esc-it.org

[!toc] Table of Contents

• Navigation

• Get involved
• Contact
  • Social Media
• License

Bienvenue sur esc-it.org !

esc-it est un collectif qui crée du contenu sur la sécurité numérique dans le contexte de l’activisme politique. Ce site vise à servir de base de connaissances pour les activistes et les formateur·ices, en documentant les menaces actuelles, les contre-mesures, ainsi que des recommandations d’outils et de bonnes pratiques.

Navigation

Imagine esc-it comme une sorte de petit Wikipédia. Tu veux chercher quelque chose ? Clique simplement sur le bouton de recherche et tape un mot-clé lié.

Le site est structuré en différentes catégories :

• Menaces : À quelles menaces les activistes font-iels face ? Quels outils et techniques sont utilisées contre elleux ?
• Contre-mesures : Quelles contre-mesures peut-on prendre contre ces menaces ? Cette catégorie reste toujours aussi abstraite que possible. Tu n’y trouveras pas de recommandations ni d’instructions concrètes.
• Recommandations : Quels outils ou méthodes concrets recommandons-nous pour contrer des menaces spécifiques ?
• Instructions : Tu trouveras ici des instructions simples, étape par étape, pour utiliser les outils recommandés et optimiser les paramètres de sécurité, d’anonymat et de confidentialité.
• Modules : Tu trouveras ici des scénarios qui couvrent plusieurs sujets liés à la sécurité, afin de donner un peu plus de contexte aux différents articles.

[!example]

• Menaces : Qu’est-ce que le phishing et en quoi l’utilisation de cartes SIM peut-elle être dangereuse ?
• Contre-mesures : Comment pratiquer une bonne hygiène des données ?
• Recommandations : Pourquoi utiliser GrapheneOS comme système d’exploitation mobile sécurisé ?
• Instructions : Comment chiffrer un support de stockage avec VeraCrypt ?
• Modules : Que faire lorsque des appareils ont été confisqués ?

Participer

Créer et maintenir esc-it demande beaucoup de travail. En plus de couvrir autant de sujets pertinents que possible, nous essayons toujours de garder tout notre contenu à jour.

Nous n’avons donc pas les ressources nécessaires pour développer le projet comme nous le souhaiterions, par exemple en créant des supports vidéo et en améliorant le design général.

Nous serions heureux·ses que tu contribues en :

• Ajoutant ou relisant du nouveau contenu. Jette un oeil à nos tickets ouverts pour voir où de l’aide est nécessaire, ou ouvre un nouveau ticket si tu as un sujet en tête !
• Créant de courtes vidéos explicatives avec des graphismes vectoriels 2D pour rendre le contenu d’esc-it plus accessible aux personnes qui ne peuvent pas lire de longs textes ou des textes compliqués. Un exemple de ce que nous avons en tête est visible dans cette vidéo de l’EFF.
• Améliorant le design et l’UX du site, par exemple en créant des éléments interactifs et des animations ou en améliorant les parcours utilisateur. Nous utilisons actuellement mdBook pour générer le site. Nous sommes ouvert·es aux améliorations dans mdBook comme aux propositions d’alternatives !

Tu trouveras plus d’informations sur la manière de contribuer dans CONTRIBUTING.md.

Contact

Tu peux nous contacter par e-mail, de préférence chiffré :

E-mail : esc-it@systemli.org (clé PGP)

Fingerprint : 0BDB 1EB8 2477 0874 9876 DAE0 B923 BEA9 EAAF 0B15

Si tu ne sais pas comment chiffrer tes e-mails et que tu préfères utiliser Signal, tu peux nous envoyer ton identifiant Signal.

Réseaux sociaux

Consulte notre page de réseaux sociaux pour recevoir des nouvelles du projet et des informations sur les questions actuelles de sécurité numérique.

Actuellement, nous sommes uniquement actif·ves sur Mastodon : <@esc_it@systemli.social>

Licence

Le contenu d’esc-it est placé sous licence CC0 1.0 Universal, sauf si une autre licence est indiquée pour certains textes, images, fichiers, dossiers, etc.

Cela signifie que le contenu appartient au domaine public. N’hésite pas à l’utiliser et à le modifier. Nous apprécierions que tu cites esc-it comme source et que tu ajoutes un lien vers le site : https://esc-it.org.

Si tes changements peuvent être utiles au grand public, nous apprécierions que tu les contribues à ce projet.

FAQ

[!toc] Table of Contents

• Passwords and Password Managers

• Data
• Internet & Networks
• Malware/Virus/Trojan
• Messenger

Mots de passe et gestionnaires de mots de passe

[!question] What is a password manager and how is it used?

Les mots de passe sont probablement la cible numéro un des attaques, qu’elles viennent de gouvernements ou d’autres acteurs malveillants. Utiliser un mot de passe unique et fort pour chaque service devrait être aussi naturel que connaître son propre nom.

Les gestionnaires de mots de passe sont l’outil indispensable pour rendre cela possible :

• Dans notre article général sur les mots de passe, nous expliquons ce qui fait un bon mot de passe.
• Dans nos recommandations sur les gestionnaires de mots de passe, nous discutons les avantages et les inconvénients de différents outils comme KeePassXC et Bitwarden.
• Dans notre guide de KeePassXC, nous rendons la prise en main de cet excellent programme aussi simple que possible.

[!question] Can Online Password Managers Be Hacked?

En théorie, tout ce qui est accessible en ligne peut être « piraté ». La question importante est de savoir si cela entraîne réellement un dommage.

We explored this question through a example scenario and discussed a possible solution!

[!question] How do I encrypt documents?

In our recommendations, we discuss the pros and cons of the two most well-known programs for file encryption:

• VeraCrypt
• Cryptomator

Those two programs can be used to encrypt single files, folders, or even whole devices, but they each have there pros and cons. See our comparison.

TL;DR

• VeraCrypt est parfait pour chiffrer des clés USB entières, ou même des systèmes Windows entiers. Voir nos instructions à ce sujet.
• Cryptomator est parfait pour synchroniser des fichiers chiffrés vers un cloud. Voir nos instructions à ce sujet.

[!question] Do Attackers Know How Many Digits a Phone PIN Has If It’s Not Displayed on the Screen?

• Tant que tu n’as pas été victime de shoulder surfing et que ton appareil ne présente pas de vulnérabilité dans ce domaine : non :)
• Le risque que de telles vulnérabilités existent et soient exploitées sur ton appareil peut être évité en gardant tes mises à jour à jour.

Données

[!question] How Can Data Be Securely Deleted?

Nous abordons cette question dans notre article sur l’hygiène des données.

Nous y essayons d’expliquer le problème technique à l’aide d’une métaphore et de proposer une solution.

Internet et réseaux

[!question] Can My Use of Less Legal Streaming Sites Be Tracked?

Cela dépend de la façon dont le trafic entre ton appareil et le site web est chiffré :

• Sans chiffrement (http) : oui.
• Avec le chiffrement du transport (https) : seul le fait que tu as visité le site est visible, pas forcément ce que tu y fais exactement.
• Via TOR : non.
• Avec un VPN : quand tu utilises un VPN, le fournisseur du VPN peut voir tout ce que ton fournisseur d’accès internet verrait sans VPN. Cela inclut :
  • Ton adresse IP, qui est liée à un contrat mobile ou internet
  • Quels sites web sont visités
  • Si des médias sont diffusés en streaming, ce qui peut se déduire de l’utilisation des données

Malware/virus/cheval de Troie

[!question] Can you get a virus just by clicking on a link?

Oui. Les virus, ou malwares, sont souvent diffusés par des campagnes de phishing, où un·e attaquant·e essaie de piéger quelqu’un pour lui faire cliquer sur un lien ou un document malveillant (mauvais). Si tu te fais malgré tout piéger par du phishing, il est bon de savoir que tu as installé toutes les mises à jour de sécurité, afin que le malware ait moins de chances de réussir.

[!question] How realistic is it that a phone could actually be used as a listening device?

Cela peut arriver si le téléphone, ou un autre appareil avec un micro, est infecté par un malware (virus/cheval de Troie). Certains appareils et systèmes d’exploitation sont particulièrement bien protégés contre cela, voir GrapheneOS.

[!question] Can I be eavesdropped on through Bluetooth headphones?

Oui, c’est possible. Pour cela, un·e attaquant·e détournerait la connexion Bluetooth entre tes écouteurs et l’appareil qui diffuse le son, par exemple ton téléphone. Beaucoup d’écouteurs largement utilisés sont vulnérables à ce type d’attaque, comme cela a été démontré de manière impressionnante au 39C3 à Hambourg en 2025.

Cette attaque permet non seulement à l’attaquant·e d’écouter la musique que tu écoutes, mais aussi de détourner des appels. Cela pourrait par exemple servir à contourner une authentification 2FA par SMS/appel, comme le montre la démonstration liée ci-dessus.

[!question] How important is it, to get out the phones before a meeting?

Cette question dépend uniquement de la menace des spywares. Un spyware est le virus qui permet aux attaquant·es d’accéder à ton micro, ta caméra ou n’importe quoi d’autre sur ton appareil. La réponse dépend donc de ton propre modèle de menace et de l’attaquant·e qui pourrait te viser. Comme cette analyse de ton propre modèle de menace peut être un peu difficile sans expérience, il est utile de regarder d’autres cas dans ton pays et des modèles de menace similaires au tien :

• Y a-t-il eu des cas signalés d’attaques par spyware venant de ton gouvernement, ou du gouvernement dont tu crains la surveillance ?
• Ces victimes avaient-elles un modèle de menace similaire, voire moins dangereux que le tien ?
• Dirais-tu finalement qu’il pourrait être probable que toi, ou tes ami·es présent·es à la réunion, soyez la cible d’une attaque par spyware ? Si oui, laisse les téléphones dehors. Si non, il peut être pratique d’avoir ton téléphone avec toi pour consulter ton calendrier, tes notes ou quoi que ce soit d’autre dont tu pourrais avoir besoin.

Cela dit, tu devrais plutôt faire attention aux autres appareils qui peuvent être dans la pièce et écouter. Par exemple, les objets IoT « intelligents » ont souvent des micros pour la reconnaissance vocale, voire des caméras. Cela peut inclure des Smart TV, des frigos, des machines à laver, etc. Si tu as un doute, cherche simplement le nom du modèle ou son numéro de série et fais une recherche rapide sur le web. Si l’appareil est présenté comme pouvant voir ou entendre quelque chose, débranche-le.

[!question] How can I know, whether my anti-virus program doesn’t secretly spy on my itself?

Tu ne peux pas vraiment le savoir, parce que pour fonctionner, ces programmes doivent être intégrés très profondément dans ton système d’exploitation, avec beaucoup de privilèges. En théorie, ces programmes sont donc tout à fait capables de contrôler l’ensemble du système. En plus de cela, l’époque des programmes antivirus est plutôt révolue, car les systèmes d’exploitation actuels disposent eux-mêmes de mécanismes d’autodéfense assez solides. Autrefois, ce n’était pas toujours le cas, et même s’il reste encore des failles dans les systèmes d’exploitation, il n’y a en réalité pas besoin d’installer un logiciel antivirus supplémentaire.

Messagerie

[!question] How can different Messengers be compared to each other?

Dans nos recommandations, nous discutons quelques avantages et inconvénients de certaines messageries que nous considérons comme les plus pertinentes dans un contexte militant. Pour une comparaison beaucoup plus détaillée, il existe la messenger-matrix, bien connue, sur le blog Kuketz, qui vaut clairement le détour. Elle compare environ 20 messageries différentes selon de nombreux critères.

[!question] Is there still a sort of encrypted communication, that can’t be sniffed on?

Même si la surveillance dans le « cybermonde » est plus pertinente que jamais et que les spywares sponsorisés par des États sont en hausse, nous pouvons le dire avec confiance : il existe, surtout aujourd’hui, un très bon chiffrement des communications, en particulier le chiffrement de bout en bout.

Cependant, il est important qu’il soit utilisé correctement et de manière cohérente. Dans les cas modernes où une communication est interceptée avec succès, c’est généralement dû à des erreurs d’utilisation, comme :

• Phishing
• ne pas appliquer les mises à jour, ou une implémentation du chiffrement défectueuse/absente, voir par exemple EncroChat.

[!question] How secure is Signal?

Signal est l’une des options de communication numérique les plus sûres disponibles. Le protocole sous-jacent est le « gold standard » parmi les protocoles de chiffrement et il est adopté par beaucoup d’autres applications de messagerie.

La seule critique adressée à Signal est qu’il faut un numéro de téléphone pour s’inscrire, numéro qui, dans la plupart des pays, doit être lié à une pièce d’identité. Cependant, c’est une question d’anonymat, pas de sécurité.

Tant qu’aucun·e attaquant·e n’a accès à ton appareil ou à celui de ton contact, on peut considérer que le contenu des communications via Signal est très bien protégé !

Voir aussi nos paramètres recommandés pour Signal.

[!question] Can you register a Signal account on a laptop without smartphone?

Oui, signal-cli peut enregistrer de nouveaux comptes, mais cela demande un peu de travail avec un terminal ou une console pour le faire fonctionner.

Fichiers dangereux

[!toc] Table of Contents

• What file types can be dangerous

• Why this matters
• What is a file type
• How can files be dangerous

Note : pour une meilleure expérience de lecture, nous donnons ici la « réponse » dès le début. Voir plus bas pour une explication plus détaillée de cette menace.

Quels types de fichiers peuvent être dangereux

Même si aucun des types de fichiers listés n’est malveillant en soi, ils sont souvent utilisés par des attaquant·es pour « cacher » des malwares. Le plus souvent :

• LibreOffice :
  • .odt : documents texte (Writer)
  • .ods : feuilles de calcul (Calc)
  • .odp : présentations (Impress)
  • .odg : dessins (Draw)
  • .odb : bases de données (Base)
• Microsoft Office :
  • .docx : documents Word
  • .xlsx : feuilles de calcul Excel
  • .pptx : présentations PowerPoint
• .pdf : PDF
• même des formats d’image comme .gif auraient déjà été exploités, y compris sur des appareils mobiles.

[!tip]

Il est recommandé d’éviter les types de fichiers « complexes » ci-dessus s’ils ne sont pas nécessaires. Si tu dois malgré tout ouvrir un tel fichier provenant d’une source non fiable, nous recommandons d’utiliser Dangerzone.

Utilise plutôt des fichiers texte et des langages de balisage comme markdown si possible.

Pourquoi c’est important

[!note] It is a matter of security culture to reconsider if it’s really necessary to send an invitation text as a PDF or a draft of a press release as Word document. If it is enough to use the possibilities, that safe markup languages like markdown give you, them use just them.

Markdown est même compatible avec des outils collaboratifs comme Nextcloud.

Dans de nombreux contextes, des camarades privilégient l’envoi de messages (comme des invitations) fortement travaillés sur la forme plutôt que du simple texte. Même si l’intention est louable car elle témoigne d’un soin apporté aux relations, ce comportement entraîne des problématiques qui méritent l’adoption de nouvelles habitudes.

Qu’est-ce qu’un type de fichier

Différents programmes s’attendent à ce que leurs fichiers aient un format spécifique. Ils s’attendent à ce que les fichiers suivent un modèle que le programme reconnaît pour fonctionner correctement.

Chaque type de fichier est généralement identifié par une extension spécifique (comme .odf, .pdf, .jpg), qui indique au système d’exploitation quel programme doit l’ouvrir et comment il doit se comporter. Par exemple, si tu cliques sur un fichier qui se termine par .pdf, le système d’exploitation sait qu’il doit ouvrir le fichier avec un lecteur PDF et non avec ton lecteur de musique.

Comment des fichiers peuvent être dangereux

Prenons un simple fichier texte (pas un document Word, mais un simple fichier texte brut !). Un fichier texte normal contient, sans surprise, du texte, qui n’est rien d’autre que des caractères comme « A », « a », « ; », « / », etc. Ces fichiers texte peuvent être lus et affichés par des programmes simples comme « gedit » de Gnome, le Bloc-notes Windows, etc. Ils ne sont pas capables de fonctionnalités avancées, comme calculer des tableaux à la manière d’Excel ou LibreCalc.

Des programmes plus avancés comme Excel, PowerPoint ou les lecteurs PDF modernes sont capables de fonctionnalités beaucoup plus complexes. Les lecteurs PDF, par exemple, peuvent afficher des formulaires interactifs que tu peux directement remplir dans le lecteur PDF. Ils peuvent contenir des menus déroulants et plus encore.

[!caution] This means, that your PDF viewer, PowerPoint, Excel etc. are able to execute additional code, that is delivered inside the file they are processing.

