Niels Ackermann – Blog

Quelques conseils de sécurité informatique pour les nuls

Protéger ses données numériques, c’est devenu important, et ça risque de le devenir encore plus dans les années à venir. Pourquoi? Pour trois raisons: d’abord parce que nos vies passent de plus en plus par là. Que ce soit pour faire nos achats, organiser notre vie professionnelle ou échanger des informations, la majeure partie de notre activité et de notre existence est désormais liée à l’informatique. Ensuite, parce qu’au cours de l’année qui vient de s’écouler, les gouvernements ont commencé à prendre la mesure du pouvoir que ces outils peuvent exercer contre eux (wikileaks, révolutions twitter…). Et finalement, parce qu’avec la multiplication des périphériques sur lesquels nos informations sont stockées (avant, un simple ordinateur à la maison, désormais une multitude de smartphones, de netbooks, tablettes, clés usb etc), on multiplie le risque qu’elles tombent un jour entre des mains indésirables.

Les réglementations en cours d’élaboration (Loppsi en France, ACTA etc) tendent à donner aux gouvernements toujours plus d’outils légaux permettant de surveiller les échanges privés des individus, et la tendance ne va certainement pas aller en s’inversant. Les hommes de l’Etat s’ajoutent donc progressivement à la liste des personnes indésirables pouvant potentiellement aller fouiller dans votre vie numérique.

Faire preuve de vigilance n’est donc plus une question de paranoïa, mais est en train de devenir un simple geste de bon sens moral.

J’ai donc regroupé dans ce billet quelques trucs que j’ai accumulé ces derniers mois, et qui permettent, je pense, de réduire grandement les risques sans pour autant nécessiter d’investissements considérables en temps ou en argent.

Attention, c’est un long article!

Premier problème: le stockage

Le premier risque, assez facile à éviter, c’est la perte des données. Les capacités des disques durs allant croissantes, leur fragilité suit hélas la même tendance. Il faut donc considérer ces supports comme étant extrêmement fragiles et susceptibles de vous lâcher d’un moment à l’autre. Ma solution pour le stockage de ce qui est très volumineux (des années d’archives photo par exemple), c’est de stocker à double (voire plus): deux disques de capacité identique, et on copie le contenu. Comme ça, si l’un des deux lâche, il reste le second (à immédiatement dupliquer sur un nouveau disque).

Cette solution est encore exposée à un souci: si vous rangez ces deux disques au même endroit, un cambriolage ou un incendie peut vous déposséder totalement. Il peut donc être judicieux de stocker une des copie dans un autre endroit: par exemple un disque à la maison et l’autre au travail, chez un proche ou dans un coffre fort.
Pour toutes les données moins lourdes et qui changent régulièrement, il existe une solution plus élégante: stocker « dans les nuages » (on the cloud). La solution de référence actuellement est Dropbox. Un petit utilitaire (win, mac, linux) s’installe sur votre machine, crée un répertoire spécifique et va synchoniser tout ce que vous y rangerez avec leurs serveurs. Vous modifiez un document sur votre machine durant un déplacement? Dès que vous vous reconnecterez à internet, le logiciel identifiera les modifications et les enverra sur le serveur. Ca permet non seulement d’avoir une copie fraîche de ses documents sur un espace web (et physiquement hébergé dans un espace sécurisé), mais ça permet aussi d’y accéder depuis plusieurs machines (vous pouvez utiliser votre dropbox depuis plusieurs ordinateurs, il existe aussi une application iOS, Android, Blackberry ). Et en plus de ça, si vous avez moins de 2go de données à stocker dans votre dropbox, le compte gratuit peut vous suffire. En bonus, si vous vous inscrivez avec ce lien, vous gagnez 250mo supplémentaires (et moi aussi comme ça tout le monde est content).

Cette solution règle une grande partie de mes soucis de backups. Tous mes documents de cours, administratifs etc sont désormais sauvegardé en ligne. Dans l’hypothèse où toutes mes machines étaient inaccessibles, ou volées, je pourrais encore accéder à mes données depuis un cybercafé.

Mais héberger ses données fait ressortir un autre problème (absolument identique avec des données stockées sur disque dur à la maison): si quelqu’un parvient à les obtenir, comment éviter qu’il puisse les utiliser contre nous?

