Édition: Miléna Stojanac

Révision et correction: Sophie Sainte-Marie et Julie Lalancette

Couverture et mise en pages: Clémence Beaudoin

Photo des auteurs: Blanches Bulles Studio

Remerciements

Nous remercions le Conseil des Arts du Canada et la Société de développement des entreprises culturelles du Québec (SODEC) du soutien accordé à notre programme de publication.

Gouvernement du Québec – Programme de crédit d’impôt pour l’édition de livres – gestion SODEC.

Tous droits de traduction et d’adaptation réservés; toute reproduction d’un extrait quelconque de ce livre par quelque procédé que ce soit, et notamment par photocopie ou microfilm, est strictement interdite sans l’autorisation écrite de l’éditeur.

© Les Éditions du Trécarré, 2018

Les Éditions du Trécarré

Groupe Librex inc.

Une société de Québecor Média

1055, boul. René-Lévesque Est

Bureau 300

Montréal (Québec) H2L 4S5

Tél.: 514 849-5259

Téléc.: 514 849-1388

www.edtrecarre.com

Dépôt légal – Bibliothèque et Archives nationales du Québec et Bibliothèque et Archives Canada, 2018

ISBN Epub: 978-2-89568-746-7

Distribution au Canada

Messageries ADP inc.

2315, rue de la Province

Longueuil (Québec) J4G 1G4

Tél.: 450 640-1234

Sans frais: 1 800 771-3022

www.messageries-adp.com

À tous ceux qui nous inspirent confiance.

INTRODUCTION

À l’heure où s’écrivent ces lignes, les projets s’entrechoquent à Crypto.Québec. Notre petit organisme à but non lucratif vient tout juste de passer le cap des trois années d’existence et, déjà, entre la production d’un podcast hebdomadaire, les incalculables formations et conférences données à une variété d’organismes et d’entreprises, les apparitions médiatiques et l’effervescence des projets de recherche, il est difficile de croire qu’une si petite équipe formée exclusivement de bénévoles peut accomplir autant. Cependant, ce n’est pas un hasard.

D’abord, les enjeux dont traite notre organisme – la surveillance, la protection de la vie privée, les enjeux géopolitiques liés au hacking – se trouvent la plupart du temps au centre de l’actualité. Devant les enjeux techniquement, juridiquement, économiquement et politiquement complexes que sont la surveillance des journalistes et des citoyens par les services de police ou les agences de renseignements, la collecte massive de données effectuée par les géants du numérique pour nous fournir une expérience toujours plus personnalisée ou encore les attaques informatiques prenant en otage les disques durs d’entreprises et d’individus, il était impératif qu’un groupe se positionne dans l’espace public afin de les observer, de les analyser et de les vulgariser pour une grande partie de la population.

Ensuite, et de manière plus importante, le dynamisme de notre équipe est dû au fait que chacun des membres est animé par un mélange d’une passion inaliénable doublée d’une inquiétude profonde. Chacun à notre manière, nous vouons une passion à Internet, à son potentiel émancipateur, à ses militants parfois controversés, mais surtout brillants, rusés et innovateurs. En même temps, nous partageons une inquiétude croissante à l’égard de l’avenir de cet espace, de plus en plus colonisé par les intérêts d’une trop petite poignée d’acteurs, qu’ils soient gouvernementaux ou commerciaux.

DES GEEKS QUI VOUS VEULENT DU BIEN

Si nous sommes animés par des motivations similaires, la richesse de l’équipe provient sans conteste de la variété des milieux desquels nous sommes issus. Certains d’entre nous pourraient se qualifier de hackers, c’est-à-dire de bidouilleurs qui aiment comprendre tout système technologique et, potentiellement, en détourner certaines fonctions, d’autres sont un peu plus novices en termes de connaissances technologiques. Mais quand vient le temps de discuter autour d’un micro ou de débattre dans un bar, tout le monde a des perspectives qui permettent d’aborder les problèmes sous de nombreux angles et de constater leur complexité.

Jean-Philippe est un super-méga-geek-hacktiviste assumé. Ayant grandi avec les ordinateurs, il a fait de sa passion son métier: consultant en sécurité informatique. Il s’est très rapidement mobilisé autour des enjeux liés à la surveillance de masse et à la protection de la vie privée. Il est l’une de ces personnes qui passaient la majeure partie de leurs journées à converser avec des ordinateurs et qui, devant la nécessité croissante d’expliquer ces enjeux, ont dû apprendre à parler aux humains et aux médias tout en se découvrant un talent inné pour la vulgarisation. C’est avec Luc et Steven Lachance qu’il a cofondé Crypto.Québec.

Luc, quant à lui, est une créature on ne peut plus multifonctionnelle. Militant, entrepreneur, consultant en sécurité et impliqué en politique, il compte une pléthore de projets inspirants à son actif. Il a notamment été l’un des instigateurs de Quebec Leaks, en plus de s’intéresser aux renseignements et d’avoir de l’expérience en cette matière. À l’instar de ses coéquipiers, il est animé d’une motivation claire: la technologie peut, si on le veut vraiment, aider à changer le monde ou, du moins, à le rendre meilleur.

Geneviève, pour sa part, a toujours été une passionnée des technologies. Adolescente, elle a caché chez sa mère un fil téléphonique d’une longueur impressionnante. Transformant chaque soir la maison en course à obstacles, elle l’a coupée du monde immédiat pour faire entrer Internet dans sa vie à coups d’accès modem. Le temps a passé, les fils ont fait place à des réseaux invisibles toujours accessibles, mais la même fascination pour Internet l’habite encore. Que ce soit en accompagnant des jeunes dans la découverte du monde des technologies ou en formant divers groupes à la sécurité de l’information, aider les autres à bien se servir d’Internet est probablement sa plus grande satisfaction… après celle de découvrir un angle d’attaque par rapport à un problème de sécurité!

Sophie est une personne plutôt timide et réservée. Cependant, rien ne lui échappe, car sa nature en fait une excellente observatrice. Que cela soit à partir de son banc de métro ou sur une page Facebook, c’est celle qui parle peu, mais qui vous regarde! Passionnée par les interactions humaines, elle s’est dirigée vers les communications avant de travailler dans la gestion de communautés en ligne, surtout dans le domaine du jeu vidéo, afin d’analyser les phénomènes de socialisation et de collaboration médiatisés par ordinateur. Ses champs d’intérêt complémentaires portent sur la littératie numérique et sur l’impact (et l’omniprésence!) des nouvelles technologies dans la vie quotidienne, ainsi que sur leurs usages par les utilisateurs de différentes générations.

Anne-Sophie aspire à devenir une pirate. Un pied dans son voilier et l’autre dans le monde des hackers, elle n’a pas baigné dans la soupe technologique ni démonté d’ordinateurs dans le sous-sol de la maison de ses parents. Geek tardive, elle était, jusqu’à son arrivée à la maîtrise, une analphabète du numérique. Elle constitue donc la preuve que la sécurité numérique, c’est accessible à tous! Aujourd’hui, elle passe le plus clair de ses journées à essayer de comprendre les systèmes informatiques et juridiques. S’inspirant des hacktivistes qu’elle aime tant, elle tente d’en trouver les failles et les points de fuite pour les changer (pour le mieux).

Ensemble, nous avons écrit ce livre qui vise d’abord et avant tout à servir d’outil de base pour mieux comprendre l’environnement numérique et nous protéger car il reflète trop rarement nos intérêts. Cet ouvrage n’est pas né d’un urgent désir de partager notre paranoïa, tout au contraire: la paranoïa paralyse toute possibilité d’action. S’il est encore temps de changer notre Internet, l’action doit se faire itérativement et entre une variété d’acteurs, dont les citoyens. En effet, si les enjeux de surveillance et de sécurité numérique sont éminemment sociaux et nous touchent en tant que collectivité, ils ont également un impact direct sur la vie quotidienne des individus. C’est la raison pour laquelle nous avons décidé d’écrire ce livre. Nous croyons sincèrement que comprendre un problème – ou, dans notre cas, un ensemble de problèmes – est une étape essentielle à sa résolution. Et en attendant que la situation s’améliore, nous espérons pouvoir partager notre passion et nos expertises pour vous accompagner dans l’établissement d’une meilleure hygiène numérique.

QU’EST-CE QUE LA SÉCURITÉ NUMÉRIQUE?

Les termes «sécurité numérique» et «protection de la vie privée» sont souvent utilisés de manière interchangeable. C’est compréhensible: quand on en parle aux nouvelles, c’est souvent par rapport aux enjeux de surveillance. Notamment, depuis les révélations d’Edward Snowden en 2013, les enjeux de la surveillance effectuée par la National Security Agency (NSA) et ses alliés (parmi lesquels figurent les agences de renseignements canadiennes) ont obtenu une attention médiatique sans pareille. Comme ces pratiques de surveillance ont été déployées de façon spectaculaire dans un contexte de lutte contre le terrorisme, il y a eu par la suite de nombreux débats sur l’équilibre nécessaire entre la sécurité nationale et la protection de la vie privée.

Si ces débats sont structurants et nécessaires dans nos sociétés contemporaines, ils ne touchent qu’une partie des enjeux sur la sécurité numérique. Effectivement, la sécurité numérique va bien au-delà de la protection de la vie privée. Elle fait référence à un ensemble de procédures technologiques plus ou moins complexes qui permettent d’assurer l’intégrité des systèmes informatiques et des informations qu’ils contiennent. Cela peut se décliner en trois aspects, lesquels seront explorés tout au long de cet ouvrage.

Tout d’abord, la sécurité numérique propose un contrôle quant à l’information divulguée par un individu sur lui-même. Le principe de la confidentialité, comme premier aspect, pose comme prémisse qu’un individu devrait pouvoir choisir comment il s’expose au monde ou à différents acteurs. Au-delà du choix individuel, la confidentialité et le droit à la vie privée sont des éléments essentiels à nos démocraties contemporaines: il s’agit d’un droit humain qui permet et facilite, entre autres, l’exercice d’une panoplie de droits, dont celui à la liberté d’expression. Pensez-y, vous sentiriez-vous aussi libre de parler et d’agir comme vous le désirez en sachant qu’un ou plusieurs acteurs – commercial, gouvernemental ou autre – vous épient à chaque heure du jour et de la nuit?

Quelques jours avant la remise du manuscrit initial de ce livre, Anne-Sophie a renversé un verre de vin sur son ordinateur. La situation aurait pu être catastrophique: un nombre incalculable d’heures de travail auraient pu s’envoler. Néanmoins, ayant un petit côté paranoïaque, elle sauvegardait systématiquement (toutes les trente minutes) le fichier sur son ordinateur ainsi que sur un disque dur externe. Cette pratique relève du deuxième aspect en importance en sécurité numérique: l’accessibilité à l’information et aux systèmes informatiques ainsi que leur résilience. En effet, la sécurité ne veut pas seulement «protéger du regard d’autrui», elle vise aussi à assurer l’existence et l’accès à des documents et de l’information, et ce, même en cas d’attaque ou d’accident. C’est le fameux principe des copies de sauvegarde. Les services infonuagiques basent leur modèle d’affaires sur ce principe: vous pouvez renverser un café sur votre ordinateur ou votre téléphone intelligent, mais, même si l’appareil est fichu, tous vos documents importants seront sains et saufs (mais épiés, nous y reviendrons) sur les serveurs du service avec lequel vous faites affaire.

L’intégrité de l’information est le troisième aspect en importance. Un message ou un document dont l’intégrité est protégée ne peut pas être altéré ou détruit lors d’une attaque. S’attaquer à son intégrité viserait, dans cette perspective, à en modifier des éléments (par exemple les chiffres d’un budget) ou encore à envoyer un message en usurpant l’identité de quelqu’un.

Ainsi, il est juste de dire que la sécurité numérique ne touche pas uniquement des enjeux propres à la vie privée. Protéger la résilience et l’intégrité de l’information peut être applicable dans une très grande variété de contextes et vise à assurer tant le sérieux d’une entreprise que la protection de souvenirs précieux. À une époque où la majorité de nos activités quotidiennes passent – à un moment ou à un autre – par les systèmes informatiques, il va sans dire que la sécurité numérique devient la pierre angulaire de toute bonne hygiène numérique.

POURQUOI ADOPTER DE MEILLEURES PRATIQUES EN SÉCURITÉ NUMÉRIQUE?

Les raisons pour adopter de meilleures pratiques sont aussi nombreuses que les failles informatiques. Même au sein de notre équipe, nous disposons tous de pratiques et de «modèles de menace» différents et avons intégré le milieu de la sécurité pour diverses raisons. Il en sera de même pour vous.

Peut-être trouvez-vous les publicités en ligne extrêmement intrusives? Après que vous avez visité un site web sur les automobiles, votre plateforme de médias sociaux préférée vous propose des publicités de concessionnaires…

Peut-être êtes-vous tout simplement inquiet de savoir que la majorité de l’information en ligne est stockée par les services d’une poignée d’entreprises. Tant d’informations entre si peu de mains ne peut qu’engendrer des relations de pouvoir défavorables pour les citoyens…

Peut-être travaillez-vous dans un milieu où vous êtes appelé à faire des activités pour le moins sensibles et pour lesquelles vous comptez certainement des adversaires: des concurrents qui voudraient mettre la main sur un secret d’affaires ou obtenir un avantage dans une négociation.

Peut-être travaillez-vous avec des populations et groupes vulnérables et pour lesquels vous déployez déjà des infrastructures physiques afin d’assurer leur sécurité. Dans ce contexte, faire le pas dans le numérique devient une chose logique.

Peut-être faites-vous partie d’un groupe vulnérable dont la collecte d’informations pourrait vous porter préjudice à court terme.

Peut-être êtes-vous un simple citoyen. Et vous ignorez ce que vous réserve l’avenir. Peut-être serez-vous une personnalité publique, un journaliste, un chef d’entreprise ou un travailleur humanitaire. Plusieurs d’entre nous n’avaient pas prévu, en étant adolescents ou jeunes adultes, devenir militants et défendre les libertés civiles ainsi que les droits individuels et collectifs en ligne. On ne sait jamais lorsqu’on deviendra une personne d’intérêt, ni pour quelle raison. Entre-temps, vaut mieux se préparer.

Bref, il n’est pas nécessaire de penser ou de craindre d’être victime de surveillance de la NSA pour lire ce livre…

… mais ne vous leurrez pas, nous en sommes tous la cible. En ligne, on vous voit. Apprenons à donner un mal de tête à ceux qui seraient un peu trop curieux.

1.SE CONNECTER – INTERNET, RÉSEAUX PUBLICS ET RÉSEAUX PRIVÉS

Il est 6 heures du matin. Votre tablette intelligente ingère depuis deux bonnes heures déjà les actualités du jour. Votre téléphone, branché lui aussi au réseau sans fil, vous informe de la météo de la journée tout en vous réveillant. Votre bracelet d’entraînement pousse silencieusement vers un service en ligne l’heure exacte de votre réveil: vos pulsations cardiaques ont en effet accéléré avant même que votre réveille-matin sonne, par anticipation. La vue encore embrouillée, vous jetez un œil sur votre agenda résidant sur les serveurs de votre employeur, ainsi que sur vos courriels personnels. Une publicité vous y attend: des vacances pour décrocher vous tentent? Si vous cliquez, le site de réservations avec lequel vous faites affaire vous suggérera peut-être une île déserte… Internet sans fil compris, tout de même.

Les réseaux sont omniprésents et si intégrés à notre quotidien qu’ils semblent presque invisibles. Leur fonctionnement nous échappe souvent. De plus, il est aujourd’hui plus difficile de se trouver sans possibilité de se connecter à Internet que l’inverse. Que ce soit par le réseau cellulaire, par des réseaux sans fil publics, par le boulot ou l’école, sans compter pour la plupart des gens un accès internet à la maison, nous sommes aujourd’hui connectés à des réseaux dont il aurait été difficile de prévoir l’omniprésence lorsque les premiers systèmes sont apparus en 1969.

1.1UNE HISTOIRE D’INTERNET¹

Année

Événement

1958

Invention du premier modem qui permet d’échanger des données numériques par téléphone.

1969

Connexion des premiers ordinateurs entre quatre universités américaines par l’Interface Message Processor de Leonard Kleinrock.

1972

Naissance de l’International Network Working Group, organisme chargé de la gestion d’Internet.

1984

1000 ordinateurs connectés à l’ancêtre d’Internet, ARPANET.

1989

100 000 ordinateurs connectés à ARPANET.

1990

Annonce publique du World Wide Web.

1992

1 000 000 d’ordinateurs connectés.

1996

36 000 000 d’ordinateurs connectés.

2014

La barre du milliard de sites web est franchie.

Se connecter est maintenant un geste facile, machinal. Pourtant, ce n’est pas un geste anodin: les systèmes auxquels on se connecte transmettent le contenu de conversations intimes, d’achats, d’interrogations, de divertissements les plus futiles comme de photos les plus personnelles. Tout cela passe dans des serveurs qui sont, paradoxalement, à la fois hors de notre contrôle et à notre portée en un seul clic. Effectivement, les appareils (téléphones intelligents, ordinateurs, tablettes, objets connectés, etc.) qui nous permettent d’avoir accès à Internet et à ses services (plateformes de médias sociaux, applications, sites web, pour ne nommer que ceux-là) sont reliés à différents éléments du système global des télécommunications. Ces éléments sont nombreux et font partie de notre environnement quotidien. Simplement, un routeur et un modem permettent la connexion, souvent par un fil de téléphone, au réseau d’un fournisseur de service Internet qui, lui, fait voyager une requête sur des fils de cuivre ou de fibre optique vers les serveurs appropriés. Ici, il est important de retenir qu’Internet n’est pas un nuage: il s’agit d’un système d’infrastructures, de fils et de serveurs distribués un peu partout sur la planète. Pour que l’information voyage efficacement, il faut que tous les éléments du système soient capables de se parler et d’avoir suffisamment de données pour acheminer la bonne information au bon endroit.

Bref, il existe beaucoup d’avantages à se connecter, mais les serveurs sont friands des informations personnelles des usagers. Les questions à se poser sont nombreuses. Par qui et à quel endroit sont stockées les données personnelles? Comment sont-elles collectées, protégées et vendues? Comment voyagent-elles? Comment peuvent-elles être interceptées par des gens mal intentionnés? Quel contrôle peut être exercé par l’utilisateur?

1.2DESSINE-MOI UN RÉSEAU!

Avant de poursuivre votre lecture, illustrez sur un bout de papier, selon vos connaissances, les systèmes par lesquels vous vous connectez à Internet lors d’une journée typique. N’oubliez pas les services de messagerie, les réseaux sociaux, vos stockages en ligne… Combien de ces appareils pouvez-vous toucher si vous le désirez? Lesquels sont hors de votre portée? Gardez le croquis près de vous, nous le revisiterons d’ici à la fin du chapitre.

LE RÉSEAU LOCAL

Notre point de départ est l’ordinateur personnel. Celui-ci cohabite avec d’autres appareils connectés à Internet à la maison: tous les autres appareils qui connaissent le mot de passe du routeur sans fil et y sont reliés, ou tous ceux reliés à un routeur filaire. Ces appareils font partie d’un même réseau local.

Chaque réseau est une affaire de hiérarchie: certains appareils ont pour tâche de fournir une connexion à un autre réseau. Par exemple, un modem peut servir à se connecter à divers serveurs qui donnent accès à Internet. D’autres servent à distribuer les informations à l’intérieur du réseau local et à «décider» de ce qui entre dans le réseau et en sort: divers appareils peuvent être utilisés pour cette tâche, mais le plus souvent on utilise un routeur.

Divers types de connexions entre les appareils sont possibles. Par exemple, voici les types de connexions qui sont activées lorsque quelqu’un se connecte à un service de musique en ligne pour diffuser les tubes de l’heure sur ses haut-parleurs Bluetooth. C’est d’abord l’ordinateur qui enverra sa demande au routeur, le routeur passera la commande au modem, qui interrogera un serveur sur Internet. Quand le modem aura la réponse, il la passera au routeur, qui retrouvera ledit ordinateur sur le réseau et lui enverra l’information. Par la suite, l’ordinateur enverra les données correspondant à la musique par des ondes radio. Pour le haut-parleur, impossible de savoir si la musique provient d’Internet ou pas; il ne se connectera jamais au routeur. Par contre, pour le serveur internet, beaucoup d’informations sur ces activités sont disponibles parce que la requête est associée à des métadonnées. Les métadonnées sont des informations qui permettent d’en savoir plus sur le contexte d’une requête qui, dans le cas présent, demande le téléchargement temporaire de fichiers musicaux sur un ordinateur.

À chaque connexion établie, une grande variété d’informations circulent, tant sur le contenu d’une requête que sur son contexte. Une partie de ces informations sont nécessaires au bon fonctionnement du réseau. Par exemple, identifier un appareil sur un réseau au moyen de son adresse IP permet que le renseignement demandé soit acheminé à l’utilisateur ayant fait la requête initiale, et non à son voisin de pupitre ou à un utilisateur à l’autre bout du monde. Cependant, il est possible de contrôler la teneur de quelques-unes de ces informations (nous y reviendrons au chapitre 7, «S’obfusquer et s’anonymiser sur les réseaux»), mais leur émission est inévitable: c’est la nature du réseau de garder ce type de traces.

1.3LES MÉTADONNÉES D’UNE REQUÊTE

•L’heure de la requête d’information

•Le nom d’usager utilisé si le service de musique demande à se connecter

•Le fournisseur internet du requérant

•La région du monde où le requérant se trouve

•La durée de la connexion

•La qualité de la connexion

•L’application utilisée en particulier

•La version de l’application utilisée

•La résolution de l’écran de l’ordinateur

•Le fait que c’était la première fois, ou non, que la personne se connectait, etc.

GÉRER SON RÉSEAU LOCAL

L’une des manières de contrôler les données et les métadonnées qui transitent sur un réseau local (par exemple à la maison) est d’apprendre à gérer adéquatement celui-ci. Une manière simple de faire cela est de choisir une journée pour identifier les éléments qui composent son réseau local, faire le ménage si nécessaire – c’est-à-dire déconnecter les objets qui n’ont pas besoin d’être connectés – et, finalement, s’assurer du maintien des mises à jour. Plus les appareils connectés sont récents et plus ils sont sophistiqués, plus les mises à jour devront être fréquentes.

S’assurer que tout est en ordre sur le réseau local limite les risques d’attaque et de problèmes de toutes sortes. Il s’agit d’une bonne pratique à adopter, parce que les cybercriminels sont humains, donc souvent paresseux: un réseau local dans lequel toutes les mises à jour de sécurité ont été faites demande plus d’efforts à subvertir qu’un réseau négligé.

Configurer son réseau

Pour configurer son réseau, il faut prendre son routeur en mains. La documentation du fabricant vous indiquera comment en changer le mot de passe. Certaines limitations d’accès peuvent aussi être très judicieuses, comme bloquer la possibilité de se connecter d’un appareil inconnu.

Les appareils connectés

Pour reprendre le contrôle de son réseau local, il faut d’abord faire une liste de tous les appareils qui sont branchés à Internet.

Lesquels peuvent communiquer directement avec le routeur par WiFi ou par un câble réseau? Lesquels sont des périphériques, c’est-à-dire des appareils qui n’échangent pas de données avec le routeur, mais seulement avec un ordinateur, un téléphone intelligent ou une tablette?

Par la suite, on cherchera à simplifier le réseau. Est-ce qu’il y a des appareils dont la fonctionnalité «connectée» ne sert plus? Par exemple, une console de jeux qui n’amuse plus personne? Si oui, on les débranche et on les met de côté! (Voir le chapitre 7 pour la destruction sécuritaire des données.)

Enfin, il faut faire toutes les mises à jour: microgiciel (firmware) et logiciels de chaque appareil, en commençant par le microgiciel. On trouvera sur le site du fabricant l’information qui permet de savoir comment appliquer les mises à jour.

1.4QU’EST-CE QU’UN MICROGICIEL?

«Microgiciel» est un mot-valise qui combine les termes «micro» et «logiciel». Il fait référence à une composante matérielle présente dans une majorité d’appareils électroniques. Le microgiciel opère des commandes à l’intérieur d’un appareil donné.

Dans certains appareils moins sophistiqués, tels qu’un haut-parleur Bluetooth ou une télécommande, le microgiciel peut faire office de système d’opération: il gère les commandes liées aux différents boutons, à l’activation des lumières LED et à la communication avec d’autres appareils. Dans des appareils plus sophistiqués, un ordinateur personnel, par exemple, il permet de standardiser l’environnement dans lequel interagissent différentes composantes matérielles (un port USB, un lecteur CD, le clavier, l’écran, etc.) afin qu’elles puissent communiquer efficacement ensemble.

En faire la mise à jour est donc important puisque le microgiciel constitue une sorte de plateforme opératoire centrale de nos appareils.

Il ne faut pas oublier imprimantes, appareils domestiques connectés, caméras de surveillance, téléviseurs, claviers et souris sans fil, consoles de jeux, etc.! Tous ces appareils ont besoin d’entretien! Pour la majorité d’entre eux, des notifications sont envoyées pour faire les mises à jour. Cependant, en cas de doute, ou si un appareil n’a jamais auparavant demandé d’effectuer une mise à jour, il faudra consulter le manuel de l’utilisateur. On notera que plusieurs objets connectés, dont le modem, ne permettent pas les mises à jour. En attendant que les fabricants intègrent cette fonction, le remplacement devient la seule forme de mise à jour possible.

1.5NOS RÉSEAUX

Le réseau local de Geneviève est relativement simple.

•Un routeur sans fil donne accès à Internet aux ordinateurs par WiFi.

•Un serveur de stockage, branché par câble réseau au routeur, est accessible par les ordinateurs pour faire des copies de sauvegarde.

•Une imprimante est aussi mise en réseau de la même façon.

•Certains objets (montre, etc.) se connectent aussi par WiFi sur un réseau dédié.

Celui d’Anne-Sophie est légèrement différent.

•Un routeur sans fil donne aussi accès à Internet aux ordinateurs par le WiFi.

•Elle gère son accès de deux manières: un accès au réseau WiFi pour les invités et un réseau caché pour son utilisation personnelle.

•Elle fait affaire avec une entreprise qui distribue des adresses IP de l’Ontario. Du coup, tous les sites web présument qu’elle vit à Toronto! (Son fournisseur de service, par contre, connaît la vérité.)

Certains appareils ne nous permettront peut-être pas de faire nous-même de mise à jour. On gardera alors en tête qu’ils constituent un risque potentiel. Lorsque vient le temps de les remplacer, il est toujours bon de privilégier l’achat d’appareils qui nous simplifient la vie en rendant la mise à jour simple et agréable!

COMMENT SE CONNECTER SÉCURITAIREMENT HORS DE LA MAISON?

Toute connexion est un exercice de confiance. Cette fameuse confiance est d’ailleurs la base même d’Internet tout entier. Cela ne veut pas dire que tout ce qu’on fait passer sur le réseau peut être compris par son administrateur.

Naviguer: les fournisseurs de services et les fournisseurs d’accès

Toute connexion est observable au minimum par l’administrateur du système. En plus, au fil de son voyage à travers le réseau, une requête passera par plusieurs serveurs intermédiaires: ceux-là aussi peuvent être observés. Finalement, nos données sont toujours susceptibles de se heurter à la proverbiale chaîne aussi forte que son maillon le plus faible: tout attaquant peut se positionner à n’importe quel point du voyage de nos données et en faire une copie. Si elles sont chiffrées, l’attaquant copiera du charabia. Si elles ne le sont pas, l’attaquant connaîtra le contenu de notre message. Et si les serveurs par lesquels voyagent nos données sont mal sécurisés, un attaquant pourra modifier celles-ci en cours de route et porter atteinte à leur intégrité.

1.6QU’EST-CE QUE LE CHIFFREMENT?

Le chiffrement est le mot français pour encryption. Il s’agit d’une formule mathématique connue uniquement des acteurs prenant part à une conversation (par exemple un utilisateur et le fournisseur de service) et qui est appliquée aux informations échangées. Cela leur permet de communiquer au moyen de textes cryptés, compréhensibles uniquement si l’on a la «clé» qui sert au décryptage.

Texte clair: Bonjour!

Texte chiffré: 67391ba9b4cf7b22c4cf9c55422edf95

Avoir accès à ses documents partout: la commodité de l’infonuagique

Sur un réseau local, l’administrateur local est maître chez lui. Par contre, lorsqu’un individu se connecte à un réseau qui n’est pas le sien, il perd ce contrôle. On se connecte à des réseaux étrangers plus souvent que l’on pense: dès qu’on fait appel à des services en ligne ou à des plateformes, on se connecte à des serveurs gérés par autrui. Autrement dit, il est impossible pour un individu de mettre à jour les serveurs de sa plateforme de médias sociaux préférée ou du service de courriel qu’il utilise. Lorsqu’il se connecte à un service, il doit faire confiance au gestionnaire de réseau tout en acceptant ses pratiques quant à la collecte de données et de métadonnées. Lorsqu’on décide de partager des secrets intimes par un moyen ou un autre, il faut se rappeler qu’on ne peut rien maîtriser de ce qui arrive aux données sans contrôle sur le serveur. Si le serveur n’est pas bien sécurisé, les données peuvent en fuiter.

Souvent, les gens se connectent à des services infonuagiques par leur téléphone intelligent: les réseaux cellulaires permettent le transfert de données à un débit appréciable, et l’accès «à tout, partout» offre des avantages pratiques. Il faut alors avoir en tête que plus votre téléphone sert à vous connecter à des services de haute valeur, plus son vol peut être problématique. De plus, vous vous connectez à un réseau au même titre qu’un autre: l’administrateur du réseau pourra observer une bonne partie de ce que vous faites en ligne si vous ne prenez pas de précautions (les métadonnées).

Mais à la base, un réseau, local ou global, ça se ressemble! Un réseau, c’est un ensemble d’appareils qui échangent des données et des métadonnées selon un ordre établi. Ce réseau possède ses hiérarchies, ses données qui voyagent, ses métadonnées qui peuvent être captées à chaque serveur. On entend parfois parler d’infonuagique, de «données dans le nuage»… Il faut savoir que ce sont des serveurs qui peuvent être plus ou moins bien sécurisés. Comme tous les serveurs, ils peuvent tomber hors connexion, et nos données seront alors impossibles à récupérer… D’autant plus que ces données peuvent être stockées physiquement sur des disques durs aux quatre coins du globe. Il est donc important de ne pas se fier qu’au nuage pour conserver des données précieuses.

En outre, il faut savoir qu’il est possible de récupérer certaines informations lorsqu’on se trouve sur le même réseau qu’un autre, un peu comme lorsqu’on tend l’oreille à une conversation indiscrète, en utilisant des programmes souvent gratuits qui siphonnent les données transmises par les ondes radio et permettent de les analyser ensuite.

Le chiffrement permet de rendre le contenu des communications très difficiles à décoder pour l’administrateur ou pour une personne malveillante qui intercepterait les données (par opposition aux métadonnées qui, elles, demeurent compréhensibles). Un site web qui utilise «https» a en place ce fameux chiffrement. Il n’est pas impossible pour un attaquant motivé et bien équipé de réussir à briser certains types de chiffrements, mais utiliser des connexions chiffrées limite beaucoup les risques de divulgation à des tiers… imprévus.

Le chiffrement, c’est une manière de nous assurer que seul le site web auquel nous nous connectons connaît notre mot de passe. C’est aussi une manière de nous assurer que, du début à la fin de la séance, le site était bien celui qu’il prétendait être.

Naguère, seuls les sites transactionnels étaient en mesure de se payer le nécessaire pour permettre aux utilisateurs de se connecter de manière sécurisée. Aujourd’hui, la majeure partie d’entre eux utilisent le protocole HTTPS pour y sécuriser la connexion. Néanmoins, il n’est pas rare de voir des sites de fraudeurs arborer un petit cadenas «vert sécuritaire» tandis qu’ils soutirent des informations personnelles. Le chiffrement de la connexion sécurise les données de navigation en transit, mais ne garantit nullement que les activités menées sur les sites en question sont légitimes ou sans danger: le cadenas signifie tout simplement que les communications transitent vers un site en possession d’un certificat valide. Il ne signifie pas que ce que nous y faisons est sans danger pour nous!

Se connecter implique un contrôle d’accès: les responsables des serveurs voudront s’assurer que seules les personnes autorisées peuvent déposer des données, les récupérer ou les modifier. Le contrôle d’accès requiert l’utilisation d’un nom d’usager et d’un mot de passe. Parfois, l’accès nous est accordé par des règles liées au matériel (pensons aux données qui circulent par cellulaire): le réseau nous authentifiera sans qu’on s’en rende compte.

Par contre, la plupart du temps, pour nous connecter à notre courriel ou à nos services en ligne, on nous demandera un nom d’usager et un mot de passe. Le choix de l’un et l’autre mérite de ne pas être fait de façon machinale. Nos noms d’usager circulent à travers les réseaux et peuvent contenir beaucoup d’informations.

Se connecter ailleurs

On faisait mention plus tôt du chiffrement. Si le serveur auquel nous nous branchons n’utilise pas de chiffrement, notre nom d’usager et notre mot de passe circuleront sans aucun masque sur le réseau. Un observateur sur le réseau local pourra donc récupérer ces informations sans grand effort technique. Il est important de ne pas transmettre d’informations sensibles lorsqu’on ne voit pas «https» dans l’adresse d’un site!

Que faire si on doit utiliser un réseau auquel on ne fait pas confiance, par exemple le sans-fil d’un hôtel ou d’un café? Il faut s’assurer de masquer nos communications complètement. En gros, sans avoir le mot de passe du routeur, il ne faut pas faire confiance au réseau pour y faire circuler des informations sensibles.

1.7CHOISIR UN NOM D’USAGER N’EST PAS ANODIN

Petit exercice: que pouvez-vous déduire sur la personne dont le nom d’usager est bruinsfan76?

*Année de naissance probable: 1976

*S’intéresse au hockey

*Partisane des Bruins de Boston

Est-ce que cette personne a plus de chances d’être un homme ou une femme? Pensez-vous qu’on pourrait facilement la berner en lui offrant des billets pour un match Canadiens-Bruins? Quels sont les groupes musicaux qui risquent d’avoir marqué son adolescence? Serait-il étonnant que son mot de passe ait un lien avec le hockey?

Un nom d’usager plus neutre est à privilégier! Autrement, nous courons le risque de nous rendre vulnérable à toutes sortes d’attaques pour nous soutirer notre mot de passe (voir chapitre 6).

Même chose d’ailleurs si vous vous connectez à un sans-fil public. Même les réseaux munis d’un mot de passe ne sont pas à l’abri du regard de l’administrateur: que ce soit celui d’une école, d’une bibliothèque ou du bureau, l’administrateur de réseau est toujours en mesure d’observer et d’intervenir sur le réseau. C’est d’ailleurs pourquoi on constate parfois que notre navigation vers certains sites est bloquée: l’administrateur contrôlant son routeur peut décider de ce qui passe ou pas vers le réseau internet et peut donc substituer une page de blocage au contenu que vous avez demandé. Un administrateur de réseau sur un lieu de travail est aussi en mesure de remarquer que certains employés se connectent fréquemment à des médias sociaux…

1.8UNE FAUSSE IMPRESSION D’ANONYMAT

Certains systèmes en ligne, des forums de discussions par exemple, permettent une utilisation «anonyme». Ça ne signifie pas qu’il est impossible de savoir que nous avons utilisé le service, loin de là! Les métadonnées demeurent et sont très parlantes.

Pour se protéger, il est donc mieux de se connecter de manière chiffrée à un serveur extérieur au réseau, par lequel on fera passer les données. C’est le principe du VPN (Virtual Private Network, voir chapitre 7). Un réseau VPN crée un gros tuyau chiffré permettant de faire passer le trafic web entre l’appareil de l’utilisateur et le serveur avec lequel il souhaite communiquer. Le chiffrement rend le contenu des requêtes au serveur illisible à l’administrateur du réseau ou à tout autre tiers parti. C’est sécuritaire… tant qu’on fait confiance à l’administrateur du VPN! Celui-ci ne fait que déplacer le risque d’un endroit auquel on ne fait carrément pas confiance (le réseau sans fil douteux) vers un endroit auquel on souhaite faire confiance…

1.9UNE QUESTION DE CONFIANCE

La confiance est une notion qui reviendra fréquemment dans cet ouvrage. Comme on peut déjà le remarquer, il est impossible de tout contrôler soi-même.