Même si cela est nécessaire pour utiliser toutes les fonctionnalités du programme, la capacité à exécuter du code supplémentaire peut conduire à de graves risques de sécurité.

Tu as probablement déjà entendu parler de virus distribués via des PDF. C’est exactement ce qui est exploité ici :

[!note] An attacker can smuggle some malicious code inside the PDF. You open the PDF with your PDF viewer. The PDF viewer detects some code and thinks: “Ah, I have to execute this, so that the user has the full functionality of this file” and executes the code, which can then perform malicious actions such as stealing your data and sending it to the attacker.

Chiens détecteurs de supports de données

[!toc] Table of Contents

• The irresistible smell of hard drives

• Reward: bite sleeve

[!info] TL;DR {static}

Les chiens détecteurs de supports de données, semblables aux chiens détecteurs de drogues, sont spécialement entraînés à flairer certains métaux utilisés dans l’électronique et donc dans des supports de stockage comme les clés USB.

Ce qui suit est une traduction automatique de cet article allemand sous licence Creative Commons BY-NC-SA 4.0 de netzpolitik.org, car il explique assez bien le sujet :

L’odeur irrésistible des disques durs

Les « chiens détecteurs de supports de données » sont de plus en plus utilisés lors de perquisitions. Ils peuvent sentir les smartphones, les disques durs et même les cartes SIM. Cependant, la police garde ses méthodes d’entraînement secrètes.

Tout le monde a entendu parler des chiens policiers qui cherchent de la drogue ou des explosifs. Il existe aussi des chiens qui flairent les billets de banque dans la chasse aux fraudeurs fiscaux. À la fin de la dernière décennie, un nouveau type d’entraînement a été ajouté : des chiens qui flairent les supports de stockage, et le Land allemand de Saxe a été pionnier dans ce domaine. Dans l’affaire d’abus massifs sur enfants dans un camping à Lügde,1 le seul « chien détecteur de supports de données » d’Allemagne à l’époque a été déployé. Par la suite, la police de Rhénanie-du-Nord-Westphalie a aussi entraîné de tels chiens et présenté « Odin », « Jupp » et « Ali Baba » sur les réseaux sociaux. 1 Une petite ville de Westphalie.

Il existe plusieurs demandes d’information sur les chiens détecteurs de supports de données sur la plateforme de transparence FragdenStaat. On aurait pu y apprendre davantage sur la manière dont la police entraîne les chiens à trouver des CD, disques durs, cartes mémoire, clés USB, smartphones et cartes SIM. Apparemment, les supports de stockage ont leur propre odeur unique que les chiens peuvent reconnaître lorsqu’ils sont conditionnés pour cela. Cependant, la police de NRW (Rhénanie-du-Nord-Westphalie) a classifié l’entraînement des chiens comme « information classifiée » et l’a largement caviardé ; nous devons donc plutôt nous appuyer sur des médias comme zooroyal (une chaîne YouTube allemande) et leurs reportages sur les « truffes poilues »

Un article du Süddeutsche Zeitung (un journal allemand) indique que chercher des supports de données est beaucoup plus difficile que chercher de la drogue, qui sent simplement plus fort que les disques durs standards. La police de Saxe-Anhalt (la police du Land allemand de Saxe-Anhalt) écrit aussi dans une présentation que les supports de données libèrent très peu de molécules odorantes.

Le maître-chien saxon avait déclaré au journal à l’époque que le chien pouvait sentir les produits chimiques utilisés pour fabriquer les supports de stockage. Il avait même l’impression que son chien pouvait trouver les batteries lithium-ion plus vite que les téléphones portables avec batteries chrome-nickel et supposait qu’« Artus » pouvait sentir le lithium.

Comme les dispositifs de stockage recherchés dégagent très peu d’odeur, le « travail de pistage » exige « un haut niveau d’endurance et d’effort physique » de la part du chien de service, selon les documents de Saxe-Anhalt. Pour cette raison, cet entraînement « exige un comportement de pistage concentré et objectif de la part du chien de service »

Récompense : manche de mordant

La police de Rhénanie-du-Nord-Westphalie révèle sur son site comment la recherche est menée : « Quand Hank [le chien] entend l’ordre ‘Track!’, il commence à chercher. S’il reste immobile, Peter Baumeister [maître-chien] sait qu’il a trouvé quelque chose. En récompense, Hank reçoit son jouet préféré : un manche de mordant. »

Selon cela, la formation supplémentaire d’un chien pisteur pour devenir chien détecteur de supports de données prend 20 jours, que le chien effectue avec son maître. Après la formation, le maître peut alors se dire « maître-chien détecteur de supports de données ».

Analyse forensique

[!toc] Table of Contents

• Introduction

• Relevant subfields
• Digital Forensics
• Physical Forensics

Introduction

L’analyse forensique est un terme collectif pour des domaines de travail dans lesquels des « actes criminels » sont examinés systématiquement. En bref : quand les flics essaient de trouver des preuves.

Sous-domaines pertinents

De nombreuses mesures forensiques constituent des menaces pertinentes pour les activistes. Elles incluent :

• Linguistique forensique : examine le langage écrit pour identifier l’auteur·ice d’un texte, par exemple. Pertinent pour les lettres de revendication anonymes, les instructions, etc.

• Analyse forensique physique : examine entre autres les traces de fibres, l’ADN, les traces de pneus ou de chaussures et les empreintes digitales afin d’identifier des personnes présentes sur une « scène de crime » spécifique ou ayant utilisé un outil spécifique, par exemple. Pertinent pour les actions anonymes.

• Analyse forensique numérique : examine les données sur des systèmes informatiques comme téléphones portables, PC, serveurs, imprimantes, etc.

[!warning] {static}

L’analyse forensique numérique est presque toujours une menace, car les appareils numériques stockent une quantité énorme d’informations !

Analyse forensique numérique

Par exemple, selon les mots de l’Office fédéral allemand de la police criminelle :

« En plus des preuves traditionnelles telles que dossiers (papier), images, outils ou armes, les preuves numériques jouent un rôle de plus en plus important dans les enquêtes criminelles. Les preuves incluent des supports de données dans d’innombrables formats : PC, liseuses, imprimantes, cartes à puce, supports optiques, téléphones portables/smartphones et cartes SIM. »

Beaucoup de choses peuvent devenir de manière inattendue des preuves (numériques). Il faut aussi garder en tête que les enquêteurs forensiques numériques peuvent souvent restaurer des fichiers qui ont été « supprimés » depuis longtemps, c’est pourquoi chiffrer et supprimer de manière sûre tes affaires est si important.

Consulte notre article de contre-mesure sur la suppression sûre des données pour plus d’informations sur la manière de supprimer des données de façon sûre et pourquoi c’est si important.

[!technical] How does a digital forensic investigation work?

Une enquête forensique est généralement demandée par des procureur·es ou des tribunaux et réalisée par un·e « expert·e forensique ». En général, les flics effectuent l’analyse forensique.

De nombreux outils forensiques sont proposés aux autorités par des entreprises externes, par exemple Cellebrite pour l’analyse forensique de téléphones mobiles.

Les ordinateurs portables et supports de données ne sont généralement pas examinés directement. À la place, une « image », c’est-à-dire une copie, du support de données/disque dur est réalisée, puis examinée. Cela vise à garantir qu’aucune preuve numérique n’a été falsifiée ou corrompue.

Analyse forensique physique

Nous n’entrerons pas ici dans les détails de l’analyse forensique physique. En général, les méthodes forensiques classiques utilisées dans les enquêtes criminelles peuvent aussi être pertinentes pour les activistes. Elles incluent la recherche de :

• Traces de fibres
• Empreintes de chaussures
• Empreintes digitales
• ADN
• et plus encore

Il est très difficile de ne laisser aucune trace physique. L’analyse forensique physique est généralement très longue et coûteuse. Néanmoins, des études de cas individuelles montrent que des flics confus ont ordonné cela même pour des infractions mineures, y compris pour de simples actions d’adbusting.

Loggers

[!toc] Table of Contents

• Keyloggers

• Screenloggers

Les loggers sont des dispositifs qui peuvent être utilisés pour « logger » ou enregistrer quelque chose. Deux types de loggers nous intéressent ici : les keyloggers et les screen loggers.

Keyloggers

Les keyloggers sont des dispositifs qui enregistrent en gros toutes les frappes sur ton clavier. Ils sont placés entre le clavier et l’ordinateur et ressemblent à des adaptateurs USB normaux :

Ils peuvent envoyer chaque frappe à un·e attaquant·e en temps réel via radio/WiFi/LTE. Le problème est évident.

Ces keyloggers sont disponibles pour très peu d’argent et faciles à obtenir, ce qui les rend très simples à utiliser même pour des amateurs. Il existe même des keyloggers qui ressemblent à des câbles normaux, voir par exemple le O.MG Cable.

Des attaquant·es plus avancé·es (par ex. des agences gouvernementales) peuvent aussi installer des keyloggers directement dans les claviers en dévissant le clavier et en installant une petite carte électronique de keylogger directement sur l’électronique du clavier. Ou iels peuvent simplement remplacer le clavier par un clavier manipulé. Cela ne serait bien sûr pas visible au seul niveau du port USB.

Screen loggers

Les screen loggers fonctionnent selon le même principe que les keyloggers. Un dispositif ressemblant à un adaptateur est branché entre l’écran et le PC (selon la connexion utilisée : VGA, HDMI, DisplayPort, etc.) et peut ensuite enregistrer toute la transmission de l’image et l’envoyer à l’attaquant·e via radio/WiFi/LTE.

[!warning] {static}

Sois prudent·e avec

• les PC accessibles publiquement
• d’autres PC qui ne sont pas toujours sous observation (ton propre bureau, par exemple)

Il faut aussi noter que « key loggers » et « screen loggers » peuvent aussi désigner des loggers logiciels. Ceux-ci ne sont toutefois rien d’autre que des virus et décrivent une menace complètement différente de celles discutées ici.

Métadonnées

[!toc] Table of Contents

• The data behind the data

• Metadata in communication
• Metadata in files
• Metadata on paper

Nous expliquons ici ce que sont les métadonnées et où on peut les trouver. Si tu veux seulement savoir comment nettoyer les métadonnées des fichiers, consulte nos recommandations.

Les données derrière les données

Métadonnées dans les communications

Imagine que tu écris un message à quelqu’un ou que tu parles avec un·e ami·e au téléphone. Tu pourrais penser : « Tant que personne ne connaît le contenu, tout va bien ! » - mais ce n’est pas tout à fait vrai.

Même sans connaître le contenu, les métadonnées peuvent révéler beaucoup de choses sur toi.

Les métadonnées sont des données à propos de tes données. Dans beaucoup de messageries, par exemple, elles peuvent révéler :

• Qui communique avec qui
• Quand et à quelle fréquence vous êtes en contact
• Depuis quel endroit tu as envoyé un message
• Quelle appli ou quel appareil tu utilises

Les métadonnées peuvent servir à déduire des habitudes et l’organisation habituelle de ton quotidien.

Les réseaux de contacts peuvent aussi être identifiés de la même manière : si la personne A est en contact avec la personne B, et que la personne B écrit toujours immédiatement à C après avoir reçu un message de A, alors C est aussi reliée à A.

Les adresses IP et les données de localisation font aussi partie des métadonnées. En 2024, par exemple, plusieurs hauts responsables du renseignement de grands pays de l’OTAN ont été identifiés à partir d’un jeu de données disponible dans le commerce, parce qu’ils avaient utilisé des applis et des appareils qui collectaient leurs données de localisation et les vendaient à des courtiers en données. (Série complète d’articles en allemand sur netzpolitik.org)

Il est donc important d’éviter les métadonnées partout où c’est possible.

Selon Mike Kuketz, Briar est un modèle à cet égard : « Les métadonnées générées pendant l’utilisation sont brouillées de manière à rendre impossible de savoir qui a été en contact avec qui. »

Signal est aussi plutôt économe en métadonnées. Matrix, l’e-mail et Delta Chat, en revanche, ont besoin de beaucoup de métadonnées pour fonctionner correctement. Ces métadonnées sont ensuite stockées sur tous les serveurs avec lesquels la communication a lieu.

Cela ne veut pas dire que ces messageries n’ont pas d’avantages, mais il faut garder en tête l’inconvénient lié aux métadonnées.

[!technical] Details about SMTP metadata

Delta Chat utilise l’ancien protocole d’e-mail SMTP. Pour celles et ceux qui veulent approfondir les métadonnées dans SMTP, voici quelques ressources :

• Delta Chat
• E-mail

Métadonnées dans les fichiers

Même de simples fichiers contiennent souvent des métadonnées. Une photo prise avec un smartphone, par exemple, peut même contenir l’endroit où elle a été prise (si les réglages sont mal choisis). De plus, le modèle de l’appareil, la date, l’heure et des informations similaires sont souvent inclus.

Les fichiers PDF, Word, Excel et similaires contiennent aussi généralement beaucoup de métadonnées qui révèlent l’appareil et le système d’exploitation utilisés pour les modifier, la date de création ou de modification, le nom d’utilisateur de la personne qui les a modifiés, et des informations similaires.

Cela devient un problème particulier quand des fichiers sont téléversés quelque part, car les métadonnées sont aussi téléversées et peuvent ensuite être consultées par toute personne qui télécharge le fichier.

[!tip] {static}

• L’appareil photo de GrapheneOS, par exemple, ne stocke par défaut aucune métadonnée sur les photos que tu prends avec lui.
• Nos recommandations comprennent une liste d’outils pour nettoyer les métadonnées.

Métadonnées sur papier

Oui, malheureusement, même le papier imprimé contient des métadonnées, appelées points de traçage d’imprimante. Ce sont de minuscules points jaunes que certaines imprimantes laser couleur utilisent pour laisser des informations sur le modèle de l’imprimante et la date d’impression, invisibles à l’oeil nu.

Ces points ont probablement été utilisés pour identifier la lanceuse d’alerte américaine Reality Winner.

Jusqu’en 2017, l’organisation de défense des droits civiques Electronic Frontier Foundation avait compilé et maintenu une liste de ces imprimantes couleur. Cette liste a toutefois été abandonnée depuis, car toutes les imprimantes laser couleur laissent désormais des traces détectables sous une forme ou une autre.

[!warning] Warning {static}

Par conséquent, dans les cas très sensibles, aucune photo (en haute résolution) de documents originaux ne devrait être téléversée. Dans nos recommandations, nous décrivons une alternative possible.

Communications mobiles

[!toc] Table of Contents

• Who owns cell phone towers?

• IMSI: SIM identifier
• IMEI: Device identifier
  • Problems when buying cell phones
• Authentication

Il faut d’abord expliquer quelques informations de base sur les menaces dans le domaine des communications mobiles. Cet article se concentre sur la façon dont un seul téléphone mobile communique avec le réseau mobile sous la forme d’une antenne-relais (dans le langage courant : un mât d’antenne). Les termes IMSI et IMEI (et parfois TMSI) reviennent souvent et sont aussi brièvement expliqués ici.

À qui appartiennent les antennes-relais ?

Les antennes-relais sont exploitées par les opérateurs mobiles. Ces opérateurs contrôlent donc aussi le trafic de données qui passe par ces antennes. Dans l’image ci-dessous, les différentes couleurs symbolisent différents opérateurs (en Allemagne), comme Telekom, Vodafone, O2, etc.

IMSI : identifiant de la SIM

Chaque carte SIM possède un identifiant unique, l’International Mobile Subscriber Identity, ou IMSI en abrégé. En raison de l’obligation d’enregistrement des cartes SIM dans la plupart des pays européens, la carte SIM est généralement associée de manière unique à une identité. Les autorités peuvent facilement demander cette information aux opérateurs mobiles et le font très régulièrement.

Les autorités peuvent demander aux opérateurs quels numéros de téléphone appartiennent à une certaine personne. Cela peut aussi fonctionner dans l’autre sens, par exemple en demandant qui est propriétaire du numéro 0123456789. Ces demandes coûtent très peu aux autorités et sont régulièrement utilisées à très grande échelle.

IMEI : identifiant de l’appareil

Les modems de téléphones mobiles (c’est-à-dire la puce de ton téléphone qui peut se connecter au réseau mobile) ont aussi un numéro unique, l’International Mobile Equipment Identity, ou IMEI en abrégé. Ces IMEI comportent généralement 15 chiffres et sont uniques au niveau mondial. Leur structure est la suivante :

• Les 8 premiers chiffres sont, pour simplifier, propres au type d’appareil. Par exemple, tous les Google Pixel 7a ont les 8 chiffres suivants : 35917382

• Les 8 chiffres suivants sont des numéros de série

• Le dernier chiffre sert à la correction d’erreurs

[!technical] How is it ensured that these numbers are unique?

