Quand on parle de survie aujourd’hui, on pense régulièrement aux différentes techniques pour allumer un feu ou soigner une plaie en pleine nature…
Pourtant, ça n’est pas de cette survie que nous allons parler dans cet article.
Au 21ème siècle, il y a une autre survie à prendre en compte et qu’on oublie trop souvent : c’est la « survie en ligne », ou numérique.
Elle commence par adopter une attitude low profile (discrétion, modération, retenue… le concept de l’homme gris, qui n’attire pas l’attention, voire qui est quasi invisible) et elle nécessite également des règles de sécurité basiques dans l’usage des nouvelles technologies.
- Le postulat : Nous sommes surveillés
- Les règles de sécurités de base sur le web
- Choisir les bons mots de passe
- Comprendre et lutter contre l’IP tracking
- Avoir un VPN
- Chiffrer ses données
- Savoir effacer un disque dur
- Comprendre et éviter le Spoofing
- Comprendre et éviter un ransomware
- Protéger physiquement son téléphone
La France adopte la surveillance de masse…
Nous sommes le 29 Juin 2013 et hier soir, pendant que vous regardiez les 4 épisodes leakés de Game of Thrones, 25 députés sur 30 ont votés OUI à la loi sur la surveillance du net.
Sans trop rentrer dans le détail, tout ce que vous faites avec une connexion web/gsm est à présent contrôlé par l’État.
Notre ministre de l’intérieur, B. Cazeneuve nous a affirmé avec aplomb que « non ce n’est pas de la surveillance de masse » mais c’est jouer sur les mots.
Chacune de vos requêtes sera filtrée et si vous ne rentrez pas dans les bonnes cases alors vous serrez mis sur liste rouge.
Je pense que l’on peut donc bel et bien parler de surveillance de masse.
Bon c’est déjà pas drôle dis comme ça mais avec cette loi, Bernard Cazeneuve exclut le droit à la vie privée des libertés fondamentales que possède chaque citoyen… Et là c’est sans langue de bois…
Entre cette date de Juin 2013 et aujourd’hui, ça ne s’est malheureusement pas amélioré.
Bien au contraire, de nombreuses autres lois et dispositions gouvernementales ont renforcé cette surveillance du web et de ses usagers.
Pour être à jour sur ces notions, nous vous invitons à jeter un œil à l’excellent site de la Quadrature du Net, qui est une association de défense des droits et liberté sur Internet.
Également, jetez un œil à cette vidéo de Thinkerview :
Alors, que faire pour se protéger de cette surveillance de masse ? C’est tout le sujet de cet article.
Rappel des règles de sécurités
Ça me paraît presque absurde de répéter ces règles à notre époque, mais elles sont essentielles… basiquement essentielles, même :
- Avoir un logiciel antivirus à jour !
- Avoir un firewall
- Des mots de passe réfléchis (chiffres, majuscule, caractères spéciaux, etc.)
- Ne pas cliquer sur des pièces jointes louches
- Tenir son système, ses logiciels à jour
- Être alerte de l’actualité du net
- Ne pas télécharger ou regarder des vidéos sur des sites louches
- Avoir des sauvegardes
D’une manière générale : être intelligent, responsable, et tourner plusieurs fois ses doigts dans la bouche avant de cliquer.
Et on le répète à nouveau : sauvegarder, sauvegarder, sauvegarder vos données ! Sur plusieurs supports, non reliés entre eux, physiques et en saas (cloud).
![Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique](https://nopanic.fr/wp-content/uploads/2013/06/survie-en-ligne.jpg)
Comment choisir un mot de passe ?
Première règle à retenir : vos mots de passe ne sont JAMAIS assez forts.
Si on vous embête avec la robustesse de vos mots de passe, c’est qu’il y a une bonne raison. La grosse majorité des mots de passe ne sont pas très créatif et donc très facilement devinables.