La sécurité de l’information repose sur la confiance: celle qu’on témoigne à l’égard des individus, des administrateurs de réseau, des entreprises, des outils, des services, de certaines politiques publiques, etc. Comme c’est le cas dans d’autres contextes du quotidien, la confiance est quelque chose qui s’accorde. Elle ne doit pas être donnée trop facilement; quand elle l’est, ce n’est pas forcément de façon permanente. Il en est de même pour la sécurité de l’information. Plus souvent des informations sensibles sont confiées à un réseau, plus on doit faire confiance à ce dernier… On veille donc à se doter des outils et des connaissances qui permettent de faire des choix éclairés.

Les cybercriminels, les marketeurs, les forces de l’ordre, les gouvernements amicaux ou hostiles…: beaucoup d’acteurs s’intéressent à ce que font les gens ordinaires en ligne pour en tirer des renseignements ou des avantages. Avoir certains réflexes d’autodéfense par rapport à eux peut nous éviter bien des désagréments personnels, certes, mais c’est aussi une façon de protéger la santé d’Internet. La vie privée nous concerne tous, et apprendre à se connecter sécuritairement rehausse le degré de difficulté d’accès pour tous les acteurs qui ne l’ont pas à cœur.

1.10FAIRE CONFIANCE AUX FOURNISSEURS POUR ASSURER LA SÉCURITÉ? LE CAS DE TED ROGERS

En décembre 2005, Ted Rogers, ancien PDG de Rogers Communications, s’est fait cloner son cellulaire à répétition par des groupes terroristes, selon The Globe and Mail². Pourquoi Ted Rogers a-t-il été atteint? Parce que l’équipe de sécurité de Rogers était très mal à l’aise de couper l’accès au réseau du grand patron. Une cible de choix pour les terroristes, qui faisaient des appels gratuits à partir de son numéro tandis que l’équipe de sécurité tentait de s’attaquer au problème par des moyens moins directs.

La technologie cellulaire a changé depuis et rend ce type de clonage hautement improbable. Cependant, retenons qu’il n’est pas impossible qu’une entreprise réagisse en «laissant aller» si la sécurité de nos données est compromise par la présence d’un imposteur… Si c’est arrivé au grand patron d’une des plus importantes entreprises de télécommunications au Canada, ça peut nous arriver à tous!

1.Adapté de 7dragons.com Ultimate web Guide, cité dans Wikipédia, «Histoire d’Internet»: https://fr.wikipedia.org/wiki/Histoire_d%27Internet#cite_note-dates-2

2.www.theglobeandmail.com/technology/how-a-terror-group-cloned-ted-rogers-cellphone/article1132108/

2. PARTAGER SA VIE EN DIRECT

Julie, une décoratrice d’intérieurs à son compte, et Jérôme, un comptable, sont en couple et habitent ensemble depuis huit ans. Ils sont affichés comme tel sur leurs comptes respectifs de médias sociaux et possèdent chacun leur ordinateur et téléphone intelligent. Tant dans le cadre de leur travail que dans leurs occupations quotidiennes, Julie et Jérôme utilisent leurs appareils électroniques pour diverses fonctions: rester en contact, faire des achats en ligne, planifier leurs vacances, communiquer avec leurs clients et chercher de l’information. Leurs appareils les suivent également dans leurs déplacements.

Pour célébrer l’anniversaire de Julie, Jérôme lui réserve une surprise: il va la demander en mariage! Afin que ce moment soit mémorable, il souhaite trouver la bague de fiançailles parfaite. Grâce à la complicité de Mélissa, une amie du couple avec qui il communique par messagerie privée sur Facebook, Jérôme décide que le bijou devra être fait à la main par un joaillier local à partir d’un diamant canadien. Après beaucoup de recherches sur Internet et de partages de modèles de bague, parfois par messagerie privée et parfois dans un dossier commun de service infonuagique de partage de fichiers, ils dénichent un joaillier artisan qui accepte de créer le bijou selon leurs critères. Jérôme communique avec le joaillier par sa page Facebook d’entreprise et obtient un rendez-vous. Ils se rencontrent et conviennent du modèle qui sera fabriqué pour Julie à temps pour son anniversaire!

Mais, dans les jours qui suivent, Julie est submergée de publicités de salons de mariage et de bagues de fiançailles sur Facebook. Elle ne comprend pas trop ce qui se passe et finit par montrer une des publicités à Jérôme, lui disant à la blague que Facebook semble vouloir envoyer le message qu’il est grand temps de se marier. Jérôme est consterné: est-ce que sa surprise sera gâchée? Comment cela a-t-il pu se produire?

LE CÔTÉ CACHÉ DE LA VIE SOCIALE À L’ÈRE DU NUMÉRIQUE

La plupart des activités en ligne (sites web visités, mentions «J’aime», mots mentionnés dans les publications, messages envoyés en privé) comme hors ligne (magasinage, voyages, spectacles, etc.) se trouvent fréquemment collectées et emmagasinées par différents acteurs sous forme numérique pour ensuite être utilisées à différentes visées. Certains utilisateurs des médias sociaux ont déjà remarqué que, lorsqu’ils font des achats en ligne ou lorsqu’ils visitent un endroit, de plus en plus de contenu lié aux pages ou aux endroits visités se retrouve dans leur fil de nouvelles Facebook ou Twitter. D’autres fois, en partageant des statuts avec certains mots ou en participant à une discussion, des personnes voient apparaître des publicités ou du contenu lié à ce qu’elles ont écrit en ligne. Les utilisateurs seraient portés à croire qu’une publicité pour quelque chose apparaît aussitôt qu’ils en ont l’idée!

2.1LES TÉMOINS (COOKIES)

En plus d’être une agréable collation, les cookies sont aussi un élément indispensable au fonctionnement d’Internet et au profilage de ses usagers. Il s’agit de petits fichiers, appelés témoins, qui s’installent sur l’ordinateur d’un utilisateur dès qu’il visite un site web particulier. Ces fichiers peuvent contenir des informations d’ordre générique telles que la langue préférée, la devise, le pays, mais également des informations plus personnelles que l’utilisateur a choisi de partager avec le site visité, telles que les nom et prénom, les adresses courriel et physique, et le numéro de téléphone. Les témoins ont été créés officiellement dans le but d’améliorer l’expérience de navigation d’un utilisateur sur Internet et de faciliter la personnalisation du contenu des sites visités. Cela dit, ils peuvent aussi représenter un danger important par rapport à la vie privée et sont de plus en plus utilisés purement à des fins commerciales.

Les médias sociaux utilisent beaucoup cette technologie afin de tracer le parcours de leurs utilisateurs sur des sites tiers. Les témoins d’un média social tel que Facebook ont dû suivre les activités et recherches de Jérôme sur la plateforme ainsi que sur des sites tiers pour ainsi lui proposer de la publicité pertinente… à lui mais aussi à sa conjointe.

La phrase «Si vous ne payez pas pour le produit, c’est que vous êtes le produit» est de plus en plus prononcée par les experts en sécurité numérique, et le phénomène de la publicité ciblée est de moins en moins un secret pour la majorité des internautes. Cependant, le phénomène du profilage s’étend bien au-delà de ce qu’il est possible d’imaginer. Tout ce qui est partagé sur le Web par les utilisateurs influence le contenu qui leur est présenté et a même un impact sur ce que voient leurs proches!

Un autre enjeu lié à l’étalement de la vie sociale sur Internet est de l’ordre de la surveillance interpersonnelle. Par exemple, les statuts publics sur les médias sociaux ont le potentiel d’en révéler beaucoup aux employeurs, aux membres de la famille ou à d’autres individus. Ainsi, la majeure partie des informations transmises sur les réseaux de manière volontaire ou non circulent et racontent une histoire sur les individus qui les ont produites.

Partager sa vie en direct sur les médias sociaux n’est donc pas une chose anodine. Cela participe à la production et à la circulation exhaustive d’informations sur les utilisateurs. Les médias sociaux adoptent également plusieurs stratégies afin de pousser leurs abonnés à y partager plus d’informations et les instrumentalisent dans plusieurs facettes de leur vie quotidienne. Effectivement, leur modèle d’affaires s’appuie sur la collecte de données et leur exploitation. Cela n’est pas sans impact, car les modèles d’affaires et d’engagement de ces entreprises s’avèrent extrêmement intrusifs: ils influencent l’information présentée aux utilisateurs, que ce soit en termes de publicité ciblée ou d’organisation de nouvelles, tout en les rendant vulnérables à une variété d’acteurs (fraudeurs, pirates, mais aussi futurs employeurs ou tout autre adversaire ayant intérêt à tirer profit de ces informations). Il importe donc de se questionner sur la portée du partage d’informations sur la vie quotidienne, surtout dans un contexte où le numérique occupe une place grandissante.

DES ESPACES NUMÉRIQUES QUI RÉUNISSENT PLUSIEURS PUBLICS ET ENTITÉS

L’être humain est une créature sociale qui a comme besoin fondamental d’être en relation avec les autres. Le besoin de partage et de relativisation des expériences vécues peut prendre plusieurs formes, que cela soit un journal de bord, une œuvre d’art, des rencontres en groupe, etc. Avec l’arrivée d’Internet, des espaces d’échanges tels que les salons de clavardage instantané, les forums et les blogues se sont rapidement mis en place pour répondre à ce besoin. Ces espaces étaient en général des communautés relativement restreintes et liées par des intérêts communs, qui permettaient toutefois un certain anonymat grâce aux pseudos (surnoms) utilisés à l’époque, à la condition que ceux-ci ne contiennent pas d’indices trop liés à l’identité de l’utilisateur. Ces espaces d’échanges numériques étaient beaucoup plus simples et ne rassemblaient pas différents acteurs et fonctions en un même lieu, comparativement aux plateformes numériques d’aujourd’hui où convergent publicitaires, groupes d’intérêt ou d’échange (autour des recettes de cuisine ou du soutien parental, par exemple), partis politiques, médias, entreprises et individus.

Bref, les avancées technologiques et le Web 2.0 ont apporté beaucoup de changements dans les habitudes de réseautage et de communication. Il est maintenant possible pour les utilisateurs d’être connectés à leurs réseaux en tout temps et de partager avec eux ce qu’ils vivent et ressentent de façon instantanée, en agrémentant le tout d’images et de vidéos. Même à distance, les utilisateurs peuvent suivre en direct plusieurs aspects de la vie quotidienne de la famille et des amis dont les voyages, la rentrée scolaire des enfants, les dimanches à profiter de la terrasse avec un bon roman, etc. Des plateformes sociales telles que Facebook, Instagram et Twitter offrent aux utilisateurs ces possibilités gratuitement; il vous suffit d’avoir une adresse courriel pour y adhérer et retrouver famille, amis et divers contenus liés aux sujets qui vous intéressent.

Non seulement ces plateformes sociales permettent plus d’instantanéité, mais elles rassemblent maintenant les communautés de façon plus globale. Les internautes ne partagent plus leur quotidien avec uniquement une communauté d’intérêts particulière, les amis ou la famille. Nous assistons à une certaine mutation des communications, car les plateformes numériques sociales permettent une convergence de plusieurs publics. Cette convergence facilite de plus en plus les interactions avec la famille, les amis, les collègues de travail, les entreprises et les organismes, les grands médias et même les personnalités publiques tout en permettant aux utilisateurs de se garder à l’affût des actualités, et ce, à partir des mêmes plateformes. Ainsi, dans le milieu des communications, le terme «réseaux sociaux» fait place de plus en plus à «médias sociaux»³ lorsqu’il est question de ces plateformes, car celles-ci ont à la fois une fonction d’interaction sociale, de partage et de création de contenu, et d’offres de produits et de services. Elles servent à réunir, à divertir, à informer et parfois même à réfléchir, mais également à inciter à consommer et à influencer.

DES PLATEFORMES AUX VISÉES LUCRATIVES

Les médias sociaux ont également favorisé l’émergence de nouvelles pratiques commerciales. Autrefois, on trouvait les publicités et le partage des actualités marquantes surtout dans les médias télévisuels ou papiers. De nos jours, les médias, les organisations et les entreprises vont là où est le public: sur Internet et notamment sur les médias sociaux. Cette reconfiguration des pratiques de communication et de marketing a de grands avantages pour les entreprises: il leur est désormais possible non seulement d’avoir un vaste auditoire, mais également de développer une relation interactive avec, ce que les médias traditionnels ne permettaient pas. Ainsi, des équipes entières au sein des sociétés sont maintenant dédiées à la gestion des communications sur les médias sociaux, allant de la création de contenus engageants pour fidéliser la clientèle à un service interactif et personnalisé.

Le partage d’informations sur Internet a l’avantage de pouvoir rassembler les humains et les organismes, mais peut donner un faux sentiment de proximité, d’accessibilité et d’égalité. En effet, il est désormais facile et avantageux de pouvoir communiquer directement avec une personnalité publique, une compagnie aérienne, un restaurant. Cependant, avec ces avantages viennent certaines conséquences, car dans la mesure où plusieurs publics se trouvent sur ces plateformes l’environnement informationnel se transforme aussi. Ainsi, les utilisateurs des médias sociaux remarquent que les publicités se retrouvent de plus en plus dans leur vie quotidienne, jusque dans leurs activités les plus intimes. Seraient-ils devenus un produit?

En somme, tous les comportements numériques deviennent des éléments quantifiables et donc intéressants pour les entreprises et les autres organismes présents sur les médias sociaux et qui veulent pouvoir attirer un auditoire. Il ne faut pas oublier que les plateformes numériques sociales sont avant tout des entreprises privées! En effet, bien qu’elles soient au centre de nombreuses activités que nous faisons au quotidien, ces plateformes ne sont pas des services publics, mais bien des entités à visées lucratives. Ce qu’on y partage devient monnayable afin d’assurer la visibilité d’autres entités publiques et commerciales qui s’y trouvent aussi. Pensez-y, si nous aimons être vu par nos amis et collectionner leurs mentions «J’aime» pour nos statuts, les autres entités qui s’y trouvent vont également remarquer et surtout profiter de notre besoin de visibilité!

LES STRATÉGIES D’ENGAGEMENT DES PLATEFORMES NUMÉRIQUES

Règle générale, les utilisateurs adhèrent gratuitement aux services des plateformes sociales à l’aide d’une adresse courriel et par l’installation d’une application permettant de consulter et de publier du contenu à même un téléphone intelligent ou une tablette. À portée de main, ces appareils permettent la consultation fréquente et continue des plateformes et s’insinuent ainsi dans les habitudes quotidiennes des utilisateurs. Toutefois, en contrepartie de la gratuité et de l’accessibilité, les médias sociaux forment un écosystème qui rassemble à la fois citoyens, organisations et entreprises.

La majorité de ces plateformes sont dotées d’un puissant modèle d’affaires qui consiste à déployer plusieurs stratégies d’engagement afin d’y assurer la présence d’utilisateurs, puis de pousser ces derniers à y partager et y divulguer de l’information: le partage de cette information est la source même de la rentabilité des plateformes. Elles cherchent également à s’assurer que les différentes entités présentes, aux visées lucratives ou à la recherche de visibilité, paieront pour avoir accès aux différentes informations partagées par les citoyens utilisateurs. Ainsi, plus les utilisateurs interagissent sur les plateformes, plus ils produisent de l’information. Ici, «interaction» signifie toute forme d’engagement avec les utilisateurs, mais aussi avec les fonctionnalités des plateformes en général. Les stratégies d’engagement se déclinent en trois grandes catégories: la personnalisation, l’interpellation et la ludification.

La personnalisation est encouragée par les plateformes afin que les utilisateurs puissent y retrouver plus facilement leurs amis et bénéficier de l’expérience de partage et d’interaction avec la communauté élargie. Les utilisateurs ajoutent une photo de profil, indiquent la ville où ils habitent, leur lieu de travail, les membres de leur famille et leur situation conjugale, ainsi que des informations liées à leurs champs d’intérêt. Bien que le profil des utilisateurs soit en mode privé, ces informations sont stockées à même la plateforme et influencent le contenu qui apparaît dans leur fil de nouvelles.

L’interpellation, qui consiste en un dialogue entre les plateformes et les utilisateurs, est une façon d’assurer l’engagement et la rétention. Les plateformes nous envoient différentes notifications pour nous inciter à les consulter souvent. Elles nous rappellent aussi que ça fait longtemps qu’elles ont entendu parler de nous et nous incitent continuellement à partager et à interagir davantage. Il arrive parfois que les plateformes nous incitent à nous identifier dans un lieu que nous visitons ou un événement auquel nous assistons, afin que nous partagions cette information en direct avec nos amis, et ce, grâce à l’appareil mobile que nous avons tous presque toujours à portée de main et lors de nos divers déplacements.

La ludification est définie par les experts en marketing comme l’utilisation d’éléments de jeu afin de faire participer les utilisateurs et d’influencer des comportements⁴. Certaines stratégies d’engagement des plateformes prennent alors une forme ludique, par exemple des questionnaires amusants ou des émojis (, ) à utiliser en réaction à des publications. Ces formes d’interactions, qui servent à garder les utilisateurs engagés, constituent toutefois elles aussi des informations précieuses pour mesurer et quantifier leurs réactions à divers contenus, mais aussi pour les pousser à dévoiler et à partager davantage d’informations personnelles.

Il est donc important de se rappeler que, derrière le partage et la socialisation, le jeu et l’aspect distrayant, la plateforme a nécessairement des visées lucratives, car les informations recueillies seront exploitées ou vendues par la suite à d’autres entités à visées commerciales qui sont également présentes sur ces plateformes et qui s’insinuent ainsi dans la vie quotidienne des utilisateurs.

2.2LE SAVIEZ-VOUS?

Les jeux et tests de personnalité de type «quel personnage êtes-vous?» sont des stratégies de collecte de données!

Vous avez sans doute vu passer ce type de publications dans votre fil d’actualités et vous y avez probablement même participé! Cependant, connaissez-vous la vraie raison d’être de ces jeux?

Afin de découvrir quel personnage de film vous êtes, il vous est demandé d’autoriser l’application à accéder à vos informations et à les publier en votre nom sur Facebook. Ainsi, vos informations se retrouvent désormais dans la base de données de tiers, car vous avez autorisé Facebook à les partager avec ces autres entités. Ces données seront ensuite utilisées par des entreprises pour vous cibler selon les informations apparaissant sur votre profil: votre âge, votre genre, votre lieu de résidence, etc. Voici un bel exemple de stratégie ludique déployée à des fins lucratives!

LE CIBLAGE PUBLICITAIRE ET LE CONTENU PRÉSENTÉ AUX UTILISATEURS

Aimer un statut, partager avec des amis une publication liée à l’actualité, suivre une page d’entreprise ou d’une personnalité publique constituent un ensemble d’activités et d’interactions qui sont également des informations précieuses! En effet, c’est par les champs d’intérêt et la façon dont les utilisateurs interagissent avec une plateforme numérique que les différentes entreprises parviennent à cibler ceux-ci ainsi que les gens qui font partie de leur réseau.

Ce système de ciblage publicitaire et de surveillance (mots-clés tapés, informations cherchées, déplacements géographiques des utilisateurs) a fait en sorte que des contenus liés au mariage se sont retrouvés dans le fil de nouvelles de Julie, future mariée! En effet, plus Jérôme et Mélissa ont fait de recherches, plus ils ont produit de données et de métadonnées qui constituent des informations précieuses pour les entreprises. Celles-ci ont tenté par la suite d’exploiter les informations recueillies.

2.3UN EXEMPLE DE CIBLAGE PUBLICITAIRE

Si vous êtes un adepte de séries télévisées, il se peut que vous soyez abonné à une page Facebook ou un compte Twitter lié à des émissions que vous regardez fidèlement chaque semaine. En effet, les médias sociaux permettent de rester à l’affût de ce qui arrivera à votre personnage favori ou simplement de discuter avec d’autres adeptes de la série. Toutefois, savez-vous que, en vous y abonnant, vous donnez votre accord tacite pour être ciblé selon vos intérêts?

Ces intérêts constituent des informations monnayables pour les médias sociaux et il est fort possible que des séries concurrentes vous repèrent et paient pour que vous voyiez leurs publicités apparaître sur votre fil de nouvelles. C’est-à-dire que si vous vous intéressez à une série télévisée, vous avez des chances d’en aimer d’autres au contenu semblable. C’est ce qu’on appelle les audiences similaires. Voilà un bel exemple de ce que nous entendons par «vous êtes le produit».

La production et la circulation des données et des métadonnées des utilisateurs sont inévitables: il s’en produit lors d’une recherche d’informations sur le Web, lors de la connexion à un réseau, lors d’une requête d’accès faite à un service web ou encore lors de l’accès aux fichiers et informations confiés à des services infonuagiques. Bref, si la récolte d’informations sur les utilisateurs peut, dans certains contextes, être utile et désirable – par exemple lors de l’authentification d’un usager à un service web ou pour assurer le bon fonctionnement des sites web visités et envoyer des rapports de plantage aux entreprises –, il faut souligner qu’Internet aujourd’hui, et particulièrement depuis l’avènement du Web 2.0, encourage par ses modèles d’affaires et d’engagement la transparence des utilisateurs et la collecte massive de leurs données à des fins commerciales. Les médias sociaux en sont un exemple retentissant.

2.4QUELLES INFORMATIONS PRODUISEZ-VOUS QUOTIDIENNEMENT?

Les termes «données» et «métadonnées» ont jusqu’ici été employés pour désigner l’information produite par les utilisateurs. Cependant, le paysage numérique est beaucoup plus complexe: les données et les métadonnées sont produites dans un contexte d’utilisation quotidienne, qui influencera certainement le type d’informations produites, le contrôle de l’usager sur celles-ci ainsi que les acteurs qui y auront accès. Dans son livre Data and Goliath, le technologiste Bruce Schneier identifie six types de données (et de métadonnées) produites par les activités en ligne quotidiennes⁵.

Les données de services: les informations données aux entreprises afin d’obtenir un service (électricité, Internet, etc.). Ces informations consistent généralement en votre vrai nom, votre âge, votre pays de résidence et votre numéro de carte bancaire. Ces informations sont conservées numériquement par les entreprises.

Les données révélées: les informations que vous publiez en tant que contenu sur un site web ou sur une plateforme que vous administrez vous-même.

Les données confiées: les informations que vous publiez sur des plateformes administrées par des tiers, telles que Facebook, Twitter et Instagram. Bien que vous puissiez décider de ce que vous y divulguez, vous n’avez pas le contrôle sur ce que ces plateformes feront par la suite avec vos données.

Les données annexes: les informations publiées à votre sujet (une photo de vous, votre nom mentionné dans une discussion ou un tweet) par des personnes autres que vous. Ce type de données peut également prendre la forme de vos informations de contact lorsqu’un ami autorise un service tel que Google ou Facebook à accéder au carnet de son téléphone intelligent.

Les données de comportement: les métadonnées créées lors de vos interactions avec un ordinateur ou un téléphone intelligent. C’est l’empreinte numérique que vous laissez et qui contient des informations telles que l’endroit d’où vous vous connectez, les sites que vous consultez, les personnes avec qui vous parlez ainsi que la durée des sessions.

Les données dérivées: les métadonnées tirées des précédentes données pour créer des groupes de profils à partir de caractéristiques communes, créant ainsi un bassin d’utilisateurs à cibler pour les firmes de marketing.

Le ciblage des utilisateurs selon les données et les métadonnées qu’ils produisent peut certes avoir un côté positif! En effet, cela leur permet de découvrir des contenus directement liés à leurs champs d’intérêt et qu’ils n’auraient peut-être pas connus autrement! Mais qu’en est-il vraiment des conséquences à moyen et à long terme de la visibilité sélective des contenus qui ne sont générés que selon les champs d’intérêt et les relations des utilisateurs?

AU-DELÀ DE LA PUBLICITÉ CIBLÉE: UNE INFORMATION ORGANISÉE

Les sites de partage et la connectivité qu’ils favorisent ont l’avantage de rassembler les humains, les entreprises et les organismes, mais cette connectivité entraîne certaines conséquences. Les espaces d’échanges et de partage profitent à une poignée d’acteurs qui tendent, la plupart du temps, à tirer un profit financier des activités de ses utilisateurs (en anglais, c’est ce qu’on appelle le digital labor, ou labeur numérique). Ces acteurs basent leur modèle d’affaires sur la transparence des utilisateurs et tentent de les garder connectés en leur présentant du contenu qui leur plaît. Les fils de nouvelles en sont des exemples retentissants: Mark Zuckerberg, fondateur et PDG de Facebook, a notoirement affirmé que l’algorithme qui organise les contenus présentés pouvait déterminer si un article portant sur un écureuil mort au coin d’une rue serait potentiellement plus pertinent (ou agréable) pour un utilisateur donné qu’un enjeu de politique internationale se déroulant à des centaines de kilomètres. Il va sans dire que toute forme de médiation des informations a ses partis pris, ce qui peut avoir des répercussions à court, à moyen et à long terme sur le quotidien des individus et des collectivités.

Il est difficile d’imaginer l’ensemble des informations disponibles sur Internet. Entre les blogues, les médias sociaux et les sites de nouvelles et de divertissement, sans moteur de recherche ou autre dispositif pour structurer l’information, il serait très facile de s’y perdre. Il faut du monde (ou des algorithmes) pour organiser le contenu auquel nous avons potentiellement accès, sans quoi chaque recherche serait comme chercher une aiguille dans une botte de foin. Néanmoins, il faut reconnaître qu’il est impossible d’organiser l’information d’une manière «neutre» ou «objective». Toute forme d’organisation comporte un parti pris plus ou moins explicite.

L’IDENTITÉ NUMÉRIQUE «FORCÉE»

Il est également important de prendre en compte que la collecte de données, le profilage et les jeux d’influence en découlant peuvent s’étendre au-delà de ceux qui participent à ces plateformes de façon volontaire. Plusieurs personnes qui ne sont pas sur ces plateformes sont également soumises à du profilage sans même en être conscientes ou consentantes. Pensons notamment aux enfants, mais également à ces connaissances, membres de la famille ou amis qui refusent (ou omettent) d’entretenir un compte sur ces plateformes. En effet, nous connaissons tous des gens qui ne veulent pas avoir de présence sur Internet, mais est-ce vraiment possible de l’éviter quand ceux qui nous entourent accumulent bien involontairement des données sur nous?

Les futurs parents, par exemple, ressentent fréquemment le besoin de partager les bonnes nouvelles avec leur réseau. Ce besoin de partage vécu par le parent est bien réel, même nécessaire, et constitue une partie importante de la vie parentale. Les différentes plateformes sociales nous permettant de garder le contact avec nos proches s’avèrent donc pratiques pour partager avec eux ces moments importants malgré la distance qui nous sépare ou le temps qui nous manque. Toutefois, en publiant une photo d’échographie ou en demandant à ses amis de voter pour le nom d’un enfant, on vient déjà de mettre dans un système tiers des données sur un être humain qui n’est pas encore né. Dès la naissance de l’enfant, chaque étape partagée par les parents ou les grands-parents, des premiers pas à la rentrée scolaire, contribue à générer des données sur celui-ci, à lui créer une existence numérique avant même qu’il ait l’âge de pouvoir y consentir ou d’avoir son propre compte sur les réseaux sociaux.

2.5LE SAVIEZ-VOUS? LES PROFILS DE FEMMES ENCEINTES SONT PARMI LES PLUS LUCRATIFS!

La sociologue américaine Janet Vertesi a démontré que les annonceurs ont un grand intérêt à cibler les femmes enceintes, car celles-ci se trouvent à un moment de leur vie propice à la consommation, mais également à l’influence, en raison de l’inquiétude et de la vulnérabilité inhérentes à la parentalité. Ainsi, dès les premières recherches sur Internet liées à la maternité, une future maman est immédiatement identifiée comme «femme enceinte» et sera alors bombardée de publicités ciblées. Ce marché est si lucratif que les informations utilisées à des fins de marketing associées à des profils de femmes enceintes grimpent à 1,50 $, comparativement à celles d’un utilisateur moyen qui valent 10 ¢. Les entreprises considèrent que les femmes enceintes auront davantage tendance à être influencées par les publicités puisqu’elles auront à faire des achats importants dans le court et le moyen terme. La publication de statuts, de photos d’un ventre qui s’arrondit ou d’écho-graphies, des abonnements à des forums de discussion liés à la parentalité ou tout simplement des recherches effectuées en ligne permettent de repérer une personne correspondant à cette catégorie de consommateur.

En ce sens, la sociologue affirme que le seul moyen pour les futurs parents d’échapper à ces stratagèmes ou de se soustraire au ciblage serait d’utiliser des modes de navigation anonymes tel que le navigateur anonyme Tor (voir le chapitre 8) afin de protéger leurs données, et ce, dès la planification d’une grossesse.

Il faut également se rappeler que les enfants sont exposés et rendus vulnérables très tôt à ce genre d’enjeux de profilage et d’influence. Aujourd’hui, le parent reçoit des publicités sur les événements marquants de la vie de son enfant, mais celui-ci, à un âge où il aura la possibilité de créer un compte à lui, découvrira qu’il a déjà un historique, que des données relatives à son nom ou à son visage auront été massivement conservées. Alors que ce nouvel utilisateur fait tout juste son entrée sur la plateforme, on lui proposera des amis, du contenu à suivre et diverses publicités en fonction des données amassées par sa famille!

2.6LES ALBUMS DE PHOTOS EMBARRASSANTS VERSION 2. 0

Ceux qui sont un peu plus vieux se rappelleront l’embarras vécu lorsque leur mère ou leur père insistait pour montrer leur album de photos de bébé à leurs amis, à l’amoureux ou à l’amoureuse. Sur les médias sociaux, la portée de ce geste est considérablement amplifiée: les photos de bébé gênantes peuvent être rendues accessibles à de futurs employeurs. S’ajoutent donc aux enjeux sociaux des enjeux personnels de taille.

Ces photos, même si elles sont supprimées des profils des parents, restent néanmoins la propriété de grandes entreprises. Des copies sont enregistrées et restent de manière plus ou moins permanente sur des serveurs un peu partout dans le monde, sans possibilité pour les utilisateurs d’en reprendre le contrôle ou même de savoir où ces photos sont conservées malgré leur «disparition»!

Enfin, il y a eu des cas récents où des enfants ont poursuivi leurs parents, car ils ne se sont pas à l’aise avec tout le contenu diffusé sur eux sur les médias sociaux, redéfinissant ainsi les notions du droit à l’image et à la vie privée.

La situation est similaire pour les personnes de votre entourage qui ne sont pas présentes sur les médias sociaux. Votre propre présence force en quelque sorte la leur sur certains plans. Il en va de même pour les amis, membres de la famille et collègues qui sont présents sur la plateforme, mais qui préfèrent ne pas être identifiés dans une photo, par exemple. En effet, il n’est même pas nécessaire d’identifier quelqu’un! La simple présence de son visage sur l’image ainsi que les données de géolocalisation font en sorte qu’il est dans le système, identifié sous son nom et étiqueté comme étant à tel endroit à tel moment et avec telles personnes.

L’OBSERVATION INTERPERSONNELLE: DES INCONNUS QUI VOUS SURVEILLENT

Les métadonnées racontent furtivement des histoires sur les utilisateurs. Nous avons vu que leurs histoires peuvent permettre le ciblage des individus à des visées lucratives ou politiques. Au-delà de la technique, il y a une autre conséquence de la présence numérique et des partages, qui relève de l’observation interpersonnelle. D’autres personnes peuvent voir l’information divulguée, lire l’histoire contenue dans un profil. Les plateformes ne sont pas les seules qui vous voient. Il y a aussi des particuliers qui y sont présents et qui peuvent vous observer.

Au-delà de la vente des publicités, les médias sociaux sont des outils par excellence pour fabriquer des images de ce que nous sommes en tant qu’être humain. Dans un nombre grandissant d’entreprises, les services de ressources humaines font des enquêtes sur les médias sociaux avant d’embaucher un individu. Des pages qui ont été «aimées» de manière ironique, ou pour pouvoir suivre quelqu’un à des fins informatives, contribuent elles aussi à créer une histoire qui ne correspond pas toujours au «vrai» profil du candidat. Par exemple, quelqu’un qui suit un mouvement politique controversé s’expose à des questions gênantes si un employeur potentiel voit son profil et des informations ou des images qui semblent raconter une histoire compromettante. Même si l’histoire qu’on croit lire à partir de ces données visibles au public est fausse, elle ne laisse pas de place à la justification. Dans une situation de recherche d’emploi, la présence de ce type de données dans le profil d’un candidat peut avoir une incidence directe sur la décision prise par l’employeur.

Les plateformes sociales sont un terrain idéal pour des personnes malintentionnées afin de vous observer et de collecter de l’information importante sur vous et pouvant ensuite être utilisée à mauvais escient. Ainsi, certaines de vos publications peuvent renfermer des renseignements qui paraissent anodins à première vue: le nom de votre animal, les membres de la famille, votre date de naissance et votre lieu de travail. Toutes ces informations peuvent ensuite servir à voler votre identité numérique, vous exposer à la fraude et parfois même signaler à de potentiels voleurs que vous n’êtes pas à votre domicile. Il est donc important d’ajuster vos paramètres de confidentialité, mais également de vous assurer de ne faire entrer que des personnes de confiance dans votre réseau.

2.7SE PRÉMUNIR DE LA SURVEILLANCE INTERPERSONNELLE

Voici quelques notions et conseils de base pour protéger son identité et les informations qui sont susceptibles d’être dévoilées à divers acteurs.

•Faire un ménage régulier des paramètres de confidentialité sur les plateformes: vérifier qui peut voir quoi et, au besoin, créer des groupes pour le partage de contenus (visible à la famille seulement, aux collègues de travail, etc.).

•Vérifier l’identité d’une personne avant de l’accepter dans son réseau. Au besoin, lui poser des questions de vérification telles que: «À quel endroit nous sommes-nous rencontrés?»

•Faire attention à ses publications dans les groupes Facebook de quartier ou de communautés d’intérêts. Il y a des gens qui adhèrent à ces groupes afin d’avoir accès à des informations précieuses qu’on y divulgue parce qu’on fait confiance aux membres de la communauté.

•Désactiver la géolocalisation sur ses appareils: résister aux appels de partage par les plateformes et attendre le retour à la maison avant de partager des contenus liés aux activités extérieures, tels que les concerts, les voyages, etc.

REPRENDRE LE CONTRÔLE DES MÉDIAS SOCIAUX

Très au centre de nos habitudes quotidiennes, les médias sociaux répondent à des besoins fondamentaux chez les humains et s’avèrent même pratiques pour la communication et les relations, autant pour les citoyens que pour les organisations. Par contre, il a été démontré que les diverses plateformes omniprésentes dans la vie quotidienne des utilisateurs peuvent aussi user de stratagèmes d’engagement et de surveillance qui ne sont pas anodins. Ainsi, la prochaine fois que vous vous sentirez incité à publier un contenu, demandez-vous: est-ce vraiment nécessaire de partager cela?

3.Proulx, Serge, Mélanie Millette et Lorna Heaton (dir.), Médias sociaux: enjeux pour la communication, PUQ, 2012.

4.Marczewski, Andrzej, Gamification: A Simple Introduction & a Bit More, 2013.

5.Schneier, Bruce, Data and Goliath: The Hidden Battles to Collect Your Data and Control Your World, W.W. Norton, 2015.

3. L’INGÉNIERIE SOCIALE – LES VULNÉRABILITÉS DE L’ÊTRE HUMAIN

LA FRAUDE DU PRÉSIDENT

Ginette est comptable de formation. Elle travaille dans une coopérative depuis une décennie, dans laquelle elle s’est entièrement investie. Lentement mais sûrement, elle a su faire sa place dans l’organisation pour atteindre les plus hautes sphères de l’entreprise. Depuis peu, elle est contrôleuse des finances de l’organisation, c’est-à-dire que les importantes transactions de la coopérative doivent être approuvées par elle.

Par un beau vendredi matin d’été, elle reçoit un courriel d’Yvan, qui est l’un des grands décideurs de l’entreprise. Yvan, que Ginette sait en voyage à l’étranger, lui indique que la coopérative désire faire l’achat d’une entreprise pour près de 6 millions de dollars. Il est important que le transfert de fonds soit effectué rapidement, car d’autres organisations ont manifesté leur intérêt envers cette entreprise, et il faut donc rendre le processus le plus fluide possible. Yvan indique également à Ginette que, puisqu’il s’agit du genre de transaction qui est suivi très étroitement par les autorités québécoises, il faut que l’achat soit tenu confidentiel jusqu’à sa conclusion. Dans le but de rendre service à Yvan et de bien répondre à ses obligations de contrôleuse, Ginette suit les instructions de celui-ci. Il demande à Ginette notamment de communiquer avec l’avocat d’une firme externe spécialisée en achat et vente d’entreprises, Me Tremblay. Me Tremblay sera celui qui supervisera les échanges entre les diverses parties pour que le transfert de fonds de la coopérative soit bien effectué.

