Reprendre en main sa vie numérique : le mode d’emploi

Vie privée, sécurité, liberté : Impact(s) vous propose un mode d’emploi pour reprendre en main sa vie numérique. L’ensemble des astuces et des comportements suivants sont préconisés par l’association Nothing 2 hide, qui forme des journalistes à la sécurité numérique et à la protection de leurs informations. Les logiciels mentionnés sont des exemples parmi d’autres. Cette boîte à outils s’adresse par ailleurs au grand public, dans un environnement numérique classique.

Sécurité

Mises à jour

Avant de parler d’outils spécifiques, Le premier comportement d’hygiène numérique à adopter est de constamment mettre à jour son système d’exploitation et ses logiciels. Ces mises à jour permettent la plupart du temps de réparer des failles qui ont pu être détectées.

Antivirus

La deuxième chose à avoir est un antivirus. Chez Microsoft, l’antivirus par défaut, Windows Defender convient très bien. Autrement, il existe beaucoup de logiciels freemium (logiciel avec une version gratuite et une version premium payante) très performants. Des logiciels comme ClamXav pour Mac, Norton ou Avast se valent à peu près tous.

Pare-feu

Un pare-feu (ou firewall) est un logiciel qui filtre les connexions entrantes. Car c’est notamment par des ports mal protégés que les logiciels malveillants s’introduisent. Les pare-feux de Mac et Windows fonctionnent très bien.

Mots de passe

Avoir des mots de passe solides est indispensable pour protéger ses comptes et données d’internautes malveillants. Lorsqu’elle est proposée, la double authentification (aussi appelée authentification à deux facteurs, elle consiste à demander à l’utilisateur de confirmer son identité en validant ou en entrant un code reçu sur un autre périphérique) est fortement recommandée.

Le principal facteur de solidité d’un mot de passe est sa longueur. Pour retenir plusieurs mots de passe différents, il est recommandé de faire des « phrases de passe ». Par exemple, dans la phrase « J’ai mangé une pomme à 10h30 », il y a beaucoup de caractères, une majuscule, des chiffres et des caractères spéciaux.

Pour ne pas avoir de mal à les retenir, il est conseillé d’avoir 4 ou 5 phrases différentes pour les services les plus importants (boîtes mail principales, banque, réseaux sociaux, etc.) Ce qui est primordial est de bien protéger les comptes clés. C’est-à-dire ceux à partir desquels nous accédons à d’autres services et desquels nous pouvons changer de mots de passe. C’est notamment le cas de nos boîtes mail et notre compte Google ou Facebook par exemple.

Contrairement aux idées reçues, une fois qu’un mot de passe solide est configuré, inutile de le modifier régulièrement. La seule raison qui doit nous pousser à changer un mot de passe est une suspicion d’intrusion, une alerte d’une connexion suspecte, ou alors si nos données font partie d’une fuite de données. Pour cela, le site Have I been Pwned recense toutes les fuites et vous permet de savoir si vos données son compromises en saisissant votre adresse mail. Si c’est le cas, il faut modifier votre mot de passe.

Si vous n’avez pas confiance en votre mémoire, vous pouvez opter pour un gestionnaire de mots de passe. Ce sont des programmes qui vont stocker et chiffrer vos mots de passe sur un serveur. Vous n’aurez alors qu’un mot de passe maître à retenir.

Il est déconseillé d’utiliser le gestionnaire de mots de passe interne à votre navigateur. Ce dernier ayant accès à toute votre navigation, il est préférable de ne pas lui confier ces données sensibles et d’utiliser un service tiers.

Dashlane est un bon service open source, accessible au grand public, et dont la version gratuite peut suffire. Pour les plus aguerris, le logiciel KeePass permet de stocker les mots de passe sur un serveur local, et non en ligne.