Voici par exemple les mots de passe les plus populaires parmi 188279 personnes (et on pourrait rajouter les dates de naissance, les prénoms des enfants ou ceux des animaux de compagnie) :
![Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique](https://nopanic.fr/wp-content/uploads/2021/11/mot-de-passe.jpg)
Pas convaincu ? Et bien, calculez combien de temps faudrait-t-il à un robot pour craquer votre mot de passe avec ce simulateur ! (Si vous n’êtes pas confiant, saisissez un mot de passe bidon, le but est juste de se rendre compte des différentes catégories de force de mots de passe.)
Notre Conseil n°1 :
Apprenez à utiliser une combinaison de lettres minuscules et majuscules, de chiffres et de caractères spéciaux.
Vous n’avez pas d’imagination ; vous décidez que votre mot de passe sera le nom de votre lapin. Celui-ci s’appelle Bouby. Votre mot de passe sera :
AVANT ►
bouby(0.0002 secondes pour qu’un robot crack ce mot de passe)APRÈS ► (BoubyKiller)5 (200 millions d’années pour qu’un robot crack ce mot de passe)
Notre Conseil n°2 :
Utilisez un mot de passe unique à chaque fois !
Pour retenir des dizaines de mots de passe différents, il suffit de se définir une racine de mot de passe qui vous sera propre et de rajouter le nom de l’organisation dedans.
Darty ► MYd@rty/2
Facebook ► MYf@cebook/2
Ebay ► MYeb@y/2
Amazon ► MY@m@zon/2
Le seul inconvénient est que si on connaît votre racine, on pourrait retrouver tous vos mots de passe (mais c’est toujours mieux que d’avoir le même mot de passe pour tout !).
Définir une racine différente pour les mots de passe non importants et les mots de passe importants est conseillé.
D’autres Conseils en vrac :
- La longueur d’un bon mot de passe doit faire minimum 7 caractères
- N’utilisez pas les mots existants (dictionnaire français / étranger, nom / prénom, etc.)
- Ne communiquez jamais vos mots de passes par e-mail ou autre format traçable
![Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique](https://nopanic.fr/wp-content/uploads/2013/06/sorry.jpg)
IP tracking : Qu’est-ce que c’est ? Comment s’en prémunir ?
Le pistage d’adresse IP est une pratique courante, par exemple des vendeurs de billets en ligne (train, avion).
Il consiste en fait à mémoriser vos recherches en les associant à votre adresse IP (disponible sur vos ordinateurs, smartphones, et tout ce qui va sur Internet).
Ce qui veut dire que même si nous n’êtes pas connecté avec un identifiant, le système vous connaît (par votre adresse IP donc).
A quoi cela sert au système de savoir que je suis intéressé par un billet SNCF Paris-Lyon le 27 Août ? C’est simple : si après avoir fait la recherche sur le moteur, vous ne payez pas de suite votre place, vous aurez la surprise lors de votre prochaine venue de voir le prix de cette place augmenter… même si aucune autre place n’a été vendue ! La place aura augmenté de prix, mais rien que pour vous, pour votre adresse IP. Et plus vous allez réitérer l’opération, plus le prix augmentera, dans le but de provoquer fatalement l’achat.
Pas de chance, cette pratique est légale.
Pour se protéger de ce système, il faut donc changer d’adresse IP.
(Voici un site pour connaître son adresse IP)
Plusieurs méthodes sont possibles :
- Éteindre puis rallumer sa box ; mais cela ne fonctionnera pas pour tout le monde car certains Fournisseurs d’Accès Internet vous aurons défini une attribution d’adresse IP fixe au lieu de dynamique.
- Séparer la recherche et l’achat ; avec 2 appareils différents. Attention, le système détectera deux ordinateurs du même réseau (de la même box), c’est pourquoi il faut deux réseaux différents. Cela peut être la 3G + réseau personnel (Smartphone + PC) ou encore réseau entreprise + réseau personnel
Il existe encore d’autres solutions tels que les VPN, les proxies, TOR etc.
![Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique](https://nopanic.fr/wp-content/uploads/2013/06/no-ip-tracking.jpg)
Se balader incognito avec un VPN (Virtual Private Network)
Un VPN est un « Virtual Private Network » (en anglais) ou Réseau Privé Virtuel, en Français.
