Le Wiki OPSEC (Un guide pour la sécurité personnelle en ligne)

Cette traduction a été générée automatiquement et n’a pas encore fait l’objet d’une relecture humaine. Vous parlez cette langue ? Relisez-la.

Auteur : Jacob Mehnert

La sécurité des opérations (OPSEC) est un processus qui identifie les informations critiques pour déterminer si des adversaires peuvent observer les actions menées, évaluer si les informations obtenues par ces adversaires pourraient leur être utiles, puis exécuter des mesures sélectionnées pour éliminer ou réduire l'exploitation des informations critiques.

Bien que l'armée américaine ait inventé ce terme pendant la guerre du Vietnam, l'expression a depuis été adoptée par les experts en cybersécurité pour décrire les concepts axés sur la protection des systèmes numériques, des réseaux, des appareils et des données contre les cybermenaces et sur le maintien de la sécurité numérique.

Prétendre que le droit à la confidentialité ne vous intéresse pas parce que vous n'avez rien à cacher, ce n'est pas différent de dire que la liberté d'expression ne vous intéresse pas parce que vous n'avez rien à dire.

- Edward Snowden

L'un des sophismes les plus courants concernant la confidentialité en ligne est la conviction que vous n'avez pas à vous en soucier si vous n'avez rien à cacher. S'il est vrai que vous n'avez peut-être rien à cacher, laisser les entreprises collecter vos données a des conséquences réelles.

Le 25 novembre 2022, Randal Quran Reid a été arrêté pour deux chefs d'accusation de vol et de vol de carte de crédit à Baton Rouge et dans la paroisse de Jefferson. Cependant, un fait crucial avait été ignoré lors de l'arrestation de Reid : il n'était jamais allé en Louisiane.

Ce qui s'est passé, c'est qu'un logiciel de reconnaissance faciale appelé Clearview AI a été utilisé par la police ; il a faussement signalé Reid après avoir comparé son visage et déterminé qu'il correspondait à celui d'un suspect enregistré par une caméra de surveillance. Il a également été découvert que Clearview AI possédait une vaste base de données de visages collectés à partir de photos téléchargées sur des sites comme Facebook et LinkedIn.

Bien qu'il n'ait jamais été en Louisiane, Reid a été maintenu en garde à vue pendant une semaine et a dû payer plusieurs milliers de dollars de frais juridiques pour être libéré. Le cas de Reid n'est pas un incident isolé où le même logiciel a faussement signalé quelqu'un. Au moins quatre autres cas d'erreur sur la personne ont eu lieu, et ce ne sont que les cas qui ont été largement portés à la connaissance du public. De nombreuses personnes n'ont pas l'argent ou les ressources adéquates pour contester ces accusations, donc leurs noms et leurs histoires ne seront jamais largement connus.

Jusqu'en juillet 2017, chaque employé d'Amazon Ring pouvait accéder aux vidéos de n'importe quel utilisateur de Ring, même lorsque ce n'était pas nécessaire pour son travail. Ces vidéos étaient non seulement librement accessibles aux employés d'Amazon, mais un sous-traitant tiers en Ukraine avait également accès à ces vidéos et la liberté de les télécharger et de les stocker jusqu'en juillet 2017.

Il va sans dire que les employés d'Amazon ont abusé de cet accès. La FTC a rapporté qu'un employé de Ring avait visionné des milliers de vidéos provenant d'au moins 81 utilisatrices. L'employé aurait cherché des flux de caméras suggérant qu'elles pouvaient être utilisées dans les endroits les plus privés, tels que la "chambre principale", la "salle de bain principale", et une caméra nommée "Spy Cam", et l'on pense que l'employé regardait ces vidéos pendant au moins une heure par jour. À la suite de cet incident, Amazon a été signalée à la FTC, ce qui a contraint l'entreprise à payer un règlement de 5,8 millions de dollars.

De même, en avril 2023, il a été découvert que Tesla pouvait accéder aux caméras des voitures de ses clients. Il a également été constaté que les employés de Tesla partageaient entre eux des vidéos et des images recueillies par ces caméras. Un ancien employé de Tesla a même décrit que même si la voiture était éteinte, les caméras continuaient d'enregistrer des vidéos et la voiture signalait même sa localisation.

L'ancien employé a décrit comment les voitures capturaient les clients en train de faire leur lessive ou d'autres activités dans leur domicile.

L'un des moyens les plus courants par lesquels les entreprises optimisent leurs ventes est la publicité ciblée basée sur les données de navigation recueillies auprès des utilisateurs. En 2020, il a été découvert qu'Orbitz, une agence de voyage en ligne et un moteur de recherche de voyages populaire, affichait des prix plus élevés pour les chambres d'hôtel aux utilisateurs de Mac qu'à ceux qui utilisaient un PC sous Windows. Orbitz a admis plus tard utiliser ce trait d'utilisateur pour proposer des chambres plus chères aux utilisateurs de Mac, avant de supprimer cette "fonctionnalité".