Since many different companies produce such mobile communications modems, it is necessary for them to coordinate with each other. Otherwise, with thousands of modems produced every day, numbers would quickly be assigned multiple times.

This is handled by the GSMA (Global System for Mobile Communications Association). The name speaks for itself.

• So if a manufacturer wants to launch a new model, they go to the GSMA and ask for a “number space,” the first 8 digits. They can then name all chips produced for this model with this number space, i.e., assign IMEIs.
• The serial numbers are used to distinguish individual devices of the same model.
• Error correction is a bit of black magic and can really be ignored here.

[!detail] EIR: (Equipment Identity Register)

However, the standard also provides for “whitelists.” This would mean that all IMEIs produced are recorded and only those recorded are allowed to participate in the network. This would then be a significant security risk if a cell phone is purchased with traceable payment methods.

Examples of modem manufacturers: Qualcomm, Huawei, ZTE, Sierra Wireless, Netgear, Alcatel, TP-Link

L’IMEI rend donc chaque appareil mobile identifiable.

Si un appareil peut être utilisé avec plusieurs cartes SIM en même temps (qu’il s’agisse de deux cartes SIM physiques ou d’une e-SIM et d’une carte SIM physique), il possède aussi le nombre correspondant d’IMEI.

Cependant, il est souvent assez facile d’établir un lien entre ces deux IMEI :

• Les numéros de série sont souvent simplement incrémentés (sauf pour la correction d’erreurs)
• Si deux IMEI se trouvent toujours au même endroit, cela peut être corrélé
• Les fabricants et les revendeurs connaissent la corrélation entre les deux IMEI
• Si un EIR intervient, ces deux IMEI sont aussi liés l’un à l’autre dans l’EIR. Donc, si l’un des deux IMEI est connu, le second peut aussi être retrouvé dans l’EIR.

Les IMEI ne peuvent pas être changées facilement. Dans de nombreux pays, les manipuler constitue une infraction pénale. Cela nécessite aussi du matériel spécial, qu’on obtient très probablement depuis la Chine.

[!tip] Tip {static}

There are some mobile routers that can be flashed with a special operating system named blue merle. Blue Merle can be used to change the routers IMEIs and can also be configured to only use TOR.

Problèmes lors de l’achat de téléphones mobiles

Ainsi, si tu achètes un téléphone dans un magasin et que tu paies par carte, le magasin aura un lien entre ta carte et le ou les IMEI de ton téléphone. Par conséquent, les autorités peuvent être en mesure de rattacher les IMEI attribués en usine à des appareils précis en interrogeant les vendeurs et les fabricants d’appareils.

Et si le téléphone mobile a été acheté avec ta propre identité, cette association peut aussi exister. Cependant, nous ne savons pas encore si les autorités consultent cette association, ni à quelle fréquence.

[!abstract] Conclusion: IMEI {static}

• Identifier of a device, not the SIM card
• Globally unique (by factory default)
• Transmitted to mobile network providers when connected to a mobile network (see Authentication)

Authentification

• Si le téléphone mobile détecte le signal d’une antenne-relais, il essaie d’y « frapper » avec une sorte de « Bonjour » pour voir si l’antenne est joignable et, si oui, lui indique qu’il aimerait se connecter au réseau : “Je veux me connecter !”

• Si la cellule radio reçoit ce message, elle demande d’abord l’identité du téléphone mobile pour vérifier qu’il a le droit de se connecter : “Qui es-tu ?”

• Le téléphone mobile envoie alors l’IMSI de sa carte SIM pour prouver qu’il a le droit de se connecter. En même temps, il envoie aussi l’IMEI de son modem mobile (c’est-à-dire du téléphone mobile).

  • Une antenne-relais Telekom rejetterait donc une carte SIM Vodafone et lui dirait qu’elle n’a pas le droit d’utiliser le réseau Telekom.

• Cela termine le processus d’authentification et une connexion peut être établie. Le rôle du TMSI est secondaire ici et a donc été retiré pour simplifier.

• Selon la norme, de telles connexions ne peuvent être établies que sous forme « chiffrée ». Tu peux lire pourquoi dans missing quota.

[!technical] What is the TMSI?

If a connection were simply established, anyone nearby with the appropriate hardware (e.g., software-defined radios starting at €20) could see which cell phones are currently logged into the network with which SIM cards and how much they are communicating.

To prevent this from happening, the procedure goes one step further: The cell phone tower gives the cell phone a TMSI (Temporary Mobile Subscriber Identifier). From now on, the mobile phone uses this TMSI for identification, but only in this session. If the mobile phone logs out of this tower at some point and logs back in later, the entire procedure starts again and a new TMSI is assigned.

If you are still wondering why the mobile phone needs to identify itself again after the initial authentication: Sent packets always need recipients (and senders), of course. So that your mobile phone can be found again during a connection to a website, for example, in order to present the content to you, “the network” must of course know which device you are.

L’IMSI et l’IMEI sont tous deux transmis pendant l’authentification auprès du réseau mobile. Cela crée, pour les opérateurs mobiles, des données traçables qui permettent une association unique entre IMSI et IMEI, c’est-à-dire entre téléphone mobile et carte SIM.

Tu dois donc être conscient·e de ce risque lorsque tu utilises un téléphone mobile qui a déjà été utilisé avec une autre carte SIM, ce qui permet à son tour de tirer des conclusions sur ta propre identité. De plus, le téléphone mobile peut aussi s’être retrouvé dans une demande de géorepérage avec une autre carte SIM.

IMSI catcher

[!toc] Table of Contents

• What security vulnerability is being exploited here?

• Active IMSI catcher - system
  • Why is communication between the phone and the police unencrypted?
• Practical threats
• Recommendation
• Sources

Un IMSI catcher, aussi appelé Cell-Site Simulator ou “Stingray”, est un dispositif de surveillance qui « se fait passer pour une antenne-relais légitime, en trompant les téléphones dans un certain rayon pour qu’ils se connectent à l’appareil plutôt qu’à une antenne » 1.

En général, les télécommunications standard fonctionnent comme suit :

1. Les terminaux, comme ton téléphone, se connectent à l’antenne-relais dont le signal est le plus fort.
2. À la réception d’une demande de ton appareil, l’antenne effectue une « Identity Request »
3. Ton appareil s’authentifie ensuite avec son IMSI + IMEI, et reçoit un TMSI de l’antenne.

Les IMSI catchers abusent de ce mécanisme pour suivre la localisation de téléphones mobiles et collecter des données d’appareils proches à l’insu des personnes utilisatrices.

On peut faire une distinction approximative entre les IMSI catchers passifs et actifs :

• Les IMSI catchers passifs attendent simplement que les clients tentent de s’authentifier avec leurs identifiants auprès de l’antenne-relais. Cela permet, par exemple, de collecter des informations détaillées sur qui est présent à une manifestation, ou combien de personnes sont présentes. Les clients ne remarquent pas la tromperie à cause du protocole GSM.

• Les IMSI catchers actifs ne se contentent pas d’attendre la demande de synchronisation du client. Ils attribuent plutôt à ton appareil un TMSI (comparable à une IP locale) et établissent une connexion légitime avec une vraie antenne-relais au nom de l’appareil. Cela permet de mener de véritables « attaques Homme du milieu (MITM) ».

Quelle faille de sécurité est exploitée ici ?

Le problème se situe dans l’authentification entre le téléphone et l’antenne-relais. Le téléphone doit s’authentifier auprès de l’antenne (comme montré ci-dessous) avec ses identifiants uniques (IMSI, IMEI) pour prouver qu’il a le droit d’utiliser le réseau mobile.

Cependant, l’antenne-relais ne s’authentifie pas auprès du téléphone. Le téléphone ne peut donc jamais savoir avec certitude s’il communique vraiment avec une antenne commerciale normale ou avec un clone exploité par les autorités.

IMSI catcher actif - système

Pourquoi la communication entre le téléphone et la police est-elle non chiffrée ?

La réponse se trouve dans la vulnérabilité du protocole de communication pendant l’authentification décrite ci-dessus. En suivant certaines étapes, l’IMSI catcher peut forcer le téléphone à utiliser une ancienne norme de téléphonie mobile (généralement la 2G) pendant le processus d’authentification. Ce déclassement est possible afin d’utiliser l’infrastructure 2G existante dans les situations où les normes modernes (3G/4G) ne fournissent pas de réception. La 2G est souvent un peu plus robuste en matière de couverture territoriale que les normes plus modernes. En revanche, la norme 2G est obsolète depuis longtemps et n’est pas recommandée pour des raisons de sécurité. En plus des agences gouvernementales, des particuliers peuvent très rapidement déchiffrer des communications 2G « chiffrées » et les lire/écouter. Pour cette raison, nous considérons cette communication comme « non chiffrée » en pratique.

[!technical] Why is communication between police and mobile phone cells encrypted?

To counteract so-called “eavesdropping,” i.e., being listened in on, the cell-phone towers of the new standards only accept communications that have been encrypted with their respective standard. To ensure that your phone does not notice that it is actually connected to a malicious tower, the IMSI catcher must also establish a real working connection to the legitimate mobile network. To do this, it must re-encrypt the connection to the cell-phone tower.

Menaces pratiques

[!warning] This means: {static}

• Cell phones with private SIM cards and IMEI numbers can be identified and located
• “Anonymous” SIM cards and cell phones are not necessarily anonymous

Il faut noter que cela pose un risque potentiel si un téléphone mobile « anonyme » est réutilisé. En lien avec les demandes sur les cellules radio, il peut être possible de créer et de contextualiser des profils de déplacement de ces appareils.

Un scénario d’exemple potentiel pourrait ressembler à ceci :

Tu utilises ton téléphone d’action lors de plusieurs actions/manifestations, de préférence dans différentes villes ou régions. Pendant ces manifestations, toi (et donc ton IMSI+IMEI) apparais plusieurs fois dans des demandes sur les cellules radio. Au début, personne ne peut faire grand-chose de cette information, sauf dire que cet appareil était présent à tous ces événements. Cependant, tu pourrais passer devant des IMSI catchers lors d’autres manifestations et être contrôlé·e ou filmé·e. Avec le temps, cela pourrait établir une corrélation entre toi et l’appareil.

Le matériel pour les IMSI catchers professionnels en Allemagne et dans les environs vient généralement de Rhode&Schwarz. Leurs appareils sont connus et populaires dans le monde entier, pas seulement auprès des forces de l’ordre. Cette technologie de pointe est aussi chère en conséquence, avec des prix à 4 ou 5 chiffres.

Cependant, de simples IMSI catchers passifs peuvent aussi être mis en place avec des dongles SDR à ~25 € (radios logicielles). Ils peuvent seulement lire le trafic existant, mais pas mettre en place une fausse cellule radio ni mener de véritables attaques MITM.

Recommandation

Nous recommandons de lire cet article de l’Electronics Frontier Foundation, qui présente Rayhunter. Un logiciel qui peut être flashé sur certains types de routeurs mobiles pour détecter les IMSI-Catchers présents.

Sources

• https://www.eff.org/wp/gotta-catch-em-all-understanding-how-imsi-catchers-exploit-cell-networks
• Présentation SnoopSnitch : https://media.ccc.de/v/ber15-5-detecting_imsi-catchers_and_other_mobile_network_attacks, même si l’appli elle-même ne fonctionne pas.

Demande sur les cellules radio

[!toc] Table of Contents

• How to protect against radio cell inquiries?

• What is requested in radio cell inquiries?
• Statistics on radio cell inquiries

Pour comprendre ce chapitre, il est nécessaire de comprendre les notions de base du réseau mobile, en particulier le processus de connexion et d’authentification entre les téléphones mobiles et les antennes-relais. Nous avons essayé d’illustrer cela dans l’article Communications mobiles.

[!warning] {static}

Les données des cellules sont très facilement accessibles aux autorités et sont régulièrement utilisées dans les enquêtes.

La demande sur les cellules radio est une mesure que les forces de l’ordre utilisent régulièrement dans leurs enquêtes. Dans ce cadre, les autorités demandent les données des cellules téléphoniques pertinentes pour l’affaire, généralement directement aux opérateurs mobiles.

Comment se protéger contre les demandes sur les cellules radio ?

Ne laisse pas ton téléphone se connecter aux cellules radio. Donc, éteins ton téléphone ou, au minimum, mets-le en mode avion. Avec le mode avion, garde deux choses en tête :

• si tu retires ta carte SIM, mais que tu ne mets pas ton téléphone en mode avion, il peut quand même essayer de se connecter aux antennes-relais pour passer des appels d’urgence.
• tous les appareils ne coupent pas réellement les communications mobiles lorsqu’ils sont mis en mode avion.

[!info] {static}

Pour être sûr·e à 100 % qu’aucune donnée de téléphonie mobile n’est collectée - n’emporte pas ton téléphone avec toi.

Qu’est-ce qui est demandé dans les réquisitions aux cellules radio ?

Les demandes sur les cellules radio collectent les données suivantes pour la période et le « lieu » demandés (c’est-à-dire une zone précise qui peut être couverte par plusieurs cellules de téléphonie mobile) :

• Numéros de téléphone connectés
• Horodatages de :
  • Connexion/déconnexion des appareils
  • Appels sortants et entrants
  • Messages vocaux
  • SMS envoyés/reçus

Les demandes sur les cellules radio sont souvent faites avant, pendant et après des manifestations. Cela peut révéler quels appareils étaient présents à la manifestation et où ils se trouvaient avant et après celle-ci. Ces informations peuvent potentiellement servir à identifier des manifestant·es, surtout lorsque leurs numéros de téléphone sont enregistrés à leur nom ou lorsque l’itinéraire qu’ils ont emprunté jusqu’à la manifestation peut compromettre leur identité.

De plus, les demandes sur les cellules radio peuvent servir à créer des profils de déplacement sur une zone plus vaste en examinant les heures d’entrée et de sortie d’appareils individuels dans les cellules de téléphonie mobile concernées :

Statistiques sur les demandes sur les cellules radio

Pour presque tous les pays du monde, on peut très bien supposer que chaque numéro de téléphone finit, plus ou moins régulièrement, dans une demande sur les cellules radio. Même si les statistiques claires sont assez rares, le cas des 18 et 19 février 2011 à Dresde, en Allemagne, est un exemple bien documenté : autour de plusieurs manifestations publiques ces jours-là, les autorités ont collecté : "96.072 enregistrements de données de trafic, 257.858 numéros de téléphone et 40.732 données d'inventaire" .

SMS silencieux

[!toc] Table of Contents

• Silent SMS - Application

SMS est le protocole par lequel les messages texte standard sont livrés à ton téléphone mobile ; un SMS « silencieux » livrerait un “message” au téléphone sans que tu t’en rendes compte 1. Autrement dit, tu ne verrais pas de SMS et tu ne remarquerais absolument rien sur ton téléphone.

Cependant, cela crée un trafic de données traçable pour les opérateurs mobiles, car le SMS (puis plus tard aussi sa confirmation de réception) est acheminé vers sa destination via toutes les cellules de téléphonie mobile nécessaires. Le chemin emprunté par le SMS peut ensuite être évalué par les autorités, ce qui permet de déterminer des localisations avec une précision allant jusqu’à quelques mètres.

[!question] How to protect against it? {static}

Don’t let your phone receive SMS, by either:

• taking out you SIM card
• turning on airplane mode
• shutting your phone off

Au fil du temps, quelques applis ont circulé en promettant de détecter les SMS silencieux. Le problème avec elles, c’est que :

1. Les modems mobiles, c’est-à-dire les puces qui reçoivent réellement les SMS, sont des boîtes noires techniques pour le public - nous ne pouvons pas savoir ce qu’elles font vraiment.
2. Pour la plupart des applis, ton téléphone doit être rooté, ce que nous déconseillons fortement. Même si cela donne plus de liberté à la personne utilisatrice, le root casse les mécanismes de sécurité fondamentaux de ton système d’exploitation mobile.

SMS silencieux - Application

La fréquence à laquelle les forces de l’ordre utilisent les SMS silencieux peut beaucoup varier, principalement selon le pays. Comme pour beaucoup d’autres menaces que nous décrivons ici, nous n’avons pas beaucoup de chiffres concrets sur l’utilisation de ces techniques. Ce qui est sûr, c’est que c’est une technique très peu coûteuse, qui peut être utilisée facilement par la plupart des autorités sans autre formalité.

En Allemagne, par exemple, les autorités fédérales (ce qui n’inclut pas les autorités régionales) envoient entre 200 000 et 400 000 SMS silencieux par an.