Un réseau privé virtuel (VPN) est une connexion sécurisée et chiffrée entre deux réseaux ou entre un utilisateur individuel et un réseau. Les VPN vous permettent de vous cacher lorsque vous surfez sur le Web.
Avast
Autrement dit, lorsqu’on utilise un VPN, un réseau privé virtuel est créé pour faire un tunnel, permettant de relier en réseau plusieurs sites / lieux (par exemple, plusieurs magasins “Nature et Découverte”).
Ce réseau privé n’est donc plus restreint à un lieu et peut s’étendre géographiquement.
Il existe un large panel de solutions VPN, en fonction du coût (gratuit ou payant), de la vitesse etc.
J’ai choisi SecurityKiss car il est gratuit, très simple et surtout facile à déployer.
Pas besoin de perdre son temps à remplir une fiche d’inscription (ou encore fiche d’adhésion à une communauté) ! Il suffit de télécharger le logiciel et de l’installer, ça prend une minute et c’est de suite exploitable (idéal pour des petits besoins ponctuels).
Je l’ai utilisé lors de mon séjour au Canada car je ne pouvais pas regarder en replay mon émission française qui est réservée aux français… habitant en France ! (Vérification du système que ton adresse IP publique soit française sinon la vidéo est indisponible) J’ai donc configuré pour avoir une adresse IP publique française et j’ai pu regarder mon émission.
![vpn vpn](https://nopanic.fr/wp-content/uploads/2013/06/vpn.jpg)
Chiffrer ses données
« Je n’ai rien à cacher » : cette phrase trop entendue.
On va parler ici de chiffrement de données.
Le chiffrement est une opération de cryptographie.
On chiffre (étymologiquement) les messages depuis le début du XVIIe siècle et bien même avant (l’antiquité, le moyen-âge), afin de les rendre secrets et illisibles pour ceux qui ne détiennent pas la clé de chiffrement.
Simplement, c’est un coffre avec une ou plusieurs clés.
![Machine de chiffrement ENIGMA Machine de chiffrement ENIGMA](https://nopanic.fr/wp-content/uploads/2016/03/enigma.jpg)
Pourquoi chiffrer vos sauvegardes ?
Un cambriolage. Vous oubliez votre clé USB sur un banc de la Gare du Nord. Vous avez un compte offshore au Panama, ou des photos de votre maitresse nue.
On a tous quelque chose à cacher à quelqu’un, si ce n’est déjà à la NSA.
Vous utilisez un Cloud ? Bingo ! Vous avez à cacher, votre propriété privée. Vous devez commencer par chiffrer vos sauvegardes, rien que contre une usurpation d’identité. Contre le spam, téléphonique ou juste physique.
Comment chiffrer votre dossier de sauvegarde ?
Vous avez scanné, trié et rangé vos données perso. Avant de les envoyer sur le Cloud, votre NAS, ou votre clé USB, vous devez les chiffrer.
C’est très simple : vous avez à dispo des dizaines d’outils gratuits sur Internet, dont certains très puissants.
- Pour le Cloud : Duplicati, disponible sur Windows, Mac et Linux.
Vous trouverez pas mal de tuto sur le net pour l’utiliser, bien que très simple. Celui-ci est très puissant pour programmer des sauvegardes chiffrées et prêtes à être envoyées sur le Cloud. - Pour chiffrer un volume entier (clé USB, disque dur, etc.) : Veracrypt, disponible également sur Windows, Mac et Linux. Et il existe même une localisation FR pour les anglophobes. C’est mon petit préféré puisque vous pouvez chiffrer tout d’un coup, avec un mot de passe complexe. Ou simplement chiffrer des dossiers/fichiers uniques.
Le petit plus, c’est de pouvoir créer des faux dossiers, avec des fausses infos et un autre mot de passe. Résultat, sous la contrainte, vous pouvez fournir l’accès à ses fausses données et protéger les vraies. - Pour du chiffrement de fichiers simple et rapide, il existe d’autres solutions : Axcrypt, CCrypt, MEO, etc.
