Guide d'autodéfense numérique

Mettons qu’un nouveau projet nécessitant l’utilisation de Windows débute ; voici la marche à suivre :

  1. on restaure l'instantané de la machine virtuelle contenant l'installation de Windows propre ;
  2. la machine virtuelle peut maintenant être démarrée dans son compartiment étanche ; elle servira exclusivement pour le nouveau projet, et devient désormais une machine virtuelle sale ;
  3. au sein de cette nouvelle machine virtuelle sale, un nouvel utilisateur Windows est créé ; le nom qui lui est attribué doit être différent à chaque fois qu’un nouveau projet est ainsi démarré, et cet utilisateur servira exclusivement pour ce nouveau projet. Ceci, parce que les logiciels tendent à inscrire le nom de l’utilisateur actif dans les méta-données des fichiers qu’ils enregistrent, et qu’il vaut mieux éviter de rendre possibles de fâcheux recoupements.

La recette restaurer l'état d'une machine virtuelle à partir d'un instantané explique les détails techniques de la première étape. En ce qui concerne la création d'un nouvel utilisateur sur la version de Windows utilisée, la personne lisant ces page est une fois encore certainement à même de la trouver du côté du Panneau de configuration.

Maintenant que nous avons un compartiment étanche, voyons comment y ouvrir des portes sélectivement, en fonction des besoins.

Comment envoyer des fichiers au Windows embastillé ?

Vu que le Windows invité n’a pas le droit de sortir de sa boîte pour aller chercher lui-même des fichiers, il peut être nécessaire de lui en faire parvenir depuis « l’extérieur », par exemple :

  • de la matière première (rushes, images ou textes provenant d’autres sources) ;
  • un logiciel nécessaire au nouveau projet, et absent de l’image virtuelle décongelée.

Nous avons déjà vu comment procéder, mais c’était dans un cas très particulier : l’installation de nouveaux logiciels dans un Windows « propre » invité. Partager des fichiers avec un Windows « sale » requiert davantage de réflexion et de précautions, que nous allons maintenant étudier.

La façon de faire est légèrement différente, en fonction du support sur lequel se trouvent, à l’origine, les fichiers à importer (CD, DVD, clé USB, dossier présent sur le disque dur du système chiffré), mais les précautions d’usage sont les mêmes :

  • Windows doit uniquement avoir accès aux fichiers qu’on veut y importer, et c’est tout. Il n’est pas question de lui donner accès à un dossier qui contient, pêle-mêle, des fichiers concernant des projets qui ne devraient pas être recoupés entre eux. Si ça implique de commencer par une phase de tri et de rangement, eh bien, soit.
  • Lorsque Windows a besoin de lire (recopier) les fichiers contenus dans un dossier, on lui donne uniquement accès en lecture à ce dossier. Moins on donne le droit à Windows d’écrire ici ou là, moins il laissera de traces gênantes.

Afin d’éviter de se mélanger les pinceaux, nous recommandons de :

  • créer un dossier d’importation par projet ;
  • nommer ce dossier de façon aussi explicite que possible ; par exemple : Dossier lisible par Windows ;
  • ne jamais partager d’autres dossiers que celui-ci avec le Windows invité.

La recette « envoyer des fichiers au système virtualisé » explique comment procéder pratiquement.

Comment faire sortir des fichiers du Windows embastillé ?

Le Windows invité n’a pas le droit, par défaut, de laisser des traces en dehors de son compartiment étanche. Mais presque inévitablement vient le temps où il est nécessaire d’en faire sortir des fichiers, et à ce moment-là, il nous faut l’autoriser explicitement, par exemple :

  • pour emmener à la boîte-à-copies, ou chez l’imprimeur, un fichier PDF exporté ;
  • pour projeter, sous forme de DVD, le film fraîchement réalisé.

Pour cela, on va les exporter vers un dossier vide, dédié à cet usage, et stocké sur un volume chiffré qui peut être :

  • une clé USB chiffrée, qu’on active sous Debian en tapant la phrase de passe correspondante ;
  • le disque dur de la Debian chiffrée qui fait ici office de système hôte.

Ce dossier dédié sera partagé avec le Windows invité. Insistons sur les mots vide et dédié : Windows pourra lire et modifier tout ce que ce dossier contient, et il serait dommageable de lui permettre de lire des fichiers, quand on a seulement besoin d’exporter un fichier.

Si l'on a besoin de graver un DVD, ou pourra ensuite le faire à partir de Debian.

Afin d’éviter de se mélanger les pinceaux et de limiter la contagion, nous recommandons de :

  • créer un dossier d’exportation par projet ;
  • nommer ce dossier de façon aussi explicite que possible ; par exemple : Dossier où Windows peut écrire ;
  • ne jamais partager d’autres dossiers que celui-ci avec le Windows invité, mis à part le dossier d’importation que le paragraphe précédent préconise.

Les recettes « partager un dossier avec un système virtualisé » et « chiffrer une clé USB » expliquent comment procéder pratiquement.