Guide d'autodéfense numérique

Quand on se demande quelles mesures mettre en place pour protéger des données ou des communications numériques, on se rend assez vite compte qu’en la matière, on avance un peu à l’aveuglette.

D’abord parce que la plupart des solutions qu’on pourrait mettre en place ont aussi leurs inconvénients : parfois elles sont très pénibles à déployer, à entretenir ou à utiliser ; parfois on a le choix entre diverses techniques, dont aucune ne répond complètement au « cahier des charges » que l’on s’est fixé ; parfois elles sont bien trop nouvelles pour qu'on ait l’assurance qu’elles fonctionnent réellement ; etc.

On devrait donc commencer par se poser quelques questions simples, afin d'établir un modèle de menace1.

Que veut-on protéger ?

Dans le cadre de ce texte, ce qu’on veut protéger rentre en général dans la vaste catégorie de l’information : par exemple, le contenu de messages électroniques, des fichiers de données (photo, tracts, carnet d’adresses) ou l’existence même d’une correspondance entre telle et telle personne.

Le mot « protéger » recouvre différents besoins :

  • confidentialité : cacher des informations aux yeux indésirables ;
  • intégrité : conserver des informations en bon état, et éviter qu’elles ne soient modifiées sans qu’on s’en rende compte ;
  • accessibilité : faire en sorte que des informations restent accessibles aux personnes qui en ont besoin.

Il s’agit donc de définir, pour chaque ensemble d’informations à protéger, les besoins de confidentialité, d’intégrité et d’accessibilité. Sachant que ces besoins entrent généralement en conflit, on réalise dès maintenant qu’il faudra, par la suite, poser des priorités et trouver des compromis entre eux : en matière de sécurité informatique, il est difficile de ménager la chèvre et le choux...

Contre qui veut-on se protéger ?

Rapidement, se pose la question des capacités des personnes qui en auraient après ce que l’on veut protéger. Et là, ça se corse, déjà parce qu’il n’est pas facile de savoir ce que les plus qualifiées d'entre elles peuvent réellement faire, de quels moyens et de quels budgets elles bénéficient. En suivant l’actualité, et par divers autres biais, on peut se rendre compte que cela varie beaucoup selon à qui on a affaire. Entre le gendarme du coin et la National Security Agency américaine, il y a tout un fossé sur les possibilités d’actions, de moyens et de techniques employées.

Par exemple, le chiffrement est un des moyens les plus adaptés pour éviter qu’une personne qui allumerait, déroberait ou saisirait judiciairement un ordinateur accède à toutes les données qui y résident. Mais les lois en vigueur en France ont prévu le coup : dans le cadre d’une enquête, toute personne doit donner la clé de chiffrement afin de permettre aux enquêteurs d’avoir accès aux données, sans quoi elle risque des peines assez lourdes. Cette loi permet à des enquêteurs ayant peu de moyens techniques d’agir contre ce type de protection, même si en réalité, nous ne connaissons aucun cas où cette loi a été appliquée. En parallèle, des organismes disposent de plus de moyens, tels la NSA ou la DGSE2, et rien n’est sûr concernant leurs possibilités. Quelle avance ont-ils dans le domaine du cassage de cryptographie ? Sont-ils au courant de failles dans certaines méthodes, qu’ils n’auraient pas dévoilées, et qui leur permettraient de lire les données ? Sur ces sujets, il n’y a évidemment aucun moyen d’avoir la certitude de ce que ces entités peuvent faire, mais en même temps leur champ d’intervention est limité, et il y a peu de cas dans lesquels on risque d’être confronté à elles.

Un facteur important est aussi à prendre en compte : le coût. En effet, plus les moyens mis en place sont importants, plus les technologies utilisées sont complexes, et plus leur coût est élevé ; ça signifie qu’ils ne seront utilisés que dans des cas précis et tout aussi importants aux yeux des personnes concernées. Par exemple, il y a peu de chances de voir un ordinateur soumis à d’intenses tests dans de coûteuses expertises pour une affaire de vol à l’étalage.

Dès lors, avant même de chercher une solution, la question est de savoir qui pourrait tenter d’accéder à nos informations sensibles, afin de discerner s’il est nécessaire de chercher des solutions compliquées ou pas. Sécuriser complètement un ordinateur est de toutes façons de l’ordre de l’impossible, et dans cette histoire, il s’agit plutôt de mettre des bâtons dans les roues de celles et ceux qui pourraient en avoir après ce que l’on veut protéger. Plus l’on pense grands les moyens de ces personnes, plus les bâtons doivent être nombreux et solides.

Évaluer les risques, c’est donc avant tout se poser la question de quelles sont les données que l’on veut protéger, et de qui elles peuvent intéresser. À partir de là, on peut avoir une vision de quels moyens sont à leur disposition (ou en tout cas, dans la mesure du possible, essayer de se renseigner) et en conséquence, définir une politique de sécurité adaptée.