Au courant de la journée, Ginette parle plusieurs fois au téléphone avec Me Tremblay, qui exige qu’elle lui fournisse une quantité impressionnante de documents afin de bien conclure la transaction. Elle lui envoie tous les documents demandés et même plus. Finalement, Ginette indique à Me Tremblay qu’il doit remplir un bordereau de paiement qui requiert deux signatures, la sienne et celle de Stéphane, un autre employé du service. Puisqu’il s’agit d’un sujet sensible, Me Tremblay informe Ginette qu’il va lui-même communiquer avec Stéphane pour assurer la confidentialité du dossier. Quelques instants plus tard, Me Tremblay revient avec le bordereau signé par Stéphane. Tout semble en ordre.

Ce que Ginette ne sait pas encore, c’est que personne n’a communiqué avec Stéphane. Le bordereau a été signé par des fraudeurs, qui se sont servi d’un document portant la signature de celui-ci que Ginette leur a fait parvenir.

Ainsi, la fraude a lieu. Ginette fait parvenir la demande de transfert de 5,5 millions de dollars à la banque, et celle-ci effectue le virement vers une banque située en Europe de l’Est, là où se trouve Yvan.

Vendredi, en fin de journée, Yvan revient au bureau. Pendant le 5 à 7 de la coopérative, Ginette l’interroge au sujet de la transaction afin de savoir si tout s’est bien conclu. De fil en aiguille, ils se rendent compte de la catastrophe qui vient de se produire.

Ginette et Yvan passent en mode de gestion de crise. Malheureusement, c’est déjà la fin de semaine en Europe, et en Amérique du Nord la plupart des employés sont à l’extérieur du bureau. Il s’avère alors trop difficile de renverser le processus. Ils n’y arriveront pas et l’argent disparaîtra dans les poches des fraudeurs.

Ils ont été victimes d’une attaque de harponnage selon une méthode classique d’ingénierie sociale.

Que s’est-il passé?

Cette attaque de harponnage s’appelle la «fraude du président». Son objectif est de soutirer de l’argent à une entreprise alors que quelqu’un se fait passer pour son président.

Le travail nécessaire pour réussir la fraude du président est relativement minutieux. Tout d’abord, l’attaquant doit en planifier toutes les étapes avant de passer à l’action. Le processus peut prendre plusieurs semaines, voire des mois. L’attaquant fera une analyse de l’entreprise et des employés visés. Dans ce cas-ci, il a dû déterminer les personnes d’intérêt en se fiant au site web de l’entreprise dont l’organigramme laisse voir les niveaux hiérarchiques, les titres, les adresses courriel et les postes téléphoniques. Qui plus est, le site web donne les résultats financiers des années précédentes, et on peut déterminer, à partir des renseignements fournis, qui sont les décideurs financiers de l’entreprise. En allant sur des réseaux sociaux accessibles au grand public, notamment ceux qui sont utilisés pour faire la promotion de l’entreprise, l’attaquant peut confirmer que ces personnes sont toujours en place et commencer à tracer les liens hiérarchiques et les interactions entre les employés (qui répond à qui, qui interagit avec qui). On peut déterminer le meilleur moment pour effectuer l’attaque en suivant les comptes personnels des dirigeants sur les médias sociaux, si une personne identifiée comme le grand décideur y indique par exemple qu’elle est en voyage en Europe de l’Est et qu’elle met des photos d’elle et de sa famille. L’attaquant pourra confirmer la non-disponibilité de cette personne en lui envoyant un courriel et en recevant comme réponse un courriel automatisé d’absence, ou en appelant et en tombant dans sa boîte vocale.

Ensuite, une fois que la phase d’analyse est complétée, les moyens de communication les plus cohérents en fonction de la réalité de l’organisation ciblée doivent être choisis et l’opération, enclenchée. L’objectif sera alors de réussir à tromper l’employé visé, de le manipuler et, finalement, de le contrôler. Dans le cas présent, l’objectif était de convaincre Ginette, l’employée visée, à accomplir une action précise, soit le transfert bancaire.

3.1HAMEÇONNAGE ET HARPONNAGE, QUELLE EST LA DIFFÉRENCE?

Ces deux types d’attaques d’ingénierie sociale sont différentes tant au niveau des phases d’analyse qu’au niveau de l’exécution. Fondamentalement, cela correspond au modèle d’affaires recherché par l’attaquant.

Hameçonnage: les attaques d’hameçonnage sont des attaques qui visent un grand nombre de personnes. Le terme provient de la pêche commerciale où il renvoie aux grands filets qui sont mis en mer. Le modèle d’affaires de ce type d’attaque s’appuie sur le volume. Par exemple, un attaquant envoie une dizaine de millions de courriels à des comptes courriels au Québec. Le contenu de ce courriel, plutôt générique, donne l’impression de provenir d’une banque locale. Même si la vaste majorité des gens (99,97%) n’interagiront pas avec ce courriel qu’ils estiment être de la fraude, une infime partie (0,03%) cliquera sur le lien en croyant que c’est un courriel légitime. Sur 10 000 000 de comptes courriels, cela équivaut à 3 000 personnes. Les conséquences de l’interaction avec le courriel peuvent varier en fonction de la technologie utilisée, mais si on suppose que chaque interaction entraîne un transfert volontaire ou un vol de 100 $, on parle tout de même d’une attaque permettant de récolter 300 000 $.

Harponnage: le harponnage est le contraire de l’hameçonnage. Ce terme provient également de la pêche, de l’opération où l’on vise une seule grosse prise. Le modèle d’affaires du harponnage s’appuie sur la qualité opérationnelle de la fraude et de la qualité financière de la cible. Plus une cible possède de ressources financières ou informationnelles, plus elle risque d’être visée par une attaque de harponnage. La «fraude du président» dont ont été victimes Ginette, Yvan et la coopérative est un exemple type de harponnage.

QU’EST-CE QUE L’INGÉNIERIE SOCIALE?

L’être humain est une créature sociale. Son univers est construit par ses interactions avec les autres. Les familles, groupes, collègues, entreprises, etc., sont autant d’exemples illustrant que le tissu social est construit et structuré à partir de la prémisse que nous sommes plusieurs à y participer. Chacun y joue un rôle, qui est encadré, défini et comporte des pouvoirs plus ou moins importants. Ce rôle est également variable, selon les contextes (par exemple les pouvoirs et responsabilités d’un individu peuvent varier dans un contexte professionnel ou familial).

L’informatique est omniprésente dans nos vies et s’est développée dans l’objectif de répondre, entre autres, à différents besoins des sociétés humaines. La structure, le fonctionnement et la sécurité des réseaux d’aujourd’hui ne sont pas le fruit du hasard: ils sont le résultat d’interactions complexes entre un ensemble de décisions politiques, économiques et techniques et entre les usages des citoyens. Par exemple, afin de rendre les outils informatiques accessibles à une vaste majorité de la population, des choix techniques ont dû être faits pour assurer leur convivialité et leur facilité d’utilisation. Suivant cette logique, au cours des années et en fonction des attaques et des intrusions, les systèmes informatiques ont été renforcés, protégés, audités, optimisés et améliorés.

Malheureusement, tout ne se règle pas grâce à la technologie! Malgré l’optimisation et l’amélioration des systèmes informatiques, l’être humain en demeure l’une des principales vulnérabilités. Le degré de littératie numérique général n’a pas suivi le développement exponentiel des systèmes informatiques. Ainsi, exploiter l’humain comme principale vulnérabilité des systèmes informatiques permet à de plus en plus d’attaquants et de fraudeurs de prendre un raccourci pour accéder à des informations (ou des ressources) disponibles sur un réseau. Il s’agit de ce qu’on appelle un point de défaillance unique. Et autour de ce point de défaillance particulier s’est développée toute une science: l’ingénierie sociale.

Prenant pour cible les organisations ou les individus, l’ingénierie sociale est le terme employé pour désigner l’art de comprendre les failles psychologiques de l’humain afin de mieux le manipuler. Dans le milieu informatique, il s’agit d’une démarche conçue pour accéder à un système en exploitant les faiblesses des humains pour contourner les dispositifs de sécurité structurels.

Autrement dit, faire de l’ingénierie sociale, c’est hacker l’être humain.

Souvent en complément aux logiciels d’attaque informatique, l’ingénierie sociale peut se déployer sous plusieurs formes. L’objectif est généralement d’amener un individu à commettre malgré lui une action qui permettra à un attaquant d’accéder à un système auquel il ne devrait normalement pas avoir accès. Cette action permettra à l’attaquant de prendre le contrôle d’un système ou d’une information, qu’il pourra ensuite utiliser à ses propres fins, par exemple afin de revendre l’information ou de changer des résultats d’un concours.

Il y a trois manières d’obtenir de l’information et d’amener une cible à passer à l’acte: l’élicitation, la sollicitation et la coercition. Dans ce chapitre, nous aborderons l’élicitation et la sollicitation.

3.2QUELLE EST LA DIFFÉRENCE ENTRE ÉLICITATION, SOLLICITATION ET COERCITION?

En informatique, l’élicitation est l’extraction subtile d’informations durant une conversation apparemment normale et innocente. Il s’agit de la meilleure manière de soutirer de l’information à une cible, surtout parce qu’elle ne soulève pas de soupçons.

La sollicitation est plus directe et moins subtile que l’élicitation. Il s’agit d’une démarche claire et concrète effectuée par un attaquant dans le but d’inciter la cible à faire quelque chose ou à révéler une information. Il s’agit de la façon de procéder la plus fréquente dans le cadre d’une attaque d’ingénierie sociale.

La coercition est à l’autre bout du spectre. Il s’agit d’une manière physiquement ou moralement violente de soutirer de l’information à une cible ou de la forcer à commettre une action.

Bien que l’ingénierie sociale ait pris son envol au cours des dernières années, particulièrement dans le contexte de la croissance des technologies, il est important de garder en tête qu’elle ne sert pas qu’à des individus ou à de petits groupes malveillants dans le cadre d’attaques informatiques. Elle peut également être utilisée par des entreprises, des organisations et des gouvernements à l’occasion de campagnes beaucoup plus élargies afin de modifier les comportements ou les perceptions d’un groupe de personnes en particulier. Nous nous intéresserons principalement aux attaques d’ingénierie sociale qui ciblent les systèmes informatiques et – évidemment – les humains qui les utilisent.

SE METTRE DANS LA PEAU DE L’ATTAQUANT

Peu importe la complexité ou la simplicité d’une opération d’ingénierie sociale, les étapes planifiées par un attaquant sont souvent les mêmes. Elles requièrent toujours, dans un premier temps, une analyse minutieuse de la situation afin de procéder, dans un deuxième temps, à l’attaque qui permettra, si l’opération réussit, la manipulation de la cible.

L’analyse

D’entrée de jeu, un travail de recherche doit être effectué. Un attaquant doit comprendre sa ou ses cibles afin de construire un profil type. L’objectif: déterminer le contexte et l’environnement dans lesquels évolue la cible ainsi que ses motivations.

La compréhension de l’environnement d’une cible permet de mieux contextualiser l’attaque et d’amasser toute l’information disponible pour faire en sorte que la cible trouve la situation frauduleuse plausible. Si on connaît les motivations de la cible, on augmente les probabilités que celle-ci passe à l’action.

Le contenu que nous publions en ligne donne beaucoup de détails sur la personne que nous sommes. Toutes ces informations peuvent, en fonction du degré de motivation de l’attaquant, être utilisées contre nous, à notre insu, que ce soit pour usurper notre identité, pour nous tromper, nous manipuler et nous contrôler ou pour s’attaquer à un de nos proches. Par exemple, pour un reportage télévisuel, un membre de l’équipe de Crypto.Québec a été invité à tenter de pirater le compte privé d’une journaliste sur un réseau social populaire. En moins d’une heure, en faisant l’analyse des profils des proches (non privés) de la cible, notre collègue a réussi à répondre à la question de sécurité du compte privé et à en prendre le contrôle total. La réponse à la question de sécurité était un renseignement que la mère de la journaliste avait partagé avec son réseau quelques années auparavant.

3.3DE QUOI SE NOURRISSENT LES INGÉNIEURS SOCIAUX?

Adresses courriel, numéros de téléphone et comptes de médias sociaux: en connaissant nos coordonnées électroniques, un attaquant peut tenter de les usurper (spoofer) en donnant l’impression qu’il écrit à quelqu’un à partir de notre adresse courriel, ou simplement chercher sur Internet toutes les discussions et informations en lien avec ce courriel, le numéro de téléphone ou les comptes de médias sociaux.

Photos et vidéos: à l’aide de photos et de vidéos, un attaquant potentiel pourra obtenir beaucoup d’informations sur le comportement et les habitudes d’une cible, comment elle s’habille, la manière dont elle s’exprime, les gens qu’elle côtoie (âge, genre, noms, origines), ou encore le type de relation qu’elle entretient avec d’autres (par exemple qui commente ou aime ses photos sur les médias sociaux).

Le contenu des échanges: certains échanges en ligne permettent à un attaquant potentiel de connaître beaucoup d’informations au sujet d’une cible ou d’une personne dont il voudrait usurper l’identité, comme le ton qu’elle utilise, ses amis, ses ennemis, les gens avec qui elle interagit, ses prises de position sur certains enjeux politiques ou sur l’actualité, les sujets qu’elle aime aborder, sa situation conjugale, sa situation professionnelle et financière, sa géolocalisation, les produits qu’elle aime et qu’elle achète, les membres de sa famille, ses animaux de compagnie…

L’analyse du contexte et des motivations peut se faire de manière active ou passive. Selon le type d’attaque, le travail de recherche et d’analyse pourra être fait soit par la personne qui mènera l’attaque (un pirate informatique ou un arnaqueur), soit par une personne spécialisée en recherche et en analyse qui aura le titre d’analyste en renseignements.

Lors d’une analyse passive, l’attaquant utilisera des outils et des programmes informatiques sur mesure pour faciliter ou automatiser le processus de cumul des informations disponibles publiquement sur une ou plusieurs cibles. À la fin de l’accumulation des informations provenant de sources ouvertes (ISO), des statistiques et des tendances comportementales seront établies pour bien comprendre la cible dans son ensemble. Celles-ci seront utilisées pour planifier une attaque potentielle, notamment lors de la création du cadre dans lequel l’attaquant et la cible vont interagir, et lors de la création du prétexte et d’un personnage. Toute l’information ainsi accumulée au moyen de sources ouvertes et présentée sous une forme digestible s’appelle du renseignement d’origine source ouverte (ROSO).

Pour ce qui est d’une analyse active, l’attaquant pourrait entrer en contact indirectement avec la cible pour mieux comprendre son environnement et ses motivations. Il pourrait tenter de s’attaquer à un de ses proches afin d’avoir accès à des systèmes ou à des informations privées. Cet attaquant pourrait même se présenter en tant que candidat s’intéressant à un poste en particulier dans le but d’obtenir de l’information sur le fonctionnement interne d’une entreprise. Il est même probable qu’un malfaiteur, en utilisant les ROSO disponibles sur une cible particulière, aura accès à ses comptes de courriel ou de médias sociaux personnels uniquement dans le but d’obtenir plus d’informations utiles pour préparer une attaque plus vaste.

3.4QUELLE EST LA DIFFÉRENCE ENTRE L’ISO ET LE ROSO?

Dans le milieu de la sécurité, toutes les informations disponibles publiquement au sujet d’une ou des cibles sont appelées des ISO, ou informations en source ouverte. En sont notamment les actualités locales et propres à l’organisation, disponibles depuis des médias tels que la télévision, la radio, les journaux, les livres, les sites web et les publications en accès libre sur les médias sociaux. Le processus d’accumulation et de qualification de l’ISO, quant à lui, est nommé ROSO, pour renseignement d’origine source ouverte (de l’anglais OSINT, ou open-source intelligence).

L’attaque

La phase d’attaque est la mise en œuvre des informations obtenues lors de la phase d’analyse. Les méthodes qui seront utilisées pour tromper la perception dépendent de la cible. Par exemple, si l’objectif du malfaiteur est de convaincre un réceptionniste de lui donner accès à des bureaux, il pourrait être plus facile pour lui de le faire en personne plutôt que par courriel ou par téléphone. Des habiletés interpersonnelles pourraient alors l’aider à charmer ou à influencer la cible plus facilement.

Afin de réussir son manège, un attaquant doit, entre autres, déterminer le moyen de communication privilégié pour ses interactions avec la cible (courriel, en personne, par téléphone) ainsi que ses objectifs à atteindre (cliquer sur un lien, donner accès à des comptes bancaires). En fonction du moyen et des objectifs, l’attaquant construira un personnage et un discours les plus susceptibles de tromper l’adversaire. En retour, si l’objectif est de convaincre quelqu’un d’effectuer un virement bancaire, il sera plus facile de le faire en ligne, par courriel, par téléphone ou par messagerie privée. Il est plus facile de spoofer l’adresse courriel d’un supérieur ou un numéro de téléphone en utilisant un moyen technologique plutôt que d’essayer de tromper l’humain devant vous.

3.5QU’EST-CE QUE SPOOFER?

Un spoof est une mascarade. En sécurité informatique, la mascarade est parfois effectuée en changeant quelques paramètres par rapport à la vraie représentation, mais surtout à l’aide d’outils plus avancés. Il s’agit, en gros, d’un déguisement virtuel. Habituellement, les systèmes de protection de courriels modernes des entreprises bloquent ce genre de fraude, mais il arrive que certaines attaques passent entre les mailles du filet. C’est notamment pourquoi il est important de toujours confirmer l’identité d’un interlocuteur de deux manières différentes.

Par exemple, un attaquant peut facilement spoofer l’adresse courriel d’un président d’entreprise pour donner l’impression que c’est ce dernier qui vous écrit, alors qu’en fait l’adresse courriel qui apparaît et à laquelle vous répondez n’est pas la véritable adresse du président. Des outils existent pour faire la même chose avec un téléphone (spoofer un numéro de téléphone ou de texto).

Il va sans dire que les moyens utilisés dépendront du profil ainsi que de l’objectif de l’attaquant. Par exemple, si l’attaquant a beaucoup de temps et de ressources financières et humaines, il va fort probablement opter pour une fraude plus minutieuse, risquée, mais avec un retour potentiel plus élevé, telle que la fraude du président. En revanche, si un attaquant a moins de ressources et qu’il dispose de peu de temps pour comprendre une cible potentielle, il optera pour une fraude plus simple et rapide.

La tromperie

Pour un malfaiteur sur Internet, la tromperie consiste à fabriquer le consentement d’une cible afin de l’amener à faire une action à laquelle elle ne consentirait pas en toute connaissance de cause. La première étape est de construire un «cadre» d’interaction optimisé pour gagner sa confiance. En d’autres mots, il faut bien «mettre la table» et s’assurer que la situation et l’environnement sont convaincants.

Un cadre est une situation dans laquelle la cible se sent libre d’agir et réagira en fonction des influences qu’on lui présente. Un cadre d’interaction optimal réussira à tromper une cible et lui donnera l’impression qu’elle agit de son plein gré. Dans ce cadre, la cible est prédisposée à faire ce que l’attaquant lui demande.

La seconde étape de la tromperie est de trouver un prétexte crédible pour interagir avec la cible. Un bon prétexte mettra la cible en confiance, alors qu’un mauvais prétexte augmentera les possibilités d’échec. Pour créer un bon prétexte, l’attaquant peut s’inventer un personnage et se donner un rôle. Il utilisera les informations collectées lors de la phase d’analyse et de recherche pour être le plus réaliste possible.

Un exemple simple d’un cadre non optimal associé à un mauvais prétexte pourrait être le cas d’un attaquant qui décide d’arriver dans une tour de bureaux habillé en pompier, alors qu’il n’y a aucune urgence. Il pourrait alors être difficile de convaincre les agents de sécurité et les gens dans les bureaux qu’un pompier devrait avoir accès aux installations. Un autre exemple serait d’envoyer un courriel venant prétendument d’une banque à une cible, lui demandant de modifier ses paramètres de sécurité, dont son mot de passe, alors que la cible n’est pas du tout cliente de cette institution. En revanche, un cadre optimal associé à un bon prétexte serait le test bisannuel d’incendie ou le déclenchement de l’alarme de feu. Un attaquant arrivant habillé en pompier en même temps que les vrais pompiers pourrait alors jouir d’une entrée libre à toutes les installations: le cadre est l’alarme qui sonne et l’habit de pompier, et le prétexte est l’urgence.

Le succès de la phase de tromperie est déterminé par la capacité de semer le doute dans l’esprit de la cible et de la convaincre de la vraisemblance d’une situation. Lorsque le cadre d’interaction est bien monté et que la situation ne soulève pas de doutes chez la cible, l’attaquant peut passer à la phase de manipulation.

Si l’attaquant ne réussit pas immédiatement à tromper sa cible, il devra décider s’il va recommencer jusqu’au succès de l’attaque. Encore une fois, ce choix sera guidé par ses objectifs. Un attaquant ayant beaucoup de ressources et de motivation pourra faire plusieurs tentatives tandis qu’un attaquant avec peu de ressources et de motivation va rapidement passer à une autre cible. De manière générale, en ingénierie sociale, l’objectif, le plus souvent, est de rester opportuniste en s’attaquant à ce qu’on appelle le fruit le plus bas ou le maillon le plus faible, c’est-à-dire la cible qui demande le moins d’efforts, mais qui permet un gros retour. Parfois, la phase de tromperie suffit, notamment si l’objectif n’est que d’avoir accès à un bâtiment, mais dans la plupart des attaques d’ingénierie sociale l’attaquant doit également réussir à manipuler la cible afin qu’elle passe à l’acte.

La manipulation

L’objectif de la phase de manipulation est d’amener la cible à agir d’une certaine manière. Lorsqu’un attaquant arrive à cette phase, il est généralement passé par les deux premières étapes, mais il peut manipuler une cible sans avoir fait de recherche, ni d’analyse, ni de tentative de tromperie même si cela diminue les chances de succès.

Pour bien manipuler sa cible, un attaquant s’intéressera aux possibles facteurs d’influence socioculturels et biologiques. Par exemple le besoin d’aider, le besoin d’intimité, la langue parlée et les référents culturels (les événements du quotidien, des émissions de télévision, les livres et autres). En ce sens, l’attaquant choisira la ou les tactiques qu’il croit être optimales et les adaptera en fonction du cadre et du contexte.

Parmi les tactiques fréquemment utilisées, on trouve les suivantes.

1. La réciprocité

La réciprocité est l’attente que nous allons traiter les autres comme nous aimerions être traités. La tactique de réciprocité veut que, si l’on donne quelque chose, on recevra quelque chose d’équivalent en retour. Cette tactique s’applique autant à un comportement qu’à une information ou un objet physique.

Dans la mise en situation, Ginette, comme la plupart des employés de carrière, veut aider. Si sa tâche consiste à contrôler les transactions financières de l’entreprise, elle veut aussi s’assurer d’un bon environnement de travail. Si son patron est dans une situation urgente qui requiert sa coopération, elle tentera d’être la plus utile possible et suivra donc ses directives, à moins de rencontrer des problèmes majeurs.

2. L’engagement et la cohérence

Les gens aiment être pris au sérieux et paraître cohérents. La présence de l’engagement et de la cohérence chez une cible correspond à un certain profil de personne et laisse croire qu’un attaquant essaiera de la manipuler en la coinçant dans une situation où elle se sent obligée d’aller de l’avant même si ce n’est pas ce qu’elle souhaite. Par exemple, l’attaquant peut lui poser des questions auxquelles elle est obligée de répondre par des affirmations. Si le cadre et le prétexte sont bien construits, la cible peut être amenée à divulguer un renseignement particulier si elle veut être cohérente avec elle-même.

Dans la mise en situation, l’attaquant, en indiquant qu’il s’agit d’une transaction sensible et qui doit rester confidentielle jusqu’à sa conclusion, convainc Ginette de ne pas aller voir ses pairs afin de valider la situation. C’est aussi pourquoi la contrôleuse n’en dit mot à personne jusqu’à la conclusion du processus.

3. La preuve sociale

On évoque la nécessité de la preuve sociale lorsqu’un individu ne sait pas trop comment réagir dans un cadre d’interaction donné (par exemple hésiter entre la surprise, la déception et la tristesse). Ainsi, l’individu fonde sa réaction sur celle des autres autour. Un enfant qui se blesse la tête en tombant ne va pas nécessairement réagir s’il ne voit pas physiquement la gravité de la blessure. En retour, il est fort probable que celui-ci se mettra à pleurer s’il voit le regard horrifié d’autres enfants ou des adultes qui viennent à son secours.

4. L’autorité

Il y a différents degrés d’autorité. Dans une attaque d’ingénierie sociale, nous considérons qu’il y en a trois: légal, organisationnel et social. Un attaquant peut en utiliser un, ou un mélange de deux ou trois, en fonction du contexte, du cadre et du prétexte de l’interaction avec la cible.

Dans la mise en situation, l’attaquant a choisi de se faire passer pour une figure d’autorité. Ginette a donc baissé sa garde en décidant simplement de suivre les directives de son «patron», d’autant plus que celles-ci lui semblaient cohérentes. Lorsque l’attaquant a communiqué avec elle directement, elle a vu en lui une figure d’autorité ayant obtenu l’approbation de son patron.

5. La rareté

La rareté joue sur le sens d’urgence. Lorsqu’un cadre est construit en fonction d’une occasion très rare et brève, la cible pourrait être tentée de contourner les règles d’approbation habituelles. Elle n’attendra pas d’obtenir certaines confirmations et ira de l’avant avec une action ou une information.

L’attaquant a mis Ginette sous pression. Sous cette pression, elle a choisi de tourner les coins ronds et de ne pas trop s’opposer aux goulots d’étranglement dans le processus de transfert de fonds.

6. L’appréciation

Il s’agit probablement de la plus vieille tactique en ingénierie sociale. Une cible aura tendance à être beaucoup plus facile à convaincre si elle apprécie l’esthétique ou le comportement d’un attaquant (si elle trouve attirant la personne ou ce qui lui est présenté). L’appréciation peut être physique ou comportementale. En ce sens, la phase d’analyse et de recherche peut aider l’attaquant à repérer les préférences de la cible à partir des informations en source ouverte.

7. L’obligation

Une cible peut se sentir obligée de passer à l’acte, voyant cela comme son devoir, en fonction de différentes raisons, que ce soit son sexe, sa position sociale, morale, légale, etc. Cette tactique peut être particulièrement efficace dans des structures très rigides où la confiance est imposée par une hiérarchie et où le déploiement du sens critique est fortement déconseillé. Les institutions financières, par exemple la coopérative où travaille Ginette, peuvent s’y révéler vulnérables.

8. La concession

La concession est également l’une des plus vieilles tactiques en négociation ou en manipulation. Un attaquant pourrait concéder rapidement une fausse information ou une partie de son «pouvoir» durant son interaction avec la cible et demander d’obtenir une information ou une action en retour.

Si ces tactiques sont bien exécutées, et que le cadre d’interaction est optimal, le prétexte bien pensé et le rôle bien joué, il est probable qu’une cible mal préparée tombera dans le panneau et se fera manipuler.

3.6QUELLE EST LA DIFFÉRENCE ENTRE L’INFLUENCE ET LA MANIPULATION?

Dans ce contexte, la différence est dans l’intention de l’attaquant (l’ingénieur social). Fondamentalement, si l’intention originale est positive et que la cible est heureuse d’avoir appris de la situation, on parle d’influence. Si l’intention est négative ou malicieuse et que la cible se sent flouée, on parle alors de manipulation.

Le contrôle

L’objectif final d’une opération d’ingénierie sociale n’est pas nécessairement de contrôler la cible, mais plutôt de la faire passer à l’action. Cela dit, il est aussi très probable qu’un attaquant cherche à obtenir suffisamment de renseignements, ou le plus haut degré de privilèges, pour prendre le contrôle, ou presque, d’un système informatique afin d’arriver à ses fins. Si c’est cela le but de l’attaquant, on parle d’escalade des privilèges.

Par exemple, un attaquant peut avoir identifié les administrateurs d’une page d’entreprise sur un réseau social. Si l’entreprise est suffisamment importante, il est fort probable que celle-ci possède un compte publicitaire d’entreprise dans lequel toutes les informations bancaires sont entrées. L’attaquant décide de se servir du compte média de cette page sociale pour faire de la publicité vers ses propres pages frauduleuses. À la suite d’une analyse des interactions en ligne des administrateurs, il met en place un collet. Pendant quelques semaines, au moyen du faux profil qu’il a créé, il entretient une relation tout à fait normale avec les administrateurs. À un moment donné, il leur envoie un lien sur lequel l’un d’eux va certainement cliquer et qui lui demandera de saisir des données. Puisque la relation de confiance est maintenant établie, l’administrateur fait cela de manière machinale. Erreur! Si l’administrateur ne s’est pas bien protégé, l’attaquant peut maintenant se connecter au compte personnel de l’administrateur sur ce réseau social (et peut-être aussi à ses adresses courriel personnelles et à d’autres comptes, s’il utilise le même mot de passe), changer ses mots de passe, déconnecter les autres sessions actives et accéder aux pages d’entreprise où sont conçues les campagnes publicitaires. L’attaquant peut également donner à ses comptes personnels un accès d’administrateur sur ces pages et comptes publicitaires afin d’en prendre le contrôle total, pour ensuite retirer tous les autres administrateurs. Il devient ainsi le seul administrateur de ces pages et comptes d’entreprise. Dès lors, il fait rouler de petites campagnes de publicité pendant des semaines ou des mois avant que quelqu’un s’en rende compte. Le processus de reprise des comptes pourrait prendre des jours, voire des semaines.

Ce genre de situation peut facilement être évitée en adoptant une saine hygiène de vie numérique, notamment par la gestion de l’accès (voir le chapitre 6).

3.7QU’EST-CE QUE LE CONCEPT D’ESCALADE DES PRIVILÈGES?

En sécurité, le concept d’escalade des privilèges signifie qu’un attaquant qui tente de s’introduire dans un système va d’abord viser les systèmes ou les utilisateurs qui lui permettront d’obtenir plus facilement et rapidement son propre accès dans le système. Les privilèges représentent le pouvoir qu’a un utilisateur sur un système. Par exemple, si vous êtes administrateur d’une très grosse page dans un réseau social, les risques que vous vous fassiez viser par un attaquant sont plus élevés que ceux d’une personne qui serait simplement un modérateur. De cette manière, si un malfaiteur réussit à prendre le contrôle de votre compte, il pourra se créer un compte personnel en tant qu’administrateur pour ensuite retirer tout le monde de la page que vous administrez et en prendre le contrôle. On parle alors d’une escalade des privilèges.

PROTÉGER SES ARRIÈRES

Quand on sait que l’objectif d’une attaque d’ingénierie sociale est d’instrumentaliser les réactions innées des individus, il est possible de bien se protéger en connaissant ses propres faiblesses en tant qu’être humain.

D’entrée de jeu, il est important de reconnaître un fait fondamental des relations humaines: il est impossible de ne pas communiquer. Tout ce que nous faisons durant nos interactions avec les autres, que ce soit au travail, en ligne ou en privé, communique quelque chose à notre sujet. Cependant, tout ce que l’on communique consciemment ou inconsciemment aux autres pourrait être utilisé contre nous par un attaquant éventuel.

Les mesures suivantes sont donc utiles pour se protéger contre un attaquant expert en ingénierie sociale, mais également de façon générale dans nos interactions sociales normales.

S’informer sur son environnement

S’informer sur son environnement, sur les enjeux entourant les appareils que nous utilisons, sur la fonction que nous occupons, sur la société dans laquelle nous évoluons et sur les enjeux économiques et politiques demeure la meilleure mesure à prendre pour se prémunir contre une attaque éventuelle.

On peut s’informer directement auprès de sa banque, par exemple au sujet des mesures de sécurité déployées en cas de fraude, afin de s’assurer de ne pas cliquer sur un lien dans un faux courriel ou encore afin de connaître toutes les méthodes pour protéger ses comptes sur les réseaux sociaux et par courriel au-delà du simple mot de passe. Pour les membres d’un ordre professionnel ou les personnes qui occupent des postes décisionnels en entreprise, il est important de se tenir à jour sur les meilleures pratiques en cas de doute par rapport à une transaction ou une décision. Si aucune procédure n’existe, il serait bien d’en établir une en fonction des meilleures pratiques.

Il est important d’essayer d’être au courant de tout ce qui se passe autour de nous, directement ou indirectement, de ne pas être pris au dépourvu ou dépassé par une situation, ce qui nous mettrait dans une position de vulnérabilité. Nous devons nous assurer d’être le moins possible dans une situation qui nous dépasse. Et si un jour ce genre de scénario se produit, il faut utiliser d’autres mesures de protection.

Douter

Il est important de toujours garder un esprit critique. La plupart des attaques d’ingénierie sociale peuvent être stoppées en mettant en doute le cadre ou le scénario qui nous est présenté, et en demandant toujours une confirmation d’une information de deux sources différentes.

Dans notre mise en situation, si Ginette avait demandé de parler de vive voix à Yvan afin de confirmer son identité et la nature de l’information reçue par courriel, la tentative d’ingénierie sociale se serait fort probablement terminée là. Et si elle avait décidé d’aller voir un autre dirigeant de l’entreprise pour confirmer la transaction en cours, la tentative d’ingénierie sociale n’aurait possiblement pas eu de suite.

Le doute sain permet de reprendre le contrôle sur une situation qui semble nous dépasser et de ne pas tomber dans le panneau si nous n’avons pas tous les outils pour bien saisir cette situation, alors que le cadre et le prétexte présentés nous semblent plausibles.

3.8COMMENT CONFIRMER UNE INFORMATION?

En sécurité, il est impossible de confirmer une information à 100%. Cependant, l’objectif est de rajouter le plus de couches de protection et de confirmation possible. Il faut commencer en essayant de confirmer cette information auprès d’autres personnes, de préférence des gens que nous choisissons et non quelqu’un qui nous est imposé par celui ou celle qui tente de nous convaincre de quelque chose. Varier les sources d’information et les méthodes de communication est une bonne pratique pour augmenter ses chances de confirmer ou d’infirmer une information.

Questionner

Ne pas hésiter à poser des questions si le contexte s’y prête. Il ne faut pas oublier que l’objectif d’un attaquant en ingénierie sociale est de vous amener à passer à l’acte, à faire quelque chose. En posant des questions à un attaquant potentiel, vous remettez en cause ce qu’il tente de construire et ce qu’il tente de vous faire croire.

Ginette aurait pu se demander: «Qui d’autre est au courant de cette situation? Comment et avec qui à la coopérative puis-je confirmer que c’est effectivement un contrat sur lequel nous travaillons?» Si elle avait pensé à se poser des questions, cela lui aurait permis de comprendre l’ampleur de la situation, puis de déconstruire le cadre qu’on avait réussi à lui imposer.

En contrepartie, si vous recevez un courriel, un appel ou un texto suspect, il est préférable de ne pas questionner directement l’attaquant, mais de vérifier avec d’autres personnes, dans votre entreprise ou en ligne, afin de voir si l’information est véridique ou fondée.

En bref, si un fraudeur potentiel se trouve devant nous, physiquement, il ne faut pas hésiter à le questionner afin de déterminer son véritable motif. Mais s’il utilise un outil technologique pour entrer en contact avec nous, mieux vaut refuser la communication et faire les vérifications nécessaires.

Organiser, demander et rendre des comptes

Dans une logique de prévention, que l’on soit en entreprise ou dans une autre structure, il est important d’établir un protocole de communication, de confirmation et d’approbation lors de demandes en lien avec des transactions financières ou d’échanges d’informations. Si un genre de protocole de confirmation n’est pas imposé, un potentiel attaquant pourrait tenter de créer un cadre où le processus serait contourné, par exemple en créant une interaction basée sur un sentiment d’urgence.

Les solutions réactives, comme celles décrites ci-dessus, peuvent être fort utiles pour se sortir de tentatives d’attaque par ingénierie sociale, mais elles ne les préviennent pas.

Par exemple, dans notre mise en situation initiale, s’il y avait déjà eu, à la coopérative où travaille Ginette, une règle exigeant la signature d’au moins trois personnes du comité de direction pour toute transaction financière au-delà d’un certain montant, la tentative de l’attaquant n’aurait jamais eu de suite. Ginette n’aurait tout simplement pas participé à la mascarade.

Adopter de bonnes habitudes

1.Ne partagez pas inutilement en ligne des informations personnelles pouvant être utilisées contre vous d’une manière ou d’une autre.

Des informations telles que votre date et votre lieu de naissance, l’endroit où vous avez grandi, vos adresses précédentes, le nom de vos animaux de compagnie, vos personnages et vos films favoris, vos passions peuvent toutes être amalgamées dans une bibliothèque d’informations qui sera peut-être utilisée pour tenter de pénétrer dans vos comptes ou dans votre vie.