Surveillance des télécommunications

[!toc] Table of Contents

• Monitoring of traffic data

• Transport encryption

Surveillance des données de trafic

C’est généralement ce que l’on entend quand on parle de surveillance des télécommunications en général. Ici, les autorités obligent les fournisseurs de services à surveiller explicitement tes connexions et à transmettre aux autorités toutes les données de trafic enregistrées. Cela nécessite une décision de justice.

C’est possible parce que les connexions téléphoniques normales, c’est-à-dire les lignes fixes, les appels vocaux, les SMS et (dernier point, mais non des moindres) les messages vocaux, ne sont protégés que par du chiffrement de transport.

Chiffrement de transport

Avec le chiffrement de transport, pratiquement chaque participant dans la chaîne de transmission d’un message a le droit d’ouvrir et de lire ce message.

Par exemple, si tu écris un e-mail normal, il est d’abord envoyé au serveur mail avec un chiffrement de transport. Personne ne peut le lire entre les deux. Cependant, le serveur mail peut ouvrir et analyser l’e-mail. Il le fait généralement, car sinon comment ton fournisseur d’e-mail saurait-il ce qui doit aller dans le dossier spam ? Ton serveur mail envoie ensuite l’e-mail, à nouveau avec un chiffrement de transport, au serveur mail de la personne destinataire. Ce serveur peut lui aussi déballer et analyser l’e-mail. Le serveur mail envoie ensuite à nouveau l’e-mail, chiffré, à la personne destinataire.

C’est en gros aussi comme cela que fonctionnent les appels vocaux et les SMS.

Cela montre que les fournisseurs d’e-mail et les opérateurs mobiles, qui ont toujours le droit de lire ton trafic, sont le point d’attaque idéal pour les autorités. Elles peuvent aller frapper à leur porte (avec une décision de justice) et exiger tout ton trafic de données. C’est pour cela qu’il est si important d’utiliser le chiffrement de bout en bout !

Phishing

[!toc] Table of Contents

Le phishing par e-mail ou SMS est généralement plutôt associé aux arnaques, mais des acteurs étatiques utilisent aussi souvent le phishing pour infecter des cibles avec des malwares.

[!warning] {static}

En fait, le phishing est l’une des causes les plus fréquentes de fuite de données.

Il y a quelques points à garder en tête ici. Les malwares « one-click », où les personnes doivent cliquer activement sur un lien ou télécharger quelque chose pour que leur appareil soit infecté, coûtent beaucoup moins cher que les solutions « zero-click », où des appareils peuvent être infectés sans autre action de la part de la personne utilisatrice.

De plus, les attaques de phishing sont relativement difficiles à retracer. Si le phishing est découvert, on ne sait généralement pas clairement qui se trouve derrière l’attaque, ce qui place l’attaquant dans une position assez sûre.

Se faire prendre en train de poser secrètement des micros chez quelqu’un est beaucoup plus risqué et alerte les personnes concernées. Le phishing, en revanche, arrive tout le temps dans toutes nos boîtes de réception et n’éveille presque aucun soupçon.

Voici un exemple de faux liens créés grâce à une utilisation astucieuse de caractères Unicode. Peux-tu voir la différence entre les liens ? Quel lien mène à quelle page ?

[!example] Example 1 {static}

• https://codeberg.org∕esc-it∕esc-it.org∕releases∕tag∕@esc-it.org
• https://codeberg.org/esc-it/esc-it.org/releases/tag/@esc-it.org

À titre exceptionnel, juste pour apprendre, tu peux maintenant cliquer sur les deux liens pour voir ce qui se passe. Ton intuition était-elle correcte ?

Le premier lien ne mène pas à codeberg.org, mais à esc-it.org. Le symbole @ est utilisé comme nom d’utilisateur. Cela ne devrait pas fonctionner s’il y a un / avant le @, mais le premier lien contient des caractères Unicode qui ne sont pas des barres obliques « normales ».

Certains navigateurs affichent même un avertissement pour le lien incorrect, comme ici dans Firefox :

Chromium, par exemple, n’affiche pas un tel avertissement.

Ce qui se remarque dans les liens, c’est qu’il y a un domaine à la fin (…@<esc-it.org>). Cependant, ce n’est pas un signe clair de faux lien, et cela devient de plus en plus difficile à détecter avec des domaines de premier niveau qui changent sans cesse. Voici un exemple avec une extension « .zip » : il pourrait donc s’agir soit d’un fichier .zip, soit d’un domaine .zip :

Avertissement : le premier lien mène à un domaine (1312.zip) qui ne nous appartient pas. Cela signifie que nous ne savons pas ce qui s’y passe. Donc, ne visite pas ce lien sauf si tu sais exactement ce que tu fais.

[!example] Example 2 {static}

• https:∕∕codeberg.org∕esc-it∕esc-it.org∕releases∕tag∕@v1312.zip
• https://codeberg.org/esc-it/esc-it.org/releases/tag/v1312.zip

Ici aussi, le premier lien ne mène pas à un fichier zip sur codeberg.org, alors que le second oui. Aucun avertissement n’apparaît ici non plus, car le domaine n’existe pas encore.

[!info] Conclusion {static}

• Ne clique pas sur les liens suspects
• Interroge-toi sur l’origine du lien. Est-il plausible que cette « adresse » m’envoie précisément ce lien ?
  • Mieux vaut prévenir que guérir - cherche la page avec des méthodes vérifiables. Enregistre les liens d’origine dans tes gestionnaires de mots de passe, dans les favoris de ton navigateur, ou utilise des moteurs de recherche.
• En cas de doute, saisis les liens manuellement.
• Cependant, cela n’aidera pas si le lien lui-même est faux. [systeml1.org], par exemple, te mènera de nouveau vers le mauvais site web. Reviens au point ci-dessus pour déterminer la bonne URL.

« Chargeurs » publics

[!toc] Table of Contents

On trouve des « chargeurs » publics, par exemple, dans les transports en commun, les cafés, les bibliothèques, les aéroports, les centres commerciaux, etc.

Bien sûr, il faut ici distinguer les simples prises électriques des ports de charge USB.

Le pire qui puisse arriver avec des prises électriques normales, c’est que ton propre chargeur tombe en panne. À part cela, ton chargeur ne sert qu’à charger et ne peut pas vraiment faire autre chose.

C’est différent avec les prises de charge USB. Depuis des années, on voit de plus en plus de cas de prises de charge manipulées qui contiennent non seulement une source d’alimentation, mais aussi des microprocesseurs entiers qui tentent d’accéder à l’appareil connecté. Cela pourrait permettre d’installer un malware, d’accéder à la mémoire, etc.

Heureusement, tous les systèmes d’exploitation (mobiles) sont désormais équipés de mesures de protection et demandent aux personnes utilisatrices si l’« appareil » connecté doit recevoir un accès au téléphone mobile. Si tu charges ton téléphone quelque part et qu’un avertissement apparaît sur ton appareil, cela doit te rendre méfiant·e.

[!warning] Attention {static}

Un simple port USB avec l’alimentation classique de 5 volts n’est reconnu par aucun téléphone mobile comme un « appareil » auquel il faudrait accorder des droits !

On peut aussi éviter cela en utilisant uniquement des câbles USB sans « lignes de données » pour la charge. Ce sont des câbles qui ne peuvent pas servir à transférer des données. Tu peux généralement le tester toi-même sur ton propre ordinateur. Si tu ne peux pas accéder à ton téléphone mobile avec le câble USB, alors ce câble USB n’a très probablement que deux fils : le positif et le négatif. Aucune donnée ne peut être transférée par ces fils.

Donc, fais attention aux prises de charge USB, car elles peuvent avoir été trafiquées ! Contrairement aux prises électriques trafiquées, où ton propre chargeur reste branché, une alimentation trafiquée peut sérieusement endommager ton appareil.

Il est donc conseillé d’éviter ces prises. Si tu dois en utiliser une, le mieux est de :

1. n’utiliser que des câbles USB à deux fils
2. utiliser des prises où tu as déjà vu quelqu’un charger un téléphone mobile sans qu’il soit ensuite éjecté.

Push notifications

[!toc] Table of Contents

• Deleted messages can be recovered through push notification cache

• Information leak through notifications on lock screen

Deleted messages can be recovered through push notification cache

Push notifications are those nice little messages on your lock screen, that show you previews of the messages you received.

[!warning] Warning {static}

In early 2026 it became public that the FBI could recover signal messages on an activists iPhone through iOS’s own push notifications, although the > activist had self-destructing messages enabled and deleted their entire Signal app before the confiscation.

The problem is that the operating system “caches” the content of the push notification on it’s own storage, meaning it stores your messages outside of the app itself. Thus, deleting messages inside of the messenger itself won’t delete the copies in the operating systems cache.

[!technical] What is caching?

Caching is a technique used in computing to store copies of data temporarily, allowing for faster access to that data in the future. It helps improve performance by reducing the time it takes to retrieve frequently accessed information.

This is also true for self-deleting messages e.g. on Signal, which we recommend as a security feature.

[!tip] Tip {static}

The only way to prevent the operating system from caching your messages, is to stop the app from displaying sensitive content in those push notifications.

Preventing caching can be done per app, as far as the single app provides such settings. See our instructions for disabling sensitive content in signal notifications in Signal.

Information leak through notifications on lock screen

It is also recommended to completely disallow sensitive content showing up on your lock screen for all apps on the operating systems level in you phones settings.

[!tip] See our recommendation on that for GrapheneOS.

Shoulder surfing

[!toc] Table of Contents

Le shoulder surfing consiste à regarder discrètement par-dessus ton épaule pour voir ce que tu fais ou ce que tu tapes sur ton téléphone mobile, ton ordinateur portable, ton bloc-notes, etc.

[!warning] Warning {static} Be especially careful when entering passwords!

Après tout, même le meilleur mot de passe ne sert à rien s’il tombe entre de mauvaises mains. Avant tout, il est important d’être conscient·e de l’utilisation croissante de la vidéosurveillance. Ne saisis pas de mots de passe devant des caméras !

Si tu as déjà essayé toi-même le shoulder surfing, tu auras remarqué qu’il existe des lieux et des situations qui s’y prêtent particulièrement.

Dans des amphithéâtres bondés, par exemple, tu peux pratiquement voir les écrans et les claviers d’au moins trois personnes devant toi.

Dans les transports en commun, les places qui ne sont pas directement derrière la personne ciblée, mais en diagonale derrière elle, sont particulièrement adaptées. Si le bus est extrêmement bondé, on ne remarque même pas quelqu’un qui se penche au-dessus de ton téléphone mobile pendant que tu tapes.

Dans ce genre de situation, il est important de ne pas saisir tes mots de passe machinalement, mais d’abord d’évaluer les points suivants :

• Le danger potentiel du shoulder surfing est-il réel ou exagéré ?
• Est-ce que cela vaut le risque de saisir quand même mon mot de passe, ou puis-je attendre/trouver un meilleur endroit ?

Sauvegardes

[!toc] Table of Contents

• Backups vs. data hygiene

• Data hygiene & backups go hand in hand
• How To Backup?

On a beaucoup écrit sur l’importance des sauvegardes, et de nombreuses blagues plus ou moins bien ont été faites sur ce fait curieux : tout le monde le sait, mais personne ne semble en faire.

[!success] Fact is {static} We need backups!

Sauvegardes vs. hygiène des données

Le plus gros problème est souvent que nous ne sommes pas vraiment conscient·es de la quantité de données que nous accumulons au fil des années, ni de l’importance de leur persistance pour nous. Dans notre article sur l’hygiène des données, nous défendons le principe d’accumuler aussi peu de données que possible. Mais bien sûr, cela s’applique surtout aux données qui ne servent que temporairement et seraient autrement oubliées dans un coin, jusqu’à être redécouvertes lors d’une perquisition.

Aussi important soit-il de stocker aussi peu de données que possible, nous dépendons tou·tes d’une manière ou d’une autre de l’État et de ses institutions :

Documents officiels, assurance maladie, documents bancaires, contrats de travail, dossiers scolaires, etc. sont autant de choses dont nous pouvons avoir besoin de temps en temps pour éviter de sombrer dans une pauvreté complète.

Encore plus importantes sont les photos de nos camarades et compagnon·nes, leurs lettres, journaux intimes, cadeaux et autres souvenirs. Toutes ces choses pourraient causer une douleur immense si elles disparaissaient soudainement.

Tout ce qui est listé ci-dessus ne peut pas être facilement numérisé, mais la plupart peut l’être.

Nous invitons chacun·e à imaginer que tous les appareils sur lesquels sont stockés ses mots de passe, photos et autres données personnelles tombent subitement en panne, disparaissent ou sont confisqués. Est-ce que tu pourrais gérer ça ?

Hygiène des données et sauvegardes vont ensemble

Dans la section ci-dessus, nous avons opposé hygiène des données et sauvegardes. Ici, nous voulons défendre l’idée que les deux concepts devraient être pensés ensemble, afin que l’un bénéficie à l’autre.

Les appareils et comptes utilisés depuis de nombreuses années, comme iCloud, Google Drive, WhatsApp, Signal, etc., débordent souvent de données anciennes dont tu ne sais même plus qu’elles existent.

Combien de données as-tu sur tes appareils que tu n’as pas supprimées parce que tu t’es dit : « j’en aurai peut-être encore besoin un jour » ?

La quantité de données que tu as accumulée au fil des années est souvent bien trop vaste pour que tu puisses rapidement la passer en revue et la nettoyer.

Cependant, si tu avais une sauvegarde chiffrée de tous tes fichiers, tu pourrais nettoyer beaucoup plus facilement tes appareils du quotidien. Tu ne transporterais alors que ce dont tu as vraiment besoin.

[!success] Success {static}

Pratiquer l’hygiène des données devient possible grâce à des sauvegardes régulières !

Comment sauvegarder ?

Nous travaillons actuellement sur un guide de sauvegarde pour la catégorie « Instructions », que nous lierons également ci-dessous.

Chiffrement des communications

[!toc] Table of Contents

• Transport encryption

• Example: Mail with transport encryption
  • Problem
• End-to-end encryption
• TOFU is bad

Le chiffrement de toutes les communications joue un rôle essentiel dans nos vies numériques. Dans cet article, nous voulons expliquer ce que signifie le chiffrement des communications, quels sont les types de chiffrement existants, et quels sont leurs avantages et inconvénients.

Nous distinguons le chiffrement du transport des données du chiffrement de bout en bout (E2EE).

[!info] TL;DR {static}

Même si le chiffrement du transport est un plus appréciable, il n’est en aucun cas suffisant pour la plupart des usages : nous recommandons d’utiliser le chiffrement de bout en bout (E2EE) chaque fois que possible.

Chiffrement de transport

Le chiffrement du transport est généralement implémenté avec SSL/TLS. Ce sont des protocoles de sécurité internet basés sur le chiffrement qui apportent confidentialité, authentification et intégrité des communications internet. Tu utilises SSL/TLS tous les jours dans ton navigateur, par exemple quand un cadenas apparaît à côté de l’URL et que https apparaît avant l’URI. Si ce n’est pas utilisé, seul http apparaît (et dans la plupart des cas un avertissement indique que la connexion n’est pas sûre).

Nous utiliserons le graphique ci-dessous et un exemple pratique pour expliquer comment fonctionne le chiffrement du transport.

Exemple : e-mail avec chiffrement du transport

Anna veut envoyer un message à Arthur, par exemple par e-mail. L’exemple fonctionne aussi avec d’autres services sans E2EE, comme Telegram, Discord ou les chats dans les jeux. Dans ce cas, il n’y aurait cependant qu’un seul serveur au lieu de deux.

Voici l’exemple avec l’e-mail :

Anna a une adresse e-mail sur le serveur jaune ; dans notre exemple, ce serait systemli.org. Son adresse e-mail est donc anna@systemli.org

Arthur a une adresse e-mail sur le serveur rouge, ici riseup.net. Son adresse e-mail est donc arthur@riseup.net

Comme nous parlons de chiffrement du transport, aucun des deux n’utilise d’E2EE comme PGP. Cela signifie qu’Anna n’a pas la clé PGP d’Arthur, et inversement !

Les clés et cadenas dans le graphique ci-dessous symbolisent les certificats. Chaque serveur a son propre certificat, avec lequel la communication vers lui peut être chiffrée. Seul le serveur qui possède le certificat a aussi la clé correspondante et peut lire les informations qui lui sont envoyées.