Sur mobile

Concernant les smartphones, le déverrouillage par empreinte digitale est une bonne solution, même si un mot de passe solide reste préférable. La reconnaissance faciale est moins recommandable car il est plus facile de tromper l’appareil. Le réputé Face ID d’Apple a par exemple déjà été piraté. Le déverrouillage par schéma est également à éviter car trop visible grâce aux traces de doigts sur l’écran.

Lire une adresse web

Même s’il est important d’avoir un mot de passe solide, la plupart des piratages de compte sont fait par le biais d’attaques de type « phishing » (hameçonnage : un procédé d’usurpation d’identité dans le but de récupérer des données personnes telles que des identifiants, coordonnées bancaires ou documents personnels). Concrètement, il s’agit par exemple un faux mail qui a l’apparence d’un mail légitime de Google ou de votre banque, et qui vous demande de changer votre mot de passe.

Il est alors indispensable de savoir lire une url et de s’assurer que le lien sur lequel vous cliquez n’est pas un hameçonnage. Normalement, un service bien fait ne vous demandera pas d’entrer votre ancien mot de passe, mais il vous enverra un lien pour le réinitialiser. L’un des réflexes à avoir est de lire une url de droite à gauche, afin de vérifier le nom du domaine. Ainsi, « www.facebook.secure.com » n’appartient pas au nom de domaine « facebook.com », mais au nom de domaine « facebook.secure.com ». Il ne faut donc pas cliquer dessus.

Chiffrement des données

Chiffrer vos données est indispensable pour qu’elles soient protégées en cas de vol de votre ordinateur/téléphone. Le mot de passe de votre session est insuffisant car il suffit alors de brancher le disque dur sur une autre machine pour accéder à vos données. Mais là encore, une clé de chiffrement solide est indispensable. Mac possède son propre outil de chiffrement baptisé FiveVault, qui est très simple à utiliser. Sur Linux, Ubuntu propose également un outil. Par contre, la version familiale de Windows ne propose aucun outil de chiffrement. Leur outil BitLocker est seulement accessible dans les éditions Professionnelle et Enterprise de Windows. Même s’il est moins accessible au grand public, le logiciel open source Veracrypt est donc une solution très complète. Concernant les smartphones, Apple chiffrent leurs appareils depuis un certain temps déjà. Aujourd’hui, presque tous les smartphones récents sont chiffrés par défaut.

Paiement en ligne

D’une manière générale, il ne faut effectuer des achats en ligne que sur des sites fiables et suffisamment connus. Normalement, il n’y a pas de risque à enregistrer ses coordonnées bancaires sur les sites sécurisés, même s’il est plus prudent de les retaper à chaque achat.

Vie privée et exploitation des données

Il est davantage ici question de vie privée et d’exploitation des données à des fins publicitaires, que de sécurité. Cette question concerne la majorité des services qu’utilise le grand public (Google, Facebook, Twitter, WhatsApp…). Par ailleurs, cette traçabilité n’est pas seulement opérée par nos comptes mais par ce que l’on appelle des marqueurs techniques, qui laissent une empreinte numérique. Il s’agit notamment de notre navigateur, notre adresse IP… Soit des éléments sur lesquels le grand public n’a pas de contrôle.

Si vous avez la volonté d’être maître de votre empreinte numérique, il y a plusieurs solutions, plus ou moins radicales, permettant de faire en sorte que les services que vous utilisez en ligne ne puissent pas communiquer entre eux. Est-on pour autant obligés de se couper des services de Google ou Facebook, qui respectent moins notre vie privée mais qui sont utilisés par la majorité des personnes ? Pas forcément. Nous sommes en effet parfois obligés de les utiliser. Mais si vous désirez contrôler au maximum l’utilisation qui est faite de vos données, il est préférable d’en limiter l’usage au strict minimum, et d’encourager les autres personnes à utiliser des outils open source.

Navigateurs

Le navigateur Tor brouille les pistes de notre navigation. Ainsi, notre opérateur sait que nous sommes connectés au réseau Tor, mais il lui est impossible de savoir ce que nous y faisons.