En plus de la machine spécifique que vous pourriez utiliser, les annonceurs peuvent également collecter davantage de données personnelles sur le site web que vous parcourez. En 2021, l'entreprise Signal a été bannie de Facebook et d'Instagram pour avoir lancé ce qui a été considéré comme la campagne publicitaire la plus honnête jamais réalisée. Le cœur de la campagne était d'exposer Instagram et sa société mère, Facebook, à leur capacité à collecter des données auprès des utilisateurs en ciblant ces mêmes utilisateurs à l'aide des outils de technologie publicitaire d'Instagram.

Certaines des données utilisées allaient d'informations de base, telles que l'âge et la localisation de l'utilisateur, à des points plus détaillés et granulaires, comme le fait de savoir s'ils recherchaient une nouvelle maison, s'ils étaient célibataires ou s'ils consommaient beaucoup de boissons énergisantes.

Même si l'entreprise qui collecte vos données n'a aucune arrière-pensée en les utilisant, cela ne signifie pas que ces données ne seront pas la cible d'autres personnes ayant des intentions malveillantes. En novembre 2022, l'entreprise australienne Medibank a vu des données clients liées à des demandes de traitement de santé mentale divulguées sur le Dark Web par des pirates russes.

Tout au long de la semaine du 6 novembre 2022, le groupe de pirates a diffusé au compte-gouttes des fichiers contenant les informations personnelles de divers assurés. Au cours de la semaine, les données de centaines de patients ont été exposées au grand public, avec pour intention principale de forcer Medibank à payer une rançon pour faire cesser la fuite de données.

Même si Medibank avait les meilleures intentions concernant la conservation des données des patients, et même si Medibank n'a pas utilisé intentionnellement ces données à des fins détournées, les données ont tout de même été ciblées par des pirates et exposées au public.

Comment protéger vos données

Heureusement, en changeant quelques habitudes et en utilisant la technologie appropriée, vous pouvez protéger vos données et améliorer votre confidentialité et votre anonymat. Il est important de noter que certaines de ces étapes compliqueront légèrement vos habitudes de navigation, car l'internet moderne n'a pas été conçu pour être privé. Bien que ce Wiki vous aide à comprendre les ressources dont vous avez besoin pour conserver votre anonymat en ligne, vous devrez faire une croix sur la facilité.

La création d'un modèle de menace est la base pour améliorer votre confidentialité en ligne. C'est la première étape pour sécuriser vos données. Identifiez ce que vous souhaitez protéger, comprenez les menaces et les risques potentiels, fixez vos objectifs de sécurité et identifiez les vulnérabilités dans vos activités en ligne. Adapté à votre situation, un modèle de menace vous permet de protéger vos actifs numériques de manière proactive. Apprenez à créer un modèle de menace avec notre tutoriel.

De nombreuses personnes regroupent leurs comptes et services sous un seul fournisseur de messagerie non axé sur la confidentialité, comme Gmail. Cela conduit souvent à réutiliser les mêmes mots de passe pour différents comptes, liant ainsi une vaste quantité d'informations personnelles à cet e-mail. Cette pratique devient problématique si une violation de données expose les mots de passe et les e-mails, rendant tous les comptes associés à cet e-mail vulnérables au piratage. Un e-mail compromis signifie des services liés compromis.

La solution consiste à décentraliser les comptes en utilisant plusieurs adresses e-mail avec un seul système de gestion de mots de passe. Optez pour un gestionnaire de mots de passe qui n'est pas basé sur le web et qui évite l'enregistrement en ligne ou la synchronisation dans le cloud pour préserver l'anonymat. Les meilleures recommandations sont KeePassXC ou GNU Pass.

Choisir votre service de messagerie

L'un des points les plus importants à prendre en compte lors de la protection de vos données est le service de messagerie que vous souhaitez utiliser. Il s'agira généralement soit d'adresses e-mail permanentes, soit d'adresses e-mail temporaires jetables. Quel que soit votre choix, vous devrez vous inscrire via le réseau TOR, car vous pouvez demander une nouvelle identité pour naviguer.

Les adresses e-mail permanentes sont destinées à tous les services de messagerie que vous prévoyez d'utiliser dans un avenir prévisible, pour la correspondance ou les alertes de comptes associés à cet e-mail. Trois bons services vivement recommandés pour une adresse e-mail permanente sont Tutanota, Mailfence et Proton Mail.

Les adresses e-mail temporaires sont celles que vous prévoyez de n'utiliser que pendant une courte période. Un exemple serait de bénéficier d'un coupon ou d'une offre en ligne. Pour les adresses e-mail temporaires, utilisez Guerrilla Mail, TempmailO.com ou TempMail.org.