UPDATE: Pendant que je tape ce billet, Amazon -qui héberge déjà les serveurs de dropbox- vient de lancer son propre système de cloud-storage: Amazon Cloud Drive. L’offre est alléchange: 1$ / an / GB. C’est moins cher que Dropbox, et en plus, un service d’hébergement spécifique à la musique est mis en place. Je n’ai pas encore eu le temps de tester ce service, et avec la bande passante camerounaise, ça ne pourra pas être correctement fait avant mon retour. Dans les semaines à venir, Apple risque aussi de retoquer son offre MobileMe, qui est actuellement un service particulièrement affligeant par rapport à ce que la marque est capable de faire (personnellement, en l’état actuel des choses en mars 2011, je vous déconseille même de l’essayer, ça m’a crée un sacré bordel dans iCal et mon carnet d’adresses).

Crypter, c’est la clé!

Il existe une infinité d’occasions d’égarer des données: un virus sur votre machine, oublier un disque dur externe dans un bureau, se faire voler un ordinateur, un pirate qui obtient le mot de passe de votre Dropbox, ou bêtement utiliser une clé usb sur un ordinateur équipé d’un programme qui va en copier le contenu… Si la majeure partie de nos données n’ont aucun intérêt, on en possède tous qui pourraient être utilisées à nos dépens: des photos de soirées compromettantes, des documents professionnels, des données fiscales ou bancaires, des carnets d’adresses et j’en passe. Sans compter que sous certaines législations, des documents anodins (textes politiques, programmes de p2p ,films de cul…) peuvent être considérés comme illégaux et être utilisés contre vous.

Partant du principe qu’il nous est physiquement impossible d’empêcher que d’autres puissent éventuellement accéder à ces données, nous pouvons au moins chercher à les rendre illisibles par ces personnes. C’est l’intérêt du cryptage.

Il existe diverses solutions propriétaires de cryptage. Certaines sont inclues dans windows 7 ou mac os x. C’est un bon début, mais c’est souvent un peu risqué, parce qu’on ne sait pas à l’avance sur quelle machine on aura besoin de lire nos données par la suite. Pour cette raison, un outil opensource tel que  TrueCrypt, compatible avec windows, linux et mac os me semble une solution bien plus intéressante. En plus d’être réputée et gratuite!

TrueCrypt permet d’encrypter des disques ou des partitions entières, mais ce qui m’intéresse le plus, c’est la possibilité de créer des petits espaces protégés au sein d’un environnement non crypté. De la sorte, on garde les bonnes performances d’un système non crypté, tout en assurant un degré élevé de sécurité pour certaines données.

1) Créer un container crypté

L'interface de TrueCrypt

Une fois TrueCrypt lancé, l’interface est relativement sommaire. Dans la partie du haut, s’affiche une liste des différents emplacements libres pour « monter » un espace crypté. Pourquoi cela? Parce que votre espace crypté, qu’il s’agisse d’un container ou d’une partition, va ensuite s’afficher sur votre machine comme un disque amovible, exactement comme si c’était une clé usb.

  1. En dessous de cette liste, il se trouve un bouton « Create Volume ». C’est avec lui qu’il faut commencer pour créer un volume crypté.
  2. Une fois l’assistant ouvert, choisissez « Create an encrypted file container ».
  3. La seconde étape vous propose de créer un volume caché. Dans le container, il créera deux espaces protégés par deux mots de passes différents. Le premier pourra être sacrifié et contiendra des données pouvant paraître confidentielles mais n’étant pas stratégiques alors que le deuxième, lui, contiendra les données importantes.
    Dans notre cas, le risque d’être torturé pour livrer la clé étant assez faible, un simple volume crypté fera certainement l’affaire. Optez donc pour « Standard TrueCrypt Volume ».
  4. Ensuite, indiquez l’emplacement de votre container crypté. Il prendra la forme d’un fichier, vous devez donc dire où le placer dans votre disque. Vous pouvez même donner à ce fichier une extension. Par exemple pour le cacher (un .doc sera par exemple plus anodin, mais si le fichier pèse lourd, il vaut mieux lui mettre une extension crédible telle que .avi), ou une extension qui vous parlera, comme par exemple: .4meonly (idée trouvée sur lifehacker)