2.Évitez de partager des informations pouvant indiquer que vous n’êtes pas à la maison ou au bureau.

‒ Ces données pourraient être utilisées par un attaquant pour s’introduire chez vous ou pour vous personnifier.

‒ Partagez les photos de vos voyages lors de votre retour. Les gens n’ont pas besoin de savoir que vous n’êtes pas chez vous.

‒ Des messages d’absence automatiques par courriel ou sur des boîtes vocales téléphoniques donnent souvent trop d’informations compromettantes, notamment la date de départ, la date de retour, la cause de l’absence et le nom de la personne avec qui communiquer en cas d’urgence. Il n’est peut-être pas nécessaire d’inclure dans un message d’absence toutes ces informations qui pourraient être interceptées par un malfaiteur.

3.Limitez la portée de vos publications.

Assurez-vous que vos publications et renseignements personnels ne sont pas accessibles à tous, à moins que vous ne vous sentiez dans l’obligation de déclarer publiquement une certaine position politique ou sociale. Sachez que tout ce que vous publiez en libre accès peut être utilisé contre vous ou à votre insu par un attaquant spécialisé en ingénierie sociale.

4.Faites une veille pour savoir quelle information est disponible en ligne à votre sujet.

S’assurer de savoir ce qui est dit ou partagé avec d’autres à notre sujet nous permet de réduire les risques que quelqu’un tente d’utiliser ces informations pour nous manipuler en prétextant la familiarité.

5.Utilisez toujours au moins deux critères différents pour authentifier un interlocuteur ou une information et pour vous protéger contre des attaques d’hameçonnage.

Cela vous permettra d’éviter la plupart des attaques d’ingénierie sociale de type hameçonnage ou harponnage. Si vous recevez un courriel de la part d’un «dirigeant d’une entreprise» qui vous demande de transférer des fonds, vous devriez téléphoner à cette personne ou aller la voir afin d’authentifier la demande. Si cela n’est pas possible, il faut la valider en allant voir d’autres personnes ayant le même degré d’accès et de privilèges.

QUELQUES PISTES DE RÉFLEXION

La plupart des gens ont été ou seront la cible d’attaques d’ingénierie sociale au moins une fois dans leur vie. C’est pourquoi il est nécessaire de prêter attention à l’environnement numérique tout comme aux traits de personnalité qui peuvent nous rendre vulnérables.

Se poser quelques questions toutes simples peut en ce sens sauver beaucoup de tracas: qui êtes-vous selon ce que l’on trouve à votre sujet sur Internet? Serait-il possible, voire facile, de dresser un portrait de votre personne? De deviner vos mots de passe et les réponses à vos questions secrètes? Serait-il facile pour un criminel d’intercepter certains de vos échanges ou de se faire passer pour vous? Êtes-vous certain de bien connaître l’identité des personnes avec qui vous interagissez en ligne? Finalement, êtes-vous dans une situation, personnellement ou par personne interposée, qui pourrait faire de vous une personne d’intérêt pour une opération élaborée?

On retiendra que l’ingénierie sociale est avant tout un indicateur de la grande complexité et de la grande vulnérabilité de l’être humain. Il s’agit avant tout d’un outil. Un outil à double tranchant qui, même s’il peut être utilisé à des fins particulièrement malicieuses, peut également servir d’outil d’introspection et d’amélioration de soi-même ou de son organisation. Dans toutes ces vulnérabilités que nous nous découvrons, il faut voir aussi des occasions de grandir.

4. ÉVALUER ET CHOISIR SES PRIORITÉS

«Il y a deux sortes de compagnies: celles qui se sont fait hacker et celles qui ne savent pas qu’elles se sont fait hacker.»

John Chambers,
ancien PDG de Cisco Systems

Les manchettes entourant les failles technologiques, les virus informatiques, l’interception de données sur les ordinateurs, tablettes ou téléphones intelligents se font de plus en plus nombreuses. Entre la surveillance effectuée par les organes gouvernementaux sur les individus d’intérêt, les espiogiciels servant à surveiller les conjoints ou encore les rançongiciels prenant en otage le contenu d’ordinateurs, il est facile de se sentir impuissant par rapport aux nombreuses menaces qui pèsent sur l’environnement numérique. Qui plus est, les informations amassées en amont dans l’utilisation d’applications, de logiciels et de services en ligne contribuent largement à la création de vastes bases de données et de profils d’utilisateurs. Ces bases de données, en plus de surveiller passivement les moindres faits et gestes de l’utilisateur, sont une mine d’or pour les attaquants.

Il va sans dire que les vulnérabilités informatiques sont un phénomène inévitable dans le contexte numérique actuel: effectivement, les caractéristiques physiques et programmatiques des réseaux (notamment leur structure distribuée) doublées du développement et de l’innovation rapides des technologies créent un environnement extrêmement favorable à l’émergence et à l’exploitation de failles. Au même titre que des objets de la vie de tous les jours peuvent avoir des points faibles ou certaines caractéristiques qui rendent leur fonctionnement moins efficace, les logiciels, réseaux et appareils sont truffés de faiblesses. Différents acteurs (souvent des hackers) se chargent de repérer ces vulnérabilités et, dans le meilleur des cas, de les rapporter aux acteurs concernés (il s’agit souvent des entreprises ayant conçu le produit).

Ainsi, tant pour les néophytes que pour les utilisateurs aguerris, changer ses pratiques pour optimiser sa posture en sécurité numérique peut facilement donner le vertige. Devant la complexité des systèmes numériques, leurs multiples vulnérabilités, les informations diffusées sur les réseaux de manière volontaire et celles qui sont collectées furtivement, de manière collatérale, la tâche peut sembler colossale et impossible à accomplir. La mauvaise nouvelle, c’est qu’il est pratiquement impossible qu’un système soit complètement sécuritaire. En ce sens, un plan de match réaliste consiste généralement à cibler des priorités en fonction de différentes variables qui influent sur les risques et objectifs personnels.

4.1LA STRUCTURE DISTRIBUÉE D’INTERNET: SOURCE DE RÉSILIENCE ET DE VULNÉRABILITÉ⁶

Construites au cours de la seconde moitié du xxe siècle, les infrastructures qui forment aujourd’hui le réseau des réseaux ont été conçues dans le contexte de la guerre froide et de la menace d’une guerre nucléaire. Ainsi, Internet a été bâti avec une idée simple en tête: le réseau ne comporterait aucun point central. De cette façon, la forme distribuée du réseau assurerait qu’aucun événement catastrophique telle que la détonation d’une bombe ne puisse nuire aux communications sur ce dernier. Cependant, cette structure entraîne également une plus grande difficulté de contrôle de l’information et des virus qui y circulent. C’est pourquoi il est aussi difficile de détruire un réseau distribué que d’y arrêter la propagation d’un virus ou d’une vulnérabilité.

Surface d’attaque, OPSEC, menace persistante avancée…: du charabia? Ça n’a pas à l’être. Les prochaines pages examineront les concepts de base de la sécurité numérique, nécessaires pour une mise en place adéquate d’un plan de protection qui sera adapté à des besoins et à une situation particulière. Plusieurs menaces existent en ligne et elles ne se rejoignent pas toutes. Différentes motivations peuvent mener des individus ou des organisations – légales ou non – à s’en prendre à vos données numériques.

LES ADVERSAIRES

Les types de hackers

Le terme français pour hacker est «bidouilleur». Il n’existe pas de consensus autour de ce que constitue précisément le hacking, mais il est généralement admis qu’un hacker est un individu qui apprend le fonctionnement d’un système afin d’en trouver les vulnérabilités, les points de fuite ou qui modifie son fonctionnement de manière créative et non évidente. Les hackers sont souvent catégorisés en fonction de leurs intentions.

Le white hat hacker est normalement employé par une entreprise ou une agence afin de tester et d’améliorer ses systèmes.

Le black hat hacker trouve et exploite des vulnérabilités informatiques sans l’autorisation des entreprises qu’il cible. Ces actions se font généralement de manière malicieuse et dans une perspective de gain personnel, que ce soit pour prendre le contrôle d’un système ou pour vendre la vulnérabilité au plus offrant.

Le gray hat hacker est un terme généralement utilisé pour décrire ceux dont les intentions se situent entre celles du white hat et du black hat. Par exemple, ce type de hacker pourrait tenter de prendre le contrôle d’un système sans avoir été légalement mandaté pour le faire, mais dans une perspective qu’il définit comme éthique.

Cette classification des hackers, bien que généralement admise, ne tient pas compte de la variété des adversaires numériques pouvant exister. De plus, étant donné la popularisation et l’accessibilité des ordinateurs personnels, il n’est désormais plus nécessaire d’avoir des connaissances poussées en informatique pour gagner accès à un système ou pour effectuer une attaque. À ce titre, on appelle script kiddies ces individus qui ne savent pas écrire des programmes informatiques, mais qui trouvent néanmoins les ressources – grâce à des tutoriels ou des programmes déjà existants, par exemple – pour mener à bien des attaques. S’ils sont souvent plutôt habiles dans l’utilisation de certains logiciels, ils demeurent des «analphabètes» du codage. Comme leurs intentions peuvent être multiples, les script kiddies peuvent se retrouver majoritaires parmi les types d’adversaires décrits ci-dessous.

Une classification des adversaires

Les motivations des criminels, hackers et autres acteurs malicieux sont variées. Quels types de menaces existe-t-il et quelles sont les motivations associées à ces acteurs? Voici plusieurs types de menaces et la motivation première associée à chacune, qui peut mener une personne ou une organisation à vouloir compromettre un système informatique, subtiliser des données personnelles, faire chanter quelqu’un à l’aide d’une information compromettante, etc. Il ne s’agit que d’une liste non exhaustive, mais qui représente bien la pluralité des motifs d’attaques.

La menace rapprochée

Les menaces rapprochées sont celles qui sont présentes dans le cercle restreint de la victime potentielle. Un lien de connaissance est nécessaire et est très souvent exploité pour mener à bien une attaque envers la personne ciblée.

Motivation: la vengeance.

Exemple: un ex-conjoint possessif pourrait utiliser sa connaissance de la victime (un mot de passe couramment utilisé, entre autres) pour s’introduire dans son ordinateur personnel et y voler des photos osées afin de les publier sur un forum public sur Internet.

Les plaisantins

Les amateurs de sensations fortes, les script kiddies et les filous de toutes sortes sont ceux et celles pour qui la satisfaction est personnelle et éphémère. Rarement dotés d’une pensée malicieuse ou motivés par l’appât du gain, les plaisantins vont compromettre un système en guise de passe-temps, par pur plaisir.

Motivation: le divertissement.

Exemple: bon nombre de défacements de sites web sont faits par des plaisantins. Une faille informatique existante et exploitable se présente à eux et la réaction ne se fait pas attendre: ils s’introduisent dans le système et le compromettent, ne serait-ce que pour avoir une bonne histoire à raconter à leurs amis.

4.2QU’EST-CE QU’UN DÉFACEMENT DE SITE?

Le défacement consiste à remplacer la page d’accueil d’un site web par une autre mise en ligne par le ou les hackers ayant compromis le système du site en question. Généralement inoffensifs, ces défacements sont souvent comparés aux graffitis que l’on trouve sur les murs des édifices. Pour les groupes de hackers, c’est une manière de marquer leur territoire, en quelque sorte, de laisser leurs traces de manière éphémère, mais aussi de démontrer leurs capacités techniques.

Les criminels

Seuls ou regroupés, les criminels s’en prennent à leur victime pour lui extorquer de l’argent ou de l’information, ou les deux, valant quelque chose à leurs yeux. En ligne, les criminels se divisent en deux grands groupes: les traditionnels (par exemple les motards criminalisés) et les modernes (les créateurs de rançongiciels). Dans les deux cas, la motivation première reste l’appât du gain.

Motivation: l’argent.

Exemple: à l’été 2017, le rançongiciel WannaCry se propage à une vitesse fulgurante de système en système, chiffre les dossiers et documents importants sur les appareils compromis et exige une rançon aux victimes afin que celles-ci puissent reprendre le contrôle de leurs données. Au moment où ces mots sont écrits, le consensus dans le milieu de la sécurité informatique pointe comme responsable la Corée du Nord, qui aurait conçu ce maliciel pour renflouer ses coffres.

Les hacktivistes

Les hacktivistes (contraction de «hacking» et «activistes») sont les hackers possédant une bonne base de connaissances sociopolitiques et désireux d’appliquer leurs habiletés techniques à des fins idéologiques. De l’anarchisme à l’alt-right, l’ensemble des dogmes politiques sont représentés chez les hacktivistes. Les victimes sont globalement de grosses entités, mais des particuliers aussi peuvent être ciblés à la suite d’une implication publique médiatisée.

Motivation: l’influence sociale et politique.

Exemple: le groupe Anonymous est certainement le rassemblement le plus connu de hacktivistes. Utilisant leurs talents de compromission des systèmes informatiques, les individus associés à ce groupe ont su faire la promotion d’idéaux libertaires, proliberté d’expression et antiautoritaire, et ce, malgré la structure presque complètement horizontale du collectif. D’autres organisations se sont vu affubler du sobriquet de «hacktivistes», notamment l’entité médiatique WikiLeaks et le laboratoire de recherche multidisciplinaire torontois The Citizen Lab.

Les acteurs politiques

Les acteurs étatiques, les acteurs politiques et les menaces persistantes avancées représentent l’aspect plus «officiel» (ou, du moins, bien organisé et bien financé) d’une menace informatique. Leur but premier est l’exercice, le maintien et l’acquisition du pouvoir politique. Les victimes sont généralement d’autres États, mais certains activistes (ou hacktivistes) influents peuvent aussi être ciblés.

Motivation: le pouvoir politique.

Exemple: plusieurs États se sont dotés de véritables «services de hacking» au fil du temps. En effet, les grandes puissances ont presque toutes des unités composées d’informaticiens professionnels spécialisés dans la compromission de systèmes. En Chine, l’unité 61398 de l’Armée populaire de libération gérerait un vaste réseau de cyberespions depuis plus de douze ans. Aux États-Unis, l’un des groupes de hacking étatique est le Tailored Access Operations de la National Security Agency. En Israël, le Yehida Shmone-Matayim, plus connu sous le nom de «unité 8200», est la division, au sein des Forces de défense de l’État hébreu, responsable du renseignement électromagnétique.

Les terroristes

Les organisations terroristes présentes sur Internet peuvent constituer une menace autant pour les individus (des cartels mexicains s’en prenant à des blogueurs, par exemple), les entreprises (le sabotage d’une usine) que les États (la déstabilisation, une perte de confiance dans le processus démocratique à cause d’actions menées pendant des élections). Elles agissent en fonction d’une démarche politico-idéologique et ont pour but premier de faire peur à la population.

Motivation: la violence idéologique.

Exemple: le cyberterrorisme reste extrêmement complexe à définir. D’abord par la définition très vaste du concept de terrorisme, mais surtout parce que aucune attaque informatique invoquant des motifs idéologiques et portant atteinte à l’intégrité physique d’individus (ingérence dans le système informatique d’un hôpital ou d’une autre infrastructure essentielle) n’a été repérée à ce jour. L’utilisation de certaines plateformes par des groupes terroristes à des fins d’organisation et de communication ne constitue pas du cyberterrorisme puisque l’objet d’attaque n’est pas le réseau en lui-même. Néanmoins, depuis 2011, l’Armée électronique syrienne, un groupe de hackers soutenant le président syrien Bachar el-Assad, pourrait être cadrée comme telle dans la mesure où elle s’adonne à diverses activités liées au hacking (hameçonnage, création et dissémination de logiciels malveillants, attaques par déni de service, modification de pages web, etc.). Bien qu’elles ciblent les opposants politiques, ONG et sites de nouvelles occidentaux, les actions de l’Armée électronique syrienne n’ont pas à ce jour touché aux infrastructures essentielles ni porté atteinte à l’intégrité physique des individus.

LA SURFACE D’ATTAQUE

Si les usagers disposent souvent de moyens limités pour pallier les failles des appareils numériques, comprendre leurs différentes vulnérabilités permet d’adopter en amont des pratiques qui réduisent le risque d’exposition et de compromission. L’évaluation de la surface d’attaque est une bonne manière de repérer les principales vulnérabilités des systèmes.

Qu’est-ce qui est accessible et exploitable par autrui? Quelles sont les méthodes pour compromettre les informations privées? Comment un criminel s’y prend-il?

La majorité des citoyens s’imaginent souvent qu’il est nécessaire d’être un spécialiste en sécurité informatique pour établir un plan de protection complet contre la multitude de menaces présentes et qui ont le potentiel de nous causer du tort ainsi qu’à ce qui nous tient à cœur. Or, si avoir une telle personne-ressource à sa disposition constitue le scénario idéal, il est possible de se faire une bonne idée des menaces réelles qui sont présentes dans un modèle de menace donné (voir ci-dessous). Il s’agit ici de définir la surface d’attaque.

La surface d’attaque est la somme totale de toutes les vulnérabilités présentes sur un système informatique. Sommairement, il s’agit de l’ensemble des manières possiblement exploitables pour compromettre les biens, atouts et données. D’un point de vue sécuritaire, la réduction de la surface d’attaque totale est donc souhaitable.

4.3QU’ENTEND-ON PAR SYSTÈME INFORMATIQUE?

Il s’agit de l’ensemble des méthodes permettant d’automatiser la communication, le traitement et la gestion des données dans un environnement informatique commun. Il peut aussi s’agir des ressources et des divers appareils permettant cet échange d’informations et présents sur un ou plusieurs réseaux.

Imaginons un instant deux demeures: une grande maison proche d’une forêt et un condominium au premier étage d’un immeuble. Laquelle des deux demeures, selon vous, aurait la plus grande surface d’attaque si le modèle de menace des deux occupants était le même (peu probable dans la vraie vie, mais oublions notre incrédulité pour les besoins de l’exemple)? Il est possible de comparer les entrées d’une maison aux différentes possibilités d’exploitation et de compromission sur un système informatique: combien y a-t-il de fenêtres et de portes menant à l’intérieur de la résidence par rapport au nombre d’issues dans le condo? Si la maison compte trois portes d’entrée, ainsi que dix fenêtres relativement accessibles de l’extérieur, il va sans dire que la surface d’attaque de celle-ci est considérablement plus grande que celle du plus modeste logis, qui ne compte qu’une seule porte d’entrée et quatre fenêtres. Pour pallier ces vulnérabilités, le propriétaire de la maison pourrait installer des grilles aux fenêtres et des caméras de surveillance braquées sur la forêt proche de la maison, doter ses portes de serrures à pêne dormant, etc. Le propriétaire du condo pourrait bien sûr faire de même, à la différence que moins d’efforts seraient nécessaires pour réduire sa propre surface d’attaque.

4.4UNE SERRURE À PÊNE DORMANT?

Communément appelé dead bolt en anglais, ce loquet possède une épaisse tige en métal qui est maintenue en place par un ressort qui n’est souvent rétractable que par la clé associée à ce verrou. Cette serrure est souvent utilisée en complément à un système plus commun et moins sécuritaire de loquet à demi-tour qui est plus facilement crochetable, car ce dernier ne nécessite pas la clé d’origine pour être déplacé. La majorité des portes d’entrée des maisons sont dotées d’un simple loquet à demi-tour.

Prenons une femme d’affaires dont la surface d’attaque compterait un bon nombre de points d’entrée sur les systèmes de son entreprise et qui ont tous le potentiel d’être exploités par des failles de sécurité quelconques (serveurs web, passerelles de messagerie, routeurs, etc.). Tous ces dispositifs représentent pour elle un possible vecteur d’attaque qui doit être limité, contrôlé ou, dans la mesure du possible, carrément fermé. Pour un pigiste qui travaille de chez lui, le routeur sans fil (dont le mot de passe par défaut n’a bien sûr jamais été modifié!), l’ordinateur personnel et le téléphone cellulaire représentent la somme des vecteurs exploitables qui peuvent mener à une compromission de ses données.

Que faire pour réduire la surface d’attaque? La limitation d’un vecteur d’attaque potentiel doit se faire de manière appropriée et relativement aux données qui doivent être protégées: il serait loufoque pour le pigiste d’engager des mercenaires pour surveiller le périmètre de sa maison dans l’optique de prévenir un vol de ses copies de sauvegarde, tout comme il serait naïf de la part de la femme d’affaires de s’en tenir à un coupe-feu gratuit pour protéger l’ensemble de son réseau.

4.5QU’EST-CE QU’UN COUPE-FEU?

Aussi connu sous l’appellation pare-feu, ce logiciel de protection est généralement installé sur un dispositif et est utilisé pour en contrôler les entrées et les sorties communicationnelles. Le coupe-feu peut faire office de portier, comme dans un bar. Dérivé du mot anglais firewall, le pare-feu est à la base un mur mitoyen utilisé en construction de bâtiment pour limiter la propagation d’un incendie d’une maison à une autre. De même, un coupe-feu peut être un dispositif physique dédié à la protection des entrées et sorties sur un système informatique.

ÊTRE SURVEILLÉ

Cela va de soi: la meilleure manière de gérer une brèche de sécurité est de l’éviter complètement. Plusieurs outils existent pour prévenir une intrusion, mais, avant d’en choisir un, il est nécessaire de comprendre les différentes surveillances qui peuvent mener à la compromission et la façon dont elles peuvent conditionner l’établissement d’un modèle de menace. La nature de la surveillance (passive, active, malicieuse, commerciale, etc.) peut faire une différence dans la prévention et la détection de ces fuites d’informations personnelles.

Surveillance passive

La surveillance passive vise à récolter un maximum d’informations sur un réseau donné, sans discrimination, par une observation de tous les instants. La collecte d’informations s’effectue au quotidien par les particuliers (fichiers journaux de clavardage récoltés sur Instagram, photos cataloguées sur Snapchat, etc.) et, surtout, par les entreprises (liste de J’aime, Facebook, catalogue des adresses IP ayant visité un site web, etc.). Des systèmes de collecte d’informations privés sont monnaie courante et sont utilisés pour fournir un maximum de données à une source externe sans pour autant cibler une personne en particulier. Par exemple, l’un des systèmes de profilage le mieux connu est celui de Google, où les résultats des recherches, le contenu des courriels sur Gmail et les publicités du réseau AdWords servent à construire un portrait précis des utilisateurs afin de les répartir en archétypes employés dans le marketing ciblé.

La surveillance passive peut être comparée à un énorme aspirateur constamment en fonction: des données personnelles de toutes sortes sont collectées de manière automatisée afin de fournir une base de données pertinentes (ou non) à un modèle d’affaires basé sur la revente d’informations privées. Trois grandes étapes sont présentes lorsque de l’information privée est collectée passivement.

Collecte de métadonnées générale

Les métadonnées sont essentiellement les données sur les données. Prenons un courriel: ici, le message en tant que tel représente le contenu (les données), tandis que tout ce qui tombe dans le contenant – l’heure d’envoi, le destinateur, le sujet, la taille du message, son type d’encodage, le chemin emprunté pour sa livraison, etc. – représente les métadonnées. C’est cette information qui est amassée passivement ici, selon l’environnement de collecte. Dans le cas d’une visite sur un site web, par exemple, l’heure de visite, les pages consultées et le temps passé sur chaque page représentent des valeurs intéressantes pour une entreprise œuvrant dans le big data.

Association de mots-clés

Comment peut-on cataloguer l’ensemble de données et des métadonnées recueillies à propos des utilisateurs? Y a-t-il des méthodes pour mettre un peu d’ordre dans cet immense catalogue de données? La création de mots-clés associés aux activités d’une personne en ligne et les métadonnées qu’elles génèrent permettent de répartir ces activités en grandes catégories et de créer ainsi un profil de l’utilisateur. Par exemple, si une personne se rend sur le site de Vans en passant par la page Facebook de l’entreprise, une compagnie de ciblage publicitaire pourrait associer à cette visite les mots-clés «punk», «skate», «Facebook», «vêtements» et «souliers». Déjà, à cette étape, un découpage en consommateur type commence à se faire.

Profilage

L’étape du profilage est le moment où toutes les données collectées sont intégrées dans un contexte: on passe des simples données détachées à de l’information utile. Lorsque toutes les informations recueillies de site en site et d’application en application sont amalgamées, il devient possible de créer un réel profil de consommation de l’utilisateur. Pour reprendre notre exemple précédent, un visiteur sur le site de Vans en provenance de Facebook – où il détient un compte avec ses informations personnelles (âge, genre, ville habitée, pages aimées, etc.) – se verra cataloguer dans une boîte «marketable». Il pourrait être un homme de dix-neuf ans qui aime les groupes punks («likés» sur Facebook) et qui désire acheter de nouveaux souliers.

Il est important de noter que le traitement de ces informations se fait automatiquement et en temps réel; un individu n’est jamais véritablement ciblé précisément et activement. Malgré l’absence de ciblage, un profil complet de consommation se construit et devient disponible pour les plus offrants (c’est-à-dire les entreprises prêtes à payer pour cette information privée). L’information stockée peut donc être utilisée à divers desseins (par les forces policières ayant un mandat, par un maître chanteur utilisant une fuite de données, etc.).

4.6QU’EST-CE QUE LE BIG DATA?

Il s’agit du volume important d’informations qui sont collectées, gérées et traitées par une entreprise ou une organisation dans le cadre d’une collecte systématique de données. Connu du public depuis 2012 environ (mais conceptualisé une bonne quinzaine d’années avant), le big data est symptomatique de la difficulté de recueillir et d’utiliser adéquatement l’immense volume de données générées par les humains, mais aussi par les systèmes automatisés qui ne sont pas gérables par les moyens traditionnels.

La surveillance passive ne se fait pas uniquement dans une perspective de profilage commercial. Comme l’ont démontré les révélations publiées par le lanceur d’alerte Edward Snowden, plusieurs programmes gouvernementaux existent pour effectuer la collecte d’informations de manière passive. En voici quelques-uns.

PRISM: géré par la National Security Agency, aux États-Unis, ce programme de surveillance est mené directement auprès des fournisseurs d’accès et de services internet. Les informations sont donc collectées à la source même de l’accès au Web.

Tempora: mené par le GCHQ (Government Communications Headquarters, au Royaume-Uni), ce programme a pour but d’intercepter toutes les communications électroniques transitant entre l’Europe et les États-Unis.

EONBLUE: plateforme de détection de cyber-menaces gérée par le Centre de la sécurité des télécommunications Canada (CSTC), ce programme serait en service depuis 2002.

4.7QUI SONT LES CINQ YEUX?

Les Cinq yeux (en anglais, Five eyes) sont une entité supranationale constituée des agences de renseignements civiles et militaires de cinq pays anglo-saxons: les États-Unis, le Royaume-Uni, le Canada, l’Australie et la Nouvelle-Zélande. Héritière du traité UKUSA après la Seconde Guerre mondiale, cette union vise l’intégration des divers systèmes de surveillance menée par ces pays ainsi que l’échange d’informations collectées.

Surveillance active

La surveillance massive, passive et indiscriminée n’est que très rarement perceptible autrement que par la présentation de contenu ciblé. Cependant, la surveillance active peut aussi être particulièrement subtile. Ce type de surveillance permet de cibler précisément un individu ou un organisme suspecté – à tort ou à raison – d’activités criminelles ou de desseins terroristes. Dans le cadre de la surveillance interpersonnelle menée par un ou des particuliers, les pratiques de harcèlement et de traquage (stalking) en ligne font office de surveillance active. En parallèle avec les données récoltées grâce à la surveillance passive, il est possible de faire un portrait très détaillé des activités d’une entité. Deux grandes activités s’exercent lors d’une surveillance active.

Collecte de métadonnées spécifique

Quelqu’un qui est précisément ciblé par une organisation disposant des moyens nécessaires pour l’espionner activement verrait, initialement, certaines de ses métadonnées scrutées à la loupe si elles étaient pertinentes à la traque en cours. Une personne suspectée de sympathie terroriste, par exemple, pourrait voir ses courriels passer sous le microscope. Supposons que cette personne utilise du chiffrement pour masquer le contenu de ses courriels. Le cryptage cacherait le contenu des messages, mais pas les métadonnées associées aux courriels (date d’envoi, récipients, etc.). Ces informations, même si elles ne représentent pas la «viande» du message, peuvent être d’une très grande valeur. Si un homme marié appelle tous les vendredis soir du téléphone de son bureau à une ligne 1976 et parle pendant trente minutes, alors que des frais sont portés à sa carte de crédit, a-t-on absolument besoin de connaître le contenu des appels pour se douter de ce qui se passe? Les métadonnées parlent beaucoup, souvent plus que les données elles-mêmes.

Collecte de données

Le contenu d’un courriel, d’un appel, d’une conversation sur Skype ou autre message représente néanmoins de l’information précieuse au cours d’une surveillance ciblée. Lors d’un espionnage (car c’est de cela qu’il s’agit) actif sur un individu, ces informations en contexte peuvent être interceptées par divers moyens légaux (mandat de la cour, saisie de serveurs, etc.) et illégaux, ou du moins semi-légaux (interception de données non chiffrées dans un café internet, compromission d’un ordinateur personnel, entrée par effraction dans un compte de courriel, etc.).

Tout comme les programmes gouvernementaux conçus pour effectuer la collecte passive d’informations, d’autres programmes visent un individu ou un groupe plus précis. En voici quelques exemples.

XKeyscore: un programme de collecte d’informations géré par les Cinq yeux. Ce programme est doté d’une interface de recherche à la fois sophistiquée et conviviale, facilitant non seulement la collecte, mais la consultation de données personnelles interceptées. Dans le cas d’une surveillance active, il est possible d’obtenir un grand nombre de renseignements privés sur une personne (courriels envoyés, SMS transmis, etc.).

Levitation: mis en place par le Centre de la sécurité des télécommunications Canada, ce programme de surveillance ciblé a pour but de mettre en lumière les activités d’une personne ayant téléchargé des documents, des vidéos ou d’autres fichiers considérés comme suspects par le gouvernement canadien. Levitation surveille certains sites de téléchargement connus à cet effet.

Olympia: autre programme géré par le CSTC qui prenait pour cible le ministère des Mines et de l’Énergie du Brésil. Les programmes de surveillance nous étant présentés comme des outils incontournables du combat contre le terrorisme, un tel programme d’espionnage industriel devient alors peu justifiable. Olympia mettait sur écoute des fonctionnaires brésiliens qu’il traquait sur leurs appareils cellulaires et dont il surveillait les communications par courriel.

Au-delà des programmes de ciblage gouvernementaux, des outils de surveillance active précis existent et sont utilisés non seulement par les États, mais aussi par des groupes de hackers bien organisés, des organisations criminelles et même certains particuliers plutôt curieux. En voici quelques exemples.

IMSI catcher: IMSI est l’acronyme d’international mobile subscriber identity, ou identité internationale d’abonné mobile. Il s’agit d’un numéro d’identification unique associé à un appareil cellulaire. Un IMSI catcher est donc un intercepteur d’identifiant cellulaire. Il est utilisé par les services de police durant des manifestations pour cibler certains militants ou dans les opérations de surveillance ciblée des membres de la pègre. Un cas récent d’espionnage cellulaire a fait les manchettes au printemps 2017 lorsque des IMSI catchers ont été détectés près de la colline parlementaire à Ottawa⁷.

Internet des objets / Shodan: Internet des objets (Internet Of Things en anglais), c’est l’ensemble des dispositifs connectés à Internet. Téléviseurs dits «intelligents», moniteurs pour bébés, webcams, consoles de jeux récentes et même réfrigérateurs connectés à un service de nuagerie numérique sont tous des exemples d’appareils pouvant être branchés à Internet des objets. Leur popularité, décuplée par leur omniprésence sur le marché dans les dernières années, a ouvert de nouveaux vecteurs d’attaque pour ce qui est de l’interception et du vol de données ciblés. En effet, un site web dédié au catalogage de ces objets existe et est disponible pour consultation par tous: Shodan (tiré du nom de l’antagoniste de la série de jeux vidéo System Shock, où une intelligence artificielle malicieuse cause des ennuis au héros) permet d’effectuer des recherches ciblées sur des appareils précis connectés à Internet. Vos habitudes d’écoute télévisuelle, votre présence (ou non) dans votre propre maison et le contenu même de votre tablette à condiments ont le potentiel d’être accessibles à tous par ce moteur de recherche. Si vous aviez branché ces appareils tels quels après l’achat, il y a de gros risques qu’ils soient déjà connus des hackers malicieux. Vous n’avez jamais changé le mot de passe par défaut de votre système de sécurité maison? Il y a de gros risques que vos appareils se retrouvent dans Shodan!

L’homme au milieu: plus connue sous son appellation anglaise man-in-the-middle, une attaque de type «homme au milieu» permet à un malfaiteur de se placer entre sa cible et une entité de livraison de contenu légitime (site web, point d’accès sans fil, récipient d’un courriel, etc.) pour intercepter les communications entre les deux entités. Le scénario typique et le plus connu de ce type de captation de données est le faux point d’accès sans fil présent dans un café internet. Les clients du café croient se connecter au WiFi auquel ils sont habitués, mais, en fait, un acteur malicieux intercepte l’ensemble des communications sur ce réseau (mots de passe entrés sur un site transactionnel, courriels non chiffrés envoyés et reçus, etc.) et relaye le tout au réseau. L’opération n’est pas perceptible des victimes alors que la captation s’effectue dans le plus grand des secrets. Dans le cadre d’une surveillance active d’une cible présente dans un lieu physique précis, cette technique vaut de l’or.

4.8QU’EST-CE QU’UNE ADRESSE IP?

Une adresse IP (Internet protocol en anglais) est un numéro d’identification permanent ou temporaire assigné à un appareil connecté à Internet. Si un dispositif doit sortir d’un réseau local et parler à d’autres appareils ailleurs au monde, il doit être doté d’une adresse IP routable (voir la définition de routage au chapitre 8). L’adresse IP étant pratiquement l’équivalent de l’adresse de votre maison sur Internet, il est important de bien comprendre son rôle et de la protéger ainsi que tout ce qu’elle englobe adéquatement.

LE MODÈLE DE MENACE

En surveillance, le modèle de menace est possiblement le concept le plus important, mais très souvent aussi le moins bien défini et compris. C’est le processus d’identification, de dénombrement et de hiérarchisation de menaces potentielles pesant sur un défenseur ainsi que sur ses actifs (ce qu’il souhaite défendre). Le modèle doit être propre à la situation, fluide et adaptatif pour permettre à l’utilisateur d’évaluer convenablement les mesures à mettre en place pour prévenir une attaque, un vol de données ou la compromission d’un système informatique.

Tous n’ont pas les mêmes intérêts à protéger, les mêmes adversaires ni les mêmes ressources à leur disposition pour établir un modèle de menace. Chaque individu possède un modèle de menace différent. Des individus travaillant dans un même organisme peuvent avoir des modèles de menace différents.

Que souhaitez-vous protéger?

Quels sont les atouts, les biens matériels numérisés, l’information ou les autres données qui ont de la valeur pour vous? Faites une liste des éléments que vous désirez activement protéger et qui doivent donc être inclus dans votre modèle de menace. Il peut s’agir de biens matériels, d’information précise, de disques de sauvegarde, etc.

Par exemple, une femme d’affaires pourrait souhaiter garder secrets des états financiers compromettants, tandis qu’un pigiste qui travaille de chez lui pourrait vouloir protéger des photos numérisées ayant une valeur sentimentale importante.

Contre qui souhaitez-vous vous protéger?

Qui pourrait représenter une menace pour l’intégrité de vos avoirs et des informations que vous souhaitez protéger? Qui a le potentiel d’y avoir accès et d’utiliser le tout contre vous? Encore une fois, selon vos besoins personnels et votre situation précise, dressez une liste de menaces. Celles-ci peuvent être d’ordre plus personnel, comme un ex-conjoint jaloux, ou encore plus intangible, comme une société étrangère impliquée dans de l’espionnage industriel.

Pour reprendre notre exemple, une femme d’affaires peut s’inquiéter de voir ses états financiers tomber dans les mains de maîtres chanteurs qui pourraient s’en servir contre elle. Un ingénieur militaire pourrait redouter le vol des plans d’un nouveau char d’assaut par les agents d’un État-nation hostile. Une femme sans histoire pourrait elle aussi être victime de vol de données et voir ses photos personnelles chiffrées contre son gré par un rançongiciel. Enfin, on peut vouloir se protéger contre la collecte de données à des fins commerciales dont les répercussions, particulièrement en termes de publicité ciblée, peuvent être extrêmement intrusives dans la vie privée d’un individu.

Quelle est la probabilité que vous ayez besoin de protéger vos informations?