Si Anna veut maintenant écrire un e-mail, elle récupère le certificat de Systemli (cadenas jaune) et l’utilise pour chiffrer son e-mail. C’est complètement indépendant de la personne à qui l’e-mail sera finalement envoyé ! L’adresse de réception d’Arthur (mailto:arthur@riseup.net) est ensuite écrite sur « l’enveloppe », comme avec un courrier normal. Cet e-mail (enveloppe jaune scellée avec un cadenas) est ensuite envoyé au serveur mail de Systemli (boîte jaune).

Le serveur mail de Systemli ouvre maintenant l’e-mail chiffré avec son propre certificat et le scanne, par exemple contre le spam. Surtout, il regarde l’adresse du destinataire sur l’enveloppe : arthur@riseup.net. Le serveur reconnaît la partie après le symbole @ comme le serveur mail vers lequel il doit transférer cet e-mail : riseup.net (serveur rouge). Il va donc rapidement chez Riseup, récupère une copie de leur certificat, chiffre à nouveau l’e-mail d’Anna avec celui-ci, et l’envoie (enveloppe rouge fermée avec cadenas) au serveur mail de Riseup.

À partir de là, ce processus se répète jusqu’à ce que l’e-mail arrive à Arthur. Le serveur Riseup déballe l’e-mail, le remballe, puis l’envoie enfin à Arthur.

Problème

Le problème ici est évident. Chaque participant dans la chaîne de communication peut facilement ouvrir et lire l’e-mail. De plus, de nombreuses applications (comme celles listées ci-dessus) stockent des copies des messages sur leurs serveurs (e-mail). Voir plus sur la surveillance réseau

Chiffrement de bout en bout

Une fois que tu comprends la menace posée par le chiffrement du transport, la nécessité du chiffrement de bout en bout devient presque évidente.

1. Anna obtient le cadenas d’Arthur (clé publique). Ce point est très important ; fais attention à la section [TOFU] !
2. Comme au point 1.
3. Anna chiffre son message avec la clé publique d’Arthur.
4. Le message reste chiffré à toutes les étapes de 4 (a-e). Seules les métadonnées (par ex. adresse d’expéditeur/destinataire) sont visibles (à tous les points possibles, y compris pendant le transport !) et sont lues par les serveurs afin de transférer l’e-mail.
5. Arthur reçoit son message. Comme le message a été chiffré avec son cadenas et qu’il a bien pris soin de sa clé (clé privée), lui seul peut déchiffrer le message avec sa clé.

TOFU est mauvais

TOFU : Trust On First Use

La clé doit être vérifiée « hors réseau ». Un e-mail non chiffré de bout en bout (c’est-à-dire seulement chiffré pendant le transport) rend l’échange de clés publiques vulnérable à l’interception. C’est ce qu’on appelle une attaque « Homme du milieu » (MITM).

Pour plus d’informations sur les dangers du chiffrement du transport, voir surveillance réseau.

Hygiène des données

[!toc] Table of contents

• Deleting data securely

• How Files are “deleted” - Anna & Arthur’s shared apartment
• Special characteristics
• Deleting encrypted data

Qu’il s’agisse de surveillance réseau, d’analyse forensique numérique ou de perquisitions : la surveillance porte toujours sur des données qui pourraient potentiellement être utilisées contre toi. C’est pourquoi il est important de se demander régulièrement quelles données sont vraiment nécessaires :

• Avons-nous besoin de prendre des notes pour cette réunion ?
• Si tout le monde était à la réunion, les notes ne sont peut-être pas nécessaires pour certaines choses.
• Ai-je besoin d’emporter mon téléphone mobile avec moi ?
• Ai-je besoin d’écrire à mes ami·es à propos du truc cool que je viens de faire ?
• Se vanter en a fait tomber plus d’un·e !

S’il n’y a pas de données, personne ne peut y accéder. Cependant, la destruction de documents jugés non-nécessaires peut être profondément regretté quelques années plus tard. Malgré tout, selon les données stockées, garder simplement des documents sous le lit ou sur une clé USB non chiffrée peut être trop risqué. Alors, comment stocker des données de manière sûre ? Dans tous les cas, rarement sur papier !

[!warning] Warning {static}

If you have created “incriminating material” - Get rid of it ASAP!

Cependant, la plupart des gens savent probablement que la suppression simple d’un fichier ne signifie pas que les données sont définitivement perdues. Même pas quand Windows t’avertit que vider la corbeille les fera disparaître pour toujours.

Supprimer des données de manière sûre

[!tip] TL;DR {static}

La manière la plus sûre de supprimer des données, c’est lorsque le disque est chiffré.

Dans ce cas, un outil forensique a toujours besoin du mot de passe de chiffrement avant de pouvoir lire quoi que ce soit, même si tu as supprimé les fichiers « normalement ».

Pour illustrer ce qui se passe quand des fichiers sont supprimés « normalement », voici une métaphore :

[!technical] SSDs vs HDDs

Le scénario suivant ne s’applique qu’aux

types courants de stockage, comme les disques durs HDD classiques ! Il y a des éléments supplémentaires à prendre en compte pour les stockages flash comme les cartes SD, les clés USB ou les SSD. Plus de détails à ce sujet ci-dessous, dans « Particularités ».

Comment les fichiers sont « supprimés » - la colocation d’Anna et Arthur

Anna et Arthur vivent en colocation. Leurs noms et adresses sont listés dans le carnet d’adresses (contrairement à un annuaire téléphonique, tout est ici trié par adresse). L’appartement est le support de stockage (disque dur, clé USB, carte SD, etc.) et Anna et Arthur sont les données sur ce support de stockage. Le bon vieux annuaire papier (ces énormes livres où l’on pouvait trouver le numéro fixe et l’adresse de tout le monde) est ce qu’on appelle le système de gestion des adresses du support de stockage.

Si tu veux trouver Arthur, tu saisis l’adresse d’Arthur. L’ordinateur va alors à l’adresse, récupère Arthur dans son appartement et l’affiche à l’écran. C’est le fonctionnement normal lorsque des données sont stockées en mémoire et utilisées.

Malheureusement, pendant la dernière action, le masque d’Arthur a glissé sous son nez, il a été identifié, et maintenant il doit partir vite : les données doivent être supprimées.

Si tu cliques maintenant sur « supprimer », ce fichier sera déplacé vers la corbeille. Rien n’est vraiment supprimé lorsqu’il est déplacé vers la corbeille ; vois ça simplement comme un dossier « fichiers à supprimer ».

Tu vides donc aussi la corbeille. Que s’est-il passé maintenant ? Arthur a-t-il disparu ?

Non, tu as seulement supprimé le nom d’Arthur du carnet d’adresses. Arthur lui-même est toujours assis sur son canapé en attendant que quelque chose se passe : les données sont toujours physiquement sur le support de stockage. Elles ne sont simplement plus indexées dans le répertoire d’adresses de la mémoire.

Si les flics regardent dans le carnet d’adresses, ils ne trouveront plus le nom d’Arthur. Mais s’ils cherchent simplement rue par rue, porte par porte, ils finiront par tomber sur la colocation d’Anna et Arthur, où Arthur est toujours assis.

La solution ? Écraser les données : Anna et Arthur ont besoin de nouveaux locataires aléatoires.

[!tip] Overwrite data! {static}

En résumé : les données ne sont vraiment supprimées que lorsque les adresses en mémoire où elles étaient stockées ont été écrasées par d’autres données aléatoires.

Cependant, ce processus n’est standard dans aucun système d’exploitation courant (PC ou téléphone mobile), car ceux-ci ne suppriment que les entrées d’adresse des fichiers. Cela nécessite donc des actions supplémentaires.

Particularités

• Adressage : Avec la mémoire flash comme les cartes SD, les clés USB ou les SSD, le système d’exploitation ne sait pas exactement sur quels bits les données sont réellement stockées. Il n’y a pas de lien clair entre les bits physiques et les adresses de secteurs adressables de l’extérieur. Ces bits ne peuvent donc pas simplement être écrasés, car on ne sait pas clairement lesquels doivent l’être.
• Overprovisioning : en plus, ces types de mémoire bloquent certains espaces d’adresses contre l’accès en écriture externe, appelés « blocs réservés ». Cet overprovisioning a trois fonctions principales : correction d’erreurs, optimisation de la vitesse d’écriture et préservation de la durée de vie du support de stockage.

[!technical] Technical Details - Overprovisioning

• Correction d’erreurs : si certaines cellules de stockage deviennent défectueuses (par ex. à cause de l’usure), le contrôleur peut se rabattre sur cette réserve pour éviter que les données soient stockées de manière « corrompue ».
• Vitesse d’écriture : comme les blocs de réserve sont déjà disponibles « vides », les cellules n’ont pas toujours besoin d’être supprimées avant de pouvoir être réécrites. Le contrôleur peut donc accéder directement à des cellules vides et y écrire immédiatement.
• Durée de vie : en faisant tourner les données sur les cellules mémoire, l’overprovisioning empêche certaines cellules de rester dans le même état pendant très longtemps. Cela rend typiquement ces cellules asymétriques quant à leurs états « on » et « off ». Elles ont donc tendance à basculer dans un sens ou dans l’autre. Cela conduit à des erreurs lors des opérations d’écriture, car un transistor qui est resté « on » pendant des années, par exemple, reçoit maintenant l’ordre de passer à « off » avec une impulsion extrêmement courte. Cependant, cela peut ne pas se produire parce qu’il est resté « on » trop longtemps.

Il ne suffit donc pas d’écraser les cellules mémoire avec des bits aléatoires par des méthodes conventionnelles. Cela laisse intacts les blocs de réserve, à partir desquels d’anciennes données peuvent être reconstruites en cas de doute. La spécification ATA fournit deux commandes pour cela : SECURITY ERASE UNIT et ENHANCED SECURITY ERASE UNIT. La première écrase avec des zéros, la seconde avec des octets aléatoires. Si ces commandes sont appliquées à un SSD, les blocs de réserve seront aussi écrasés. Des outils en ligne de commande existent pour cela sous Linux et Windows, mais ils peuvent être un peu bricolés. La plupart des fabricants de SSD comme Samsung, Kingston, Western Digital et d’autres fournissent leurs propres outils pour cela, qui peuvent être utilisés.

Ces outils ne font au fond rien de plus qu’appliquer ces commandes aux SSD avec leur propre firmware (propriétaire).

Supprimer des données chiffrées

Une méthode plus efficace est le chiffrement. Ce qui suit s’applique aussi bien aux disques rotatifs (HDD) qu’aux SSD :

Lorsque le support de données est chiffré, une clé est générée et stockée dans l’en-tête de la mémoire. On te demande de définir un mot de passe pour le chiffrement. Ce mot de passe est ensuite utilisé pour chiffrer la clé stockée dans l’en-tête, pas les données elles-mêmes.

Chaque opération de lecture ou d’écriture de données est déchiffrée ou chiffrée symétriquement à l’aide de la clé.

En raison des propriétés mathématiques des algorithmes de chiffrement modernes, les états des bits sur le support de données physique ne peuvent pas être distingués de bits aléatoires. Un support de données chiffré a donc exactement la même apparence qu’un support écrit aléatoirement.

Pour supprimer ces données de manière sûre, seule la clé dans l’en-tête du support de données doit être supprimée et écrasée. Cela permet non seulement de gagner beaucoup de temps (cela ne prend que quelques minutes), mais aussi de préserver la durée de vie du support de données. Écraser complètement un HDD de 1 To peut facilement prendre plus de 5 heures.

Des informations plus détaillées peuvent être trouvées ici.

[!info] Summary {static}

• Données sur des supports non chiffrés : les données supprimées laissent des traces qui peuvent être récupérées. Les données doivent donc être écrasées avec des bits aléatoires (de préférence plusieurs fois) lors de leur suppression.
• Données sur des supports de stockage chiffrés : elles ne peuvent être déchiffrées qu’avec la clé présente dans leur en-tête. Cette clé est protégée par un mot de passe. Si seule cette clé est supprimée et écrasée, les données ne peuvent plus être récupérées.

Sécurité des mots de passe

[!toc] Table of Contents

• Password managers

• Strong passwords
• 2-factor authentication
  • 2nd factor: Possession
    • TOTP software
    • USB hardware tokens
    • TOTP hardware tokens
    • SMS
  • 2-factor biometrics
  • 2nd factor: Knowledge
• Time to crack
  • Time to crack a password
  • Time to crack a passphrase

De bons mots de passe sont l’une des contre-mesures les plus importantes contre les fuites de données. Nous verrons ci-dessous ce qui fait un bon mot de passe.

• les mots de passe protègent des données chiffrées, comme des disques durs et des bases de données de mots de passe
• les mots de passe des comptes en ligne en protègent l’accès : contre les personnes non authorisées !
  • des autorités comme la police peuvent être en mesure d’obtenir l’accès par une décision judiciaire, en effet tes données y sont stockées sans chiffrement, donc elles n’ont pas besoin de ton mot de passe.

[!success] General rules {static}

• Ne pas réutiliser les mots de passe
• Utiliser des mots de passe forts
• Utiliser l’authentification à deux facteurs

C’est pourquoi il est de notre devoir, en tant qu’activistes modernes, d’utiliser un gestionnaire de mots de passe. Il nous aide à respecter toutes ces exigences sans grande difficulté. De cette manière, nous protégeons non seulement nos propres accès, mais aussi les informations derrière ceux-ci qui sont liées à nos camarades !

Dans cet article, tu trouveras des explications sur :

• ce dont un gestionnaire de mots de passe est capable
• ce qu’est un bon mot de passe
  • ce que signifie l’authentification par second facteur et pourquoi elle est recommandée

Gestionnaires de mots de passe

Un gestionnaire de mots de passe stocke tous tes mots de passe dans une seule base de données chiffrée (qui n’est qu’un fichier) protégée par un mot de passe maître. Cela signifie que tes mots de passe ne sont pas stockés en clair sur ton système ou sur papier chez toi, et que tu n’as pas à tous les retenir toi-même.

Comme tu n’as plus besoin de retenir toi-même les mots de passe, ce n’est plus un problème de générer un mot de passe fort et différent pour chaque compte - c’est même recommandé. C’est très facile à faire avec le gestionnaire de mots de passe lui-même.

Le gestionnaire de mots de passe stocke aussi l’association avec les sites web et applications pour lesquels tu as généré le mot de passe correspondant. Cela rend aussi le phishing plus difficile, car le mot de passe ne sera pas proposé comme suggestion sur une fausse URL.

Comme mentionné plus haut, le gestionnaire de mots de passe lui-même est protégé par un mot de passe maître fort et/ou d’autres facteurs (voir ci-dessous authentification à deux facteurs). C’est donc (en dehors du chiffrement de disque dur) le seul mot de passe que tu as vraiment besoin de retenir, et il peut donc être un peu plus complexe. La règle est : mieux vaut retenir un mot de passe fort que beaucoup de mots de passe peu sûrs.

[!tip] Which password manager? {static}

Lis-en plus à ce sujet dans les recommandations pour les gestionnaires de mots de passe.

Mots de passe forts

D’accord, mais tu as quand même besoin d’au moins un mot de passe fort pour le gestionnaire de mots de passe. Mais quand un mot de passe est-il fort ?

Une importante condition de base est la génération aléatoire du mot de passe. Tout ce que tu inventes, aussi astucieux que ton système puisse être, doit être considéré comme peu sûr.

Des algorithmes optimisés permettent aux autorités de chercher spécifiquement des mots de passe probables pour des activistes, en essayant du vocabulaire, des citations d’écrits et de chansons révolutionnaires, etc., tout en économisant du temps et de l’énergie en évitant par exemple le vocabulaire fasciste.

« L’histoire est l’histoire de la lutte des classes » contient peut-être dix mots, mais pour les raisons mentionnées ci-dessus, c’est un très mauvais mot de passe !

Ici, tu peux déjà voir que le terme mots de passe inclut aussi les phrases de passe. Les phrases de passe sont des chaînes de mots générées aléatoirement. Elles ont l’avantage de permettre aux personnes de retenir des chaînes de caractères beaucoup plus longues.

[!tip] A good password is {static}

• Un bon mot de passe devrait avoir une entropie de plus de 120 bits. C’est un peu plus que la recommandation habituelle de 80-100 bits, mais cela devrait donc être sûr face aux futurs progrès matériels.
• En pratique, lorsqu’on parle de phrases de passe, cela devrait donner au moins 5 mots, de préférence 8.
• Créé avec un gestionnaire de mots de passe ou Diceware (dés et liste de mots).

Nous expliquons ci-dessous d’où viennent les nombres 5 et 8, choisi à partir du temps qu’il faudrait théoriquement pour casser un mot de passe ou une phrase de passe générés aléatoirement. Cependant, ces tableaux sont toujours soumis à de nombreux si et mais.