    Pas besoin de faire des énormes containers, mieux vaut en faire plusieurs petits

  5. À l’étape suivante, vous devez choisir la méthode d’encryptage. Je ne suis pas assez calé en cryptage pour connaître les subtilités des uns et des autres, mais l’encryptage AES semble être un standard actuellement. Il est également possible de coupler plusieurs algorithmes différents, mais au prix d’une vitesse d’encryptage et de décryptage fortement réduite. Sur ce panneau, je me contente des réglages par défaut, mais si quelqu’un est plus calé sur la question qu’il mette une explication en commentaire, j’adapterai l’article.
  6. Après cela, on choisit la taille du container. Cette étape est importante puisqu’une fois que votre container aura été crée, vous ne pourrez plus en changer la taille. Et qu’importe la quantité de contenu que vous y mettrez, le container aura toujours la taille que vous avez déterminé à cette étape. Il peut donc être judicieux d’évaluer le poids moyen du type de documents que vous comptez y ranger. Mon conseil, c’est de plutôt multiplier les containers de petite taille pour différents types de contenus (un pour les données financières, un pour vos photos de soirées humiliantes, etc.) Chacun avec un mot de passe différent (on en parlera plus bas), comme ça, si un de vos containers est décrypté, le reste est encore sûr.
  7. Le panneau suivant vous demande d’entrer le mot de passe qui permettra de décrypter votre document, vous suggérant que c’est mieux quand c’est long et dur (oh!). Vous pouvez aussi utiliser un fichier qui fera office de mot de passe (keyfile), mais c’est risqué: si ce fichier est effacé ou modifié, votre container risque de ne plus pouvoir s’ouvrir.
  8. Le format de système de fichier, mieux vaut opter pour le FAT, il sera lisible sur toutes les machines. Je ne suis pas sûr que sur windows il pose cette question.
  9. L’étape suivante est amusante. Il faut déplacer la souris de manière à créer une clé bien aléatoire pour encrypter votre container. Pas besoin de bouger pendant des heures non plus, une fois que vous avez assez fait mumuse, vous cliquez sur format.
  10. Et voilà, le container est crée. True crypt propose de créer un nouveau volume. Dans notre cas, on clique sur Exit.

Il ne vous reste désormais plus qu’à indiquer à TrueCrypt où se situe votre fichier container avec le bouton select file, de choisir dans la liste du haut un emplacement vide sur lequel le monter, puis de cliquer sur « mount » pour monter ledit container (après avoir entré votre mot de passe). Vous verrez un nouveau disque amovible de la capacité que vous avez choisi apparaître dans votre finder / poste de travail. Vous y glissez vos documents, cliquez sur dismount dans TrueCrypt pour le refermer, et c’est caché (attention à ne pas oublier de les effacer du disque quand même)!

2) Emporter sur sa clé de quoi lire le container

Maintenant qu’on a un container crypté, on peut le déplacer où on veut. Pourquoi par exemple ne pas en créer un sur sa clé usb pour ranger tous les documents potentiellement dangereux s’ils s’égaraient (par exemple tous ceux qui contiennent des noms et des adresses, des informations sur votre profession votre famille etc).

Mais alors il faut aussi emporter sur sa clé de quoi pouvoir l’ouvrir depuis une autre machine. Ce que je fais: j’ai un dossier dans lequel j’ai glissé les installeurs pour windows et mac os. La version mac peut s’exécuter directement, la version windows doit être installée. Mais une fois installée, vous pouvez à partir du programme créer une version portable de TrueCrypt. Dans le menu du haut, cliquez sur Tools / Traveler Disk Setup et indiquez l’emplacement de votre clé usb. Un dossier nommé TrueCrypt sera crée avec un .exe que vous pourrez lancer depuis n’importe quelle machine (à condition d’être en administrateur. Si ce n’est pas le cas, le programme doit être installé par l’administrateur… si vous êtes désespérés et avez besoin d’accéder de force au compte administrateur de windows, vous pouvez toujours utiliser cet utilitaire pour modifier le fichier SAM).

3) Gare aux margoulins!

Crypter vos données mobiles, c’est bien, mais ça ne vous met pas à l’abris d’une interception de votre clé. Par exemple si vous utilisez une machine publique, il suffit qu’un keylogger (soit un logiciel soit une pièce matérielle qui va enregistrer ce que vous tappez) soit installé pour que votre mot de passe puisse être intercepté. En cas de doutes sur la sécurité de la machine que vous employez, abstenez-vous. Si vous n’avez pas le choix, il existe différentes méthodes de contournement listées par wikipedia. Si j’avais à choisir, je pense que la solution de la livekey serait celle à privilégier. Ca permet d’emporter sur sa clé usb un mini système linux (certains sont vraiment très très légers comme Slitaz qui ne pèse que 30 mo, ou Slax qui est plus complet mais pèse envriron 200mo), et ça vous met à l’abris de toutes les menaces potentielles présentes sur le système de la machine que vous devez utiliser. Mais dans un cyber-café géré de manière pointue, il est possible que vous ne puissiez pas démarrer la machine sur un autre système, ou qu’une fois dans votre linux portable, vous ne puissiez pas utiliser la connection internet de l’établissement.