Quelles sont les étapes nécessaires de la protection active d’un atout particulier? Y a-t-il une démarche pour défendre un bien plus précieux qu’un autre? Il faut évaluer le degré de protection nécessaire et actif pour chacun de vos atouts en fonction des menaces potentielles établies au point précédent.

Retrouvons notre femme d’affaires. Si elle a répondu à un appel d’offres pour obtenir un gros contrat du ministère de la Défense alors qu’un concurrent est suspecté de procéder à de la reconnaissance active sur les serveurs de son entreprise, la probabilité de compromission doit être considérée comme élevée. Un tel scénario est certainement plus plausible que la compromission d’états financiers par un hacker qui n’a pas d’intérêt particulier dans l’entreprise, mais qui aurait envie de s’amuser dans les serveurs de celle-ci. Les deux scénarios représentent bien toutefois les motivations différentes que peuvent avoir des acteurs malicieux dans le cadre d’un modèle de menace. Dans un cas comme dans l’autre, il s’agit de dangers réels, mais qui requièrent des besoins de protection différents.

Quelles seraient les conséquences si vous échouiez?

Y aurait-il des conséquences financières si un atout particulier tombait entre de mauvaises mains? Et s’il s’agissait d’un bien n’ayant peu ou pas de valeur marchande, mais une grande valeur émotionnelle? Seriez-vous capable de le remplacer facilement? Anticiper les conséquences d’un échec de protection de vos actifs vous permettra d’établir une liste de priorités, toujours en lien avec les menaces potentielles, ainsi que les méthodes de protection à votre disposition.

L’ingénieur décrit plus haut pourrait carrément se retrouver dans une situation où une brèche menant à un vol de ses plans aurait des conséquences politiques importantes. Le pigiste, lui, s’il voyait ses photos détruites ou chiffrées par un acteur malicieux, ne serait peut-être plus en mesure de récupérer ces éléments représentant une valeur émotionnelle certaine.

4.9LA STRATÉGIE «3-2-1»

Lorsqu’il est question de copie de sauvegarde de documents importants, on a recours souvent à la stratégie «3-2-1»: il s’agit de garder trois copies différentes de ce que l’on veut protéger sur deux dispositifs différents, et au moins l’une de ces copies dans un lieu externe. Par exemple, pour protéger adéquatement ses déclarations de revenus numérisées, une personne pourrait en faire trois copies, dont une gardée localement sur son ordinateur personnel, une autre sur un système de stockage de nuagerie numérique bien sécurisée et ayant une bonne réputation et la troisième chez un ami de confiance.

Quels désagréments êtes-vous disposé à vivre afin de vous protéger?

À quel point êtes-vous prêt à sortir de votre zone de confort pour protéger vos actifs qui ont une valeur à vos yeux? Quelles habitudes êtes-vous prêt à changer pour maintenir l’intégrité de vos atouts? Les réponses à ces questions vous permettront d’envisager des solutions concrètes qu’il vous appartiendra d’appliquer.

Le pigiste doit prévoir des copies de sauvegarde de ses photos précieuses sur un disque externe. La femme d’affaires doit s’assurer que les états financiers sont chiffrés en tout temps. L’ingénieur doit veiller à ce que seules les personnes autorisées aient accès aux plans. Dans tous les cas, rigueur et discipline s’imposent. Trop souvent, la paresse est un vecteur de compromission qui peut facilement être contourné.

LA SÉCURITÉ OPÉRATIONNELLE

Les bonnes pratiques de protection de ses informations personnelles, la connaissance de son environnement, mais aussi l’exploitation des failles dans les agissements et habitudes d’une potentielle victime par un adversaire représentent toutes des aspects de la sécurité opérationnelle, aussi connue sous son acronyme OPSEC (pour operational security).

La sécurité opérationnelle a été conçue à l’origine par l’armée américaine pendant la guerre du Vietnam pour tenter d’expliquer les raisons de l’échec de certaines manœuvres en terrain hostile, et ses concepts trouvent aussi une application dans le secteur privé ainsi que chez les particuliers désireux d’une certaine tranquillité d’esprit. Cinq grandes étapes constituent les bases de l’OPSEC.

1. Identification de l’information critique

Les capacités, les activités, les limites et les intentions sont les quatre grandes catégories à cibler lorsque l’on désire établir un bon plan de sécurité opérationnelle. Utilisée dans un cadre d’opération précis, l’OPSEC peut être vue comme un guide à suivre lors de certaines situations particulières (par opposition au modèle de menace, qui est utilisé pour déterminer les risques ainsi que les biens à protéger de manière plus précise et dans un cadre plus large). Dans le cas d’un journaliste en contact avec des sources déjà dans la mire d’un gouvernement, y a-t-il des habitudes de déplacement qui pourraient favoriser une surveillance ciblée? Quels canaux de communication sont utilisés entre la source et le journaliste? Ces canaux sont-ils vulnérables et, si oui, de quelle façon?

2. Analyse des menaces

Dans ce modèle, les menaces existent en fonction de l’intention du malfaiteur, mais aussi dans leur capacité à être exécutées, donc de nuire au fonctionnement des personnes ciblées. Posez-vous la question: qui, dans votre entourage, a les moyens de vous causer du tort? Si un désir d’interférer avec vos activités existe, le malintentionné serait-il en mesure de mener à terme ses plans contre vous?

3. Analyse des vulnérabilités

Comparer les faiblesses connues à l’interne d’une entreprise, sur le plan du contrôle de ses accès physiques, par exemple, avec les faiblesses identifiées en espionnant l’entreprise de l’extérieur permet de connaître ses points forts et ses points faibles. En fonction de ce qu’un adversaire connaît sur nous, pouvons-nous anticiper un certain nombre d’actions de sa part? Quels sont les points à améliorer quant à la sécurité des opérations chez un individu, dans un service ou chez les cadres supérieurs?

4. Évaluation des risques

Cette étape vise à évaluer les risques qu’un adversaire exploite une vulnérabilité liée à une information jugée critique. Quels sont les risques qu’un adversaire exploite une fenêtre de maintenance des systèmes de sécurité vidéo? Peut-il avoir accès à de l’information sensible à ce moment?

5. Application des mesures appropriées

Des contre-mesures sont appliquées aux risques potentiels soulevés lors de l’étape précédente. Qu’est-ce qui peut être fait pour protéger une source journalistique? Par exemple, l’application utilisée par le journaliste pour communiquer avec sa source estelle sécuritaire, des informations pourraient-elles fuiter? L’utilisation d’une boîte aux lettres morte est-elle un bon ou un meilleur facteur de réduction de la menace? Le but de cette étape est de limiter les risques déterminés au préalable en appliquant les bonnes mesures.

4.10QU’EST-CE QU’UNE BOÎTE AUX LETTRES MORTE?

Plus connue sous son nom anglais dead drop, une boîte aux lettres morte est un endroit fixe où de l’information secrète ou sensible est échangée entre plusieurs personnes sans que celles-ci soient obligées de se rencontrer ou d’interagir directement. Par exemple, un journaliste pourrait demander à l’une de ses sources qui ne désire pas être vue avec lui en public de déposer un support renfermant des informations sensibles dans un endroit désigné au préalable. Une fois le dépôt effectué, et après le départ de la source, le journaliste pourrait aller récupérer le support sans que les deux individus aient à interagir directement. Hollywood nous a habitué à des images singulières: des boîtes postales, des livres renfermant des réceptacles secrets ainsi que des clés USB fixées à un mur sont tous des exemples de zones de dépôt d’information dites «mortes».

Comme il est possible de le constater, les cinq étapes de la sécurité opérationnelle sont très similaires aux questions que l’on doit se poser lors de la création d’un modèle de menace, les deux ayant pour objectif de réduire une surface d’attaque. La principale différence réside dans l’aspect comportemental de l’OPSEC par rapport à la vue globale des acquis, des menaces et des techniques de réduction du modèle de menace. Le modèle de menace offre une vue globale des menaces, des biens et des ressources à protéger pour une entreprise ou un particulier, tandis que la sécurité opérationnelle s’applique lors d’une action précise. Dans les deux cas, une protection est nécessaire, mais les méthodes pour assurer la sécurité varient selon le contexte. Un journaliste visé par un service de renseignement, par exemple, voudrait probablement, selon son modèle de menace, protéger une source face à une branche d’État hostile. En cas d’inaction ou de laxisme, cette source pourrait être compromise. Pour pallier cette menace, une bonne sécurité opérationnelle consisterait à rencontrer la source dans des lieux différents, à emprunter un chemin différent au retour de la rencontre qu’à l’aller, à ne pas communiquer avec la source par des moyens non sécuritaires, etc. On adapte sa pratique (la sécurité opérationnelle) à la théorie (le modèle de menace).

6.https://commons.wikimedia.org/wiki/File:Categor%C3%ADas_de_ANT.jpg

7.https://ici.radio-canada.ca/nouvelle/1027678/interception-ondes-cellulaire-imsi-repandue-corps-policiers-canada

5. VENDRE ET ACHETER EN LIGNE

L’émergence du Web a entraîné des reconfigurations majeures dans la manière d’envisager le commerce: les systèmes d’achat et d’échange de biens en ligne. En effet, depuis la popularisation de plateformes telles qu’Amazon, eBay, Kijiji, etc., on ne voit plus physiquement l’article avant la réception, et le contact avec le vendeur se fait beaucoup moins directement. Le processus d’achat en ligne des consommateurs est donc bâti sur des concepts qui peuvent paraître abstraits. Par conséquent, il introduit de nouvelles formes de vulnérabilités dans nos habitudes de consommation. Le présent chapitre a trois objectifs: faire mieux comprendre les logiques qui sous-tendent les relations marchandes sur Internet, réduire les risques de fraude pouvant être occasionnée par des lacunes en sécurité numérique, et déterminer et minimiser les enjeux relatifs à la saisie de données par des entreprises marchandes dans un contexte de consommation.

Une chose cependant n’a pas changé, c’est que tous les échanges commerciaux sont avant tout basés sur la confiance. La pléthore de sites marchands qui existent regorge de nouvelles propositions pour aller chercher la confiance des vendeurs et des consommateurs. Peu réussissent convenablement… et avec raison. D’un point de vue de sécurité pure, le concept d’acheter quelque chose en ligne chez un inconnu est une recette pour le désastre. La construction de la confiance, dans un cadre virtuel et dans une logique marchande, est difficile et minutieuse. Mais des années d’échanges en ligne, de recherches, de développements, d’essais et d’erreurs ont permis de raffiner les méthodes utilisées et d’augmenter la sécurité, autant pour l’acheteur que pour le vendeur.

Comme nous l’avons vu précédemment, un nombre grandissant de services sur Internet basent leur modèle d’affaires sur la personnalisation et le ciblage de contenu. Le commerce en ligne ne fait pas exception à la règle. Ainsi, afin de pouvoir optimiser son expérience et ses activités en ligne, il est nécessaire de mieux comprendre les logiques qui sous-tendent les relations marchandes numériques. Cela permet, d’une part, de réduire les risques de fraude pouvant être occasionnée par la malhonnêteté des vendeurs et leurs lacunes en sécurité numérique. D’autre part, cela permet au consommateur d’agir de manière plus avertie en minimisant, par exemple, les enjeux relatifs à la collecte de données par des commerces sur les habitudes de consommation des individus.

(PAS) COMME UN GANT

Simon est à la recherche d’une chemise hors de l’ordinaire. Il fouille plusieurs fois sur les moteurs de recherche et sur des sites d’achat en ligne afin de trouver exactement ce qu’il veut. Mais tout semble toujours trop cher, les frais de livraison sont trop élevés et, rapidement, Simon perd l’intérêt.

Quelques jours plus tard, Simon voit apparaître une publicité en ligne. On y affiche exactement la chemise qu’il cherche, à un prix parfait. Pour l’acheter, il doit télécharger une application conçue par une compagnie asiatique. L’application semble avoir une bonne cote sur le marché d’applications d’Apple, il décide donc d’aller de l’avant: il télécharge l’application, achète la chemise à l’aide de sa carte de crédit et la fait livrer directement chez lui.

Quelques semaines plus tard, il reçoit la chemise. Rapidement, il se rend compte qu’elle est beaucoup trop petite. Simon vient d’apprendre que les tailles asiatiques et les tailles nord-américaines sont bien différentes. Dans les jours qui suivent, Simon tente d’entrer en communication avec le vendeur de la chemise, en vain. À la recherche de recours, il perd espoir, reste pris avec sa petite chemise et accepte de reconnaître qu’il ne peut rien y faire.

Que s’est-il passé?

Lorsqu’une occasion semble trop belle pour être vraie, c’est effectivement qu’elle ne l’est pas. Malgré l’envie soudaine d’acheter, il faut être capable de comprendre la situation dans son ensemble et de considérer les conditions qui font qu’une occasion semble trop bonne pour y résister.

Dans le cas de Simon, plusieurs facteurs expliquent ce qui s’est passé. En utilisant les moteurs de recherche populaires et en visitant des sites marchands qui sont liés à plusieurs autres sites partenaires, Simon s’est fait «profiler» en tant qu’utilisateur activement à la recherche d’une chemise.

Chaque lettre, chaque mot tapé par un utilisateur, même s’il décide de l’effacer, est enregistré et utilisé pour construire un profil d’utilisateur et de consommateur. Simon a cherché «chemises» dans un moteur de recherche, puis a visité des sites apparus dans ces recherches. Pour le moteur de recherche et les sites qu’il a visités, il désirait clairement une chemise. Même si sa quête n’a pas abouti à un achat, ses champs d’intérêt sont tout de même stockés sur les serveurs des entreprises. Ces données peuvent ensuite être redistribuées ou revendues à un réseau de partenaires. Très souvent, les champs d’intérêt de recherches et d’achats sont même sauvegardés sur l’ordinateur de l’utilisateur, dans de petits fichiers qu’on appelle des témoins (en anglais cookies). Dans les deux cas, ces méthodes stockent beaucoup d’informations sur les champs d’intérêt d’un utilisateur. À terme, elles peuvent être réutilisées à son insu à des fins commerciales. Simon, lui, s’est fait «recibler» par une entreprise asiatique qui a sans doute remporté l’enchère en temps réel pour obtenir son profil de consommateur.

Même si Simon a bien suivi les bonnes pratiques en termes de vérification de l’éditeur de l’application dont il s’est servi, il a omis de s’informer sur les réalités, les pratiques et les recours commerciaux du pays d’où vient cette application et où se trouve le vendeur de chemises. En ce qui concerne l’achat de vêtements en ligne, il faut toujours s’assurer de consulter une charte des grandeurs définissant les normes de mesure des pièces. Il faut également vérifier comment se ferait un potentiel retour de marchandise. La livraison du bien est-elle assurée? Qui absorbera les coûts en cas d’erreur: l’acheteur, le vendeur ou le site web marchand? Finalement, il faut s’informer sur la méthode de classification ou d’approbation des vendeurs, si elle existe, car elle permettra d’évaluer le taux de satisfaction des acheteurs précédents afin de mieux se protéger.

5.1PETIT LEXIQUE DU MARKETING NUMÉRIQUE

Témoin: un témoin (cookie) est un tout petit fichier qui s’installe sur l’ordinateur d’un utilisateur dès qu’il visite un site web particulier et qui est constitué d’informations sur son profil (voir aussi le chapitre 2, «Partager sa vie en direct»).

Ciblage: rien n’est gratuit sur Internet. Même si un utilisateur peut utiliser un système gratuitement ou accéder sans frais à de l’information sur le Web, les propriétaires de ces systèmes ne peuvent survivre sans revenus. C’est pourquoi la majorité des sites qui offrent de l’information en accès libre vont choisir de compiler les données et métadonnées qu’ils accumulent sur leurs utilisateurs afin de les profiler (selon leur âge, sexe, localisation, allégeance politique, etc.) et qu’ils vont ensuite vendre à d’autres parties commerciales afin que celles-ci puissent afficher de la publicité très précise chez des utilisateurs dont elles auront ciblé les profils. Ce modèle d’affaires est le modèle principal de la plupart des grands sites du monde.

Reciblage: le reciblage (retargeting) consiste à rediriger du contenu publicitaire, que ce soit sous forme de fenêtre publicitaire, de courriel, d’encadré publicitaire, de lien sponsorisé, vers un utilisateur après l’atteinte d’une certaine condition. Par exemple, une publicité peut apparaître à l’écran de l’ordinateur de quelqu’un deux ou trois semaines après sa visite d’un site web marchand, une semaine après ses recherches d’un sofa sur un autre site marchand ou après des recherches sur les sofas et la peinture dans un moteur de recherche.

Enchères en temps réel: les enchères en temps réel (en anglais, real-time bidding ou RTB) représentent une technologie populaire de revente de profil d’utilisateurs. Par exemple, un site web précis possède un nombre défini d’encadrés publicitaires sur ses pages. Chaque fois qu’un utilisateur visite cette page, ce dernier se voit immédiatement profiler, et son profil pourra être immédiatement vendu au plus offrant (d’où la logique de «temps réel»). Cela permet aux entreprises qui possèdent de l’espace publicitaire virtuel sur leur site ainsi que des profils d’utilisateurs intéressants d’augmenter leur marge de profit, et à celles qui achètent de la publicité d’augmenter leur retour sur investissement en s’assurant que leurs publicités sont affichées uniquement chez les utilisateurs dont ils auront ciblé le profil précis.

VENDRE OU ACHETER EN LIGNE

De plus en plus de gens choisissent d’acheter ou de vendre en ligne. La multiplication des systèmes d’annonces et la convivialité des plateformes de commerce électronique rendent le processus d’achat et de vente de plus en plus simple. Mais plusieurs facteurs doivent être pris en compte avant de faire confiance à un site ou à une plateforme, surtout en matière de sécurité!

La sélection d’une plateforme de vente ou d’achat

De manière générale, la sélection d’une plateforme doit se faire en fonction d’un objectif prédéterminé. Celui-ci tient compte du degré de risque que l’acheteur ou le vendeur est prêt à assumer à l’occasion de la transaction.

Par exemple, un vendeur cherchant à vendre un produit rare et d’une certaine qualité va rechercher des plateformes où le processus transactionnel est plus sécurisé, tant sur les plans du paiement que de la livraison et de la qualité du produit.

Localisation

Lors de la sélection d’une plateforme de vente ou d’achat, il faut tenter de découvrir la localisation du propriétaire de la plateforme ou de l’entreprise qui l’héberge. Cela détermine les lois commerciales entourant la vente ou l’achat et aidera à connaître les recours potentiels et la protection des transactions qui seront faites. Il peut également être important de vérifier si l’entreprise propriétaire a des recours en ce moment contre elle, si elle compte beaucoup d’utilisateurs actifs et si le site est légitime, particulièrement quand celui-ci semble moins commercial ou dans le cadre de transactions plus importantes.

Informations nécessaires et échangées avec l’autre partie

Lors de la sélection d’une plateforme, il est important de déterminer quelles informations sont vraiment nécessaires à la transaction. Plus les informations nécessaires et divulguées sont sensibles et importantes, plus des mesures de sécurité doivent être en place pour assurer le succès des opérations. Par exemple, pour l’achat d’un objet, les informations nécessaires devraient se limiter aux informations de transaction (données de carte de crédit et de facturation, détails du transfert bancaire ou du transfert de fonds par courriel). Des exemples d’informations non nécessaires sont la date d’anniversaire de l’acheteur ou son numéro d’assurance sociale. Pendant toute la durée de l’envoi de ces informations, il faut s’assurer que la communication est chiffrée.

Résultats attendus

En fonction des objectifs de l’acheteur ou du vendeur, les résultats attendus peuvent être différents. Par exemple, dans le cas de la vente d’un objet rare ou cher sur un site d’enchères, l’acheteur potentiel voudra qu’on le tienne informé tout au long du processus et qu’on lui confirme le plus rapidement possible que tout a bien été complété. En retour, à l’occasion d’une vente d’un objet usagé de moins bonne qualité sur un site de petites annonces, l’acheteur pourrait décider qu’il ira chercher l’objet chez le vendeur et négocier le prix et la forme de paiement avec lui de vive voix. Les résultats attendus étant différents, des plateformes différentes seront alors sélectionnées.

Il peut être important de s’informer sur l’historique de l’entreprise et les mesures de sécurité en place, aujourd’hui et par le passé. Il y a peut-être eu des fuites de données et de métadonnées des utilisateurs ou il y a peut-être des fuites actives, ce qu’il est important de savoir si vous avez l’intention de stocker des informations financières sensibles sur les serveurs de l’entreprise.

Déterminer la fiabilité du vendeur

Tout échange commercial étant basé sur la confiance, en fonction des objectifs mutuels de l’acheteur et du vendeur, il faudra déterminer la fiabilité de l’acheteur ou du vendeur. Toutes les plateformes d’échanges en ligne n’offrent pas les mêmes méthodes de vérification.

Évaluer la note du vendeur

De manière générale, les plateformes de commerce électronique permettent aux acheteurs de donner une note à un vendeur en fonction de sa fiabilité, de la qualité de son produit ainsi que de son service pendant et après la vente. Il est important pour un acheteur potentiel de comprendre la manière dont cette note peut être attribuée et sur quoi elle est basée.

Certaines des plus grosses plateformes de commerce électronique permettent seulement aux acheteurs confirmés de laisser un commentaire (c’est-à-dire des utilisateurs ayant effectivement acheté un produit au moyen de la plateforme). D’autres plateformes permettent à tous les utilisateurs enregistrés sur le site de commenter, même s’ils ne sont pas confirmés en tant qu’acheteurs du produit qu’ils commentent. Certaines plateformes affichent les notes et les commentaires à tous les internautes, qu’ils y aient ou non un compte (ce qui ouvre grand la porte aux fausses notes), tandis que d’autres ne permettent aucune attribution de note (ce qui peut laisser sur sa faim un acheteur cherchant un vendeur fiable).

Évaluer les commentaires des acheteurs ou des vendeurs

Tout comme les notes, il existe parfois la possibilité de laisser et de lire des commentaires d’acheteur ou de vendeur. Il est bien important de comprendre qui peut laisser un commentaire, et comment, afin d’évaluer la véracité de ce qui est publié. Les commentaires peuvent offrir des informations éclairantes sur la qualité à terme des objets achetés ou vendus, sur les défauts de fabrication ou sur l’allure réelle des objets ou des services achetés ou vendus.

Par exemple, un sofa vendu en ligne pourrait sembler de haute qualité si l’on se fie aux photos publiées par le vendeur, mais on pourrait constater, en lisant les commentaires et en scrutant les photos laissées par les consommateurs, que le tissu ou la qualité du produit ne sont pas ceux qu’on prétend.

La négociation

Toutes les plateformes n’offrent pas nécessairement la capacité de négocier. Les sites d’enchères tels qu’eBay offrent une certaine capacité de négociation, mais, la plupart du temps, cette capacité est limitée au montant final retenu qui, lui, est lié à des obligations de paiement. Il est donc important de faire attention lorsqu’on promet un montant sur certains sites d’enchères, car, si le paiement n’est pas effectué, cela peut entraîner des conséquences légales.

Sur les sites de petites annonces, où la négociation et l’entente sont souvent tacites, il faut s’assurer de ne communiquer aucune information financière sensible (par exemple un numéro de carte de crédit ou de compte bancaire) à l’intérieur des services de messagerie de la plateforme. Toute information de paiement sensible doit traverser un système sécurisé.

Le paiement

Les plateformes de commerce électronique sont de plus en plus nombreuses à accepter le paiement par carte de crédit, par dépôt direct, par Interac, par virement bancaire ou par monnaie numérique. Chacune de ces méthodes comporte des avantages et des inconvénients en matière d’équilibre entre la convivialité et la sécurité.

Cartes de crédit

Il s’agit du mode de paiement le plus utilisé sur les plateformes de commerce électronique ou lors des échanges en ligne. Il existe deux manières d’effectuer un paiement par carte de crédit lors d’échanges commerciaux en ligne: manuelle ou automatique.

La méthode manuelle signifie que le paiement sera fait «à la main» par un individu travaillant pour l’entreprise (ou disant travailler pour l’entreprise). Il s’agit de la manière la moins sécuritaire et celle qui comporte le plus de risques. Cette méthode est souvent utilisée lorsqu’on achète des produits ou des services, par exemple une chambre d’hôtel, auprès d’un commerçant indépendant dans des régions un peu moins bien servies par les grandes banques ou moins développées du côté numérique. On reconnaît la méthode manuelle quand le vendeur demande par courriel les informations liées à la carte de crédit, ou encore lorsqu’on voit des formulaires un peu primitifs sur le site web d’une entreprise. Cette façon de faire est fortement déconseillée, mais il est probable que, en fonction de certains besoins et objectifs – notamment dans d’autres régions du monde –, ce soit la seule méthode de commerce en ligne disponible. Dans ce cas, il est d’autant plus important de faire des enquêtes préliminaires sur le vendeur de services afin de s’assurer que ce dernier jouit d’une bonne réputation. Dans le cas de telles transactions, il peut être judicieux d’aviser son institution bancaire à l’avance. Néanmoins, il faut être conscient que toutes les informations envoyées par cette méthode pourront être stockées dans votre compte de courriel, ou dans celui de l’entreprise de courriel que vous utilisez (si vous envoyez le message par courriel), ou sur les serveurs du vendeur.

La méthode automatisée est beaucoup plus sécuritaire, car le nombre d’intervenants dans la transaction est moins élevé. Cette méthode est la plus fréquemment utilisée lors d’achats en ligne en Occident. Un marchand peut utiliser une méthode gratuite et sécurisée de paiement par l’intermédiaire de grands services tels que PayPal, qui sont relativement faciles à implanter, mais qui offrent peu d’options. De manière générale, l’information de crédit saisie lors du paiement n’est pas conservée dans les serveurs du vendeur, mais traitée entièrement du côté du système de paiement, à moins que l’utilisateur choisisse volontairement de conserver ses informations de paiement sur le site web du vendeur, ce qui représente un enjeu de sécurité supplémentaire. Une telle option ne devrait être considérée qu’en cas d’utilisation fréquente de la plateforme. Si l’acheteur décide de l’utiliser, il est également recommandé qu’il se tienne à jour au sujet des fuites quasi quotidiennes d’informations sensibles des grandes entreprises, car il est probable que ses informations aussi s’y retrouveront un jour! Il est également important de s’informer des mesures de protection et de chiffrement des informations de crédit sur le site des vendeurs.

Avantages

Le paiement par carte de crédit est rapide, simple et utilisé dans la plupart des pays du monde. C’est une méthode rapide pour effectuer un achat d’un montant dont la limite est fixée. Les cas de fraudes, trop fréquents, sont généralement remboursés en partie par la compagnie de carte de crédit.

Inconvénients

Puisqu’il s’agit de l’une des méthodes de paiement les plus simples et les plus fréquemment utilisées, c’est également celle qui est la plus susceptible d’être problématique. Les données de crédit peuvent être collectées à notre insu en transit (par un réseau ouvert ou une connexion non sécurisée, par exemple) ou si elles sont volontairement ou involontairement mal stockées sur les serveurs des vendeurs.

Dépôt direct

Le dépôt direct est le transfert automatisé de fonds entre deux comptes de la même institution bancaire ou de différentes banques. Il s’agit d’une forme de transfert électronique de fonds (EFT ou electronic funds transfer) similaire au virement bancaire (voir plus bas). Les dépôts directs sont faits sans intervention directe de la part d’employés des institutions bancaires et prennent généralement deux jours à être effectués, car les systèmes électroniques des différentes institutions doivent se parler.

Avantages

Le dépôt direct est une méthode sans intermédiaire. Il s’agit du passage automatisé de fonds d’une institution à une autre. En ce sens, les données ne transitent pas par plusieurs autres parties, et le risque de fraude est alors limité. Une fois les fonds transférés dans un compte, ils sont immédiatement accessibles.

Inconvénients

Le dépôt direct est lent. Bien qu’elles soient automatisées, les transactions prennent généralement deux jours avant d’être conclues. Cela rend le dépôt direct peu pratique dans une logique de commerce en ligne où le paiement doit être confirmé immédiatement. De plus, le dépôt direct implique que l’acheteur exige les informations bancaires du vendeur pour pouvoir lui transférer les fonds. Ces informations sont sensibles et ne devraient pas être communiquées à un acheteur inconnu, et leur transmission ne devrait pas se faire par des méthodes non sécurisées ou non chiffrées.

Interac

Le paiement Interac en ligne ou par courriel est une méthode de plus en plus acceptée. Il s’agit fondamentalement d’un transfert automatisé et instantané de fonds. Bien qu’elle soit intéressante, cette méthode n’est pas acceptée à l’échelle du globe et ne s’applique qu’à un nombre limité d’institutions en Amérique du Nord.

Avantages

Le paiement Interac est intéressant pour le vendeur puisque le transfert de fonds est immédiat. Il est relativement simple à implanter, car les méthodes sont soutenues par les institutions bancaires. Le paiement Interac peut également être intéressant pour un acheteur qui préfère ne pas utiliser ou qui n’a pas de carte de crédit, ou qui préfère envoyer des fonds en ligne de manière sécuritaire si un système de paiement par carte de crédit n’existe pas sur la plateforme, par exemple sur un site de petites annonces où les utilisateurs doivent conclure des ententes directement entre eux.

Inconvénients

Le paiement Interac n’est pas très répandu et il peut être difficile d’utiliser cette méthode à l’étranger. Le principal enjeu reste cependant le manque de protection. Contrairement au paiement par carte de crédit, avec lequel un utilisateur a une certaine protection contre la fraude, une fois qu’un paiement Interac est accepté il n’est pas possible (ou alors très peu) d’être remboursé en cas de fraude. Le paiement Interac en ligne devrait alors seulement être considéré avec des proches.

Virement bancaire

Le virement bancaire est une manière d’envoyer de l’argent rapidement entre deux comptes de la même ou de différentes institutions financières, partout au monde. Au même titre que le dépôt direct, le virement bancaire est une forme de transfert électronique de fonds (EFT ou electronic funds transfer). Alors que le dépôt direct constitue une méthode automatisée, le virement bancaire est effectué manuellement par la banque et requiert la supervision d’employés des établissements financiers. Le virement bancaire interinstitutions utilise des systèmes sécurisés, tels que le système SWIFT ou Fedwire.

Avantages

Les virements bancaires sont rapides comparativement aux dépôts directs. Ils n’ont pas de limite de transfert de fonds.

Inconvénients

Les virements bancaires ont des coûts assez prohibitifs. Ces coûts proviennent de la nécessité de supervision de la part du personnel des institutions financières. Ils sont donc à privilégier surtout lors de l’envoi de sommes importantes. Les virements bancaires sont également irréversibles et n’offrent pas de protection en cas de fraude, tout comme les paiements Interac. Finalement, ils ne sont pas aussi instantanés que le paiement par carte de crédit ou Interac.

Monnaie numérique

La monnaie numérique est une méthode de paiement virtuelle décentralisée et dont la valeur est déterminée en fonction de l’offre et de la demande. Toutes les formes de monnaies numériques utilisent des infrastructures et des méthodes de confirmation de paiement différentes, mais le modèle reste le même: l’anonymat relatif des utilisateurs et l’absence d’autorité centrale pour approuver ou refuser un paiement. Contrairement à une méthode de paiement où les fonds sont détenus dans un compte appartenant à une institution financière, qui contrôle également le grand livre de toutes les transactions dans ses systèmes, la monnaie numérique est détenue par l’utilisateur, et le grand livre est détenu par tous les utilisateurs.

Avantages

Le paiement par monnaie numérique permet un anonymat relatif des acheteurs et des vendeurs. Bien qu’il soit toujours possible de tenter de retrouver un utilisateur en particulier, il s’agit de la méthode de paiement la plus anonyme. De plus, puisqu’il n’y a aucun intermédiaire financier entre deux utilisateurs, les transferts ne coûtent rien et sont relativement rapides, selon les systèmes.

Inconvénients

Les monnaies numériques n’offrent aucune protection ni obligation légale. Le relatif anonymat et l’encadrement légal inexistant signifient que les utilisateurs sont laissés à eux-mêmes. Si un utilisateur décide de stocker sa monnaie numérique sur un site web non sécurisé et que celui-ci se fait pirater, il est probable que l’utilisateur perdra tout et ne pourra pas se faire rembourser. De plus, puisque les monnaies numériques sont virtuelles, elles ont les mêmes enjeux que tout autre équipement informatique, c’est-à-dire le vol ou la perte de données en cas de catastrophe (incendie, tempête solaire, inondation). Aucune protection n’existe pour récupérer sa monnaie numérique stockée localement, c’est-à-dire dans un ordinateur, si celui-ci a été détruit.

Le suivi d’un achat

Toutes les plateformes de commerce électronique sont différentes et toutes utilisent des systèmes différents pour effectuer le suivi d’un colis. Le suivi est généralement assuré par la compagnie qui effectue la livraison. Ce ne sont pas tous les systèmes de commerce électronique qui intègrent convenablement la méthode de suivi électronique de leur service de livraison et de leur plateforme de commerce.

Au Canada et aux États-Unis, les colis peuvent généralement être suivis au moyen d’un numéro attribué lorsque l’article est pris en charge par le service de livraison. Malheureusement, le suivi s’arrête à la frontière canadienne si le service de livraison change et il devient donc alors souvent impossible de savoir où est rendu le colis. En revanche, si le service utilisé est le même tout au long du processus de livraison, il sera alors possible de suivre son colis et d’intervenir s’il semble y avoir un problème, une perte ou une autre difficulté.

Les colis livrés à partir des services postaux nationaux d’outre-mer sont rarement traçables, et les suivis sont beaucoup plus compliqués. S’il est nécessaire de suivre à la trace un colis livré, il peut être important de considérer d’autres avenues, telles que le recours à une entreprise privée spécialisée en livraison internationale.

La réception

La réception d’un colis peut se faire en cas de présence ou en cas d’absence. En cas de présence, ce ne sont pas tous les services de livraison qui offrent la confirmation de l’identité de la personne qui a pris le colis. Certains services vont demander une confirmation vocale ou écrite de l’identité du receveur. Cependant, de plus en plus de grands sites de commerce électronique ne confirment pas l’identité de la personne qui accepte le colis lors de la livraison (cela demande plus de ressources en temps et en technologie), et il est donc important de s’assurer de faire livrer le colis à la bonne adresse ou à un endroit d’où l’on pourra le récupérer en personne. En cas de livraison d’un colis important, il est essentiel de s’assurer que le service confirme la livraison de manière vocale ou écrite, pour des raisons légales et commerciales.

Deux manières principales existent pour la livraison d’un colis en cas d’absence.

La première est la conservation du colis dans un centre d’entreposage appartenant à l’entreprise responsable de la livraison. Si la livraison est effectuée par un service de poste national ou une grande entreprise spécialisée en transport, le service conservera généralement le colis au bureau le plus proche de l’endroit où il doit être livré, et le destinataire absent doit s’y rendre pour en prendre possession.

La seconde est le dépôt du colis au pied de la porte du destinataire. Cette méthode est de plus en plus utilisée par les grands sites marchands. Elle est considérée pour deux raisons principales: la livraison s’effectue plus rapidement par un employé dont le seul critère d’évaluation de la performance est le nombre de livraisons et leur rapidité; et l’utilisateur recevra son colis sans avoir à se rendre dans un centre d’entreposage, qui est parfois loin et dont les heures d’ouverture ne conviennent pas nécessairement au travailleur moyen.

Retourner un colis et se faire rembourser

Avant même d’effectuer un achat ou une vente sur une plateforme de commerce électronique, il est important de s’informer de la localisation physique de l’entreprise propriétaire de la plateforme. Les entreprises doivent se soumettre aux lois de protection des consommateurs en vigueur sur le territoire qu’elles servent. En fonction de cette situation et des objectifs, on peut choisir de faire affaire ou non avec une plateforme ou un acheteur ou vendeur.

Il est aussi important de suivre les conditions de vente lors de chaque achat, particulièrement lorsqu’il s’agit de vêtements ou d’objets trouvés dans les petites annonces.

PROTÉGER VOS DONNÉES

Quand on achète ou vend en ligne, deux choses doivent être protégées: les données et les métadonnées. Les données concernent le contenu des transactions et les détails liés aux informations, tandis que les métadonnées concernent notre profil de consommateur, nos champs d’intérêt, nos choix de cadeaux, nos réflexions.

Afin de vous assurer que vos données sont protégées, il y a certaines variables à évaluer et à propos desquelles il faut obtenir des confirmations. Ces variables ont été abordées amplement dans d’autres chapitres, mais nous vous invitons sérieusement à les revoir pour vos achats ou vos ventes en ligne, sur toutes les plateformes.