Authentification à deux facteurs

La 2FA garantit que la simple saisie d’un mot de passe ne suffit pas pour une autorisation complète, puisqu’on part du principe que les mots de passe peuvent être compromis. Une deuxième instance est donc demandée pour l’autorisation complète.

Les recommandations pour les gestionnaires de mots de passe incluent un exemple de scénario montrant comment une base de données KeePassXC peut être sécurisée avec un second facteur.

Le second facteur peut reposer sur différentes caractéristiques :

2e facteur : possession

Tu as besoin d’un appareil spécial qui affiche un nombre ou doit être branché à l’ordinateur via USB. Si l’attaquant·e n’a pas cet « appareil », l’autorisation ne sera pas accordée. (Tokens matériels, applications 2FA, SMS)

Logiciel TOTP

TOTP signifie time-based one-time password et peut être configuré avec tous les gestionnaires de mots de passe courants comme KeePassXC. Le processus de connexion consiste alors à saisir ton nom d’utilisateur et ton mot de passe, après quoi le TOTP te sera demandé (par ex. un PIN à 6 chiffres), qui change toutes les ~30 secondes.

Tokens matériels USB

Ils ressemblent à des clés USB normales. Si un service/disque dur ou autre élément configuré avec ce token doit être déverrouillé, la clé doit aussi être insérée dans l’appareil utilisé. Ces tokens sont souvent protégés par un PIN, donc les voler ne suffit pas. Le nombre de tentatives de PIN est limité.

Comme tout cela est implémenté et protégé au niveau matériel, c’est une méthode d’authentification très sûre. (Le standard pertinent pour les tokens de sécurité de ce type s’appelle FIDO2, l’ancien standard est U2F.)

Tokens matériels TOTP

Similaire au TOTP software, mais pas dans une application comme un gestionnaire de mots de passe : c’est un appareil de la taille d’un pouce. Il a un petit écran qui affiche le TOTP à 4-6 chiffres, qui change toutes les ~30 secondes.

Lors de la connexion, le code affiché à ce moment doit toujours être saisi comme 2FA. Cependant, les standards pour les tokens de ce type ne sont généralement pas open source, c’est pourquoi nous ne recommandons pas de les utiliser.

SMS

Probablement la méthode la plus connue. Pour vérifier l’identité de l’utilisateur·ice, le service concerné envoie un SMS au numéro de téléphone enregistré avec le compte. Comme le réseau mobile ne peut pas être considéré comme sûr, nous ne recommandons pas cette méthode.

Biométrie comme deuxième facteur

Des caractéristiques biométriques uniques doivent être vérifiées lors de l’inscription (empreinte digitale, reconnaissance faciale, scan de l’iris). L’authentification biométrique est particulièrement répandue pour les smartphones.

Cependant, l’authentification biométrique nous pose un problème : les autorités peuvent simplement utiliser nos caractéristiques biométriques sous contrainte et par la force. Nous déconseillons donc par principe les méthodes de déverrouillage biométrique comme l’empreinte digitale et Face ID.

[!technical] Technical

Il a été prouvé que les biométries comme les empreintes digitales ou la reconnaissance faciale peuvent être falsifiées. Starbug du CCC a déjà montré à quel point c’est facile pour les empreintes digitales, les visages, les iris et la reconnaissance des veines. Le point le plus important ici, cependant, est que tu ne peux jamais changer tes caractéristiques biométriques. Un mot de passe compromis peut être réinitialisé. Une empreinte digitale ou un visage, en revanche, ne le peuvent pas.

La seule exception à cela est GrapheneOS, qui propose un PIN comme second facteur limité à vingt tentatives pour la reconnaissance d’empreinte digitale et répond par ailleurs aux standards de sécurité les plus élevés.

2e facteur : connaissance

Par exemple, les questions de sécurité qui étaient courantes dans le passé, comme « Quel est ton lieu de naissance ? ». Cependant, ces « questions de sécurité » impliquent généralement des réponses que quelqu’un qui te connaît bien pourrait facilement trouver. Nous ne les recommandons donc pas.

Temps nécessaire pour casser

En réalité, le temps nécessaire pour casser un mot de passe dépend beaucoup des circonstances exactes. Les calculs ici supposent un scénario très précis. Le scénario montré ici suppose des conditions très favorables pour les attaquant·es. Cela signifie qu’en pratique, cela prendra encore plus de temps.

Temps nécessaire pour casser un mot de passe

Il faut aussi noter que ces durées concernent un mot de passe d’une personne. Tout le matériel est occupé par cette tâche, donc aucun autre mot de passe ne peut être cassé pendant ce temps.

[!technical] Technical

Nous supposons qu’un mot de passe utilise MD5 comme fonction de hachage et que les attaquant·es ont accès au matériel utilisé pour entraîner ChatGPT : 10 000 GPU NVIDIA A100. Prix d’achat : env. 9 000 $ par unité (2024) pour la version moins chère avec 40 Go de mémoire. Cela fait un total de 90 millions de dollars. Même louer cette quantité de matériel n’est pas moins cher à long terme. Des détails supplémentaires sur le scénario se trouvent chez hive-systems, qui a effectué les calculs.

Prérequis important : le mot de passe doit avoir été généré aléatoirement ! Cela signifie qu’il s’agit uniquement de brute force sur les caractères. Par exemple, on commence par 0000 et on essaie :

• 0001,
• 0002,
• ...,
• AAAA,
• AAAB,
• ...,
• A-A-A-B-B,
• R€70lut10n,
• …

etc. sans listes de mots optimisées pour la personne ciblée.

Temps nécessaire pour casser une phrase de passe

Cependant, un mot de passe aléatoire suffisamment long et contenant lettres, chiffres et caractères spéciaux est difficile à retenir pour les humains. C’est pourquoi nous recommandons d’utiliser des phrases de passe pour les mots de passe que tu dois mémoriser, comme ceux de ton gestionnaire de mots de passe et du disque dur de ton ordinateur et de ton téléphone. Elles se composent de mots plutôt que de lettres individuelles. Elles sont beaucoup plus faciles à retenir pour les humains, mais ne sont pas moins sûres que les mots de passe. Voir aussi : xkcd 936

[!technical] Technical

En théorie de l’information, il faut toujours supposer que l’attaquant·e sait comment nous avons créé le mot de passe afin d’en évaluer la sécurité. L’attaquant·e utilise donc ici une attaque par liste de mots. Sinon, tout reste identique.

Par exemple, le cas des mots est supposé ci-dessous : les attaquant·es savent exactement combien de mots, de quelle langue et sous quel format (c.-à-d. majuscules/minuscules, quels caractères entre les mots) ont été utilisés pour le mot de passe, et utilisent (dans la colonne de gauche) le matériel ayant servi à entraîner ChatGPT pour le casser. Ces graphiques ne doivent donc pas être pris au pied de la lettre.

Comme déjà mentionné, des phrases de passe aléatoires peuvent être créées à l’aide de gestionnaires de mots de passe ou, de manière similaire, avec des dés et une liste de mots aussi grande que possible.

Cartes SD WiFi

[!toc] Table of Contents

Les photographes, en particulier, sont souvent confronté·es au problème que leurs images fraîchement prises sont stockées sans chiffrement sur les cartes SD de leur appareil photo jusqu’à ce qu’iels puissent les transférer vers des disques durs chiffrés une fois de retour à leurs ordinateurs portables. De plus, les supports de stockage comme les cartes SD, les clés USB et les SSD sont très peu fiables, voire impossibles à effacer de manière sûre si les données qu’ils contenaient n’étaient pas chiffrées.

Les cartes SD dites Wi-Fi peuvent aider à résoudre ce problème. Comme les cartes SD normales, elles sont simplement insérées dans l’emplacement SD de l’appareil photo. Cependant, elles ne stockent en réalité aucune image. Elles sont plutôt connectées à un téléphone mobile via Wi-Fi (direct) au moyen d’une application et envoient immédiatement chaque image prise vers le téléphone mobile. Comme ton téléphone est (idéalement) chiffré, les données sont alors mieux protégées.

Nettoyer les métadonnées

[!toc] Table of Contents

• Exifcleaner

• Metadata Cleaner
  • Mat2
    • Web application
• Scrambled Exif
• Printerdots
• Anonymize scanned documents
  • Okular
  • Obfuscate
  • Libre Office

[!tip] Tip {static}

Si tu ne sais pas exactement ce que sont les métadonnées, lis

l’article sur cette menace.

Ce qui suit est principalement repris de l’entrée sur les métadonnées du wiki Systemli.

ExifCleaner

Plateforme : Linux, Mac, Windows Exifcleaner est une application qui permet de supprimer les métadonnées des fichiers.

Metadata Cleaner

Plateforme : Linux Metadata Cleaner est un programme populaire pour supprimer toutes les métadonnées de différents formats de fichiers en un seul clic. Il prend en charge tous les formats de fichiers courants et il est très simple à utiliser. Il est basé sur Mat2, qui est présenté ici. Mat2 nous intéresse particulièrement grâce à son application web, qui peut être une bonne alternative quand on est en déplacement.

Mat2

Plateforme : navigateur web (en ligne, tous systèmes) et gestionnaire de fichiers (hors ligne, Linux)

Mat2 est préinstallé sur le système d’exploitation anonyme Tails et peut être installé sur d’autres systèmes Linux. Au lieu d’être un programme autonome, mat2 est installé comme extension du navigateur de fichiers et s’utilise en faisant un clic droit sur le fichier à nettoyer. 

Application web

Tu peux aussi utiliser mat2 sans installation comme application web à l’adresse https://metadata.systemli.org. Les fichiers sont envoyés sur le serveur de Systemli, nettoyés là-bas, puis tu peux les télécharger à nouveau. L’application web est donc une alternative quand tu es en déplacement.

Scrambled Exif

Plateforme : Android

Scrambled Exif est une application open source pour nettoyer les fichiers image. Tu peux télécharger l’application depuis le Google Play Store ou F-Droid. Après l’installation, tu dois ouvrir l’application une fois et lui donner l’autorisation d’accéder à ton stockage pour la configurer. Ensuite, chaque fois que tu veux partager une image, tu peux la partager via Scrambled Exif. L’application nettoiera le fichier et te demandera avec quelle application tu veux partager le fichier nettoyé.

Points d’imprimante

Comme décrit sur HacksAndLeaks : au lieu de téléverser des documents originaux dont les points d’imprimante pourraient révéler ton identité, il vaut mieux retaper ou reproduire les originaux à la main, les imprimer sur une imprimante « anonyme », puis les publier ainsi.

Anonymiser des documents numérisés

Okular

Plateforme : Linux, Windows, (MacOS officiellement seulement avec une version instable, mais fonctionne assez bien d’après l’expérience)

Okular est un lecteur PDF qui peut aussi être utilisé pour caviarder des documents.

Obfuscate

Plateforme : Linux

Avec Obfuscate, les fichiers image peuvent être pixellisés/caviardés de manière fiable.

Libre Office

Les documents peuvent aussi être caviardés avec Libre Office. Cependant, la plupart des gens trouvent les méthodes ci-dessus beaucoup plus intuitives et simples. Un guide plus ancien mais très bon, en anglais, est disponible ici.

Dangerzone

[!toc] Table of Contents

• How does it work?

Dangerzone est un outil très utile pour ouvrir de manière sûre des fichiers potentiellement dangereux.

Il prend en charge plus de 20 types de fichiers, notamment les PDF, tous les principaux formats de suites bureautiques et les formats d’image les plus courants, qu’il peut convertir en PDF sûrs.

[!tip] Tip {static} If you are in doubt whether you can safely open a file - just open it with Dangerzone!

Les instructions pour installer Dangerzone se trouvent sur leur site web. Tous les principaux systèmes d’exploitation sont pris en charge.

Comment ça fonctionne ?

Dangerzone détruit les malwares en rendant ton document sous forme de pixels dans une sandbox sécurisée, puis en le reconstruisant localement en PDF. Les documents sont nettoyés dans une sandbox sans accès réseau : donc si un document malveillant parvient à compromettre la sandbox, il ne peut pas « appeler chez lui ». La sandbox est basée sur la technologie des conteneurs.

[!info] Info {static}

Dangerzone est un projet libre et open source, maintenu par la Freedom of the Press Foundation (FPF), une organisation à but non lucratif qui protège et défend la liberté de la presse.

Si l’explication ci-dessus ne te suffit pas :

[!technical] Dangerzone “under-the-hood”

Ces informations viennent de la page « about » du projet. Dangerzone utilise des conteneurs Linux, qui sont des environnements d’application isolés partageant le noyau Linux avec leur > hôte. Sous Windows et macOS, il utilise Podman sous le capot, qui lance les conteneurs dans une machine virtuelle dédiée. Depuis > Dangerzone 0.10.0, toute cette complexité est cachée à l’utilisateur·ice. D’abord, la sandbox :

1. Lit le document original depuis l’entrée standard
2. Utilise LibreOffice ou PyMuPDF pour convertir le document original en PDF
3. Utilise PyMuPDF pour diviser le PDF en pages individuelles et les convertir en données de pixels RGB
4. Écrit le nombre de pages et les données de pixels RGB sur sa sortie standard Puis cette sandbox se ferme. L’hôte lit les données de pixels RGB depuis la sortie standard du conteneur et :
5. Si l’OCR est activé, utilise PyMuPDF pour convertir les données de pixels RGB en PDF compressé et consultable par recherche
6. Sinon, utilise PyMuPDF pour convertir les données de pixels RGB en PDF compressé et plat
7. Stocke le PDF sûr dans le répertoire indiqué avec le suffixe -safe.pdf, et archive l’original

Programmes de chiffrement

[!toc] Table of Contents

• VeraCrypt

• Cryptomator

Il existe plusieurs façons de chiffrer des fichiers ou des dossiers entiers. Cependant, dans la plupart des cas, les mêmes méthodes sous-jacentes sont utilisées.

Ici, nous présentons deux outils qui te permettent de chiffrer des fichiers localement sur ton appareil de manière sûre et fiable. Si tu as besoin d’aide pour choisir :

• Cryptomator est la solution de référence quand tu utilises Nextcloud et que tu veux synchroniser tes fichiers chiffrés avec ton groupe.
• VeraCrypt est la solution de référence pour chiffrer des supports de stockage, par exemple des clés USB, et créer des dossiers chiffrés.

VeraCrypt

• VeraCrypt peut soit créer un conteneur chiffré (un conteneur est essentiellement juste un fichier) qui peut ensuite être ouvert comme un dossier. Les conteneurs chiffrés offrent une deuxième couche de protection, mais ne doivent pas être considérés comme un remplacement du chiffrement complet du disque.
• VeraCrypt peut être utilisé pour chiffrer des supports de stockage entiers (clés USB, disques durs internes et externes, etc.).
• Avec VeraCrypt, tu peux aussi chiffrer complètement tes systèmes Windows, ce qui en fait une alternative open source à BitLocker, le logiciel natif de chiffrement de disque de Windows, moins sûr.

[!tip]

Dans notre guide de VeraCrypt, tu trouveras des instructions étape par étape pour l’installation et les fonctionnalités les plus importantes.

Cryptomator

• Cryptomator a été développé principalement pour le chiffrement de bout en bout de fichiers dans le cloud.
• Contrairement à VeraCrypt, Cryptomator ne crée pas simplement un seul « fichier » comme volume. Il divise plutôt ce volume en de nombreuses petites parties. Cela permet une synchronisation beaucoup plus efficace, car tout le volume n’a pas besoin d’être téléversé ou téléchargé à chaque modification ou ajout de fichiers.
• Cryptomator dispose aussi d’une application mobile, ce qui rend la synchronisation de fichiers chiffrés de bout en bout via le cloud très simple à utiliser. En même temps, il peut aussi être utilisé pour chiffrer facilement des fichiers localement sur ton appareil.

[!tip]

Voir nos instructions sur Cryptomator et la synchronisation de fichiers avec Nextcloud.

GrapheneOS

[!toc] Table of Contents

• Recommended Apps

• Recommended settings
  • Confidential profile
  • Data protection & security
    • Exploit protection
    • More Security and Privacy
    • Duress Password
    • WiFi
    • 2FA for fingerprint
    • PIN scrambling
  • Apps

GrapheneOS est un système d’exploitation mobile basé sur Android. Il est souvent recommandé comme alternative aux systèmes d’exploitation préinstallés (OEM), car il peut être utilisé entièrement sans les services Google. En plus de cette fonctionnalité, qui protège la vie privée des utilisateur·ices, GrapheneOS, en combinaison avec les appareils pris en charge, offre des fonctionnalités de sécurité à l’état de l’art ; c’est pourquoi nous recommandons fortement son utilisation ici.