Une solution moins radicale et plus accessible au grand public est d’utiliser le navigateur open source Mozillia Firefox, accompagné d’extensions (logiciels intégrés au navigateur) :

L’extension HTTPS everywhere permet d’assurer la sécurité de votre navigation en vérifiant le protocole de chiffrement des sites que vous visitez.

L’extension uBlock Origin permet de bloquer les publicités et la collecte des données de navigation.

L’extension Firefox Container permet de segmenter vos différents types de navigations, qu’elles soient professionnelles, sociales, pour des achats en ligne, etc. Ainsi, chaque segment a sa propre empreinte numérique, comme s’il s’agissait d’utilisateurs différents.

L’extension Facebook Container permet de limiter l’accès de Facebook à votre activité en dehors du réseau social.

Moteur de recherche

D’une manière générale, il est toujours mieux d’accéder à des sites directement, sans passer par les moteurs de recherche, notamment en utilisant les signets.

Même s’il est la bête noire de votre vie privée, Google est malgré tout le moteur de recherche le plus efficace. Il est parfois indispensable mais la plupart du temps, nous pouvons nous en passer.

Il n’y a pas de solutions miracles pour les moteurs de recherche. La plupart des moteurs dits alternatifs sont en réalité des simples vitrines qui utilisent les résultats de Google, Bing, ou d’autres géants du marché.

Duck Duck Go est néanmoins une bonne alternative. Ce moteur de recherche n’enregistre pas votre activité. Son modèle économique repose sur de la publicité contextuelle et non ciblée. C’est-à-dire qu’il va vous proposer de la publicité en fonction de votre activité instantanée, et non en traçant votre navigation.

Messagerie mail

Si l’on veut communiquer de manière vraiment sécurisée, l’application Signal sur smartphone, est la meilleure solution. Elle propose un véritable chiffrement de bout en bout.

Avoir une adresse Gmail est parfois obligatoire pour accéder aux services google. Mais il est préférable d’en limiter l’usage.

ProtonMail propose une messagerie web chiffrée. Mais attention : le chiffrement n’est pas de bout en bout avec tous les clients mail.

Le client Fastmail ne propose pas de chiffrement mais il assure ne pas monétiser le contenu des courriels de ses utilisateurs, comme c’est le cas des géants du courriel tels que Google, Yahoo et Microsoft. Il propose par ailleurs les mêmes types de services que Google, à savoir un agenda, un carnet d’adresses, etc.

VPN

Cela fait partie des outils intéressants à avoir. Il s’agit d’un réseau privé virtuel, qui vous permet de naviguer sur internet avec une autre adresse IP. Il peut servir notamment à vous connecter à un wifi public de façon sécurisée ou d’accéder à des sites bloqués dans certains pays. Le VPN ne vous rend pas anonyme pour autant.

Les VPN gratuits sont déconseillés car le service utilise vos données pour les revendre. Les VPN TunnelBear et Mullvad VPN sont de très bons outils.

Logiciels libres

Au-delà de l’aspect éthique, l’intérêt des logiciels dits open source est que leur code source est lisible par tout le monde, et peut donc être audité.

Si l’on est un peu plus avancé, il est possible de s’intéresser à Linux. Même s’il est tout à fait possible d’être en sécurité sur Mac ou Microsoft, le système d’exploitation Ubuntu, sous Linux, est très intéressant pour l’utilisation du logiciel libre. Il est gratuit, libre et sécurisé. Mais c’est en effet un certain pas à franchir pour le grand public.

Cependant, certains usages du logiciel libre sont indispensables. Par exemple, il est fortement recommandé de bannir l’application Adobe PDF reader, qui est un gros vecteur d’infection. Il est préférable d’utiliser le logiciel Sumatra sur Windows qui a une meilleure politique de mises à jour. Sur Mac, le logiciel d’origine Aperçu fonctionne très bien.

Le gouvernement français tient un catalogue où sont référencés les logiciels libres reconnus et approuvés : https://sill.etalab.gouv.fr/fr/software