![Des séries de lettres qui pourrait représenter le chiffrement. Faut plisser les yeux. Des séries de lettres qui pourrait représenter le chiffrement. Faut plisser les yeux.](https://nopanic.fr/wp-content/uploads/2016/03/OneTimePadExcerpt.agr_.jpg)
Comment choisir sa clé de chiffrement et s’en souvenir ?
Aller, un bref rappel sur la force d’un bon mot de passe.
Les règles à respecter pour un truc solide :
- Choisir soit une phrase courte : J’aime ma mère.
- Ou une phrase longue : Je m’en vais en vacance dans l’ile de ré.
- Pour la phrase courte, compresser : jaimemamere
- Pour la longue, les initiales : jmevevdlidr
Ensuite le plus simple c’est de rajouter, un chiffre, une majuscule et un caractère spécial (ou plusieurs) :
- jaimemamere < jaim3mam3r3 < Jaim3mam3r3 < Jaim3mam3r3!
- jmevevdlidr < jmevevdl1dr < Jmevevdl1drR < Jmevevdl1drR=?
Voilà, vous avez là 2 clés de chiffrement très complexes.
Ceci dit rien ne vous empêche de définir un truc complètement aléatoire du genre Zpj23à== »FGfgjizh si vous êtes capable de vous en souvenir.
Je vous conseillerais toutefois de penser à votre mère et de choisir une phrase que vous retiendrez facilement, et de définir un mot de passe de plus de 8 caractères.
Est-ce légale ?
Point rapide.
Il fut un temps (avant 1996, puis 2004), il était interdit de chiffrer des données avec une clé supérieure à 128 bits. Simplement parce que l’état français considérait que rien ne devait lui être caché, et qu’il était incapable de décrypter des clés supérieures à 128.
Rassurez-vous, tout est légal maintenant (en France du moins), sauf pour les entreprises, qui doivent déclarer le logiciel de chiffrement.
Bref lexique
- Chiffrement : C’est l’opération de rendre un document impossible à lire à celui qui n’a pas la clé de chiffrement.
- Clé : La phrase, mots ou nombre, qui permet à l’algorithme de chiffrement de chiffre ou déchiffrer votre document.
- Crypter/cryptage : Anglicismes utilisés à tort.
- Cryptographie : C’est la discipline, comme un sport, qui englobe toutes les méthodes pour transformer des données et les rendre illisibles.
- Déchiffrer/Déchiffrement : Action inverse du chiffrement. Rendre un document lisible grâce à la clé de chiffrement.
- Décrypter : réussir à « déchiffrer » sans la ou les clés nécessaires.
- Encoder : Changer la structure d’un document, pour le compresser par exemple et réduire son poids. Ne rentre pas forcément dans un processus de chiffrement.
Qu’est-ce que le « chiffrement matériel » ?
Il existe des clés USB (et des disques durs) qui proposent directement de chiffrer les données présentes.
Il y en a pour tous les prix, des simples ou d’autres à technologie militaire, ou certaines qui se formatent automatiquement après plusieurs essais ratés, etc.
![Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique](https://nopanic.fr/wp-content/uploads/2016/03/81Ypp2F2qEL._SL1500_-779x1024.jpg)
Comment effacer un disque dur ?
Vous pensez que la corbeille suffit pour effacer vos données ?
FAUX !
Il est possible de récupérer vos données, même si ils ont été supprimés dans la corbeille.
La récupération de données se fait sur des disques durs internes (dans l’ordinateur), externes ou sur des clés USB.
Imaginez que vous vendez/donnez l’un de ces espaces de stockage : comment être sûr de conserver la confidentialité de ses données ?
Voici plusieurs méthodes, dans l’ordre croissant de garantie de confidentialité :
- Formatage « rapide » (haut-niveau) : oui au formatage mais pas n’importe lequel ; le formatage rapide ne supprimera pas vos données mais juste la table des matières (table FAT ou NTFS) de votre disque. Vos données sont toujours présentes mais le disque ne sait plus où les trouver car il n’y a plus de référence.
