Vous le savez peut-être, le logiciel de communications chiffrées, Signal, utilise un protocole (anciennement TextSecure) basé sur une cryptographie à courbe elliptique Curve25519, HMAC-SHA256 et AES-256. C’est censé être bien sécurisé mais est-ce vraiment suffisant pour protéger un lanceur d’alerte face aux capacités de surveillance moderne ? Et bien probablement pas si votre “adversaire” dispose de ressources gouvernementales.
Donc si vous faites partie de ces techniciens, ingénieurs ou passionnés qui veulent comprendre les mécanismes réels de sécurité, et pas juste suivre des conseils simplistes, je vous propose qu’on plonge ensemble dans l’art subtil de la communication sécurisée.
Dans un article récent pour Nieman Lab, Laura Hazard Owen explore en détail comment les lanceurs d’alerte peuvent communiquer de façon sécurisée avec les journalistes. Son analyse arrive à point nommé, alors que la seconde administration Trump met Washington sens dessus dessous et que de nombreux employés fédéraux se retrouvent licenciés ou mis en disponibilité. Dans ce contexte, les médias renforcent naturellement leurs protocoles afin de protéger leurs sources.
Signal s’impose donc aujourd’hui comme l’option privilégiée pour les communications sensibles car contrairement à WhatsApp (qui appartient à Meta), il ne conserve que votre numéro de téléphone, votre date d’inscription et votre dernière connexion. Aucune métadonnée de communication n’est enregistrée et l’application permet également l’autodestruction des messages, qui disparaissent des téléphones de l’expéditeur et du destinataire après un délai défini en amont. Mais bien sûr, aucune méthode actuellement disponible pour les particuliers n’est totalement sécurisée…
Alors avant même de réfléchir à l’outil qu’il faudrait utiliser pour faire le lanceur d’alerte, parlons des erreurs de débutant qui pourraient vous faire repérer en moins de 24 heures.
Tout d’abord, une première règle absolue : n’utilisez JAMAIS votre matériel professionnel ou votre réseau d’entreprise. Les sociétés modernes utilisent des logiciels comme Teramind ou ActivTrak qui enregistrent littéralement chaque clic. Même en navigation privée, les logs réseau vous trahiront. Les pare-feu nouvelle génération analysent le trafic en profondeur, et les VPN d’entreprise créent une fausse sensation de sécurité donc gardez à l’esprit que l’envoi de documents depuis des ordinateurs professionnels, via des adresses email professionnelles ou sur des réseaux Wi-Fi d’entreprise peut créer des risques supplémentaires.
Les documents que vous souhaitez transmettre sont également de véritables mines d’informations pour ceux qui veulent vous identifier. Les fichiers Word contiennent l’identifiant unique de votre ordinateur, les PDF conservent l’historique des modifications, et même les captures d’écran peuvent inclure des informations d’identification. N’oublions pas l’affaire Reality Winner, une ancienne contractuelle de la NSA arrêtée après avoir imprimé des documents qui contenaient des “microdots” invisibles identifiant l’imprimante utilisée. Donc si vous devez absolument utiliser une imprimante, sachez que pratiquement toutes les imprimantes modernes ajoutent ces points jaunes microscopiques encodant le numéro de série et la date/heure d’impression.
Une autre technique redoutable utilisée par les organisations pour piéger leurs employés, c’est le “canary trap” (piège à canari). Il s’agit de créer des versions légèrement différentes d’un même document, distribuées à différentes personnes, pour identifier la source en cas de fuite.
Alors comment procéder concrètement ?
Et bien d’après les experts interrogés par Owen, voici un protocole robuste pour minimiser les risques. Tout d’abord, commencez par acheter un téléphone prépayé en espèces, loin de votre domicile et de votre lieu de travail. Utilisez également une carte SIM prépayée achetée séparément et n’activez jamais ce téléphone à proximité de votre téléphone personnel pour éviter la triangulation cellulaire. Ensuite, installez uniquement Signal et configurez-le avec un nom d’utilisateur pour masquer votre numéro. Et pensez à activer systématiquement les messages éphémères.