Les navigateurs web servent d'outils de collecte de données massifs pour les entreprises. Les choix optimaux pour la confidentialité sont GNU IceCat et Firefox en raison de leurs configurations de sécurité robustes dès l'installation.

GNU IceCat offre la configuration la plus sécurisée dès le départ. Cependant, il y a un compromis : il ne prend pas en charge JavaScript, ce qui le rend inadapté aux services basés sur JavaScript comme YouTube.
Firefox est plus convivial et tout aussi sécurisé, mais nécessite quelques ajustements pour une meilleure confidentialité. Configurez-le pour supprimer les cookies à la fermeture du navigateur et désactivez le remplissage automatique pour les données de carte de crédit et d'adresse.

En revanche, les navigateurs comme Google Chrome sont à éviter. Chrome privilégie le suivi des données à des fins lucratives et manque souvent de confidentialité par défaut.

Lors de la sécurisation de votre confidentialité en ligne, votre choix de moteur de recherche a un poids significatif. Plutôt que des moteurs de recherche conventionnels qui compromettent la confidentialité, nous suggérons d'explorer des alternatives. DuckDuckGo, StartPage et SearX sont des options notables.

DuckDuckGo possède des politiques de confidentialité strictes qui évitent le suivi ou le stockage de données personnelles.
StartPage fusionne les résultats de Google avec des garanties de confidentialité accrues.
SearX, un moteur de méta-recherche open source, permet de gérer une instance personnelle, accordant un contrôle total sur les requêtes de recherche et les données.

Ces alternatives privilégient votre confidentialité, préservant la confidentialité de vos activités de recherche en ligne.

Service de messagerie instantanée

Lors de la sélection d'un service de messagerie instantanée, privilégiez ceux qui utilisent le chiffrement de bout en bout. Évitez les plateformes sans chiffrement, comme les SMS, qui sont susceptibles d'être interceptés par les fournisseurs de téléphonie ou des pirates. Un choix robuste avec chiffrement est Signal. Il propose une messagerie instantanée chiffrée ainsi que des appels téléphoniques et vidéo sécurisés. Cependant, la centralisation de Signal présente des risques potentiels comme des portes dérobées ou des changements de propriétaire indifférents à la confidentialité. Les alternatives incluent des services fédérés comme Element ou des options pair-à-pair comme Briar et Jami, offrant diverses approches pour protéger votre confidentialité.

À une époque où la protection de la confidentialité et de la sécurité en ligne est primordiale, l'intégration d'un réseau privé virtuel (VPN) devient une étape cruciale pour protéger votre présence numérique. Un VPN établit un conduit sécurisé et chiffré entre votre appareil et l'internet, garantissant que vos engagements en ligne restent confidentiels et imperméables aux regards indiscrets, y compris ceux des pirates, des fournisseurs d'accès internet et de la surveillance gouvernementale. Avec un VPN, vous pouvez explorer le web incognito, accéder à du contenu limité par des frontières géographiques et renforcer votre utilisation des données sur les réseaux Wi-Fi publics. Que vos préoccupations tournent autour de la confidentialité en ligne ou que vous aspiriez à renforcer votre cybersécurité, un VPN devient un outil indispensable, vous conférant un meilleur contrôle sur vos traces numériques et une tranquillité d'esprit dans notre monde interconnecté. Découvrez comment créer votre propre VPN via ce Wiki complet.

Anna Brading. "Les caméras Ring d'Amazon ont été utilisées pour espionner les clients." Malwarebytes, 1er juin 2023, www.malwarebytes.com/blog/news/2023/06/a....
Hill, Kashmir, et Ryan Mac. "'Des milliers de dollars pour quelque chose que je n'ai pas fait.'" The New York Times, 31 mars 2023, www.nytimes.com/2023/03/31/technology/fa....
Hill, Kashmir. "Une autre arrestation, et du temps en prison, à cause d'une mauvaise correspondance de reconnaissance faciale." The New York Times, 29 décembre 2020, www.nytimes.com/2020/12/29/technology/fa....
Hunter, Meghan. "Fait ou fiction : les compagnies aériennes augmentent-elles le prix de votre billet en fonction de votre historique de navigation ?" Million Mile Secrets, 9 avril 2021, millionmilesecrets.com/guides/are-airlin....
"Les données de santé mentale de Medibank publiées sur le Dark Web alors que des pirates russes jurent de 'tenir parole'." The Guardian, 13 novembre 2022, www.theguardian.com/australia-news/2022/....
Stecklow, Steve, et al. "Rapport spécial : les employés de Tesla ont partagé des images sensibles enregistrées par les voitures des clients." Reuters, 6 avril 2023, www.reuters.com/technology/tesla-workers....
Wodinsky, Shoshana. "Signal tente de lancer la campagne publicitaire Facebook la plus honnête jamais vue, et se fait immédiatement bannir." Gizmodo, 4 mai 2021, gizmodo.com/signal-tried-to-run-the-most....