Tout d’abord, les formulaires sont l’un des points d’entrée principaux des attaques informatiques. Il s’agit de l’un des maillons faibles du commerce électronique puisqu’ils permettent à un usager qui n’a pas nécessairement de pouvoir sur la plateforme d’envoyer de l’information à celle-ci et peut-être, dans le cas de lignes de codes mal vérifiées ou de systèmes mal sécurisés, d’ouvrir une porte directement sur la plateforme. Assurez-vous donc que toutes les plateformes de commerce électronique que vous utilisez ont été auditées récemment par des entreprises expertes en sécurité de l’information.

Ensuite, informez-vous au sujet des méthodes de protection des bases de données. Bien que beaucoup d’entreprises disent publiquement protéger leurs bases de données d’utilisateurs à l’aide d’une méthode quelconque de chiffrement, la plupart ne le font pas de manière efficace.

Il est donc important de vous renseigner, notamment parce que, si vous n’obtenez pas une confirmation écrite de la part de l’entreprise et que celle-ci est victime d’un piratage de ses bases de données, vos recours seront alors relativement limités et vos données ultrasensibles pourront se retrouver ailleurs (on pense notamment à toutes les informations liées à l’identité d’un utilisateur: prénom, nom, date de naissance, numéro de téléphone, adresse, numéro de carte de crédit, numéro d’assurance sociale, numéro de passeport, mots de passe, etc.).

Les mots de passe et l’authentification à double facteur sont des sujets à aborder. Il peut être important pour un utilisateur d’avoir une confirmation quant au degré de chiffrement et de sécurité disponible sur la plateforme de commerce électronique qu’il a l’intention d’utiliser, car cela pourra avoir un impact sur sa capacité de vendre ou d’acheter et de payer, ou de recevoir un paiement, en plus de sa capacité d’utiliser ses comptes clients en général.

En ce qui a trait à la protection des métadonnées, plusieurs méthodes sont possibles (et nécessaires). Avant tout, assurez-vous d’avoir installé, sur vos dispositifs intelligents, plusieurs bloqueurs publicitaires. Parfois, des entreprises publicitaires vont acheter des bloqueurs publicitaires dans le but de bloquer la publicité concurrente, mais permettre la publicité de l’entreprise propriétaire. En installant plusieurs bloqueurs, on peut se garantir un blocage plus unilatéral, tant et aussi longtemps qu’on reste à jour sur les bloqueurs utilisés. Le blocage des publicités en ligne permet de naviguer sans se faire profiler aussi facilement. Chaque publicité affichée en ligne dépose sur nos appareils des fichiers servant à nous profiler, les fameux témoins, ou cookies, qui peuvent être utilisés par d’autres sites afin de nous pousser de la publicité ou du contenu en fonction des champs d’intérêt captés par ces fichiers.

À noter que les publicités en ligne sont également un vecteur d’attaque et d’infection important, car elles utilisent des langages de programmation qui n’ont pas nécessairement la sécurité comme priorité. Elles sont donc très souvent visées ou utilisées pour infecter des systèmes.

Il est également recommandé, pour protéger vos métadonnées, de ne pas vendre, acheter ou magasiner alors que vous êtes activement connecté à une session Google, Facebook, Amazon ou d’une autre entreprise dont le modèle d’affaires principal dépend des métadonnées et de la publicité. Les systèmes se parlent; rapidement, ils communiqueront entre eux vos préférences commerciales afin d’orienter ou de guider vos choix en tant que consommateur, vendeur ou acheteur. Dans un univers commercial optimal, l’accès à l’ensemble des occasions de consommation et au potentiel qu’elles renferment n’est pas limité par le profil créé automatiquement par des entreprises multinationales et multicanaux dont le modèle d’affaires dépend largement et uniquement de la revente de vos habitudes de navigation et de recherche en ligne.

6. GÉRER SES ACCÈS

Avant d’entamer la lecture de ce chapitre, arrêtez-vous quelques minutes. Essayez de répertorier tous les comptes que vous utilisez sur une base quotidienne ou sporadique. Pensez aux comptes que vous utilisez pour gérer vos finances personnelles, vos activités professionnelles ou personnelles ainsi que vos divertissements. Que ce soit pour déverrouiller l’écran de son ordinateur personnel, de son téléphone intelligent, de sa tablette, pour avoir accès à des services et comptes en ligne ou encore à un guichet automatique bancaire, tout individu s’identifie plusieurs dizaines de fois par jour.

L’identification et la gestion des accès aux comptes et aux appareils deviennent donc la porte d’entrée et les éléments essentiels de toute bonne pratique en sécurité numérique. Au même titre que les maisons sont verrouillées par des serrures et des clés de qualité, l’environnement personnel des citoyens dans le numérique doit être protégé par des outils adéquats. Il y a cependant une différence majeure: un citoyen normal dispose fort probablement d’un plus grand nombre de comptes, de services et d’appareils numériques qu’il ne possède de clés, de cadenas et de serrures. L’environnement numérique repose donc sur un écosystème relativement complexe de méthodes d’accès et d’authentification. Les prochaines pages ont pour but principal de démystifier cet écosystème et de définir les meilleures pratiques ou, du moins, quelques pistes de départ à adopter quotidiennement pour mieux sécuriser l’accès à ses environnements numériques.

La gestion de l’accès est sans contredit la pierre angulaire de la sécurité numérique. Si un individu utilise les meilleurs logiciels dotés des systèmes de chiffrement les plus complexes, mais qu’il choisit un mot de passe facile à deviner (disons: motdepasse), ses documents seront très facilement compromis. C’est un principe tout simple: la sécurité totale d’un système est équivalente à son maillon le plus faible. La porte d’entrée à tout système est l’authentification.

LES MODES ET MÉTHODES D’AUTHENTIFICATION

L’identification s’appuie sur un problème tout simple: comment s’assurer qu’une requête d’accès est faite par une personne en droit de la faire? Règle générale, l’identification d’un individu se fait par l’authentification. Celle-ci peut prendre de multiples formes. Par exemple, la signature, un geste qui, théoriquement, ne peut être reproduit que par une seule personne, est une forme d’authentification attestant qu’un individu a pris connaissance et approuve les clauses d’un contrat. Dans l’environnement numérique, l’authentification permet aussi de gérer l’accès aux appareils, aux comptes et aux services. Elle aussi peut prendre plusieurs formes. Parmi les plus connues, nous pouvons compter notamment les méthodes matérielles, c’est-à-dire un objet, quelque chose que l’on tient sur soi, tel qu’une carte à bande magnétique ou à puce, une clé USB, un téléphone cellulaire; mémorielles, c’est-à-dire quelque chose dont on se souvient, tel qu’un numéro d’identification personnel (NIP), un mot de passe ou un pattern; ou encore corporelles ou biométriques, c’est-à-dire quelque chose qui fait partie de notre corps, tel que les empreintes digitales, ou encore le visage ou la voix dans le cas des systèmes de reconnaissance faciale ou vocale.

Identification de certains modes, méthodes et contextes d’authentification

Ces méthodes ne sont évidemment pas toutes égales: certaines comportent des avantages en termes de convivialité (par exemple le déverrouillage par empreintes digitales) et d’autres en termes de sécurité (par exemple la phrase de passe plus longue à taper et demandant un plus grand effort de mémorisation). Effectivement, au même titre qu’il existe différents types de clés et de verrous, certains modes d’authentification sont plus sécuritaires: ils permettent plus difficilement la falsification des modes d’authentification ou l’intrusion à des services, des informations et des correspondances personnelles.

Cependant, le choix d’une méthode d’authentification par rapport à une autre ne suffit pas à lui seul à améliorer sa sécurité numérique. Pour être réellement efficace, la méthode doit être bien implantée tout en étant cohérente avec les contraintes techniques de la plateforme (il est impossible d’utiliser une phrase de passe dans un guichet automatique bancaire) ainsi que les besoins des utilisateurs.

Dans la majorité des scénarios, le mode d’authentification est dicté par l’application, le service ou l’appareil utilisé. Par exemple, l’accès à un compte bancaire se fait généralement en utilisant une carte magnétique (carte bancaire) accompagnée de son NIP. L’accès à un service de courriel, pour sa part, est généralement protégé par un mot de passe. Néanmoins, dans certains cas, il est possible de faire un choix. Par exemple, pour verrouiller ou déverrouiller l’écran d’accueil d’un téléphone intelligent, de plus en plus d’options s’offrent à l’utilisateur: il peut choisir de s’authentifier avec un NIP, un pattern, un mot ou une phrase de passe ou encore avec des éléments biométriques. Effectivement, plusieurs téléphones intelligents acceptent l’authentification par empreintes digitales et certains iPhone permettent la reconnaissance faciale.

Selon le modèle de menace d’un utilisateur, des méthodes différentes seront à envisager. Par exemple, une activiste ayant l’habitude d’aller dans les manifestations devrait éviter de recourir à un déverrouillage biométrique de son téléphone mobile: en cas d’arrestation, il est beaucoup plus facile de forcer quelqu’un à mettre son pouce sur un téléphone sans son consentement qu’à divulguer un mot ou une phrase qui se trouve uniquement dans sa tête. Inversement, il n’est peut-être pas commode – même si c’est plus sécuritaire – pour un gestionnaire de médias sociaux qui doit déverrouiller son téléphone mobile des centaines de fois par jour de verrouiller l’écran d’accueil avec une longue phrase de passe.

LA MÉTHODE DE LA BROSSE À DENTS: MYTHES ET RÉALITÉ DES MOTS DE PASSE

Un vieil adage en sécurité informatique dit qu’il faut traiter ses mots de passe comme ses brosses à dents: il faut en choisir un bon, le changer tous les six mois et le garder pour soi. Bien que cette comparaison amusante indique les composantes-clés d’une bonne hygiène de mots de passe, certains éléments restent à nuancer, et d’autres, à développer.

Choisir sa brosse à dents

Il faut réfléchir à ce qui constitue un bon mot de passe. Comme partout ailleurs, il n’y a malheureusement pas de solution miracle et il faut considérer différents éléments en fonction des modèles de menace. Ici, nous comptons trois éléments-clés pour composer des mots de passe extrêmement difficiles à compromettre.

Le mot de passe doit d’abord être long. Il s’agit d’un principe mathématique tout simple. Plus le nombre de caractères augmente, plus il est difficile pour un humain ou une machine de deviner la chose. En considérant que des bots peuvent faire plusieurs milliers de tentatives à la seconde, il est particulièrement avisé de mettre toutes les chances de son côté!

6.1QU’EST-CE QU’UN BOT?

Le mot «bot» est un raccourci de «robot». Dans le cas qui nous intéresse, il s’agit d’une application ou d’un programme automatisé qui est destiné à une tâche bien précise: démasquer des mots de passe! Cependant, des bots peuvent être créés pour remplir d’autres fonctions (voir le chapitre 8, «Quitter la surface: le Web non indexé»).

Le mot de passe doit ensuite être aléatoire. En informatique, c’est ce qu’on appelle l’entropie. L’entropie est calculée en bits et détermine le degré de probabilité qu’un caractère (ou une suite de caractères) en suive d’autres. Dans le cas présent, il est difficile – et pas très pertinent – de décrire avec exactitude la formule mathématique permettant de calculer le nombre de bits d’entropie dans un mot de passe. Cependant, il faut savoir qu’un mot de passe comportant 0 bit d’entropie sera démasqué 100% du temps. Plus il y a de bits d’entropie, c’est-à-dire de caractères dans le mot de passe, plus celui-ci sera difficile à pénétrer par un adversaire, le degré de difficulté augmentant exponentiellement. Dans un contexte où l’emploi des bots permet de mener des attaques de force brute qui sont de plus en plus sophistiquées, les substitutions et associations probables réduisent de façon significative le nombre de bits d’entropie. Ainsi, le mot «café» a statistiquement beaucoup plus de chance d’être associé au mot «lait» ou «sucre» qu’au mot «anticonstitutionnel». Dans la même logique, il est assez probable que le caractère «a» sera remplacé par le symbole «@». Le mot de passe «cf3war-89kfdd7sb2dxqcmqipd09aspx0» comporte 148 bits d’entropie. Il faudra donc 2¹⁴⁸ (2 puissance 148) essais pour y arriver. Un logiciel capable de faire mille essais à la seconde prendra plusieurs milliards d’années à le deviner. En revanche, le mot de passe «password», qui comporte 11 bits d’entropie, sera compromis en un peu plus de deux secondes lors d’une attaque de la même puissance. Il va sans dire que l’objectif ici serait de choisir un mot de passe qui est à la fois très long et aléatoire.

Cependant, dans la mesure où un individu utilise vraisemblablement plusieurs mots de passe par jour, il n’est pas raisonnable ni réaliste de penser être capable de mémoriser tant de mots de passe complexes. Cela nous mène à la troisième caractéristique essentielle à la sélection d’un bon mot de passe: il faut être capable de s’en souvenir. Ainsi, il faut trouver des stratégies pour réunir ces trois éléments. La méthode la plus recommandée par les experts en sécurité numérique est le Diceware, qui permet de composer des phrases de passe. Sommairement, cette méthode consiste en la formation d’un mot de passe comportant de quatre à six mots – le critère de la longueur est ainsi respecté – n’ayant aucun lien entre eux puisque sélectionnés aléatoirement dans une liste au moyen de dés: l’entropie est présente ici. En ce sens, quelque chose comme «correctebatteriechevalbroche» prendrait plus de six cents ans à compromettre. Il s’agit donc d’un arrangement raisonnable pour la grande majorité des modèles de menace.

Changer sa brosse à dents tous les six mois

Plusieurs entreprises demandent, dans le cadre de leurs politiques en sécurité numérique, que les employés changent leurs mots de passe tous les six mois. La raison est bien simple: le changement fréquent permet de pallier les failles de sécurité inhérentes aux systèmes informatiques et d’éviter la compromission des comptes en cas de fuites de mots de passe. Changer régulièrement son mot de passe est également recommandé aux particuliers afin d’ajouter une couche de sécurité supplémentaire à leurs comptes.

En théorie, c’est le bon sens même: plus les mots de passe sont changés fréquemment, moins les comptes risquent de faire l’objet de compromission. En pratique, cependant, c’est une autre histoire. Plusieurs études ont démontré que le changement régulier d’un mot de passe entraîne une sélection systématique de mots de passe plus faibles. La raison: encore la mémoire. À quoi bon se compliquer la vie à choisir un mot de passe long, complexe et aléatoire s’il faut le changer dans six mois? On a également tendance à oublier son mot de passe trop souvent changé, ce qui, à terme, met les systèmes dans une plus grande position de vulnérabilité.

En ce sens, mieux vaut miser sur des mots de passe forts et constants que sur des mots de passe faibles et changeants. Néanmoins, l’utilisation d’un gestionnaire de mots de passe peut permettre de rassembler plus facilement les éléments nécessaires à la sécurisation efficace des systèmes.

Garder sa brosse à dents pour soi

Il existe deux manières de voir cette analogie: ne pas partager sa brosse à dents (donc ses mots de passe) avec d’autres et éviter d’utiliser une brosse à dents à la fois pour se nettoyer les dents et pour récurer son évier.

Un mot de passe: un usage

Cette seconde analogie touche l’un des problèmes les plus répandus dans la gestion de l’accès. Trop souvent, les mêmes mots de passe (ou des déclinaisons trop prévisibles) sont utilisés par les utilisateurs pour l’ensemble de leurs comptes.

Avoir un seul mot de passe – aussi sécuritaire soit-il – servant dans une variété de contextes est la meilleure manière de compromettre ses comptes. En effet, il n’est pas rare que les bases de données de services en ligne soient la cible d’attaques informatiques et que les noms d’usagers et leurs mots de passe soient rendus disponibles dans des data dumps, c’est-à-dire des ensembles de fichiers renfermant des données variées dont des identifiants et des mots de passe fuités. Dans cette situation, le réflexe de base de n’importe quel attaquant sera de tenter la combinaison de nom d’usager et de mot de passe sur une variété de services. Dans le cas où les accès sont les mêmes partout, il est relativement facile de prendre le contrôle de l’entièreté de la vie numérique d’une cible. Comme nous le verrons plus loin, un gestionnaire de mots de passe est ici aussi une solution simple pour sécuriser ses données.

Un mot de passe ne se partage (presque) pas

Il est effectivement vrai que moins un mot de passe est partagé, plus les risques de compromission sont faibles. Cependant, encore ici, le concept se heurte au fait que la mémoire est une faculté qui oublie. Un individu respectant tous les conseils précédents (qui utilise des mots de passe longs, aléatoires, faciles à mémoriser et différents d’un service à l’autre) devra faire beaucoup travailler sa mémoire pour se rappeler efficacement comment accéder à chacun de ses comptes. La question qui se pose ici: à qui ou à quoi peut-on confier ses accès?

Partager avec un être humain: règle générale, il est fortement déconseillé de partager un mot de passe avec tout humain. Un mot de passe est un élément extrêmement privé et la confiance accordée à une personne de son entourage – aussi sincère et profonde soit-elle – peut cesser à tout moment. Si, pour une raison quelconque, il est impossible d’éviter la situation, il est impératif de changer ses accès une fois l’action terminée.

Un navigateur: la saisie constante de mots de passe à chaque connexion peut être un processus lourd et fastidieux. Pour cette raison, nombreux sont les utilisateurs qui permettent au navigateur de sauvegarder les mots de passe. Cette pratique est à éviter pour de nombreuses raisons. D’abord, la saisie de ces mots de passe n’est pas chiffrée et est facilement disponible pour toute personne ayant un accès physique à l’ordinateur en question et qui tombera dessus. Prendre l’habitude de refuser l’offre d’un navigateur de se souvenir d’un mot de passe est d’autant plus important lors de l’utilisation d’un ordinateur partagé (café internet, laboratoire informatique, etc.), question d’éviter qu’un inconnu puisse avoir accès aux comptes en ligne.

Une feuille de papier: noter ses mots de passe sur une feuille de papier peut être une option envisageable, selon le modèle de menace d’un individu et la manière dont il protège ladite feuille. La clé de tout raisonnement est de limiter l’accessibilité et d’offrir la meilleure protection à des informations sensibles. Ainsi, dans certaines circonstances – par exemple pour un individu dont les adversaires ne risquent pas de faire une intrusion physique à son domicile –, un mot de passe isolé (c’est-à-dire sans le compte qui lui est associé) pourrait être noté sur un morceau de papier et conservé à un endroit protégé, sécuritaire et inconnu de tous sauf de l’utilisateur.

L’une des pires façons de conserver le papier où sont écrits ses mots de passe est de le coller sur son poste de travail. Même si cette information peut être connue d’emblée par tous les employés partageant un même espace de travail, il n’est pas rare de voir des photos anodines publiées sur différentes plateformes publiques où l’on voit clairement, en arrière-plan, un petit papier jaune sur lequel est écrit le mot de passe donnant accès au réseau informatique de l’entreprise.

Le gestionnaire de mot de passe: il s’agit sans aucun doute de la meilleure entité avec laquelle partager ses mots de passe. Cependant, et puisqu’il n’y a rien de complètement sûr en sécurité numérique, il importe de choisir judicieusement l’application (toutes ne sont pas aussi sécuritaires et ne répondent pas aux mêmes besoins) et de composer un mot de passe unique et extrêmement solide. Effectivement, le fait de rassembler l’ensemble de ses mots de passe dans une même base de données devient ce qu’on appelle un single point of failure (un point de défaillance unique). Autrement dit, il s’agit d’un pari: si un adversaire réussit à accéder à ladite base, il a accès à tous les comptes. Ce risque peut évidemment être amoindri en sélectionnant un mot de passe maître selon les règles de l’art.

Le choix de l’application doit se faire en regard d’un certain nombre de critères. D’abord, il importe de vérifier comment fonctionne l’application: l’ensemble des mots de passe sont-ils stockés à même votre ordinateur ou sur un service infonuagique? Alors que le service infonuagique offre l’avantage de l’accessibilité en facilitant la synchronisation entre différents appareils, il faut s’assurer de pouvoir faire confiance à la plateforme qui stocke vos informations les plus importantes. Utiliser un service infonuagique est l’équivalent d’aller stocker des informations sur l’ordinateur de quelqu’un d’autre. Pour faire cela en toute confiance, il est nécessaire de vérifier, en outre, si les bases de données sont chiffrées et si des audits indépendants ont été effectués récemment. Une simple recherche web permet normalement de s’informer adéquatement à cet effet. Un autre critère est celui des fonctionnalités. Certains gestionnaires de mots de passe offrent des extensions aux navigateurs qui permettent le remplissage automatique des formulaires. Cette fonctionnalité remplace avec plus de sécurité la mémorisation de mots de passe par votre navigateur. Enfin, l’une des principales fonctionnalités à rechercher dans un gestionnaire est le générateur de mot de passe. Cette fonctionnalité assure le meilleur compromis entre la mémoire, la longueur du mot et son entropie: l’utilisateur n’a qu’à choisir le nombre de caractères (disons vingt-cinq) dans le mot de passe alors que le générateur se charge d’en créer l’entropie et de s’en souvenir. De cette manière, il est possible d’obtenir des mots de passe extrêmement solides sans jamais les connaître ni les voir. Que peut-il y avoir de plus sécuritaire?

LES MODES DE COMPROMISSION DES MOTS DE PASSE

La protection adéquate d’un écosystème de mots de passe passe inévitablement par la connaissance des principaux modes de compromission. Cela permet, comme partout ailleurs, d’adopter des comportements cohérents avec les risques associés à chaque modèle de menace et de changer ses accès lorsqu’on soupçonne une faille.

L’ingénierie sociale

C’est sans doute l’une des manières les plus souvent utilisées pour obtenir accès à des comptes en ligne. Les tactiques utilisées varient énormément. Comme nous l’avons vu au chapitre 3, un adversaire peut tenter de construire un contexte dans lequel sera recréé un environnement imitant une plateforme où l’utilisateur serait normalement amené à taper son mot de passe. Cela pourrait se faire au moyen d’un faux message indiquant – ironiquement – qu’un compte a été compromis et que l’utilisateur doit modifier son mot de passe. Un adversaire pourrait également tenter de faire télécharger à une cible un espiogiciel en l’encourageant à cliquer sur un lien.

Il est également possible pour un adversaire de déduire un mot de passe trop faiblement construit en analysant les informations disponibles sur sa cible ou même en parlant avec elle. Par exemple, il n’est pas rare que les mots de passe d’un individu soient liés à son environnement personnel – le nom d’un animal domestique, d’un enfant, son année de naissance, etc. Ce type de mot de passe est particulièrement facile à deviner par un adversaire un tant soit peu sophistiqué, car ce sont des informations relativement accessibles.

L’attaque de force brute

Une attaque de force brute est une méthode utilisée pour deviner un mot de passe en testant successivement toutes les combinaisons possibles. Ce type d’attaque n’est pas menée par un humain, mais plutôt par des bots programmés pour tester systématiquement des combinaisons de lettres différentes jusqu’à ce que le mot de passe soit découvert. Le nombre d’essais par seconde varie grandement selon l’adversaire et sa sophistication. Cela peut aller de mille essais par seconde pour un adversaire sérieux à plusieurs millions, voire milliards d’essais par seconde pour une agence gouvernementale.

Qui plus est, la programmation des bots est également de plus en plus redoutable: au lieu de tester des ensembles de lettres aléatoires, ils peuvent dorénavant tester des mots ou des combinaisons de lettres et de caractères qui sont statistiquement probables. En outre, c’est pour cela que la longueur et la complexité des phrases de passe générées par la méthode Diceware ou par un générateur de mot de passe sont particulièrement utiles: avec cette méthode, le risque qu’un mot de passe soit compromis est considérablement réduit.

Cependant, si l’imagination des enthousiastes de la cryptographie peut les amener à penser que la robustesse mathématique d’un mot de passe (mesurée notamment au nombre de ses bits d’entropie) est garante de sa sécurité totale, cela ne tient pas compte d’une caractéristique fondamentale des êtres humains, qu’ils soient férus ou non d’informatique: la paresse. Dans un scénario où des adversaires souhaitent impérativement avoir accès à la phrase de passe d’une personne d’intérêt, il est fort probable que, en constatant la complexité de la méthode d’accès, ils seront plus portés à utiliser la force coercitive jusqu’à ce que la personne divulgue l’information plutôt que de développer un logiciel pouvant coûter des millions de dollars. Heureusement, ce scénario n’est sans doute pas dans les cartes pour la majorité des lecteurs de ce livre.

Une fuite chez un fournisseur de services et les data dumps

La sécurité est une affaire de confiance: lorsqu’un individu adhère à un service en ligne en se créant un nom d’utilisateur et un mot de passe, ceux-ci sont évidemment stockés sur les serveurs des entreprises qui fournissent le service. Normalement, on peut tenir pour acquis que ces informations seront placées dans un endroit sécuritaire et chiffrées de manière que nul ne puisse y avoir accès, ni être en mesure de les lire. Malheureusement, la théorie et la pratique sont souvent bien différentes et il n’est pas rare qu’il y ait des fuites de données dans lesquelles se trouvent une multitude d’informations personnelles des clients d’un service (noms, adresses courriel, mots de passe, numéros de carte de crédit, etc.). Ces informations, soit le fruit d’attaques informatiques exploitant les brèches de sécurité d’une entreprise, une fois volées, sont souvent déversées sur le dark Web (voir chapitre 8). C’est ce qu’on appelle un data dump.

Ces lieux de déversement de données peuvent prendre plusieurs formes. Par exemple, si une entreprise chiffre les informations personnelles de ses clients, les données associées à une brèche de sécurité seront fort probablement déversées sur le dark Web dans leur format chiffré, laissant la voie libre à des acteurs potentiellement malveillants afin de trouver des moyens pour déjouer le chiffrement. Dans d’autres cas, les informations personnelles sont stockées sans ou avec peu de chiffrement. Ainsi, lors d’une brèche, elles deviendront disponibles en clair (c’est-à-dire dans un format lisible pour tous) dans les data dumps. Une fois «publiées», ces informations constituent des bases de données impressionnantes qui permettent à des malfaiteurs d’obtenir un accès direct et facile à des millions de comptes en ligne, et ce, sans avoir recours à des méthodes d’ingénierie sociale, ni à des attaques de force brute.

6.2DES MILLIONS ET DES MILLIONS DE MOTS DE PASSE

En décembre 2017, une firme de cybersécurité a trouvé sur le dark Web un document exposant quelque 1,4 milliard d’éléments d’authentification, tous en texte clair⁸. Il s’agit à ce jour de la plus grande base de données du genre.

Vos mots de passe ont-ils des risques de se retrouver dans cette base? Si la réponse est oui, il s’agit d’un excellent moment pour changer vos accès tout en suivant les recommandations dans ce chapitre.

Quand changer de mot de passe?

Encore ici, il n’y a pas de recette qui convient à tous. Néanmoins, il est possible de déterminer des moments où le changement d’accès s’avère un choix prudent et judicieux.

D’abord, lorsqu’une nouvelle à propos d’un data dump fait surface ou si un fournisseur de services contacte ses clients en leur faisant part de ce type de vulnérabilités. Il est nécessaire ici de penser la réaction relativement à l’écosystème de comptes et de mots de passe. Par exemple, s’il y a eu une faille de sécurité chez la compagnie LinkedIn, il est fort probable qu’un attaquant testera la combinaison utilisateur-mot de passe dans une variété de contextes pour tenter d’avoir accès à plusieurs comptes.

Ensuite, il faut penser à changer ses mots de passe lorsqu’un service avertit l’utilisateur d’une tentative d’intrusion. Il s’agit normalement d’un bon indice qu’un individu tente de prendre le contrôle d’un compte sans votre consentement.

Finalement, dans la foulée d’une fuite de données, il est impératif de changer immédiatement vos mots de passe si ceux-ci se trouvent dans la liste suivante du top 100 des mots de passe les plus fréquemment utilisés en 2017.

123456

654321

maverick

jennifer

password

jordan23

fuckyou

Test

12345678

harley

nicole

hockey

qwerty

password1

hunter

dallas

12345

1234

sunshine

passwor

123456789

robert

tigger

michelle

letmein

matthew

1989

admin123

1234567

jordan

merlin

pussy

football

asshole

ranger

pass

iloveyou

daniel

solo

Asdf

admin

andrew

banana

william

welcome

lakers

chelsea

soccer

monkey

andrea

summer

london

login

buster

1990

1q2w3e

abc123

joshua

1991

1992

starwars

1qaz2wsx

phoenix

biteme

123123

12341234

amanda

querty

dragon

ferrari

cookie

rangers

passw0rd

cheese

ashley

charlie

master

computer

bandit

martin

hello

corvette

killer

ginger

freedom

blahblah

aaaaaa

golfer

whatever

george

pepper

yankees

qazwsx

mercedes

jessica

thunder

trustno1

121212

zaq1zaq1

987654321

LE DOUBLE FACTEUR D’AUTHENTIFICATION

En début de chapitre, les différents modes et méthodes d’authentification ont été énumérés. Mais nous avons surtout parlé des méthodes d’authentification dites «mémorielles». Pourquoi donc aborder tous les autres?

La raison est bien simple: alors que la majorité des comptes en ligne requièrent une authentification de type mémorielle, il est possible, depuis quelques années, d’ajouter à la protection d’un compte des couches de sécurité en multipliant les méthodes d’authentification. Le plus souvent, deux modes d’authentification créent un équilibre acceptable entre la sécurité et la facilité d’utilisation. C’est ce qu’on appelle le double facteur d’authentification. Cette manière de gérer ses accès est maintenant soutenue par la majorité des grands services en ligne et fonctionne sur le principe qu’il faut s’authentifier auprès d’un service avec une chose que l’on sait (mode mémoriel, tel qu’un mot de passe) et quelque chose que l’on a (mode physique, tel qu’un téléphone cellulaire ou une clé USB configurée à cet effet).

Cette couche de sécurité complémentaire n’est pas anodine. En cas de fuite ou dans toute autre situation difficile à prévoir, un attaquant qui connaît un mot de passe ne sera pas en mesure d’accéder à un compte s’il n’a pas en sa possession l’outil d’accès physique. Bref, le double facteur d’authentification ajoute plusieurs bâtons dans les roues d’un potentiel attaquant.

Cette méthode est à considérer très sérieusement pour n’importe quel compte comportant un minimum d’informations sensibles. Si un individu est gestionnaire d’une page web, d’un média social, ou s’il gère des informations le moindrement sensibles (un journaliste, par exemple) dans le cadre de ses activités professionnelles, une protection de ce type est incontournable pour assurer l’intégrité de sa pratique. Il s’agit d’un point de départ essentiel.

LA BIOMÉTRIE: UNE SOLUTION FACILE ET SÉCURITAIRE?

À la sortie de l’iPhone X, Apple se vantait d’offrir la reconnaissance faciale comme manière de déverrouiller l’écran d’accueil. Cela s’est fait quelques années après l’arrivée et la popularisation des empreintes digitales pour ce genre d’opération. La facilité, la rapidité et la convivialité de ces méthodes d’authentification les rendent extrêmement populaires. Même si elles sont techniquement plutôt sécuritaires – une empreinte digitale ou un système de reconnaissance faciale sont des éléments relativement uniques qui demandent un certain degré de sophistication pour commettre un acte réussi de falsification –, ces méthodes ont plusieurs avantages, mais comportent également certains risques.

Effectivement, en sachant que les informations biométriques seront stockées sur les serveurs des entreprises et en révisant les modes de compromissions mentionnés ci-dessus, il devient intéressant de se questionner sur les impacts que pourrait avoir une brèche de données. Il est possible de remplacer un mot de passe, mais il est plus difficile de remplacer ses doigts ou les traits de son visage. Il s’agit d’informations plus permanentes, donc d’un risque plus grand en cas de compromission.

Ces méthodes rendent aussi plus facile l’accès à des comptes par la coercition physique. Il est plus difficile pour un adversaire de forcer sa victime à lui révéler son mot de passe que de simplement lui faire apposer son pouce sur son téléphone ou d’activer le mode de reconnaissance faciale devant un sujet qui ne consent pas au déverrouillage. Ici encore, l’établissement d’un modèle de menace clair et réaliste est de mise.

8.https://medium.com/4iqdelvedeep/1-4-billion-clear-text-credentials-discovered-in-a-single-database-3131d0a1ae14

7. S’OBFUSQUER ET S’ANONYMISER SUR LES RÉSEAUX

LA JOURNÉE DE MONIQUE

On est samedi, Monique a décidé de se rendre au centre commercial. Elle gare sa voiture dans le stationnement intérieur. En saisissant ses sacs réutilisables, elle jette un œil sur son téléphone intelligent. Une amie a réagi à son statut Facebook de ce matin, où elle disait prendre une journée juste pour elle. «Vas-tu aller voir la nouvelle boutique de souliers? Va sur sa page FB, elle offre une réduction spéciale aujourd’hui si tu montres le bon dans son appli!» Voilà une autre appli à installer! Monique remarque que le centre commercial offre gracieusement Internet sans fil… Elle ajoute un «J’aime» à la page de la boutique et installe l’application en se disant que ça ne peut pas être bien méchant et que, de toute manière, elle n’aura qu’à la supprimer plus tard.

pour + de de livres gratuits --> www.bookys-gratuit.com

Monique n’est pas encore sortie de la voiture qu’un marketeur aguerri aura une bonne idée de qui elle est: d’abord, il sait quel pourcentage des utilisateurs de l’appli sont des femmes. Les propriétaires du centre commercial, quant à eux, peuvent, grâce à sa connexion au sans-fil, savoir combien de temps elle a passé dans la voiture avant de se diriger vers la galerie marchande et combien de temps elle passe à flâner devant chaque vitrine.

Dans la boutique, l’application suit Monique au mètre près, grâce à des balises Bluetooth judicieusement disposées. L’employé de la boutique lui offrira son aide, mais, à des centaines de kilomètres, un programme analyse ses déplacements. Achètera-t-elle la veste qu’elle essaie maintenant? L’employé l’ignore, mais le programme peut prédire son comportement avec une efficacité étonnante.

Monique paie avec sa carte de crédit et retourne chez elle satisfaite. Elle considère que sa journée a été un succès: elle a eu l’impression d’être seule et de se fondre confortablement dans la masse. Dans deux semaines, l’application de la boutique réclamera son attention. Un concours! Et ça ne demandera qu’une adresse courriel pour participer. Elle entrera son adresse en se disant que, puisque la loi interdit l’envoi de pourriels, elle n’aura qu’à se désabonner…

LES TRACES QUOTIDIENNES

Chaque jour, un nombre impressionnant de données intéressantes pour les professionnels du marketing sont générées. Par l’utilisation des réseaux sociaux, des cartes de fidélité, des moteurs de recherche, si nous cliquons sur des publicités en ligne, si nous nous promenons tout simplement près d’une balise ultrasonique – un haut-parleur qui émet un son inaudible pour les humains, mais écouté par certaines applis à notre insu – ou Bluetooth, ou encore si nous écoutons la télévision «intelligente», une présence unique et facilement identifiable est signalée.

De plus en plus, pour se motiver à garder la forme, plusieurs utilisent des appareils qui les suivent à la trace par GPS lors de leurs entraînements et qui mesurent moult informations intimes à tout moment. À cela s’ajoute le fait que les systèmes qui servent à nous identifier demandent davantage d’informations sur nous. Effectivement, la biométrie est l’un des procédés d’authentification qui ne font plus sourciller. Pensons à l’authentification par empreinte digitale ou par reconnaissance faciale (chapitre 6).

7.1LES DONNÉES BIOMÉTRIQUES

Les données biométriques sont très sensibles: si quelqu’un s’en empare et est capable de les utiliser pour s’authentifier, il peut tromper un système en lui faisant croire qu’il est une autre personne…

Ajoutons à cela la reconnaissance visuelle qui, bien qu’elle soit discrète, fait partie du quotidien. Alors qu’on gare une voiture dans un stationnement intérieur, une intelligence artificielle se charge d’énumérer les chiffres et les lettres de notre plaque d’immatriculation. Ce ne sont pas toutes les caméras qui sont reliées à un système qui décode l’information visuelle de la sorte, mais toutes peuvent l’être…

Dans le même ordre d’idées, les médias sociaux invitent leurs utilisateurs à se raconter, à publier du contenu dans lequel ils dévoilent leurs visages et leurs corps. Dans l’ombre se construisent des bases de données riches des caractéristiques les plus singulières des individus connectés. Les profils biométriques bâtis à même le regard des caméras de surveillance et des médias sociaux sont composés dans un langage qui nous est insaisissable: des mesures entre les lèvres et le nez ou encore une manière de marcher instantanément reconnaissable pour nos proches, mais impossible à mettre en mots pour le commun des mortels.

À cela, il faut ajouter l’histoire: pour la majeure partie des utilisateurs, Internet n’est plus une nouveauté. Les comptes de courriel et de médias sociaux ont de l’âge, de l’histoire et ont été utilisés pour plusieurs raisons depuis leur arrivée, sans jamais être dissociés de leur utilisateur. Cela constitue un atout indéniable pour un adversaire.