Un bon mot de passe et une infinité d’autres impossibles à mémoriser

Comme nous venons de le voir, le mot de passe reste le dernier point vulnérable de votre forteresse électronique, et pas des moindres. À une époque où chaque personne se doit d’être présente sur une dizaine de réseaux sociaux, faits ses achats sur de multiples sites de e-commerce, gère son compte en banque par Internet, on a tendance à se laisser aller à une certaine paresse et utiliser un même mot de passe pour de (très) nombreux usages.

Mais qu’est-ce qu’il arrive le jour où un des sites que vous fréquentez se fait pirater et que votre mot de passe passe-partout est révélé, comme c’est arrivé au groupe Gawker récemment ? Pire, il n’y a même pas besoin que votre mot de passe soit révélé. S’il est simple à prédire (un nom courrant, une suite de caractères du clavier, une date de naissance, une série de chiffres identiques etc), il suffira de quelques secondes -avec une liste des mots de passe les plus couramment utilisés- pour le trouver (voir le rapport d’Imperva pour plus d’infos là dessus).

Comme le résume bien le site lifehacker (une fois de plus. Ce site regorge d’astuces utiles en terme de sécurité informatique. Cet article n’en est qu’un condensé étayé d’infos diverses), un bon mot de passe est donc celui dont on ne se souvient pas. Sous-entendu, un mot de passe différent pour chaque site, et un mot de passe qui n’obéit pas à une logique trop évidente permettant d’être trouvé avec une wordlist.

Mais vu que se rappeler de tous ces mots de passes compliqués est impossible, vous devrez utiliser un outil pour les stocker. Maintenant que vous savez créer un container crypté, vous pourriez très bien en faire un contenant un fichier excel dans lequel vous rangerez tous vos mots de passes, mais cette solution n’est pas très conviviale. Il existe des outils plus flexibles pour le faire, comme par exemple 1Password. Il est compatible mac et pc, mais coûte une quarantaine de dollars. Remarquez, vu l’évolution du dollar, ça veut dire que d’ici peu, pour les suisses, ça deviendra un freeware (excusez cette blague d’économiste. Je ne recommencerai pas). Sinon, il existe Keepass qui est opensource et gratuit, mais il m’a l’air moins rigolo à utiliser que 1Password.

L'interface de 1Password. Depuis ici, on peut rapidement copier le mot de passe d'un site, et vérifier le niveau de sécurité (jauge verte)

Cet outil vous permet non seulement de stocker vos différents mots de passe dans un espace protégé, mais aussi d’en générer aléatoirement, à la longueur et complexité que vous désirez. En plus des mots de passe, vous pouvez aussi stocker dans la base de donnée du programme vos numéros de passeports, cartes de crédits, numéros de série pour les logiciels, ou encore vos réglages de comptes mail mots de passes d’ordinateurs etc. 1Password propose également de placer ce fichier (crypté, bien sur) dans votre dropbox ce qui vous permet non seulement d’être à l’abris d’une éventuelle disparition du fichier sur votre machine, mais qui vous permet aussi d’y accéder depuis un autre ordinateur, ou depuis un des périphériques mobiles compatibles (iOS, Android). Mon iPod Touch me sert ainsi de trousseau sécurisé pour les mots de passe et toutes les infos de ce type quand je suis en déplacement.

En complément du programme, un module pour le navigateur (compatible avec Safari, Firefox, Chrome, Internet Explorer, mais sérieusement. Qui utilise encore Internet Explorer en 2011?) remplit les formulaires à votre place (après avoir demandé le mot de passe principal pour débloquer 1Password).

Le maillon faible

Faites attention à ne pas négliger un élément central de votre sécurité informatique: le mot de passe de votre boite mail. En effet, le mécanisme de récupération d’un mot de passe perdu sur la plupart des sites (facebook, twitter, paypal etc) passe par l’envoi d’un nouveau mot de passe sur votre boite mail. Un pirate vraiment intéressé par l’accès à un de ces sites focalisera donc ses efforts sur l’accès à cet élément (qui lui donnera aussi potentiellement accès à d’autres sites sur lesquels vous êtes présent). Si votre boite mail tombe dans de mauvaises mains, il est très probable que tout ce que vous avez fait ailleurs ne serve à rien.