Applications recommandées

GrapheneOS arrive comme un système d’exploitation très vide, avec seulement les outils vraiment nécessaires installés. Comme l’installation d’applications est cruciale pour la sécurité, nous voulons donner une recommandation sur la manière d’installer des applications et depuis quelles sources/app stores.

Nous considérons les applications suivantes comme faisant partie de l’installation standard de la plupart des activistes. La liste suivante contient, lorsque c’est nécessaire, des liens vers nos instructions pour installer ces applications de manière sûre sur une installation GrapheneOS fraîche. Nous :

• Accrescent App Store: `Accrescent is a trusted app store that can be installed by the default GrapheneOS app store
• Messagerie Signal
• F-Droid: F-Droid provides apps, that Accrescent does not
• Orbot : Orbot fait passer tout le trafic réseau de ton téléphone par le réseau Tor
• Tor Browser
• CoMaps : est une carte hors ligne. Installe-la simplement depuis F-Droid

[!technical] What about Organic Maps?

CoMaps est un fork communautaire du bien connu

Organic Maps, qui a malheureusement fâché sa propre communauté en tirant un profit privé de contributions communautaires

Paramètres recommandés

Profil confidentiel

Pour beaucoup de personnes, les applications gourmandes en données comme WhatsApp et autres restent indispensables dans leur répertoire numérique. Par conséquent, des profils de travail séparés sont souvent configurés pour utiliser ces applications. La fonctionnalité « Espace privé » peut être ici une alternative bienvenue :

[!quote] Quote {static}

Android 15 introduit la possibilité d’installer des applications dans une zone complètement isolée, séparée du reste du système. […] Contrairement à l’ancien profil de travail, qui nécessitait une connexion utilisateur séparée, Espace Privé est intégré directement au système, ce qui le rend beaucoup plus simple à utiliser et plus accessible.

L’équipe GrapheneOS a écrit cette annonce de fonctionnalité, qui donne plus de détails sur la manière d’utiliser la fonctionnalité d’espace privé.

Il est important de noter que le profil confidentiel a ses propres paramètres réseau. Cela signifie que si tu utilises TOR ou des VPN, tu dois les configurer à nouveau dans le profil confidentiel, car les paramètres du profil propriétaire normal ne s’appliquent pas ici. Cela peut aussi être vu comme une fonctionnalité de confidentialité, puisque les IP de sortie peuvent être séparées.

Protection des données et sécurité

Protection contre les exploits

Dans les paramètres sous Sécurité et Vie privée > Protection contre les Exploits :

• redémarrage automatique : cette option définit quand ton téléphone redémarre automatiquement, mesuré par le temps écoulé depuis le dernier déverrouillage. Le délai de redémarrage automatique devrait être aussi bas que possible, tout en restant confortable pour les utilisateur·ices. Après un redémarrage, par exemple, aucun message/appel Signal ne sera reçu tant que l’appareil n’aura pas d’abord été déverrouillé. Cependant, un délai de redémarrage plus court peut éventuellement protéger tes données contre une extraction physique dans les cas où l’appareil a été confisqué. Cela limite le temps dont disposent les attaquant·es pour essayer d’exploiter l’appareil pendant que l’utilisateur·ice est encore connecté·e, puisqu’il redémarrera automatiquement s’il n’est pas déverrouillé avec succès dans le délai défini1.
• Port USB -C : cette option contrôle le comportement du port USB-C. Elle devrait idéalement être réglée au moins sur « Chargement seulement ». L’option « Chargement seulement quand verrouillé » est un niveau plus strict et donc potentiellement plus sûr, mais elle signifie que le téléphone ne peut pas être chargé pendant qu’il est utilisé en même temps.
• Arrêter le WiFi & Bluetooth automatiquement : désactiver le WiFi et le Bluetooth quand ils ne sont pas nécessaires est bon non seulement pour l’autonomie de ta batterie, mais aussi pour la sécurité et la confidentialité. Une durée pratique devrait être choisie pour les deux.

[!technical] WiFi privacy risks

Quand ton WiFi est activé, ton téléphone vérifie constamment s’il y a des connexions WiFi déjà connues à proximité. Il révèle ainsi des informations sur tes réseaux WiFi enregistrés, ce qui peut représenter un risque important pour la vie privée. Combiné à d’autres ressources, cela peut être utilisé par des adversaires avancés pour t’identifier ou suivre ta position. Par exemple, la carte WIGLE peut potentiellement être utilisée par n’importe qui pour suivre certains appareils 2.

Plus de sécurité et de confidentialité

Dans les paramètres dans Securité et Vie privée > Plus sécurité et vie privée :

• Notifications on lock screen: Show sensitive content should be turned off. In case you phone gets stolen, the thief can see all incoming messages, including the names of the persons who sent them. This is a major security and privacy risk. At least prevent the notifications from showing sensitive content.
• Autoriser les permissions Capteurs par défaut : cela devrait être désactivé. De cette manière, on te demandera quelles autorisations liées aux capteurs tu veux donner à une application à chaque installation. Cela te rendra plus conscient·e de ce que différentes applications sont capables de faire.

Mot de passe Duress

• Mot de passe Duress : un mot de passe sous contrainte garantit que lorsqu’il est saisi, le téléphone est complètement réinitialisé aux paramètres d’usine. C’est très utile si tu es un jour contraint·e ou forcé·e à déverrouiller ton téléphone. Cela fonctionne aussi si un·e attaquant·e essaie de deviner ton mot de passe par force brute. Bien sûr, il est nécessaire d’avoir des sauvegardes régulières de ton téléphone, ou au moins de tes données critiques, pour s’assurer que la réinitialisation ne mène pas à une perte de données.

Il vaut mieux choisir un mot de passe Duress qui :

• tu peux t’en souvenir immédiatement, même dans des situations stressantes. C’est important pour pouvoir saisir rapidement le duress password quand c’est nécessaire
• que la police ou ton adversaire devinerait probablement, afin que tes données soient effacées si une tentative de déverrouillage est faite
• que tu ne choisirais jamais comme vrai mot de passe, afin que les personnes qui te connaissent n’effacent pas accidentellement tes données si elles essaient de déverrouiller ton téléphone

WiFi

Pour tous les réseaux WiFi dont tu n’as pas le contrôle complet :

• Dans les paramètres de la connexion concernée (icône d’engrenage à côté du nom du WiFi) : active la randomisation non persistante de l’adresse MAC pour cette connexion. C’est une fonctionnalité de confidentialité qui rend plus difficile le suivi ou l’identification via WiFi.

2FA pour l’empreinte digitale

Il est récemment devenu possible d’utiliser un second facteur pour déverrouiller ton téléphone via l’empreinte digitale. Cela représente un énorme progrès dans le compromis entre utilisabilité et sécurité !

Quel était le problème avant ?

Normalement, les méthodes de déverrouillage biométrique devraient être utilisées avec une extrême prudence, pour la simple raison qu’elles peuvent être imposées par d’autres personnes. En cas de doute, la police peut forcer ton doigt sur ton téléphone et le déverrouiller. Cela signifie que, jusqu’à présent, l’utilisation du déverrouillage biométrique s’accompagnait toujours du risque d’être pris·e par surprise et forcé·e à déverrouiller ton téléphone avant qu’il puisse être éteint.

Quelle est la solution ?

L’option 2FA offre la possibilité de configurer un code PIN d’au moins 4 chiffres (6 chiffres sont recommandés), qui doit être saisi à chaque fois après l’empreinte digitale pour déverrouiller le téléphone.

Tu dois toujours taper quelque chose, mais un PIN à 6 chiffres sur le grand pavé numérique est beaucoup plus simple et rapide à saisir qu’une phrase de passe de 7 mots sur le petit clavier. De plus, le PIN peut être modifié bien plus facilement si nécessaire, car tu n’as pas à apprendre un nouveau long mot de passe.

Ton mot de passe devrait toujours suivre les recommandations sur les phrases de passe, mais l’utilisation de cette fonctionnalité signifie que le téléphone peut être chiffré avec un mot de passe très fort sans devoir le saisir plusieurs fois par jour, puisque le long mot de passe n’est requis qu’au premier déverrouillage du téléphone.

Le PIN peut-il être forcé par brute force ?

Seulement dans une mesure très limitée :

• Toute la méthode par empreinte digitale n’est disponible que pendant 48 heures après la dernière saisie du mot de passe principal (long).
• Un maximum de 4 * 5 tentatives échouées est autorisé. Il y a un délai de 30 secondes entre chaque 5e tentative échouée. Cela signifie qu’il y a au maximum 20 tentatives échouées. [1].
• Tant que ton PIN est vraiment aléatoire et donc difficile à deviner (pas ta date d’anniversaire, par exemple), il peut être considéré comme sûr.

PIN scrambling

PIN scrambling est assez nerd, mais cela a bien ses cas d’usage :

Les localisations dépendent de si tu as déjà activé le PIN comme 2nd facteur pour les empreintes digitales. Voir ici dans nos instructions.

Au lieu que les chiffres soient toujours affichés dans l’ordre numérique à l’écran, ils sont affichés à des positions aléatoires lors de la saisie du PIN. Cela signifie que si un·e attaquant·e t’observe (directement ou par vidéo surveillance) en train de saisir ton PIN à courte distance et n’a pu voir que la direction de ton pouce sur l’écran, iel ne pourra pas reconstruire ton PIN.

Le PIN scrambling est aussi disponible pour la 2FA par empreinte digitale.

Applications

Dans les paramètres sous Applications > Accès spéciaux des applications :

• Install unknown apps: Here are all apps listed that could potentially be able to install other programs on your phone. Check this list, so that only the app stores you use, are allowed to install other apps, such as: Accrescent, App Store, F-Droid, Aurora Store and so on …

[!tip] Tip {static}

Autorise aussi Signal à installer des applications ! Même si cela semble contre-intuitif, cela permet à Signal de se mettre à jour lui-même !

Messagerie

[!toc] Table of Contents

• Signal

• Advantages of Signal
• Disadvantages of Signal
• Signal groups
• Matrix
  • How it works
  • Advantages of Matrix
  • Disadvantages of Matrix

Même si les e-mails sont encore régulièrement utilisés pour la communication numérique, les messageries sont devenues plus populaires ces dernières années.

Un avantage des (bonnes) messageries par rapport aux e-mails est que le chiffrement et la communication sécurisée font partie de leur conception initiale, alors que l’e-mail est non chiffré et plutôt peu sûr par défaut.

Certains critères pour définir ce qui fait une bonne messagerie se trouvent chez PrivacyGuides. Pour les activistes, selon le modèle de menace, il est particulièrement important d’avoir une communication sûre et anonyme.

Trois messageries largement utilisées dans les milieux militants et qui peuvent être recommandées sont Signal, Matrix et Delta Chat.

[!example] TL;DR {static}

Signal fixe les standards les plus élevés pour son chiffrement et sa protection des données, et c’est probablement la plus simple à utiliser. Inconvénient : elle nécessite un numéro de téléphone pour l’inscription.

Matrix utilise aussi un chiffrement moderne, mais peut être moins intuitive à utiliser. Elle est décentralisée, ce qui signifie que tu peux choisir un serveur qui te convient pour l’inscription et que tu n’as pas besoin de numéro de téléphone.

Delta Chat s’appuie sur les anciens protocoles e-mail et utilise PGP pour le chiffrement. PGP est toujours considéré comme sûr. Cependant, si ta clé privée est volée par un·e attaquant·e, tout l’historique de communication peut fuiter. L’avantage de Delta Chat est qu’elle est décentralisée et qu’il suffit d’un compte e-mail fonctionnel pour commencer.

Signal

Signal a été développé par l’anarchiste Moxie Marlinspike et c’est l’une des alternatives les plus connues à la messagerie monopolistique WhatsApp.

Avantages de Signal

• Facile à utiliser : Signal est simple à installer et tout « fonctionne tout seul ». Il n’y a pas grand-chose que tu puisses mal faire au point de compromettre ta sécurité.
• Utilisation répandue : en janvier 2025, la plateforme comptait environ 70 millions d’utilisateur·ices actif·ves mensuellement. Même si cela reste loin derrière les 2 milliards d’utilisateur·ices de WhatsApp, Signal est néanmoins répandue, contrairement à certaines autres messageries de cette liste.
• Chiffrement sûr : Signal dispose de son propre protocole de communication, qui est open source et audité régulièrement. D’autres messageries, comme WhatsApp, ont aussi adopté ce protocole, ce qui signifie qu’il est utilisé chaque jour par des milliards d’utilisateur·ices. La communication dans Signal est donc chiffrée de bout en bout de manière sûre.
• Minimisation des données : Signal stocke le moins d’informations possible sur ses utilisateur·ices et ne peut donc divulguer que très peu d’informations lorsqu’elle y est contrainte par les autorités. Les seules données que Signal a pu divulguer dans d’anciennes affaires judiciaires étaient la date de création du compte et la date de sa dernière utilisation. Lorsqu’elle est légalement forcée de fournir des informations à des gouvernements ou à des services de police, Signal publie les transcriptions de cette communication ici.
• Option de suppression automatique : les discussions peuvent être configurées pour supprimer automatiquement les messages après un certain délai après leur lecture. Cela signifie qu’elles sont sûres même si la police obtient accès à l’appareil, mais seulement après ce délai.

Inconvénients de Signal

• Anonymity: Signal was not designed to be anonymous, but to provide secure encryption. As of today (2026), a phone number is required to register. In many countries, phone numbers must (legally) be registered to a real person. The phone number used to be visible to everyone you communicate with, but Signal now enables users to hide their phone number from other users. When using a phone number that is not linked to your identity for registration, Signal can therefore be considered as anonymous as the other messengers in this list.
• Basée aux États-Unis : la Signal Foundation est basée aux États-Unis et peut donc être forcée à transmettre des données aux services de renseignement. Cependant, Signal dispose de très peu de données pouvant être transmises.
• Centralisation : Signal ne fonctionne que sur sa propre infrastructure (située chez Amazon, Microsoft, Google et Cloudflare) et ne peut pas être auto-hébergée. Cela signifie que les utilisateur·ices doivent faire confiance à Signal, dans une certaine mesure, pour bien faire son travail. En revanche, un serveur Signal compromis ne signifie pas que toutes tes discussions sont aussi compromises, tant que tes numéros de sécurité restent vérifiés. Mais cela signifie bien qu’il existe un point de défaillance central : si Signal est fermé un jour, tu pourrais avoir besoin d’un autre canal de communication avec tes contacts.
• Censure : comme Signal est centralisée, des gouvernements peuvent essayer de bloquer les connexions aux serveurs Signal. Signal a introduit des proxies qui peuvent contourner la censure, mais cela augmente la barrière d’entrée. Les statistiques d’autres projets, comme le projet Tor, montrent que l’utilisation d’une technologie baisse fortement lorsqu’elle est censurée, même s’il existe des moyens de contourner cette censure. Les projets de l’UE visant à introduire éventuellement le « Chat Control » et la réponse de Signal indiquant qu’elle pourrait quitter le marché européen si le règlement proposé est adopté mettent ce problème en évidence. Si la loi est adoptée, les utilisateur·ices de l’UE pourraient devoir s’appuyer sur des proxies pour se connecter à Signal ou se rabattre sur des messageries alternatives

[!tip] See our recommendations about how to purchase phone numbers online anonymously. (The crypto currency Monero is required)

Groupes Signal

Les groupes Signal sont populaires et fréquemment utilisés pour communiquer dans de grands groupes (jusqu’à ~150 contacts). En général, les discussions Signal permettent la suppression automatique des messages après un délai défini, qui devrait aussi être configuré pour les groupes présentant un potentiel de risque plus élevé.

Malheureusement, il n’existe pas encore de fonction qui supprime automatiquement des groupes entiers après un délai défini. C’est pourquoi, surtout lorsque des appareils sont confisqués, il est important de réfléchir aux contacts reliés dans quels groupes (ou à quels noms de groupes !) et qui pourraient aussi être compromis.

Nous recommandons donc (pour toutes les discussions de groupe, pas seulement sur Signal) : selon le principe du déni plausible, donne à tes groupes des noms aussi discrets que possible et qui ne peuvent pas être utilisés contre toi ! En cas de doute, l’historique de discussion montrera seulement que le nom du groupe a été changé, mais pas comment il s’appelait avant.

[!danger] Attention {static}

En cas de confiscation, le compte concerné devrait aussi être retiré immédiatement de tous les groupes !