7.2OUI, MAIS JE N’AI RIEN À CACHER!

Se connecter, c’est générer des données qui nous identifient et qui indiquent ce que nous faisons en ligne. Beaucoup de gens diront qu’ils n’ont rien à cacher, mais considérons simplement l’ensemble des informations créées en connaissance de cause ou non. En plus du profilage qui peut souvent s’avérer intrusif, il est impossible de connaître l’ensemble des informations générées (donc des histoires qui peuvent en découler) tout comme de savoir, lors de la création d’une information (un statut, par exemple), si celle-ci pourra être utilisée par un adversaire dans l’avenir. Avoir quelque chose à cacher n’est pas synonyme de culpabilité: il s’agit d’un besoin normal et central à l’exercice de sa liberté.

L’ampleur que prend la collecte de données et de métadonnées sur les citoyens est difficilement saisissable. Comment faire, alors, pour minimiser les traces laissées en ligne, quand leur nature et leur étendue mêmes nous dépassent? Une manière de réduire ces risques passe par deux principales tactiques: l’obfuscation et l’anonymat.

L’OBFUSCATION ET L’ANONYMAT

L’obfuscation se définit comme une manière de masquer une information par une autre, pour que l’existence de la première ne soit pas connue.

Pour chaque type de traces générées en ligne, il existe des méthodes pour fausser les pistes. Il faut garder en tête que toute perfectionnée qu’elle soit, une méthode d’obfuscation peut être déjouée. Toute une industrie s’est formée autour du développement de méthodes pour déjouer ceux qui tentent de garder privées leurs activités en ligne. Il vaut donc la peine de se doter d’une stratégie qui tiendra compte de ces adversaires et qui multipliera les couches défensives.

L’objectif principal de l’anonymat, pour sa part, est de masquer l’identité d’une personne, de sorte qu’un adversaire ne pourra la désigner comme étant la source d’une action, ni dire si elle était présente en chair et en os ou en ligne.

7.3RIEN N’EST PARFAIT

Importante mise en garde ici: l’anonymat parfait est inatteignable. Des entreprises privées et des services de renseignements déploient des ressources considérables pour s’attaquer au chiffrement, aux modes de navigation anonyme tels que Tor Browser… Prudence, toute chose n’est pas bonne à dire ni à faire en ligne!

COMPARTIMENTER LES ACTIVITÉS

Pour limiter et reprendre le contrôle des traces laissées en ligne, il existe un principe de base: il faut compartimenter les activités sur différents fureteurs et différents appareils. Après vous être déconnecté de tous vos profils sur les médias sociaux et marchands – Facebook, Twitter, Google, Amazon, etc. –, faites un plan de segmentation de vos activités. Puisque certains médias sociaux sont extrêmement friands de données collectées, il sera préférable de vous connecter à leur plateforme à partir d’un fureteur (par exemple Google Chrome) et de naviguer sur le Web à partir d’un autre (par exemple Firefox). Au moyen de ce geste simple, il est possible de limiter les données récoltées par un site web sur les habitudes de navigation. Par exemple, si un profil Facebook est ouvert et connecté sur une session Firefox et que l’utilisateur utilise un autre onglet pour visiter le site web de son université, Facebook aura fort probablement accès à cette activité. Ainsi, une manière simple d’éviter cela est d’utiliser différents navigateurs pour différents types d’activités.

Si l’on pousse la logique plus loin, il est également souhaitable de compartimenter les activités sur différents appareils. Par exemple, sur tablette ou téléphone intelligent, il est souhaitable de limiter l’utilisation de plateformes reconnues pour leur collecte massive de données. En effet, alors qu’il est possible de télécharger des modules complémentaires sur un fureteur pour limiter le traçage publicitaire, les possibilités de bloquer défensivement certains comportements de navigation similaires sont limitées sur les tablettes et téléphones intelligents. Il est donc judicieux de les réserver pour une utilisation plus parcimonieuse.

LES MÉTADONNÉES DE CONNEXION

Se connecter à partir du fureteur d’un ordinateur personnel

À partir d’une adresse IP, attribuée à tout ordinateur sur un réseau local, on peut répondre à des questions: à partir de quel endroit vous êtes-vous connecté? Qui était le fournisseur d’accès?

Il est possible de masquer l’adresse IP réelle en utilisant un intermédiaire pour se connecter à Internet. L’observateur voulant avoir accès aux données de navigation croira alors que la connexion provient de l’ordinateur qui sert d’intermédiaire. Le navigateur Tor masquera votre adresse IP réelle. Un VPN (expliqué plus loin) pourra aussi servir à le faire.

Quelle heure était-il? Combien de temps êtes-vous resté connecté?

Ici, rien à faire. Le serveur à distance sait à quel moment et combien de temps vous vous êtes connecté. Vous pouvez bien entendu scinder le temps de connexion en changeant de VPN toutes les dix minutes ou en utilisant le navigateur Tor… Mais un observateur le moindrement avisé pourra déduire qu’une seule et même personne a tenté d’utiliser un stratagème pour se cacher.

Votre anonymat reposera alors sur le fait de vous connecter à un moment d’affluence, autant que possible, et sur votre capacité à compartimenter vos gestes de sorte qu’ils ne vous identifient pas de manière directe.

Cela mène à d’autres questions, plus intimes: quelles autres requêtes étaient en circulation à partir de votre réseau au moment de votre navigation? Était-ce le jour ou la nuit dans le fuseau horaire dans lequel vous vous trouviez? Était-ce un comportement typique pour un usager de se connecter à ce moment précis dans les conditions qui entouraient votre connexion?

Certaines de ces données et métadonnées sont faciles à reconstruire, soit en y songeant, soit en examinant les fichiers témoins sauvegardés sur notre ordinateur. D’autres, par contre, nous échappent. Sauriez-vous reconnaître une session de navigation sur un site à partir du tracé du mouvement de votre souris? La majorité des gens répondront non à cette question. Pourtant, cette donnée permet d’identifier avec une précision satisfaisante un internaute.

Se connecter à partir d’une tablette ou d’un téléphone intelligent

Ici encore, il ne s’agit que des possibilités sur un ordinateur. Les tablettes et téléphones intelligents créent encore plus de traces. En plus du positionnement relatif à l’espace qui peut être établi soit par GPS, soit par le réseau WiFi, soit par Bluetooth, ces appareils intègrent une panoplie de capteurs aussi révélateurs que méconnus. Par exemple, le micro pourra servir à vous épier, non pas pour connaître la teneur de vos conversations, mais bien pour savoir si vous avez été exposé à une publicité précise. Les caméras pourront bien entendu vous servir à photographier certaines scènes… On vous invitera à photographier votre propre visage, par exemple, pour tester des produits en réalité augmentée. On en saura alors aussi sur votre expression faciale et on pourra vous identifier par la vision machine, un programme qui permet de décoder des images grâce à l’intelligence artificielle. Les téléphones sont aussi dotés d’accéléromètres qui peuvent détecter si vous êtes en mouvement et, si oui, à quelle vitesse, ce qui permet de savoir si vous vous attardez devant une vitrine, si vous êtes en voiture ou en transport en commun…

Les capteurs de température, conjugués au taux de charge de l’appareil, donnent aussi un indicateur intéressant de votre situation: êtes-vous en confiance au point de laisser votre appareil en charge au repos? Votre téléphone est-il dans votre main ou dans votre poche? Une personne malintentionnée peut assurément en savoir beaucoup sur vos allées et venues en interprétant ces données.

Gardons aussi en tête que nul n’est une île: toutes les données sur votre personne sont aussi disponibles pour des millions d’autres humains… Par croisement, cela permet de savoir avec qui un individu se trouve, s’il était dans un événement à grand déploiement, dans une fête avec des amis ou plutôt dans un endroit où il ne participait pas à une activité commune avec les autres personnes présentes.

De plus en plus connectés

Dans le chapitre 1, nous mentionnions qu’un administrateur de réseau pouvait voir toutes les activités ayant lieu sur son réseau. Dès les débuts d’Internet sans fil dans les cafés, chaque restaurant offrait de manière indépendante son accès internet. Aujourd’hui, ces points d’accès sans fil sont souvent offerts par des fournisseurs de services qui regroupent tous les franchisés d’une même chaîne. Ils ont donc la possibilité d’accumuler énormément d’informations sur les utilisateurs, puisqu’ils «voient passer», grâce au routeur, toutes les requêtes.

Voyons ce que quelques-unes de ces requêtes peuvent nous apprendre, et comment parvenir à contrôler les informations que l’on fait circuler.

•Quel navigateur est utilisé?

•Quel est le système d’opération?

•La connexion est-elle chiffrée et, si oui, comment?

•Quelle langue parle l’utilisateur?

•Certaines technologies sont-elles bloquées, comme la possibilité d’exécuter un script ou de modifier un témoin de navigation?

•Avez-vous hésité devant les contenus de la page?

•Avez-vous été frustré par un message d’erreur?

•Avez-vous déjà utilisé un autre navigateur pour y accéder, sans vous être branché à votre compte?

•Quels sont les éléments d’une page qui attirent le plus votre attention?

•Avez-vous éprouvé des limitations fonctionnelles, par exemple sur le plan de la vision ou de la motricité?

Simplement quand un utilisateur se connecte à un site web, toutes ces méthodes sont utilisées pour tenter de l’identifier et d’établir son profil. Elles sont appelées fingerprinting. Le terme définit les informations propres à chaque navigateur web qui le rendent fréquemment unique, comme des empreintes digitales!

7.4VOIR CE QUI PEUT ÊTRE VU SUR NOUS: PANOPTICLICK

Le site Panopticlick (https://panopticlick.eff.org) permet de visualiser en quelques secondes une quantité effarante d’informations qui peuvent être siphonnées de notre navigateur web à notre insu. Nous pouvons même y voir à quel point notre empreinte numérique est unique… À essayer, ne serait-ce que parce qu’on peut ensuite y télécharger des outils pour colmater la brèche!

AMÉLIORER SA POSTURE

Paramétrer son navigateur de sorte qu’il refuse les tentatives d’identification

On trouvera les options pertinentes dans les paramètres du navigateur. Le mode incognito n’offre pas toutes les protections nécessaires pour vraiment bien se fondre dans la masse! En interrogeant votre ordinateur entre autres sur les polices, la résolution d’écran, la version exacte de certains logiciels qui y sont installés, quelqu’un peut soutirer assez d’informations pour vous identifier avec une relative certitude… surtout si l’adresse IP n’est pas masquée. Il s’agit donc de sélectionner des paramètres qui vous permettront de passer plus facilement inaperçu.

Bloquer l’exécution de scripts

L’utilisation d’un plugiciel qui bloque l’exécution de scripts empêche l’emploi de plusieurs méthodes de traque. Il vous protège également de plusieurs vulnérabilités et bloque les publicités indésirables. Au moment où ces lignes sont écrites, Privacy Badger, d’Electronic Frontier Foundation (EFF), est un excellent choix pour bloquer les publicités non respectueuses de la vie privée, et NoScript bloque bien les fameux scripts.

Témoins de navigation (cookies)

Définis précédemment, les cookies sont de petits fichiers textes utilisés pour suivre les déplacements d’un utilisateur sur un site web et d’un site à l’autre. Il existe différents types de témoins plus ou moins intrusifs, mais, en règle générale, ils permettent de répondre aux questions suivantes.

•À combien de reprises avez-vous visité ce site auparavant?

•Avez-vous visité d’autres sites qui appartiennent à un réseau d’affinité à ce site? Avez-vous déjà acheté des produits sur un de ces sites?

•Possédez-vous un compte actif sur ce site ou un de ses sites affiliés?

Les témoins de navigation sont bien pratiques! Ils permettent d’éviter d’avoir à saisir à répétition certaines informations. Les programmeurs de sites web s’en servent pour personnaliser l’information offerte, ce qui peut être aussi très agréable. Mais il s’agit également d’une mémoire «invisible» de tous les gestes effectués en ligne.

Bloquer les témoins de navigation est une bonne façon de limiter de façon significative la quantité d’informations personnelles qui sont réutilisables d’un site à l’autre. Une manière de limiter l’information divulguée est d’activer le mode «Interdire le suivi» («Do Not Track») dans les paramètres du fureteur… Mais il faut savoir que plusieurs sites web l’ignorent tout simplement. Dans ce cas encore, Privacy Badger pourrait s’avérer utile.

Le mode de navigation privée offert par la plupart des navigateurs permet pour sa part d’empêcher la sauvegarde des témoins; mais il faut avoir en tête que l’absence de témoin de session est aussi une information qui est générée sur vous et qui peut intéresser un adversaire.

Historiques de recherche

•Qu’avez-vous cherché dans ce moteur de recherche?

•Avez-vous déjà cherché la même information par le passé?

•Comment avez-vous raffiné la recherche?

•Quels liens avez-vous visités pour valider leur pertinence?

•Quels sont vos champs d’intérêt?

•Avez-vous un compte associé au fournisseur de moteur de recherche?

•Avez-vous eu des communications personnelles par ces plateformes dans des thématiques apparentées à ces recherches?

Nous posons aux moteurs de recherche des questions parfois hautement intimes, parfois complètement frivoles. Notre historique de recherche, s’il nous était possible de le récupérer, nous laisserait probablement mal à l’aise. Pourtant, les moteurs de recherche stockent systématiquement cette information sur leurs serveurs. Pour en être convaincu, il suffit de sonder les pages des affaires judiciaires pour voir à combien de reprises il sera fait mention des requêtes faites par un criminel sur son moteur de recherche préféré avant de commettre son crime…

Une manière simple de masquer ses requêtes est d’utiliser un moteur de recherche qui respecte la vie privée. Par exemple, les moteurs de recherche searX et DuckDuckGo agissent à titre d’intermédiaire vers les grands moteurs de recherche. Du point de vue du moteur de recherche, votre requête en est une parmi tant d’autres provenant de la même source: le moteur intermédiaire que vous avez utilisé. Néanmoins, le site visité après une recherche reste capable d’identifier l’adresse IP ainsi que les métadonnées associées à l’appareil.

Utiliser un navigateur conçu pour protéger votre vie privée tel que Tor Browser, ou un VPN, permet de pallier cela. Ces outils permettent de rendre votre navigation anonyme, par rapport tant au moteur de recherche qu’au site web visité ensuite, c’est-à-dire qu’il sera presque impossible pour le moteur de recherche ou le site web visité ensuite de vous identifier par, notamment, votre adresse IP. Attention, cependant: si vous êtes connecté à votre compte sur votre fureteur, par exemple sur Google, toutes les recherches effectuées seront associées à ce compte. Vos efforts seront donc vains, car le moteur de recherche sera en mesure de vous identifier non pas avec votre adresse IP, mais plutôt avec votre compte d’utilisateur Google lié directement à votre profil personnel.

Habitudes de consommation

•Avez-vous déjà acheté en ligne sur ce site ou un de ses sites affiliés?

•Qu’avez-vous cherché sur le site transactionnel?

•Qu’avez-vous mis dans votre panier d’achats?

•Avez-vous acheté le contenu de votre panier d’achats?

•Quel type de mode de paiement préconisez-vous?

•Avez-vous fait une recherche sur ce type de produit sur un moteur de recherche?

Sans surprise, on s’intéresse ici à ce qui vous fait délier les cordons de la bourse. Si vous utilisez un profil marchand qui sert aussi à écouter de la musique, à télécharger des applis, à clavarder, il est évident qu’une considérable masse d’informations est générée. Pour la réduire, on s’interrogera alors sur la nécessité de donner son identité pour recevoir les marchandises. Elle est parfois inévitable, auquel cas on résistera à la tentation de s’enregistrer sur le site pour simplifier ses achats. Et si on décide de le faire, on créera un profil dédié uniquement à la consommation, qu’on utilisera soigneusement dans un contexte de blocage de témoins de navigation.

Géolocalisation

•Dans quel pays, province, ville vous trouvez-vous?

•Êtes-vous à la maison, au travail, connecté à l’aide d’un réseau dans un établissement d’enseignement ou une bibliothèque, un établissement de soins, un moyen de transport?

•Vous êtes-vous déjà connecté à partir de cet endroit?

Il est possible d’être géolocalisé non seulement par notre antenne GPS, mais aussi en passant dans la portée d’une antenne WiFi. Passer à proximité suffit: nul besoin de s’y connecter! Qui plus est, certains appareils en veille mouchardent leur présence alors qu’on les croit éteints. Quelques options peuvent minimiser la géolocalisation pour les appareils qui ne disposent pas d’un interrupteur fiable pour bloquer leurs antennes radio.

Il est bon de retirer la pile de notre appareil, pour s’assurer qu’il est véritablement éteint. Peu pratique, soit, mais efficace. Autrement, il est toujours bon de se procurer une pochette qui bloque les ondes radio. Ces pochettes sont assez accessibles et peuvent se trouver dans diverses tailles, ou on peut s’en fabriquer une à l’aide de tissu conducteur.

Des chercheurs en sécurité ont découvert que, pour de nombreux fabricants, désactiver logicielle-ment l’antenne, grâce au mode avion notamment, ne suffit pas à réellement la mettre hors service.

On peut aussi être géolocalisé par le micro de notre appareil! En effet, certaines applis «écoutent» l’environnement, à l’affût de sons inaudibles pour l’humain qui permettent de noter que le propriétaire du téléphone a été témoin d’une publicité, qu’il a été présent en un lieu à un moment donné, etc. Raison de plus pour garder le téléphone dans sa pochette si on souhaite laisser le moins de traces possible!

Bref, la meilleure manière d’éviter de se faire constamment géolocaliser par son téléphone intelligent est de le garder loin de soi.

Les relations entre appareils… et entre les personnes!

•Utilisez-vous une tablette ou un téléphone intelligent pour vous connecter au même site?

•Est-ce que d’autres personnes utilisent les mêmes appareils?

Les relations que peuvent entretenir deux appareils permettent de déduire les relations entre leurs propriétaires. Chaque personne qui se connecte par un même appareil numérique laisse des traces semblables. Moins les traces sont gommées de part et d’autre, c’est-à-dire entre un utilisateur et un autre, plus il est possible de déduire les liens qui les unissent à d’autres sans qu’un mot ait été soufflé.

Certains systèmes d’opération sont conçus pour être complètement amnésiques et ne laisser aucune trace sur l’ordinateur sur lequel ils sont utilisés. C’est le cas de Tails, ce qui en fait une bonne solution pour empêcher les ordinateurs partagés de moucharder l’identité de l’utilisateur! Tails est un système d’opération qui s’installe sur une clé USB sur pratiquement n’importe quel ordinateur. À chaque déconnexion, il ne laisse aucune trace sur son ordinateur hôte et n’utilise que des logiciels respectueux de la vie privée des utilisateurs tels que Tor pour la navigation en ligne. De plus, Tails oblige l’utilisation du réseau Tor pour la transmission des données.

ANONYMISER SES TRACES

Modifier ses identifiants uniques

Chaque interface réseau de notre ordinateur, de notre téléphone intelligent ou de notre tablette possède un identifiant unique (adresse MAC, UUID, etc.). Selon le système d’opération, la méthode variera, mais changer cet identifiant est une bonne manière de masquer ses traces. Si on varie les identifiants uniques à chaque connexion à un même routeur, il est difficile pour son opérateur de savoir qu’on s’est connecté à plusieurs reprises sur son routeur.

Tor et les VPN

La plupart des gens changent très rarement d’adresse IP au boulot et à la maison. Les adresses IP fournies en ces lieux sont le plus souvent fixes, ou varient très peu. Il devient donc simple de suivre quelqu’un à la trace en s’y intéressant: par exemple, Facebook sait si vous êtes à la maison par votre adresse IP, qui ne change que très peu fréquemment, et une personne motivée trouvera bien le moyen de vous faire cliquer sur un lien pour connaître votre adresse.

Imaginez qu’un individu à l’air louche vous interpelle et qu’il vous demande votre adresse résidentielle. Ou encore que vous êtes dans un bar et qu’une personne qui ne vous plaît pas vous demande votre numéro de téléphone. Dans l’optique où refuser de donner l’information n’est pas possible – puisque, sans cette information, vous ne pouvez pas vous connecter à un site web –, la meilleure manière de vous protéger et d’éviter une situation inconfortable est de donner une fausse adresse ou un faux numéro de téléphone aux serveurs – aux personnes louches – auxquels vous êtes connectés. L’octroi de cette fausse adresse IP se fait soit en utilisant le navigateur Tor, soit en utilisant un service de VPN qui ne vous identifie pas personnellement.

Un virtual private network (réseau privé virtuel) est un terme communément utilisé en entreprise pour connecter deux réseaux géographiquement distincts ensemble. Au-delà de l’utilisation dans un contexte commercial, un VPN, à la base, est utilisé pour avoir accès à un réseau (privé, comme un intranet d’entreprise, ou public, comme Internet) par un autre appareil. Les services de VPN publics mettant l’accent sur la sécurité et la vie privée de leurs usagers jumellent généralement leur offre de service à une couche de chiffrement, doublant l’aspect anonymat (la connexion à Internet s’effectue par un tiers parti) et celui de la sécurité (les communications sont chiffrées). Imaginons une connexion directe à Internet, sans VPN, comme un tuyau transparent: de l’extérieur, tout le monde peut voir ce qui se trame à l’intérieur. Un VPN, en passant par le chiffrement, ajoute une couche de peinture opaque à celui-ci. Tout intrus désirant surveiller les communications de ce tuyau ne verrait plus rien. Tel est le rôle d’un VPN dans le contexte de la protection de la vie privée.

Le réseau Tor, pour sa part, permet de se fondre dans la masse de ses usagers. Passer par Tor permet de rendre très difficile l’identification de la vraie adresse IP d’une personne. La logique qui sous-tend l’utilisation du réseau Tor est similaire à celle d’un VPN, à la différence que la confiance de l’utilisateur n’a pas à être accordée à une seule entreprise ou organisation, elle est plutôt distribuée dans un réseau de serveurs appelés nœuds. C’est comme si chaque requête devait transiter par trois intermédiaires aléatoires au lieu de passer par un serveur préalablement choisi, ce qui est le cas avec un VPN. Le fonctionnement du réseau Tor est détaillé au chapitre 8.

Si le fait de masquer son adresse IP équivaut à donner une fausse adresse, utiliser du chiffrement équivaut à mettre des rideaux épais devant vos fenêtres. Encore une fois, un service VPN de qualité ou l’utilisation de Tor vous permettront de masquer votre adresse IP. Votre connexion ralentira, mais c’est le prix de l’anonymat!

Les cartes de fidélité et comptes en ligne

Effacer ses traces, puis utiliser une carte qui nous identifie sans l’ombre d’un doute, c’est gaspiller ses efforts. Les moyens classiques sont toujours aussi efficaces aujourd’hui qu’ils l’étaient avant Internet: les cartes de crédit et de fidélité, l’utilisation de numéros de membre, etc. sont utilisées par les marketeurs pour vous suivre à la trace dans vos champs d’intérêt et vos envies. Évitez d’en faire usage autant que possible. Vous pourriez également échanger vos cartes de fidélité entre amis… Ainsi, les données captées ne seront plus aussi personnelles!

Soyez également vigilant par rapport aux services infonuagiques qui rendent si pratiques nos téléphones intelligents! Déconnectez-vous soigneusement des services en ligne après les avoir utilisés…

DÉTRUIRE LES TRACES PHYSIQUES

Vous ne jetteriez jamais aux rebuts vos anciennes déclarations de revenus sans les déchiqueter, n’est-ce pas? Très bien. Le même soin doit être apporté aux appareils numériques lorsqu’on s’en départit. Un simple formatage n’est pas suffisant: il est banal de récupérer des données à partir d’une carte mémoire effacée ou d’un disque dur qui aurait été simplement reformaté. Imaginez qu’un inconnu puisse retrouver votre gestionnaire de phrases de passe intact alors que vous vous êtes débarrassé de votre vieil ordinateur…

Pour les appareils munis d’un disque dur, on privilégiera donc l’utilisation d’un outil tel DBAN pour y effacer toute trace de vos données. Prévoyez une bonne période de temps, c’est un processus plutôt long qui ajoute des données «inutiles» par-dessus les anciennes pour rendre celles-ci impossibles à extraire.

Pour ce qui est des cartes mémoire, une destruction physique est le moyen le plus sûr de vous assurer que vos données tombent dans l’oubli…

8. QUITTER LA SURFACE ‒ LE WEB NON INDEXÉ

CONTOURNER LA RÉPRESSION

Penché sur le clavier de son ordinateur portable dans un petit appartement chaud et humide de Caracas, Alfonso tente d’organiser une manifestation contre le régime autoritaire au pouvoir au Venezuela. Or il sait très bien que l’État a un système de surveillance d’Internet, le pays ne possédant qu’une poignée de fournisseurs d’accès, tous dans la poche du gouvernement. Afin de mettre en place le tout, il aimerait organiser une marche sur Facebook en se servant d’un compte établi sous un faux nom, mais il croit que ça ne sera pas assez. Il sait pertinemment que les dissidents sont traqués et que ce serait simple pour la police nationale de découvrir qui est derrière le compte Facebook et de l’amener dans un endroit sombre en pleine nuit…

L’anonymat s’impose: comment Alfonso peut-il s’assurer, autant que possible, de ne pas révéler sa véritable identité tout en organisant la manifestation au moyen d’outils technologiques? Il a déjà entendu parler d’un outil qui est spécialisé dans la protection des sources et des militants politiques de son acabit. Il s’agit de Tor, qui s’installe facilement, qui est convivial et dont l’usage a pour but de protéger l’identité des individus en plus de chiffrer leurs communications… Le choix est facile.

Du côté de la police nationale, soudainement, les allées et venues d’Alfonso sur Internet deviennent difficiles à traquer; c’est très laborieux d’intercepter ses communications et, lorsqu’on réussit, on découvre qu’elles sont chiffrées! Impossible de lire le contenu de ses messages, de savoir quels sites il fréquente, à qui il parle… Comme il serait trop coûteux en temps, en ressources humaines et en argent pour la police d’essayer de déchiffrer ses communications, sans obtenir aucune garantie de succès, Alfonso devient tout à coup une cible moins intéressante. On passe au suivant…

QUELQUES DÉFINITIONS

Les termes «dark net» et «deep Web» sont souvent utilisés de manière interchangeable. Or il s’agit bien de canaux de communications différents. Avant d’examiner ce qui se passe sur ces réseaux, encore faut-il comprendre la nuance entre eux.

Clearnet

Aussi connu sous le nom Web de surface ou, plus communément, World Wide Web, c’est-à-dire le Web standard, Clearnet est le réseau auquel la vaste majorité des gens se connectent d’un jour à l’autre pour le divertissement, pour le travail, pour parler à leurs amis et leur famille, etc.

«Clearnet» vient de la contraction des mots clear («transparent», dans ce contexte) et network («réseau»). Traditionnellement, sur le Web ordinaire, les communications n’étaient pas chiffrées et elles pouvaient être interceptées et lues de façon relativement facile, ce qui a conduit au baptême de ce «réseau transparent». Depuis les dernières années, cette appellation tend à disparaître; en effet, la démocratisation des systèmes de chiffrement et leur déploiement de plus en plus courant rendent caduc le nom donné à cette couche d’Internet.

Cependant, il y a encore beaucoup de communications sur le Web standard qui ne sont pas sécurisées par défaut et qui sont donc non sécuritaires. On peut comparer vos communications transitant sur le Web à une carte postale traditionnelle: en théorie, tout le monde peut lire ce qui est écrit dessus.

Deep Web

Le deep Web, ou le Web profond, c’est l’ensemble du contenu non indexé par les moteurs de recherche traditionnels comme Google.

8.1QU’EST-CE QUE L’INDEXATION?

L’indexation, dans le contexte du Web, est un processus d’archivage et de documentation automatisé des sites et des ressources en ligne. Les moteurs de recherche comme Google déploient des bots (de petits programmes autonomes d’indexation) qui cataloguent ces sites en vue d’une recherche ultérieure.

Le deep Web représente environ 95% de tout le contenu d’Internet. On y trouve, par exemple, des intranets (la section non publique des sites web, généralement ceux des entreprises), des sites web inaccessibles à cause de problèmes de routage sur le réseau et des pages web générées dynamiquement (c’est-à-dire non statiques et potentiellement dotées de vidéos, d’images animées ou défilantes, etc.).

Dark net

Le dark net, ou dark Web (ou Internet clandestin), c’est un ensemble de réseaux parallèles au Web standard, ou Clearnet. Le dark net va techniquement faire partie du deep Web, car il est non indexé ou non indexable. En règle générale, pour accéder à ces réseaux, l’installation d’un logiciel spécial est nécessaire. Ces canaux mettent un accent particulier sur l’anonymat et le chiffrement des communications, et nous nous intéresserons dans ce chapitre au plus connu d’entre eux: Tor.

COMMENT ÇA FONCTIONNE?

Vulgariser le fonctionnement d’un réseau informatique représente toujours un défi; pour bien des gens, le tout semble très abstrait et accessible uniquement aux initiés. C’est particulièrement vrai pour un réseau comme Tor, qui baigne dans une aura quasi occulte, en raison du traitement médiatique engendré par son utilisation et son fonctionnement. Toutefois, il est possible, voire nécessaire, de comprendre le fonctionnement de Tor pour l’utiliser correctement et de manière sécuritaire. Le but de cette section est de vous donner une compréhension sommaire, mais aussi opérationnelle du réseau Tor et de ses particularités.

Le «routage par oignon»

Ce qu’on appelle le routage par oignon permet d’encapsuler une communication qui va d’un point à l’autre dans plusieurs couches de chiffrement. Comme nous l’avons vu, le chiffrement, aussi appelé cryptage, est une technique mathématique pour cacher le contenu d’un message afin que seuls son expéditeur et son destinataire légitime soient en mesure de le lire. La communication est envoyée non pas directement, d’un point à l’autre, comme le sont les communications standards sur le Web traditionnel, mais bien par un «circuit de nœuds» (voir ci-dessous) généré aléatoirement. À chaque itération de ce circuit, une couche de chiffrement est ajoutée pour protéger le message.

8.2QU’EST-CE QUE LE ROUTAGE?

Le routage, en informatique, est un processus de sélection de parcours pour acheminer une requête d’un système à l’autre (ou à plusieurs autres systèmes). Différents types de routages existent; selon le type sélectionné lors d’une communication, il est possible de transférer les données à un seul système, à l’ensemble des systèmes sur un réseau, à certains d’entre eux, aux plus proches géographiquement, etc.

Pour illustrer le tout, pensez aux matriochkas russes, ces poupées de taille décroissante placées les unes dans les autres. Si vous voulez envoyer un message à la plus petite des poupées, vous devez passer par plusieurs intermédiaires (les poupées plus grandes). Votre message est alors chiffré en utilisant la clé que seule la plus petite des poupées connaît. Ce message chiffré forme une communication qui est alors placée dans la poupée de taille moyenne, et chiffrée à nouveau, cette fois avec la clé que seule cette poupée de taille moyenne connaît et à laquelle vous avez ajouté une note qui demande de «faire passer à la plus petite poupée». Le processus est répété de poupée en poupée, et le message au complet se rend à la plus petite, chiffré avec une clé qu’elle seule connaît, et accompagné de la note «retourner le message et sa clé à la poupée de taille supérieure».

Comment faire pour déchiffrer le message, alors? Le processus inverse est utilisé; la plus grande poupée ouvre le message à l’aide de sa propre clé et passe son contenu à la poupée de taille moyenne, qui va lire le message grâce à sa clé à elle et passer le tout à la plus petite des poupées, qui sera alors en mesure de lire le message d’origine.

8.3QU’EST-CE QUE LA CRYPTOGRAPHIE?

La cryptographie est l’application d’équations mathématiques au contenu d’un message pour le chiffrer (l’occulter) et le déchiffrer (le lire), ce qui en assure la confidentialité. Imaginons le chiffrement d’une communication privilégiée: en gros, une clé numérique sera utilisée pour déverrouiller un cadenas virtuel de façon à ce que seuls l’expéditeur et le récipient y soient autorisés. La décomposition de nombres en facteurs premiers ainsi que la résolution de suites géométriques sont deux types d’équations qui sont utilisées dans le chiffrement de messages et qui rendent le processus de déchiffrement sans la clé secrète très long et difficile.

Cette communication est cryptée sous plusieurs couches de chiffrement itératives, la plus grande poupée ne connaissant pas le contenu du message destiné à la plus petite, et la plus petite ne sachant pas, ultimement, d’où provient le message d’origine. Ce processus répond donc à deux éléments cruciaux de la sécurité des communications: l’anonymat (impossible de savoir d’où vient le message à l’origine) et la sécurité (les messages sont chiffrés, donc illisibles si interceptés par une autre personne que le destinataire légitime). Cette technique est la base du routage par oignon, les itérations de transfert de messages agissant ici comme les pelures d’un oignon, qui est utilisé par Tor (the onion routing).

Les nœuds

Contrairement au Web standard, où une demande provenant d’un point A est acheminée vers la destination B par le chemin le plus court, les requêtes sur Tor sont acheminées par une série de serveurs, appelés nœuds, déterminés aléatoirement avant chaque nouvelle requête. Le tout forme un circuit, soit un ensemble d’au moins trois nœuds. Ceux-ci peuvent être localisés dans des endroits géographiquement disparates, ce qui peut rendre très lente une connexion sur le réseau Tor.

Plusieurs types de nœuds existent. Il y a les gardes, qui servent de point d’entrée au réseau Tor et qui connaissent l’origine de la requête web (c’est-à-dire l’ordinateur qui a demandé d’aller à un site web précis), mais pas la destination (le site web lui-même). Il y a aussi les relais, qui sont utilisés comme nœuds intermédiaires dans un circuit et qui transmettent les requêtes d’un point à l’autre. Finalement, il y a les nœuds de sortie, qui transmettent la requête initiale au site web à distance.

Ce qui fait la force et la particularité d’un circuit sur Tor, c’est que la main droite ne sait pas ce que fait la main gauche tout en étant synchronisée avec elle. En effet, comme un circuit est construit d’au moins trois nœuds et que chacun d’eux chiffre la communication à chaque itération, il n’est pas possible, par exemple, pour un nœud de sortie de «savoir» d’où vient la requête d’origine (c’est-à-dire par quel nœud de garde le circuit a été initialement construit).

Les services cachés

Les services cachés, aussi connus sous le nom de services sécuritaires, sont les sites web qui existent uniquement sur le dark net et qui ne peuvent être accessibles que par Tor. À l’instar des circuits, on n’atteint pas les services cachés directement. À la place, un système de points de rendez-vous est utilisé lorsque deux hôtes sur le réseau tentent de communiquer entre eux. Par exemple, lorsqu’une requête est envoyée par un utilisateur de Tor vers un site existant uniquement sur ce réseau, un circuit est créé à partir de la connexion de l’utilisateur vers un point aléatoire sur le réseau; ce même point est utilisé par un autre circuit, celui-ci en provenance du site à distance. Dans les deux cas, une nouvelle clé de chiffrement secrète est créée. Le site hébergé sur le service caché est ainsi «livré» au point de rendez-vous; comme d’habitude, les circuits créés de manière aléatoire, chiffrés à chaque itération des nœuds, et le point de rendez-vous ne sont jamais les mêmes. Impossible pour la partie à distance ou pour le demandeur de connaître l’endroit, donc l’identité, de l’autre.

Les sites web qui n’existent que sur le réseau Tor sont facilement reconnaissables à leur extension «.onion» et à leur nom de domaine inhabituellement dur à mémoriser. Un nom de domaine pourrait ressembler à http://zqktlwi4fecvo6ri.onion/. Ces noms de domaine ne fonctionnent que sur ce réseau du dark net et ne sont pas normalement accessibles par le Web de surface standard. Par contre, certains services comme Tor2web permettent d’accéder à des services cachés possédant une adresse se terminant par «.onion» par le Web de surface. À noter, toutefois, que l’utilisation d’un tel service élimine la couche d’anonymat qui fait la force de Tor! Bien cogiter avant de s’en servir.

8.4POURQUOI LES SERVICES SÉCURITAIRES ONT-ILS DES NOMS DIFFICILES À MÉMORISER?

Les adresses «.onion», contrairement aux noms de domaine plus connus sur le Web de surface, sont générées à partir de la clé de chiffrement publique du site sur Tor, qui passe alors dans un système de génération d’empreinte numérique appelé hachage. Le résultat est une adresse unique et qui ne change pas, sauf si la clé publique du site venait à changer.