- Formatage « classique » : il supprime toutes les données du disque en mettant tous les bits à 0. C’est la méthode conseillée pour le commun des mortels ; pour ceux qui ont mal à la tête, vous pouvez vous en arrêter là. Mais en fait, le formatage classique ne supprime pas toutes les données, désolé. En plus, même si tous les bits sont à 0, il y a toujours des résidus de magnétisation où on pourrait deviner les anciens bits à 1… et donc, il est toujours possible de récupérer vos données.
- Formatage à zéro (bas-niveau) et écrasement avec des nouvelles données : le formatage à zéro est réalisé par un logiciel fourni par l’usine du disque, le résultat obtenue après un tel formatage revient à un disque sorti d’usine. Il faut savoir qu’un fichier demeure intact tant que l’ordinateur n’inscrit pas de nouvelles données par-dessus ; écraser celui-ci avec de nouvelles données est donc envisageable. Il est pourtant possible (encore une fois), avec la magnétisation de deviner les anciennes données par-dessus les nouvelles (mais cela ne se fait qu’avec des appareils spécialisés). La méthode est donc d’effectuer beaucoup d’écrasement avec des nouvelles données pour brouiller les traces : nombreuses passes d’écritures avec des données aléatoires grâce à un générateur de nombres aléatoires.
- Bruler le disque dur : mettre son disque dur au feu pour le faire fondre reste donc la meilleure des solutions ; c’est ce que fais l’armée américaine. Les appareils à dégaussages font aussi l’affaire avec leurs champs magnétiques très puissant, mais le disque sera encore une fois détruit.
Pour conclure, peu importe le temps et l’énergie, on pourra toujours récupérer vos données (sauf avec l’option 4 bien sûr).
Qu’est-ce que le Spoofing ? Comment s’en protéger ?
L’usurpation d’adresse e-mail est une pratique consistant à envoyer un email en se faisant passer pour quelqu’un d’autre.
Pour comprendre le spoofing, il faut visualiser un email de la même manière qu’une lettre dans une enveloppe, où il est écrit au dos, l’adresse de l’expéditeur. Mais comment être certain de la véracité de cette information ? On peut mentir, écrire n’importe quoi. Il y a quand même quelques indices, tel que le tampon sur les timbres indiquant où l’enveloppe a été postée.
Le principe est le même pour les emails.
L’adresse de l’expéditeur peut être n’importe quoi. Demain, je peux vous envoyer un email avec pour expéditeur « contact@nopanic.fr » ou encore « superadmin@nopanic.fr » ou encore « service@visa.fr » ou encore « abcdef@cocohihi.pu » !
Vous aurez compris, non seulement on peut usurper une adresse email, mais en plus on peut en inventer une (en somme, on peut écrire tout ce que l’on veut).
L’explication vient du fait que la personne malveillante va utiliser un SMTP ouvert qui ne vérifiera donc pas l’authentification (adresse email + mot de passe). C’est pourquoi, l’usurpation d’adresse email n’utilisera pas votre service messagerie pour envoyer l’email, ce qui veut dire que cet email n’apparaîtra jamais dans votre dossier « Envoyés ». Vous ne saurez donc jamais si un email a déjà été envoyé sous votre adresse email.
L’usurpation d’adresse email est une fatalité, on ne peut pas empêcher quelqu’un d’écrire un email à notre place.
Par contre, on peut se protéger des arnaques en sachant d’où vient un email.
Comment savoir si c’est vraiment votre banque, et non un usurpateur, qui vous envoie un email de confirmation de vos données bancaires ? Les indices sont dans l’entête (propriétés de l’email) ! Suivant le niveau de la personne malveillante, celle-ci effacera plus ou moins ses traces. C’est pourquoi il arrive que les entêtes puissent ne pas être trop parlantes.
Autre option quand vous avez un doute : ne cliquez pas sur le lien et allez directement sur le site de votre banque ou de l’entreprise en passant par votre navigateur.
Ransomware, ces prises d’otage de vos données.
Discutons à présent des ransomware, ces logiciels très vicieux qui bloquent vos appareils.
