au moins deux comptes. Optez pour une photo normale avec votre vrai nom sur l’un, conçu pour vos relations professionnelles et vos employeurs, et un autre compte où vos amis peuvent afficher des photos de vous en état d’ébriété.

Rappelez-vous qu’il n’y a pas que les noms sur lesquels vous pouvez mentir. Vous pouvez aussi mentir sur votre date de naissance, vos centres d’intérêt, votre sexe, votre lieu de résidence ou tout ce qui pourrait tenir les annonceurs et les autres traqueurs à distance.

Plus sérieusement, les blogueurs vivant sous des régimes répressifs devraient toujours utiliser des pseudonymes (ainsi que des mesures d’obstruction de l’adresse IP comme un VPN) lorsqu’ils publient des messages qui peuvent menacer leur vie ou leur liberté.

Affinez vos paramètres de confidentialité

Facebook est connu pour changer continuellement la façon dont ses paramètres de confidentialité fonctionnent. Elle rend également ses politiques de confidentialité aussi opaques que possible. Cela vaut la peine de vérifier régulièrement les paramètres de confidentialité sur tous les réseaux sociaux pour s’assurer qu’ils sont aussi stricts que possible.

Assurez-vous que les messages et les photos ne sont partagés qu’avec les Amis, par exemple, pas les Amis des Amis ou “Public”. Dans Facebook, assurez-vous que la fonction “Examiner les publications dans lesquelles vous êtes identifié(e) avant qu’elles n’apparaissent sur votre journal ?” (sous Paramètres et outils de confidentialités -> Journal et identification) est réglé sur “Oui”. Cela peut aider à limiter les dommages que les “amis” peuvent faire à votre profil.

Conclusion

La protection de la vie privée vaut-elle alors la peine ?

En tout cas, cette question vaut la peine d’être examinée. Presque toutes les mesures évoquées ci-dessus vous attireront une attention particulière de la part d’acteurs tels que la NSA. Elles ajouteront également des niveaux supplémentaires de complexité et d’efforts aux tâches quotidiennes.

En effet, une grande partie de la fonctionnalité cool des nouveaux services basés sur le Web repose sur leur facilité d’utilisation, leur gratuité et surtout le fait d’en savoir beaucoup sur vous ! Les assistants vocaux présents sur vos smartphones, montres intelligentes ou tout autre objet connecté en sont de parfaits exemples. En tant qu’assistant personnel intelligent, la capacité de ces logiciels à anticiper les informations dont vous avez besoin est surprenante…

Ils peuvent, par exemple, vous rappeler que vous devez quitter le bureau pour prendre le bus “maintenant” si vous voulez rentrer chez vous à votre heure habituelle. Ils vous permettent également de vous rendre à l’arrêt d’autobus le plus proche et d’avoir accès à d’autres horaires si vous manquez l’autobus.

Certains des développements les plus passionnants et les plus intéressants de l’interaction homme-machine reposent sur une invasion à grande échelle de la vie privée.

S’enfermer dans le chiffrement et d’autres méthodes de protection de la vie privée, c’est renoncer pour partie aux possibilités offertes par ces nouvelles technologies.

C’est pourquoi il vous faut réfléchir au coût induit par la vie privée et aux compromis que vous êtes prêt à faire et jusqu’où vous irez pour la protéger.

Est-ce que, sous prétexte de prévenir les crimes et les délits d’un petit nombre, chaque citoyen est accompagné d’un gendarme dans sa vie quotidienne ?

Pypo

Selon nous, la vie numérique de chacun (comme tous les autres aspects de la vie) doit rester exempte de surveillance et de contrôle. Chacun a le droit de ne pas voir tous les aspects de sa vie, observés, enregistrés, examinés, puis jugés ou exploités.

Ce que la plupart d’entre nous voulons probablement, c’est la capacité de partager ce que nous décidons avec nos amis et avec des services qui améliorent nos vies, sans avoir à nous soucier que cette information soit partagée, disséquée et utilisée pour nous profiler.

Nous voulons pouvoir décider de murmurer à l’oreille de quelqu’un sur Internet ou avoir des activités secrètes en ligne sans que ni nos murmures ni nos activités soient arbitrairement et systématiquement consignés dans une base de données et considérés par défaut comme publiques (ou relevant de la propriété d’un État).

Ce que nous faisons n’a pas besoin d’être illégal pour avoir envie de le cacher.

Une chose est certaine en revanche : si un plus grand nombre de personnes s’efforcent d’améliorer la protection de leur vie privée, cela rendra le travail des agences gouvernementales et des annonceurs beaucoup plus difficiles. Peut-être même au point d’amorcer un changement, qui sait.

Retrouver sa liberté en ligne et mieux contrôler la diffusion de ses données personnelles, nécessite certes un peu d’efforts, mais il est tout à fait possible, et finalement pas si contraignant, de prendre des mesures qui améliorent grandement votre vie privée en ligne.

Tous les experts ne s’entendent pas sur ce qui est essentiel pour protéger sa vie privée en ligne, il est donc important de se rappeler que rien n’est parfait ou à toute épreuve. Pour autant, ce n’est pas une raison pour faciliter les choses à ceux qui voudraient envahir tous les aspects de votre vie qui ne devraient être légitimement que les vôtres.

La vie privée (tout comme la liberté) est un bien précieux aujourd’hui menacé par les nouvelles technologies dont certains ont détourné l’objectif premier à leur seul profit mercantile.

En mettant en œuvre au moins certaines des idées abordées dans ce guide, vous contribuerez non seulement à protéger votre vie privée, mais vous apporterez également une contribution précieuse à sa conservation pour tous.

Cet article vous a t-il été utile ?

Pypo

Nous avons créé ce site Web pour vous fournir des informations honnêtes, utiles et à jour sur les solutions existantes de confidentialité et de sécurité en ligne. Les guides et outils présents vous aideront à contrecarrer les plans de toutes les entreprises et entités gouvernementales qui pillent vos données personnelles et foulent votre vie privée. Nous suivre sur Mastodon