LES UTILISATIONS

Fortement médiatisé, le dark net frappe l’imaginaire par son aspect far west (ou «far Web»): un endroit où la loi ne semble pas s’appliquer et où les humains se livrent à leurs plus bas instincts. Or, qu’en est-il vraiment?

Historique et utilisation technologique

La fonction la plus utilisée d’un dark net tel que Tor est l’accès au Web standard de manière sécuritaire et la prévention le plus possible de l’espionnage commercial (ou autre) de ses activités sur Internet. Loin d’être une technologie accessible uniquement aux initiés, aux geeks ou aux informaticiens, les services d’anonymat sont maintenant assez conviviaux pour être utilisés par l’ensemble des citoyens.

Au milieu des années 1990, c’est l’Office of Naval Research et le Naval Research Laboratory américains qui ont financé le développement du routage par oignon, l’ancêtre du projet Tor, pour pallier un besoin sur le plan de la sécurité de leurs communications militaires⁹. Deux ans plus tard, l’agence qui a été le berceau d’Internet tel qu’on le connaît, DARPA (Defence Advanced Research Projects Agency), a financé le développement d’un logiciel reposant sur ce type de routage. En 2004, c’est l’Electronic Frontier Foundation (EFF), une organisation dédiée à la protection des droits civils et numériques, qui a aidé au développement du projet et commencé, lentement mais sûrement, à le faire rayonner.

En 2006, le projet Tor est devenu un organisme sans but lucratif, et ses donateurs et développeurs, de plus en plus variés. Depuis ce temps, Pierre Omidyar, le fondateur d’eBay, plusieurs agences gouvernementales (International Broadcasting Bureau, National Science Foundation, Secrétariat d’État américain…), des États étrangers (notamment la Suède), des entreprises (Google, Mozilla) et des milliers de particuliers ont participé au financement du projet¹⁰.

En 2013, c’est le point de bascule: l’arrivée d’Edward Snowden et ses révélations sur le programme de surveillance globale de la National Security Agency, ainsi que son prosélytisme de Tor comme outil par excellence pour combattre la surveillance gouvernementale, fait exploser la popularité de cet outil. Les communications de Snowden avec celui et celle qui ont fait éclater l’histoire, le journaliste Glenn Greenwald et la réalisatrice Laura Poitras, ont été largement couvertes par la presse et demeurent aujourd’hui une étude de cas de la bonne utilisation d’un outil de chiffrement et d’anonymisation pour protéger son identité lorsqu’un État est une force en présence dans le modèle de menace (voir chapitre 4).

8.5QU’EST-CE QUE LA NATIONAL SECURITY AGENCY?

Aux États-Unis, c’est l’agence gouvernementale qui dispose des pouvoirs nécessaires pour décrypter les communications chiffrées des autres États afin de protéger la sécurité du pays. Dans les faits, après les révélations de Snowden en 2013, il a été révélé que la NSA n’intercepte pas uniquement les communications des autres États, mais bien l’ENSEMBLE des communications électroniques (courriels, appels téléphoniques, clavardages, SMS, etc.) transitant sur son territoire numérique.

En 2017, Tor est de nouveau sur la sellette, mais pour une raison moins positive: le coup de filet de la police pour faire fermer AlphaBay remet à l’avant-plan le côté négatif du réseau (voir plus bas). Il est donc toujours d’actualité de dire que des criminels exploitent les capacités d’anonymisation et de chiffrement du réseau à des fins illégales.

Cette étrange collaboration entre militaires, bureaucrates, hommes d’affaires et militants pour les droits civiques a mené par défaut au développement du dark net et de Tor, son vaisseau amiral. Toutes ces personnes désiraient – que ce soit en raison d’idéaux, par désir de sécurité ou par nécessité – concevoir un outil de sécurisation des communications; elles ont fait de Tor l’application et le réseau privilégié, au-delà des solutions de rechange toujours existantes telles que I2P ou Freenet.

Nous verrons que Tor, en plus d’offrir l’anonymisation des communications, constitue de nos jours un outil essentiel pour mener à bien des campagnes sociopolitiques; il est aussi devenu une véritable bouée de sauvetage pour bien des gens en position de vulnérabilité aux quatre coins du globe.

Sociopolitique et culturel

Au-delà de l’utilisation et du financement historique de Tor par le gouvernement américain, le ou les dark nets sont aussi utilisés par les activistes (et hacktivistes) pour faire la promotion de leurs idéaux, mais aussi pour en faire l’application. De plus, certains États voient des services d’anonymisation comme une menace ou encore comme une courroie de transport pour des biens et des services illégaux, plutôt que d’en mesurer l’utilité comme méthode de protection de l’anonymat et de la vie privée. Voici un petit historique des agissements politique sur Tor, de son rôle contre la censure et pour assurer la protection des lanceurs d’alerte.

8.6QU’EST-CE QUE L’HACKTIVISME?

Combinaison des mots «hacking» (l’art d’exploiter les failles dans un système informatique) et «activisme», l’hacktivisme est une application politique de la pensée hacker dans son action. Il s’agit de l’utilisation de moyens technologiques souvent (mais pas exclusivement) illégaux pour arriver à une fin sociale, soit de la désobéissance civile à l’ère numérique. Anonymous est certainement le groupe d’hacktivistes le plus connu.

En 2011, le groupe d’hacktivistes Anonymous a lancé une série d’attaques de déni de service distribué (DDoS) contre Freedom Hosting, qui œuvrait exclusivement sur le dark net et qui était à ce moment le plus gros hébergeur de sites de pédopornographie sur Internet (Web de surface et dark net confondus). Le raisonnement du groupe était fort simple. Anonymous, avec sa nature antiautoritaire et plutôt éloignée des forces de l’ordre, ne croyait pas que la police était en mesure de venir à bout de ce problème par les moyens traditionnels. Le groupe de hackers a donc décidé d’agir, et l’Opération Darknet a été lancée en octobre de la même année¹¹. En quelques heures, une quarantaine de sites web hébergés sur la plateforme de Freedom Hosting ont été désactivés temporairement par un influx important de demandes d’accès bidon en provenance d’ordinateurs contrôlés par les membres d’Anonymous. Le groupe a lancé un message clair, sans ambiguïté, aux administrateurs de Freedom Hosting, aux propriétaires de ces sites ainsi qu’à quiconque était impliqué dans le trafic de pornographie infantile: «Peu importe qui vous êtes, si nous découvrons que vous hébergez, faites la promotion ou soutenez la pornographie infantile, vous deviendrez une cible¹².»

8.7QU’EST-CE QU’UNE ATTAQUE DE DÉNI DE SERVICE?

Connu sous son abréviation DDoS (de l’anglais distributed denial of service), ce type d’attaque informatique cause l’interruption de service d’un ou de plusieurs serveurs web ciblés par des millions de requêtes illégitimes reçues dans un très court laps de temps. Ces requêtes proviennent généralement d’un grand nombre d’ordinateurs, le tout orchestré depuis un hôte central, ce qui cause l’interruption de service de la cible qui reçoit cet immense nombre de demandes d’accès. Typiquement de courte durée, l’interruption peut toutefois se prolonger si l’attaquant maintient son attaque.

En février 2017, Anonymous récidive contre la nouvelle itération de Freedom Hosting (renommée «Freedom Hosting II») et lance une autre campagne d’attaque de déni de service distribué¹³. Cette fois-ci, plus de dix mille sites web accessibles uniquement sur le dark net et hébergeant de la pornographie juvénile subissent la foudre du groupe d’hacktivistes. Le nombre important de sites affectés laisse croire que c’est l’ensemble du contenu hébergé sur Freedom Hosting II, et non uniquement les sites web pédopornographiques, qui était ciblé. Ce chiffre démontre également l’explosion en popularité du dark net entre la première Opération Darknet en 2011 et celle en 2017.

Dans certains États répressifs, l’expression libre de certains aspects de sa personnalité, par exemple la sexualité, n’est pas possible pour certains individus. L’utilisation du dark net/Tor devient utile, voire essentielle, pour des personnes en situation de vulnérabilité dans un contexte répressif. En 2014, l’Ouganda a fait passer une loi que plusieurs personnes ont qualifiée de liberticide: en effet, cette législation entérinée par le président du pays imposait la prison à perpétuité à quiconque récidivait dans un acte homosexuel. En réaction à cette loi, des militants LGBTQ (lesbiennes, gays, bisexuels, transgenres, queers) de ce pays ont fait appel au projet Tor¹⁴ pour trouver des solutions afin d’anonymiser les communications des membres de cette communauté activement persécutée (les médias ougandais se chargeaient souvent eux-mêmes de révéler l’homosexualité de certaines personnes de manière publique et non consensuelle)¹⁵.

Les mesures d’utilisation du réseau Tor démontrent certains points intéressants. Par exemple, lorsqu’un État essaie de faire taire la dissension dans un pays après un événement politique ou social, en règle générale, l’utilisation de Tor a tendance à exploser¹⁶. Un rapport de l’Université d’Oxford démontre aussi la popularité du réseau d’anonymisation dans les pays ayant à leur tête des gouvernements à tendance autoritaires, tels que la Moldavie, Israël, l’Italie et l’Iran¹⁷.

Criminel et policier

Par sa nature, le dark net suscite invariablement l’attention des groupes criminels. Comment ceux-ci agissent-ils sur ces réseaux? Les forces policières sont-elles en mesure de capturer les pédophiles et trafiquants de drogue sur Tor? Que peut-on acheter de louche là-dessus?

Pour bien des gens, leur première impression lorsque les mots «dark net» sont prononcés est négative: on pense trop rapidement au trafic de drogue, ventes d’armes, pornographie juvénile et, «holly-woodification» oblige, à des trucs plus farfelus comme des sites de sociétés secrètes accessibles uniquement à certains initiés, par exemple des tueurs à gages sur demande. Même si les statistiques confirment que la vaste majorité de l’utilisation d’un service d’accès au dark net comme Tor est parfaitement légale, la médiatisation de certains cas a créé une image peu reluisante de ce réseau. Malheureusement, celle-ci n’est pas complètement inventée; il serait naïf de parler du dark net sans mentionner son aspect interlope non négligeable.

Impossible également de parler du dark net sans évoquer Silk Road, qui y a longtemps été LE marché en importance, mais aussi, pendant des années, le seul où était négociée toute vente de matériel illicite sur Internet. Possédant une interface conviviale similaire à des sites transactionnels populaires tels qu’eBay ou Amazon, Silk Road permettait à des vendeurs d’interagir avec de potentiels acheteurs, de connaître la réputation de ceux-ci en consultant les commentaires laissés par autrui, de discuter avec les utilisateurs du site, le tout de manière complètement anonyme. Les transactions financières s’effectuaient grâce à la monnaie numérique Bitcoin, qui ne permet pas de connaître l’identité de la personne faisant un paiement ou un achat quelconque. L’histoire de Silk Road et de son administrateur Dread Pirate Roberts est épique et dépasse largement la portée de ce livre.

Opération Baïonnette était le nom de l’immense coup de filet créé par des corps de police agissant de concert dans différents pays contre plusieurs marchés actifs sur Tor et qui étaient vus comme les successeurs de Silk Road: Hansa et, surtout, AlphaBay¹⁸. À l’été 2017, Europol, le FBI (Federal Bureau of Investigation), la DEA (Drug Enforcement Agency), la police fédérale des Pays-Bas, les forces de l’ordre thaïlandaises et la Sûreté du Québec ont travaillé ensemble pour coincer l’administrateur d’AlphaBay, le Trifluvien Alexandre Cazes¹⁹. Celui-ci gérait AlphaBay Market, devenu la plateforme d’achat et de vente de matériel illicite la plus importante depuis la chute de Silk Road: drogues, armes, données fuitées, outils de hacking, faux passeports, etc. Depuis une base en Thaïlande, Cazes gérait son empire à distance: en effet, plusieurs serveurs du dark net qui assuraient le fonctionnement d’AlphaBay étaient situés en Europe et au Canada. L’échelle internationale de cette «entreprise» démontre bien la difficulté pour les forces de l’ordre locales de remonter le filon jusqu’à la source ainsi que la nécessité d’une concertation sans faille de leur part avec leurs semblables à l’étranger.

NAVIGUER SUR TOR EN SÉCURITÉ

Le dark net fait peur à beaucoup de gens. Or, tout comme pour le Web de surface, une bonne hygiène numérique et de saines habitudes permettront d’être en sécurité sur Tor. Il est important d’en connaître les bonnes pratiques, mais aussi les dangers.

Techniques de désanonymisation

Même si Tor se vante en mettant de l’avant les capacités d’anonymisation de son outil, l’organisation ne prétend pas que l’utilisation du dark net puisse garantir l’anonymat total. En effet, certaines techniques de désanonymisation sont employées pour dévoiler la véritable identité des utilisateurs de Tor. En voici quelques-unes.

JavaScript: ce langage de programmation web permet, en théorie, d’obtenir directement l’adresse IP (voir chapitre 7) d’un utilisateur de Tor qui visiterait un site donné²⁰. En pratique, le fureteur Tor est protégé contre cette technique trop flagrante (voir plus loin). Toutefois, certains décident malgré tout d’activer l’utilisation de JavaScript partout dans Tor. JavaScript étant une pierre angulaire du développement web des dernières années, plusieurs sites du Web de surface s’affichent plutôt mal (ou ne s’affichent carrément pas) si celui-ci est désactivé. On peut donc choisir de sacrifier l’anonymat pour l’esthétique.

L’utilisation de JavaScript est plus rare sur les services sécuritaires (voir Les services cachés, ci-dessus) du dark net, justement parce qu’elle est problématique en ce qui a trait à l’anonymat des visiteurs. Par contre, rien n’empêche un administrateur d’un site «.onion» d’utiliser JavaScript sur sa page et de tenter d’obtenir l’adresse IP réelle d’un visiteur, particulièrement si celui-ci a choisi d’activer ce langage dans le fureteur.

Des bogues dans le fureteur Tor: on accède au réseau Tor par un fureteur web, qui est en fait un calque du fureteur existant Firefox, créé par la Mozilla Foundation. À l’instar des autres fureteurs (Chrome de Google, Edge de Microsoft, Safari d’Apple, etc.), Tor est élaboré et maintenu par des humains, qui commettent des erreurs lors de la programmation et du développement. Lorsque ces bogues peuvent être exploités de manière malicieuse, selon le type, il devient possible de désanonymiser une personne utilisant le logiciel Tor.

Un cas type: dans le cadre d’une enquête en 2013, le FBI a exploité activement une vulnérabilité quant à la gestion de la mémoire virtuelle dans le fureteur Firefox; cette même vulnérabilité existait dans la version du fureteur Tor²¹. Dans ce cas précis, le FBI a réussi à contrôler un forum de distribution de pornographie infantile, a exploité activement le bogue et a fini par obtenir les véritables adresses IP des visiteurs (et non celles des nœuds aléatoires dans un circuit), menant ainsi à leur désanonymisation. Le bogue exploitable a été corrigé dans une version ultérieure de Tor. Par contre, le tout soulève d’épineuses questions: qui d’autre connaissait l’existence de ce bogue? En choisissant de ne pas révéler la faille à Tor et à Mozilla, mais en l’exploitant activement, c’est-à-dire au cours d’une action, soit l’opération policière, le FBI a mis en danger la sécurité des utilisateurs légitimes du réseau, particulièrement ceux et celles vivant sous des régimes répressifs. La fin, alors, justifie-t-elle les moyens?

Attaque par canal auxiliaire

Vous utilisez Tails sur un laptop jetable ultrasécurisé? Génial! Maintenant, que faites-vous si le téléphone cellulaire qui est placé à côté du portable en question est compromis et utilisé pour vous désanonymiser? Exploration sommaire des side-channel attacks en lien avec Tor.

Le cas de Sabu

Vous pouvez utiliser les meilleurs outils de défense, les pare-feux les plus poussés, les antivirus les plus sophistiqués, en plus de limiter votre présence sur les réseaux sociaux au minimum, bref, avoir une hygiène numérique supérieure, il suffit d’un seul faux pas pour tomber dans un piège. Parlez-en à Hector «Sabu» Monsegur, l’un des hackers les plus recherchés en 2012. Cette tête d’affiche du groupe de hacking LulzSec (fondé par les membres les plus talentueux et actifs d’Anonymous) est tombée sous la griffe du FBI après avoir commis une seule petite erreur.

À l’été 2011, LulzSec est devenu une source de problèmes pour plusieurs institutions financières, médias et agences gouvernementales; le groupe s’en prenait de manière arrogante et efficace à ces entités en compromettant leurs serveurs, en modifiant les pages d’accès publiques et en y publiant de l’information secrète, toujours dans l’arrogance, allant même jusqu’à narguer les cibles en question sur les réseaux sociaux. Rapidement, le groupe, dont son chef par défaut, Sabu, a été dans la ligne de mire des enquêteurs fédéraux.

Sabu avait une bonne sécurité opérationnelle (voir chapitre 4), utilisant tous les outils à sa disposition, dont Tor, pour camoufler sa véritable identité et, surtout, sa véritable adresse IP à la maison lors de ces actes de sabotage. Toutefois, alors qu’il faisait déjà l’objet d’une enquête du FBI, il a fait l’erreur de se connecter à un canal de discussion en ligne surveillé par les policiers sans occulter au préalable son adresse de connexion par défaut. Il n’en a pas fallu plus pour associer une action de piratage à un moment où le fournisseur d’accès à Internet lié à la véritable adresse IP de Sabu – adresse maintenant connue des policiers, après une seule apparition non occultée – pouvait confirmer la présence de celui-ci sur le réseau. Les carottes étaient cuites pour Monsegur.

La morale de cette histoire: plusieurs méthodes existent pour désanonymiser quelqu’un sur le Web standard et sur le dark net, mais les meilleurs outils peuvent échouer s’ils sont mal utilisés!

Ultrasons

Dans la catégorie quasi-science-fiction, l’interception d’ultrasons en provenance d’un dispositif sur lequel est installé un utilisateur qui se sert de Tor comme fureteur peut être employée comme vecteur de désanonymisation. Particulièrement utile contre les téléphones portables, cette technique se sert d’un dispositif externe à l’utilisation de Tor (par exemple un cellulaire posé sur la table à côté d’un ordinateur sur lequel Tor est installé) pour compromettre l’anonymat d’un utilisateur.

Comment fonctionne cette technique? Des ultrasons sont émis par certaines annonces à la radio et à la télévision; imperceptibles par l’oreille humaine, ces sons à très haute fréquence sont captés par des applications particulières installées sur le téléphone cellulaire en question. Un «pont» entre les différents canaux de communication est établi: une annonce vue à la télévision peut alors être «poussée» dans une application sur le téléphone, en fonction de la cible marketing désirée par l’entreprise à l’origine de la publicité.

Cas type où l’action de désanonymisation entre en compte: si un site web visité émet un ultrason depuis les haut-parleurs d’un ordinateur portable et que ce son est intercepté par une certaine application installée sur le cellulaire de la victime, il est alors possible, grâce à cette application, d’envoyer à un tiers parti des informations sensibles, voire personnelles, stockées sur l’ordinateur. C’est un exemple parfait d’attaque par canal auxiliaire: l’ordinateur sur lequel les communications se font en utilisant Tor est sécuritaire, mais qu’à cela ne tienne: un attaquant peut alors choisir un autre canal pour exécuter son plan. Un attaquant situé à proximité – dans la pièce voisine, ou même assis à côté de la victime – et utilisant un logiciel spécialement conçu pour la captation de données exfiltrées par ultrasons pourrait alors subtiliser les informations personnelles à partir du cellulaire (qui, lui, n’est vraisemblablement pas protégé par Tor). Si ce type d’attaque peut être menée par un adversaire motivé et qui possède des compétences techniques poussées, il n’en reste pas moins que plusieurs publicitaires l’utilisent également pour désanonymiser aléatoirement des utilisateurs de Tor. C’est pourquoi il importe, ici comme dans la plupart des situations, de se référer d’abord à son modèle de menace pour évaluer les risques potentiels d’une désanonymisation. Par rapport à ce type d’attaque, si vous avez une recherche réellement sensible à faire, il est fortement conseillé de vous servir d’un sac Faraday afin de protéger les données de vos téléphones et tablettes.

8.8QU’EST-CE QU’UN SAC FARADAY?

Vous pensez qu’il suffit d’éteindre votre cellulaire ou de le mettre en mode avion pour empêcher l’espionnage par tous les canaux (micro, caméra, GPS, etc.)? Détrompez-vous! Même le fait d’enlever la pile d’un appareil, lorsque la chose est possible, n’est pas une solution à toute épreuve.

Une solution consiste à vous procurer un sac Faraday. Fait en tissu conducteur, ce sac bloque les champs électromagnétiques. Résultat: une fois placé dans ce sac, votre cellulaire ne pourra plus communiquer avec l’extérieur. En plus de vous protéger contre le pistage et une variété d’attaques, il est un excellent moyen d’avoir la paix pendant quelques heures.

Plusieurs autres méthodes, trop nombreuses pour être énumérées ici, existent pour potentiellement désanonymiser des utilisateurs de Tor. Les développeurs de Tor en sont conscients et travaillent activement à la protection du réseau et de ses utilisateurs. La sécurité étant un processus et non un produit, le combat pour l’anonymat reste constant, et la vigilance est toujours de mise, en gardant en tête votre modèle de menace.

Bonnes pratiques

Désactiver JavaScript: sur Tor, il est possible d’activer JavaScript uniquement sur certains sites de confiance. En revanche, JavaScript est activé par défaut sur le fureteur Tor. Si le fureteur est mis à jour régulièrement, il ne devrait pas poser de problème, mais, pour un maximum de sécurité, il est préférable de désactiver carrément JavaScript dans Tor.

Attention aux téléchargements: l’utilisation de Tor ne représente pas une panacée côté protection; en effet, Tor ne remplace ni un coupe-feu ni un logiciel antivirus. À l’instar des bonnes règles à suivre sur le Web de surface, un usager de Tor doit faire attention à ne pas exécuter n’importe quel programme trouvé sur un service caché ou sur un site web en clair par le dark net; non seulement le risque d’infection par un cheval de Troie, un virus ou un maliciel quelconque existe toujours, mais la possibilité d’être désanonymisé existe également.

Éviter les sites transactionnels douteux: l’achat en ligne de substances illicites, d’armes prohibées et d’autres produits louches reste illégal au Canada; il va donc de soi que l’on ne devrait pas aller sur des sites transactionnels vendant ces types de produits. Même si un achat de produit légal y est effectué, vous risquez de vous retrouver dans une base de données d’enquêteurs si ceux-ci réussissent à vous désanonymiser lors de vos visites et de vos transactions. Même si vous n’avez rien à vous reprocher, votre seule présence sur un tel site pourrait attirer l’attention sur vous.

Garder le fureteur Tor à jour: comme pour tout logiciel, faire des mises à jour régulières de Tor vous protège contre les techniques de désanonymisation qui évoluent constamment. N’utilisez pas un fureteur Tor dont une mise à niveau est disponible mais non installée!

PENSER AU-DELÀ DES APPARENCES

Pour certaines personnes, le dark net représente le véritable far west numérique, un lieu de non-droit où sévissent les pires racailles du Web: pédophiles, terroristes, trafiquants de drogues et marchands d’armes. Pour d’autres, des outils comme Tor agissent en véritables portes de sortie d’un régime répressif où la liberté d’expression n’existe pas. Tor permet de connaître un endroit où la protection des sources journalistiques est un état de fait naturel et où le simple citoyen peut naviguer sur le Web sans être épié par son propre gouvernement ou par une pléthore d’entreprises désirant utiliser ses données personnelles pour le placer dans une case de marketing préétablie. Comme nous l’avons vu, il y a un peu de vrai dans tout cela.

Les dark nets sont des outils; ce qui importe, c’est ce que l’on fait avec eux. Des réseaux comme Tor, I2P et Freenet sont nés d’un désir de se libérer d’une surveillance de plus en plus omnisciente, au point où cette forme de contrôle est devenue le modèle d’affaires par défaut de la Silicon Valley. Ces réseaux sont une réaction aux dérapages gouvernementaux, mais aussi commerciaux.

Cela dit, il faut rester vigilant: il est primordial que les forces policières soient en mesure d’effectuer leur travail sur le champ de bataille numérique sans pour autant mettre en danger la sécurité de l’ensemble des usagers. Il est important de rappeler aux instances étatiques que Tor et les sites similaires restent des outils et sont utilisés principalement de manière légale, et que la majorité citoyenne qui s’en sert ne devrait pas être surveillée ni punie pour les actions illégales d’une minorité.

9.www.whoishostingthis.com/blog/2014/11/17/who-funded-tor/

10.www.torproject.org/about/sponsors.html.en

11.www.nouvelobs.com/les-internets/20111025.OBS3200/un-vaste-reseau-de-sites-pedophiles-pirate.html

12.https://pastebin.com/T1LHnzEW

13.www.newsweek.com/anonymous-hacker-dark-web-child-porn-operation-553014

14.www.slate.fr/story/89673/tor

15.www.rfi.fr/afrique/20170517-minorites-sexuelles-ouganda-modifier-loi-mais-mentalites-lgbt

16.https://metrics.torproject.org/userstats-censorship-events.html

17.http://geography.oii.ox.ac.uk/?page=tor

18.www.europol.europa.eu/newsroom/news/massive-blow-to-criminal-dark-web-activities-after-globally-coordinated-operation

19.https://ici.radio-canada.ca/nouvelle/1046369/trifluvien-alexandre-cazes-createur-site-alphabay-fbi

20.https://security.stackexchange.com/questions/95046/why-disable-javascript-in-tor

21.https://arstechnica.com/information-technology/2013/08/attackers-wield-firefox-exploit-to-uncloak-anonymous-tor-users/

CONCLUSION

Les terrains d’attaque et les sites de vulnérabilité sont nombreux. Ils sont partout où l’on regarde. Les sélectionner pour cet ouvrage a été une tâche difficile. Si, au terme de cette lecture, le fait de suivre toutes ces recommandations peut ressembler à une montagne à escalader, il est important de se rappeler que l’adoption de meilleures pratiques ne s’attaque qu’à une partie du problème. Autrement dit, le poids ne pèse pas uniquement sur les citoyens.

Effectivement, les enjeux de la sécurité numérique et de la protection des libertés individuelles et collectives en ligne peuvent facilement être comparés à ceux du mouvement environnemental. Il y a vingt ans, il était inconcevable d’aller faire son épicerie en apportant ses sacs réutilisables. Il aurait été d’autant plus aberrant qu’un marchand nous facture quelques sous pour nos sacs en papier et en plastique. Aujourd’hui, les sacs réutilisables, le recyclage et même le compostage sont devenus une norme. De plus en plus de commerces offrent des produits locaux, biologiques et équitables. Certains se spécialisent même dans la vente en vrac, pour les citoyens désirant réduire leur production de déchets ou littéralement adhérer au mode zéro déchet. Un nombre croissant de subventions sont également disponibles pour les individus désireux de s’acheter une voiture hybride ou électrique. Cependant, à l’échelle planétaire, toutes ces actions menées par les individus ne peuvent avoir, au mieux, qu’un impact marginal sur la dégradation de l’environnement et le réchauffement climatique. Le problème dépasse de loin l’agir individuel.

L’enjeu est similaire lorsqu’on aborde la sécurité de l’information. Le changement des consciences passe, entre autres, par l’adoption de meilleures pratiques à l’échelle individuelle. Ces pratiques à elles seules ne changeront pas le monde, mais elles amélioreront de façon significative la posture de chacun et réduiront les risques encourus devant des menaces variées et croissantes, en plus de contribuer à un changement de culture à l’échelle collective.

Revenons aux luttes environnementales. Devant une lutte globale et difficile à gagner, devrait-on pour autant abdiquer? Retourner aux sacs en plastique et laisser tomber le recyclage et le compostage? Absolument pas. À l’instar de la sécurité numérique, même si l’impact global des actions d’un individu est minime, ces actions composent une partie essentielle de la solution. En changeant de culture et de normes relativement à ce qui est acceptable et faisable et à ce qui ne l’est pas, les citoyens et les groupes de pression positionnent certaines luttes comme enjeu politique et marchand. En se souciant de la sécurité comme ils se soucient de l’environnement, et en changeant les pratiques de vie et de consommation, les citoyens signifient aux sphères politiques et commerciales que l’action est légitime et nécessaire.

TOUT SEUL, ON VA VITE; ENSEMBLE, ON VA LOIN

L’objectif ici n’est pas de faire l’apologie du mouvement environnementaliste, mais plutôt de noter qu’il est l’exemple observable par excellence de la manière dont l’agir individuel peut s’inscrire dans des luttes plus larges. Il permet de relever que les nombreux problèmes et lacunes sur le plan de la sécurité numérique sont le résultat de relations complexes entre les sphères marchandes, politiques et sociales. Bref, plusieurs acteurs ont un rôle à jouer pour optimiser la sécurité informatique de tous.

Les décideurs politiques, tant au Québec qu’au Canada, prennent des décisions structurantes en matière de régulation des droits et libertés individuelles, mais aussi en lien avec ce que les entreprises peuvent et ne peuvent pas faire. Trop souvent, les législations et politiques publiques ne suivent pas les avancées technologiques ou les suivent trop lentement. Dans d’autres cas, le manque d’intérêt global à l’égard des enjeux de surveillance numérique a favorisé l’expansion de cadres législatifs donnant une latitude inquiétante aux forces de l’ordre et aux agences gouvernementales. Par exemple, la loi antiterroriste au Canada favorise non seulement le pouvoir exécutif des agences de renseignements, mais également le partage d’informations et d’intelligence entre de nombreux organismes gouvernementaux.

Les compagnies de technologie et les fournisseurs de services, pour leur part, ont le pouvoir de décider en amont des standards techniques qui structureront la sécurité et la collecte d’informations personnelles. Il va sans dire que les modèles d’affaires sont largement influencés par l’opinion publique et les préoccupations des usagers. À ce jour, comme nous l’avons vu, les modèles sont plutôt axés sur la personnalisation de contenu et, devant le désir (ou l’habitude) des utilisateurs à avoir accès à des services gratuits, sur l’exploitation financière des données personnelles. Il n’est pas impossible que se développent d’autres modèles d’affaires plus soucieux de la vie privée des utilisateurs. Cependant, il est possible que ces derniers acceptent de vivre avec un peu moins de personnalisation de contenu…

Des utilisateurs et citoyens conscientisés et soucieux des enjeux de sécurité ont, quant à eux, plus de chances d’influencer les décideurs politiques, les sociétés de technologie ainsi que les fournisseurs de services. Les politiques publiques, les structures techniques des systèmes informatiques et les modèles d’affaires des services, ainsi que l’usage qu’en font les citoyens, sont intrinsèquement interreliés. Il n’y a pas de point de départ ni de point d’arrivée: ces sphères changent et s’influencent constamment. Par exemple, à la suite des révélations d’Edward Snowden, un nombre grandissant de citoyens se sont intéressés au chiffrement et se sont mis à l’utiliser. De nombreux fournisseurs ont fondé leur offre de service sur la sécurité des communications, ce qui a conduit à la mise en marché d’un grand nombre d’applications à la fois sécuritaires et faciles d’utilisation. En politique, les lois visant l’augmentation du pouvoir de surveillance de l’État et de ses agences (comme le projet de loi C-51 au Canada) font l’objet de débats publics et même d’enjeux électoraux.

La logique est simple: tous ont un intérêt personnel à adopter de meilleures pratiques en sécurité numérique. Mais au-delà des avantages individuels liés à l’établissement de communications plus privées, à la protection de l’intégrité d’informations importantes ou sensibles, ou encore au caractère intrusif des publicités ciblées, l’adoption de ces pratiques permet de changer de culture. Elles permettent de normaliser la sécurité des citoyens par rapport à l’ingérence de groupes, d’entreprises ou d’États. Comme le souligne un vieil adage du mouvement cypherpunk – un groupe consacré au développement d’outils visant à protéger la vie privée ainsi que la sécurité numérique –, il faut assurer la protection de la vie privée des moins puissants et demander la transparence des plus puissants. Il s’agit donc de retourner la situation, de protéger les citoyens et de demander de meilleurs comptes, de meilleures politiques publiques et de meilleurs outils à ceux qui ont les moyens de les créer.

LA MARGINALISATION DU CHIFFREMENT

Au terme de cet ouvrage, vous aurez été convaincu, on l’espère, que militer pour la sécurité numérique, la protection de la vie privée et de la liberté d’expression n’équivaut pas à légitimer la pléthore d’activités douteuses et illégales qui ont lieu sur ces plateformes. Nous soutenons fermement que les outils de chiffrement sont des outils comme tant d’autres. Un couteau peut servir à préparer des mets délicieux tout comme à commettre des actes violents. Une route est un élément essentiel à la libre circulation des citoyens et des marchandises, mais peut également être utilisée par des criminels ou des terroristes. Il en va de même pour le chiffrement.

De la Seconde Guerre mondiale aux années 1970, le chiffrement était l’affaire des gouvernements. C’est normal: Internet n’était pas alors répandu dans l’ensemble de la société civile. Lorsque les cypherpunks ont commencé à développer des logiciels pour le grand public, le gouvernement a rapidement tenté de freiner la chose: d’abord en interdisant l’exportation de logiciels, puis, sous l’administration Clinton, en tentant de faire poser dans les appareils électroniques des puces (les clipper chips) permettant au gouvernement de contourner le chiffrement des communications par l’installation d’une «backdoor» universelle sur ces appareils. L’installation d’une backdoor équivaut à installer d’office une vulnérabilité informatique permettant d’accéder au contenu d’un appareil. On peut comparer cette démarche au fait de permettre aux citoyens de verrouiller leur maison à l’aide de la serrure de leur choix, à condition que les serrures de toutes les portes arrière soient similaires et que le gouvernement puisse en détenir une clé. L’initiative a été un échec retentissant. Toutefois, la guerre contre le chiffrement ne s’est pas arrêtée pour autant.

Entre les tentatives du gouvernement britannique de rendre illégaux les dispositifs de chiffrement et la prédominance de la mauvaise presse accordée à ces enjeux, défendre l’implantation et l’usage de chiffrement fort tend, encore trop aujourd’hui, à être une position transgressive. Chez Crypto.Québec, nous ne comptons plus les demandes d’entrevue nous invitant à parler du trafic de drogues sur le dark Web. Dans les nouvelles, on mentionne fréquemment que tel ou tel terroriste utilisait un mode de communication chiffré. Cependant, on mentionne rarement (ou jamais) comment ces outils permettent la protection de journalistes, de travailleurs humanitaires, de blogueurs dans des zones de guerre ou simplement d’individus en situation de vulnérabilité.

Encore en 2017, les Cinq yeux se sont réunis et ont signé une déclaration commune réitérant, entre autres, leur désir de marginaliser les outils et les logiciels de chiffrement. Pour ce faire, ils s’engageraient dans des discussions avec des entreprises du domaine des technologies et de la communication afin de parer l’utilisation du chiffrement qui peut «sévèrement saper les efforts de sécurité publique en empêchant un accès légal au contenu des communications lors d’enquêtes sur des crimes graves, y compris le terrorisme²²».

Dans une déclaration émise en guise de réponse à la position des Cinq yeux, Crypto.Québec a relevé l’importance de dissocier dans le discours public les enjeux liés à la sécurité de l’information et la lutte contre le terrorisme. Si ces luttes sont bien réelles et importantes, fragiliser les communications de l’ensemble des citoyens tout en octroyant un pouvoir croissant aux gouvernements faciliterait non seulement les abus de pouvoir, mais rendrait vulnérable l’ensemble des systèmes informatiques par rapport aux actions des malfaiteurs. Pour reprendre notre métaphore, s’attaquer au chiffrement en fragilisant l’ensemble des serrures et en créant des doubles des clés n’offre qu’une solution symbolique au problème à des individus pour qui les réseaux sont quelque chose d’abstrait (ce qui, nous l’espérons, n’est plus votre cas). Au contraire, ces mesures promettent de faciliter des atteintes à la liberté de la presse, à la liberté d’expression, à la vie privée, aux activités des défenseurs des droits de la personne et aux individus partout au monde.

Ainsi, en plus de tous les conseils proposés dans cet ouvrage, nous espérons pouvoir nuancer et offrir une contrepartie à l’ensemble des discours qui ont tout avantage à marginaliser l’usage de notre outil préféré. La très grande majorité des personnes qui utilisent le chiffrement sont bonnes et agissent avec de bonnes intentions. Ajoutez-vous donc au groupe!

22.www.dhs.gov/news/2017/06/28/five-country-ministerial-2017-joint-communiqu

Pour joindre les auteurs:
info@crypto.quebec

 Restez à l’affût des titres
à paraître chez Trécarré
en suivant Groupe Librex:
facebook.com/groupelibrex

edtrecarre.com