Cachez votre activité web

Un dernier aspect de votre sécurité informatique, mais qui est moins important à l’heure actuelle dans les démocraties occidentales (quoique…), c’est l’anonymat dans l’usage d’internet. Il peut arriver, sans forcément être un whistlblower, un agent secret, un pédophile ou un terroriste, que vous ne désiriez pas que d’autres personnes sachent quels sites vous visitez et quelles informations vous échangez sur la toile. Par exemple quand vous souhaitez accéder à votre e-banking depuis le wifi d’un hôtel ou d’un aéroport. Il est en effet relativement simple dans ces endroits de créer un faux réseau wifi gratuit et de surveiller les données échangées par ses utilisateurs. Cette technique a déjà fait passablement de victimes (vols de numéros de cartes de crédit, d’e-mails etc).

En déplacement, il se peut également (et cela va certainement aller en empirant à l’avenir) que l’accès à certains sites soit interdit sur décision du gouvernement. Il convient donc de trouver un moyen à la fois de contourner le blocage, mais aussi de rendre ce contournement discret. L’usage d’une connection cryptée évitera qu’une personne qui intercepterait éventuellement vos données puisse s’en servir. Pour faire tout cela, il existe un outil relativement simple d’emploi, de nouveau gratuit et opensource: le projet Tor.

Image tirée du site du projet Tor pour illustrer son fonctionnement.

Plutôt que d’établir une connection « directe » entre votre machine et le site auquel vous souhaitez accéder, et donc donner au fournisseur d’accès l’information sur le site auquel votre machine veut accéder, puis des requêtes que vous y effectuerez, Tor va créer une connection cryptée entre votre machine et une autre machine intermédiaire du réseau Tor. Plusieurs connections successives et toujours cryptées rendront votre destination finale impossible à retrouver pour quelqu’un ayant la possibilité de surveiller les données qui transitent entre votre machine et l’extérieur du pays. Et toutes les dix minutes, le chemin employé changera.

Avec tor, vous pouvez aller assez loin, en configurant plusieurs programmes pour se connecter via son réseau. Mais pour un usage normal et épisodique, la solution du browser (une version modifiée de firefox + vidalia, le logiciel qui établit une connexion au réseau) suffit amplement. Ca implique de faire passer tout ce que vous voulez garder protégé par ce navigateur, les autres programmes utilisant internet ne passeront pas par Tor (donc attention avec les logiciels de messagerie, d’e-mail etc), à moins que vous ne les configuriez pour cela. Il y a également d’autres précautions à prendre en compte si vous voulez être certain de votre anonymat, mais ce sont essentiellement des règles de bon sens.

En conclusion

Ca ne saute pas aux yeux vu la taille de l’article, mais il est au final relativement simple de passer d’un niveau de sécurité très médiocre à quelque chose de relativement respectable. Cela ne prend pas beaucoup de temps, n’exige pas des compétences incroyables en informatique et ne coûte pas grand chose. Par contre, le gain à en retirer est énorme: vous pouvez travailler plus librement, sans être en permanence hanté par l’idée qu’on puisse vous voler votre machine, et que des années de documents accumulés puissent se retourner contre vous. Dans un milieu professionnel, ces quelques mesures peuvent être vitales: elles permettront de garder des informations sensibles à l’abris du regard des concurrents. Et sous un angle plus militant, utiliser et soutenir ces outils contribue à légitimer leur existence et à assurer qu’ils soient encore là le jour où vous en aurez besoin pour défendre votre liberté. C’est tout particulièrement vrai pour le projet Tor qui a besoin d’être aussi utilisé pour du surf anodin et par un grand nombre de personnes afin de le rendre plus performant (si vous activez la fonction pour faire de votre machine un noeud) et plus sûr (il augmente le nombre d’intermédiaires potentiels utilisables par les usagers, le rend plus difficile à bloquer par des autorités).

Les solutions présentées ici ne sont jamais que mes choix actuels et basés sur une information partielle: je ne suis pas expert en sécurité informatique, j’ai juste de nombreuses années de pratique et une grande curiosité. Si certaines remarques sont erronées ou que vous voyez une solution plus pertinente pour un des problèmes évoqués, faites en profiter les lecteurs par un commentaire, et je corrigerai l’article en fonction.

Encore une remarque

Certains fabricants de disques durs externes proposent des solutions de cryptage intégrées, comme par exemple WesternDigital sur ses My Passport Studio, mais je vous conseillerais personnellement de les éviter vu qu’elles utilisent rarement des systèmes standards et ouverts. Si vous voulez un disque externe crypté, utilisez un système bien répandu (comme TrueCrypt), histoire d’être sûr de pouvoir continuer à accéder à vos données pendant un certain temps.

Posté le 30/03/2011 dans: Geekisme, Technique & matos | 17 commentaires

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *

*

Vous pouvez utiliser ces balises et attributs HTML : <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <strike> <strong>