D’abord, il faut connaître la définition du malware : un logiciel malveillant, espion, qui vise précisément à vous nuire. On le nomme couramment virus, bien qu’il existe plusieurs autres types de malware : vers, cheval de Troie, spyware, etc. Pour en savoir plus sur ce sujet, je vous conseille cet article..
Qu’est-ce qu’un ransomware ?
Ransom = rançon.
Le logiciel introduit dans votre ordinateur (80% des cas) ou votre smartphone (20% des cas) va chiffrer votre appareil, un dossier ciblé, ou plusieurs dossiers importants, et vous imposer de payer une rançon afin de les débloquer.
La rançon peut-être de quelques euros, pour un particulier, à plusieurs centaines de milliers, ou millions d’euros, pour une entreprise.
D’ailleurs en 2016 en France, plus d’une entreprise sur deux a été victimes d’un ransomware. C’est hallucinant !
Vous arrivez au boulot le matin, votre ordinateur est bloqué, vous avez moins de 24h pour payer, principalement en bitcoin, avant que votre ordinateur ne soit totalement effacé. Et cela sans avoir la certitude que tout ne soit débloqué.
Un tiers des personnes touchées en France n’ont jamais vu leurs données débloquées…
C’est aujourd’hui le malware le plus accessible et le plus rentable. Très simples à trouver sur le darkweb et à mettre en place, les attaques ont explosé de manière exponentielle ces dernières années.
![Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique Comment se Protéger sur Internet ? Guide complet sur la Survie Numérique](https://nopanic.fr/wp-content/uploads/2021/11/ransomware.png)
En pratique, comment se passe une attaque ransomware ?
Après avoir téléchargé un logiciel vérolé, les données sont cryptées petits à petits.
Ensuite, un message s’affiche sur l’écran, qui demande aux utilisateurs d’aller sur un site afin de payer une rançon en bitcoin pour déchiffrer / décrypter leurs contenus.
Évidemment tout le processus est complètement masqué afin de protéger les cyberdélinquants.
Que faire si vous êtes ciblés par un ransomware ?
Dans un premier temps, arrangez-vous pour ne pas être une cible potentielle : pensez à des sauvegardes externes. Plus vous avez de sauvegardes de vos données, sur différents supports non inter-connectés, et moins on peut vous rançonner.
Si ça n’est pas le cas, voici nos conseils :
- Il est clair qu’on peut être pris de panique, et céder à la tentation de payer. Mais il est important de se reprendre et ne pas céder au chantage. Rien ne garantit que vous retrouverez vos données. De plus vous encouragez malgré vous ce type d’attaque.
- Éteindre, débrancher son ordinateur, déconnecter les câbles Ethernet, afin de stopper une éventuelle propagation sur votre réseau pro ou domestique. Je vous conseillerai aussi de débrancher vos disques durs.
- Si vous n’êtes pas à l’aise, mon conseil : contacter un professionnel de l’informatique, dans votre entourage, dans votre ville. Il est préférable de débourser 100€ chez un pro, plutôt que 500€ pour un pirate. Il saura les bonnes choses à faire.
- À l’aise, vous pouvez vous-même désinfecter votre appareil à l’aide de disques proposés pas votre antivirus.
- Demander des conseils sur des forums spécialisés. Il existe des logiciels anti-ransomware.
- Enfin, signaler l’attaque à la gendarmerie ou au commissariat de Police. Dans 100% des cas, ils ne feront rien pour vous techniquement, mais votre plainte aura le mérite de rentrer dans les statistiques et faire évoluer la cyberdéfense en France.
Se protéger des « hacks physiques »
Pour les plus prudents ou craintifs d’entre nous (question de point de vue), il existe des pochettes pour téléphone portable, complètement hermétique à toutes les ondes et qui vous permet donc de bloquer tous les signaux wireless entrants et sortants.
Encore plus sécuritaire que le mode avion, une parade physique à tout traçage.
![OFF-Pocket OFF-Pocket](https://nopanic.fr/wp-content/uploads/2013/08/OFF-Pocket.jpeg)