Ensuite pour trouver le journaliste à qui vous allez envoyer vos infos, utilisez un ordinateur public, comme dans une bibliothèque et vérifiez l’historique du journaliste en matière de protection des sources pour savoir s’il est solide. Des grands médias comme The Guardian ou le New York Times ont des pages dédiées aux communications sécurisées. Ensuite, pour le premier contact, déplacez-vous dans un lieu public avec un réseau Wi-Fi public et anonyme, loin de votre domicile et de votre lieu de travail. Vous pourrez alors envoyer un message plutôt bref du type : “J’ai des informations sur [indiquez un sujet volontairement vague]. Pouvons-nous établir un protocole sécurisé ?” Et surtout, n’incluez aucun détail qui pourrait permettre de vous identifier dans ce premier message.
Amanda Becker, correspondante à Washington pour The 19th, précise qu’un journaliste aura toujours besoin de confirmer votre identité, même si vous souhaitez rester anonyme dans l’article car une information provenant de quelqu’un dont le journaliste ne peux pas confirmer l’identité n’est pas vraiment exploitable dans la plupart des cas. Proposez alors une méthode de vérification indirecte qui ne laisse pas de traces numériques, et établissez clairement les termes : anonymat complet, “source au sein de l’organisation”, etc.
Pour le transfert des documents, utilisez ensuite exclusivement la caméra intégrée de Signal, qui ne sauvegarde pas les photos dans votre galerie. Photographiez les documents sous un angle qui ne révèle pas votre emplacement. Malheureusement, pour les fichiers volumineux (>100MB), Signal n’est pas adapté et Owen recommande OnionShare. Son conseil c’est que vous demandiez au journaliste de recréer les documents plutôt que d’utiliser directement vos captures, afin d’éliminer toute trace numérique qui pourrait vous identifier. Donc faire des captures écran de vos captures écran, ou simplement de réécrire le document dans un Word tout frais tout neuf…
Après on pourrait se dire qu’utiliser Signal, Telegram, WhatsApp ou toute autre ‘app’ est insensé, et que c’est une honte que GPG/PGP ait été oublié car oui, une alternative plus techniques comme GPG, créé par Phil Zimmerman en 1991, offre un système de chiffrement à clés publiques/privées permettant des communications asynchrones très sécurisées. Mais le problème c’est sa complexité d’utilisation qui a malheureusement conduit à son abandon progressif, même par les utilisateurs avertis.
Maintenant pour les situations vraiment sensibles, il est possible d’aller au-delà des solutions numériques en utilisant des techniques à l’ancienne comme des points de rencontre prédéterminés dans des lieux publics, une communication via des notes physiques ou des clés USB, et pourquoi pas des signaux visuels pour indiquer la sécurité d’un lieu, comme ça, aucune trace numérique.
Et après la transmission de vos informations, surtout, maintenez vos habitudes. Soyez normal, ne consultez pas obsessionnellement l’article publié par le journaliste et n’en parlez à personne, même à vos proches. Désactivez aussi définitivement le téléphone utilisé, détruisez physiquement la carte SIM, et ne réutilisez jamais le même appareil ou le même numéro.
Un bon conseil à donner à un potentiel lanceur d’alerte est de considérer les avantages publics autant que les risques liés à la divulgation d’informations car votre fuite d’infos peut alors encourager d’autres personnes à se manifester…
Bref, que vous choisissiez Signal, SecureDrop ou une approche plus old school, n’oubliez jamais la règle d’or : Aucun système n’est infaillible ! L’erreur humaine reste le maillon faible de toute chaîne de sécurité alors avant de vous lancer dans l’aventure risquée du whistleblowing, posez vous les bonnes questions.
A savoir : Cette information mérite-t-elle vraiment d’être divulguée ? Les risques personnels sont-ils proportionnels à l’impact potentiel ? Et si la réponse est oui, alors suivez scrupuleusement les protocoles que je viens de détailler.
Source | Article original : Laura Hazard Owen pour Nieman Lab
Source link
Subscribe to our email newsletter to get the latest posts delivered right to your email.
Comments