[!tip] {static}

Tu peux lire nos instructions pour utiliser Signal de manière aussi anonyme et sûre que possible.

Matrix

Matrix est un protocole de communication. Il existe différentes applications clientes pour ce protocole, la plus connue étant Element.

Matrix est devenue de plus en plus populaire dans les milieux militants et hackers, surtout récemment.

Comment ça fonctionne

La différence la plus importante entre Matrix et d’autres messageries comme Signal est sa décentralisation, ou fédération. Comme pour l’e-mail, il existe de nombreux serveurs différents (« home servers »), par exemple matrix.org ou matrix.systemli.org. Si une personne militante avec un compte Matrix sur matrix.org communique avec une personne militante avec un compte Matrix sur matrix.systemli.org, les messages (chiffrés) doivent être synchronisés entre les deux serveurs.

Avantages de Matrix

• Chiffrement sûr : Matrix utilise sa propre implémentation du protocole Signal. Elle a certains inconvénients par rapport au protocole Signal, mais reste d’un niveau de sécurité similaire.
• Décentralisation : Matrix est fédérée et donc décentralisée. Il existe de nombreux serveurs différents qui communiquent entre eux, donc de nombreux points devraient être attaqués pour paralyser complètement Matrix. Elle est donc plus résistante à la censure que Signal, aussi bien légalement que techniquement.
• Anonymat : certains serveurs ne demandent aucune information personnelle pour créer un compte. Cela permet, en principe, d’utiliser Matrix anonymement.
• Ouverture : le code source de Matrix et d’Element est open source et peut être audité pour la sécurité.

Inconvénients de Matrix

• Compliqué à utiliser : Matrix peut parfois être compliqué à utiliser. Le principe de fédération est contre-intuitif pour les personnes non techniques, il existe beaucoup de clients différents parmi lesquels choisir (ce qui peut être intimidant), et certaines choses ne fonctionnent pas encore de manière fluide.
• Pas encore très répandu : il faut souvent convaincre les gens de créer un compte Matrix.
• Manque de minimisation des données : parce que Matrix est fédéré, toutes les données doivent être synchronisées sur tous les serveurs fédérés. Cela signifie aussi qu’il est pratiquement impossible de supprimer des données. Par défaut, l’ID Matrix, les informations personnelles, les données d’utilisation, les adresses IP, les informations sur les appareils, les autres serveurs avec lesquels la communication a lieu, et les IDs de salons 1 sont stockés par défaut sur tous les serveurs.

[!info] {static}

Dans l’ensemble, choisir la bonne messagerie dépend des menaces auxquelles tu fais face, des personnes avec qui tu veux communiquer et de tes préférences personnelles. D’un point de vue technique et sécurité, celles mentionnées ci-dessus, en particulier Signal, sont les plus recommandées.

[1] : la source fait référence à une ancienne version de Matrix. On ne sait pas clairement dans quelle mesure la quantité de données stockées par défaut et le comportement de suppression sont transposables aux versions actuelles.

Gestionnaire de mots de passe

[!toc] Table of Contents

• KeePass for mobile devices

• KeePassXC
  • Browser integration
  • Key file
    • Key file as second factor
    • Key file as master key
    • Key file as master key with 2nd factor password
  • Generate new passwords
  • Synchronize and back up passwords in the cloud
    • Example scenario
  • KeePassXC as a 2-factor app
  • Instructions
  • Note

[!info] Info {static}

Un gestionnaire de mots de passe est un outil essentiel pour s’assurer que tu prends les précautions nécessaires afin de garder tes mots de passe en sécurité. Tu peux découvrir ici ce qui fait un bon mot de passe et comment les gérer : Contre-mesure : mots de passe forts

KeePassXC et Bitwarden sont tous deux open source et disposent d’applications pour tous les systèmes d’exploitation/navigateurs courants.

KeePassXC fonctionne hors ligne, Bitwarden en ligne. Cependant, KeePassXC peut aussi être synchronisé sur plusieurs appareils à l’aide de services externes.

Gestionnaires de mots de passe pratiques pour ordinateurs :

• KeePassXC : Linux, Windows, MacOS
• Bitwarden : Linux, Windows, MacOS
  • Garde en tête que pour utiliser Bitwarden, tu auras besoin d’un fournisseur qui exploite un service Bitwarden et en qui tu as confiance. N’utilise pas de fournisseurs non fiables.

Les gestionnaires de mots de passe intégrés aux navigateurs et aux systèmes d’exploitation ne sont pas forcément recommandés, car ils sont souvent propriétaires et conçus avant tout pour le confort d’utilisation. Cela mène régulièrement à des vulnérabilités de sécurité. Les navigateurs en particulier sont toujours une cible pour les attaquant·es et offrent de nombreuses surfaces d’attaque.

KeePass pour appareils mobiles

Recommandation issue de la documentation officielle de KeePassXC :

• Android : keepassDX, Keepass2Android
• iOS : Strongbox, KeePassium

KeePassXC

KeePassXC est l’un des gestionnaires de mots de passe les plus connus et les plus utilisés. Il est open source, régulièrement contrôlé par des expert·es à la recherche de vulnérabilités, et propose de nombreuses fonctionnalités très pratiques. Elles nous permettent de faire le lien entre sécurité et confort d’utilisation.

Intégration au navigateur

Il existe des extensions KeePassXC pour tous les navigateurs courants (sauf Safari) afin d’utiliser facilement la fonction de remplissage automatique. Celle-ci propose automatiquement les bons identifiants de connexion sur chaque site web pour lequel des mots de passe ont été enregistrés.

Cela t’empêche de saisir accidentellement ton mot de passe quand tu cliques sur un lien de phishing, parce que l’extension reconnaît que tu as atterri sur la mauvaise URL.

Fichier-clé

Il est recommandé de protéger une base de données de mots de passe avec les deux éléments suivants : un mot de passe et un second facteur. Le moyen le plus simple de le faire est d’utiliser un fichier-clé. (Voir plus bas un exemple de scénario.)

Fichier-clé comme second facteur

Il est possible de chiffrer la base de données avec un fichier-clé séparé en plus du mot de passe. Cela signifie que tu as toujours besoin à la fois du mot de passe et du fichier-clé pour accéder aux mots de passe.

Les instructions pour le faire se trouvent ici.

Fichier-clé comme clé maîtresse

Tu peux aussi chiffrer ta base de données de mots de passe uniquement avec un fichier-clé, sans mot de passe. Tu dois alors toujours sélectionner le fichier-clé lors de l’ouverture de la base de données dans KeePassXC.

Fichier-clé comme clé maîtresse avec mot de passe comme 2nd facteur

Un cas d’usage courant consiste à stocker le fichier-clé sur une clé USB chiffrée que tu portes toujours sur toi, par exemple sur ton trousseau. Cela assure aussi une authentification à deux facteurs. Les éléments suivants sont nécessaires :

1. facteur : le mot de passe de la clé
2. facteur : la clé USB (avec le fichier-clé)

pour accéder aux mots de passe. Il est indispensable de veiller à avoir une clé USB de sauvegarde au cas où la clé réelle serait perdue !

Générer de nouveaux mots de passe

L’une des fonctionnalités centrales d’un gestionnaire de mots de passe est qu’il peut générer des mots de passe forts ou des phrases de passe selon tes propres critères. Cela évite de réutiliser le même mot de passe par confort.

Synchroniser et sauvegarder les mots de passe dans le cloud

Ce n’est pas dangereux ?

La base de données de mots de passe est toujours chiffrée, à tout moment. Elle n’est jamais déchiffrée dans le cloud, donc les opérateurs du cloud ne peuvent pas la lire. Cependant, la police pourrait potentiellement voler une copie de ta base de données, comme décrit dans l’exemple de scénario suivant.

Exemple de scénario

Supposons que ta base de données de mots de passe soit « seulement » protégée par un mot de passe fort. Si la police a accès à ton cloud, ou obtient ta base de données d’une autre manière, elle n’aura que le fichier chiffré et ne pourra rien en faire.

Mais si elle découvre ton mot de passe plus tard, par exemple en t’observant secrètement pendant que tu le tapes, elle peut récupérer la base de données chiffrée et la déchiffrer.

Si la base de données était aussi chiffrée avec un fichier-clé, connaître le mot de passe ne suffirait pas : le fichier-clé serait également nécessaire. Si tu détruisais ce fichier-clé, il n’y aurait aucun moyen de déchiffrer la base de données volée.

Comment faire

Par exemple, tu pourrais stocker ta base de données dans le cloud et y accéder depuis tous tes appareils.

Le fichier-clé est stocké uniquement localement sur tes appareils.

Si tu soupçonnes les autorités d’avoir obtenu une copie de ta base de données de mots de passe

1. fais une copie de ta base de données
2. crée un nouveau mot de passe
3. et un nouveau fichier-clé
4. puis supprime l’ancien fichier-clé de tous tes appareils.

Cela rendra la base de données compromise inutilisable pour toujours.

[!warning] Warning {static}

Avant de supprimer ton ancien fichier-clé, assure-toi :

1. que la nouvelle base de données fonctionne avec le nouveau fichier-clé
2. que tu n’oublies pas le nouveau mot de passe !

Dans les deux cas, tous tes mots de passe seraient définitivement perdus.

KeePassXC comme application à deux facteurs

KeePassXC peut aussi être utilisé comme application 2FA avec TOTP. Cela fonctionne même sur les applications pour téléphones mobiles.

Instructions

Tu trouveras ici des instructions avec d’autres références.

Note

Nous faisons systématiquement référence à KeePassXC ici.

Les versions plus anciennes comme KeePassX et KeePass ne devraient plus être utilisées.

Online SIMs

Some services, such as Signal, require a phone number to setup a new account. In most countries it became really difficult to purchase new SIM cards anonymously. Therefore services that offer online SIMs are a good alternative to that, e.g https://smspool.net or https://smsplaza.io.

[!warning]

We do not know any of the operators of those sites and we don’t know what their political or moral stances are.

Just by paying with anonymous methods, such as Monero, you can be sure to stay anonymous when purchasing a SIM, or SMS.

In most cases, those web services offer a wide range of countries, from which you can select your number. You can either purchase a one-time SMS for just a few cents, or you can permanently rent a number for a few Euros/Dollars per month. While using one-time SIMs may appear attractive, keep in mind that numbers may be re-distributed. It may happen that the one-time number you used will be assigned to another customer, who could then technically “push you out” of the service when re-registering at the same service again.

While this is technically possible and there have been reported cases of people losing their accounts because of this, it seems this rarely happens.

Generally, the method for registering an online SIM is the same everywhere:

1. Create an account for an online SMS service.
2. Add Monero to your account.
3. Decide if you want to have a one-time SMS or if you prefer to rent a SIM for a period of time.
4. Choose a country of origin.
5. Purchase/rent the SIM. This will display your new phone number.
6. Use the phone number to register a new account.
7. The registration PIN may occur at the web interface of the online sms service.

[!note]

It is common that purchased numbers don’t work for registering new accounts at the first time. Usually the success rate is somewhere between 30-60%. So, if even after a few minutes no registration PIN arrived at you online SMS account, just buy another new SIM/SMS until it works.

Redémarrage automatique

[!toc] Table of Contents

• Mobile devices

• Android
• iOS
• PC
  • Linux
    • Additional settings when using suspend mode
  • MacOS
  • Windows

Comme tous les appareils chiffrés stockent leurs clés de chiffrement dans la RAM après que tu as saisi le mot de passe de l’appareil au démarrage, des acteurs malveillants pourraient essayer de lire tes clés de chiffrement dans la RAM, même lorsque ton appareil est simplement verrouillé à l’écran.

[!technical] What is RAM?

En très bref, la RAM est une mémoire très rapide qui a une caractéristique importante pour nous : elle perd toutes les données lorsque l’alimentation est coupée !

C’est pourquoi nous voulons éteindre automatiquement nos appareils afin d’effacer nos clés de chiffrement de la RAM.

Le redémarrage automatique peut être configuré sur toutes les plateformes PC et sur certains appareils Android. Des instructions pour les fonctions natives des différentes plateformes sont fournies ci-dessous. Aucun programme supplémentaire n’a besoin d’être installé.

Appareils mobiles

Android

Un redémarrage automatique peut aussi être configuré sur les appareils Android courants. GrapheneOS offre même l’option de redémarrer l’appareil chaque fois qu’il est resté déverrouillé pendant X heures.

Un redémarrage à heure fixe peut être configuré comme suit :

• Paramètres
• Utilitaires
• Mise en marche et arrêt programmés

Ici, tu peux maintenant préciser quand l’appareil doit toujours s’éteindre et quand il doit redémarrer.

iOS

Unfortunately, iOS does not currently offer a function for scheduled restarts. In November 2024 iOS introduced an auto reboot after 3 days of inactivity. This means that you iPhone will reboot automatically, if it won’t get unlocked for 3 days in a row.

While this is still good to have, 3 days should be considered as plenty of time for law enforcement to bring this device to a professional forensics facility.

Anyways, if you want to see this reboot happen in action, you can watch jiska’s video and especially read their great write-up on how this works technically.

PC

Linux

Sous Linux, tu peux utiliser crontab pour des tâches automatiques comme le redémarrage automatique. Par exemple, pour configurer le PC afin qu’il redémarre chaque matin à 4 h :

• Ouvre le terminal (Ligne de Commande)
• Saisis cette commande dans le terminal : sudo crontab -e

Un éditeur va maintenant s’ouvrir (ou tu devras en sélectionner un, ASTUCE : sélectionne nano)

• Colle la ligne suivante tout en bas : 0 4 * * * /sbin/shutdown -r
  • Pour cela, copie la ligne ci-dessus
  • Retourne à la ligne de commande dans l’éditeur
  • click droit > Coller
  • Appuie d’abord sur Control + S pour « safe »
    • puis appuie sur Control+X pour « exit »
  • Terminé

[!technical] Explanation of the cron command

0 4 * * * /sbin/shutdown -r

De gauche à droite :

• zéro minute
• quatrième heure
• *e jour du mois
• *e mois
• *e jour de la semaine
• Exécuter la commande de terminal /sbin/shutdown -r

Les astérisques signifient « toutes les valeurs possibles ». Cela signifie que la ligne complète se lit ainsi :

Exécuter la commande /sbin/shutdown -r chaque mois, chaque jour, à 4 heures, à la minute 0.

Le -r à la fin de /sbin/shutdown -r signifie reboot. Si tu omets simplement ce -r, le PC ne redémarrera pas automatiquement, mais restera simplement éteint.

Paramètres supplémentaires lors de l’utilisation du mode veille

Le mode veille est souvent utilisé, surtout sur les ordinateurs portables, lorsque les personnes ferment le capot. Cela crée une situation où le cronjob ci-dessus ne suffit pas, car il ne fonctionne pas pendant la veille. Le système reste alors vulnérable aux attaques. Nous devons donc introduire une autre action automatisée pour nous assurer que l’appareil s’éteindra de manière sûre. Cela se fait en réveillant le système de la veille 5 minutes avant qu’il doive s’éteindre, à l’aide du module Linux (systemd)

• Ouvre le terminal (Ligne de Commande)
• Saisis cette commande dans le terminal : sudo nano /etc/systemd/system/set-wakealarm.service
• Colle le contenu suivant dans le fichier :

[Unit]
Description=Journalier wake up from suspend

[Service]
Type=oneshot
ExecStart=/bin/bash -c "/usr/sbin/rtcwake -a -m no -t $(date -d 'tomorrow 03:55' +%%s)"
[Install]
WantedBy=multi-user.target

[!technical] Explanation of the systemd job

[Unit] contient seulement la description

[Service] contient le job à exécuter et le mode dans lequel il doit l’être.

Type=oneshot signifie qu’il sera exécuté une seule fois

ExecStart est la commande qui doit être exécutée.

/bin/bash -c indique simplement à systemd de lancer une nouvelle console bash et d’exécuter la commande entre "..."

/usr/sbin/rtcwake exécutera le programme rtcwake, qui définira une alarme de réveil dans l’horloge matérielle de l’appareil

-a utilise la détection automatique de l’horloge

-m no indique au programme de ne faire aucune action directe, seulement de définir l’heure de réveil RTC.

-t $(date -d 'tomorrow 03:55' +%%s) est une manière compliquée de définir l’heure de réveil à 3:55

• Après cela, les deux commandes suivantes indiqueront à systemd d’utiliser directement la nouvelle commande de réveil

sudo systemctl daemon-reload
sudo systemctl enable set-wakealarm.service

• Pour tester si tout est correctement configuré, cette commande peut être utilisée : sudo systemctl start set-wakealarm.service
• Si la commande se termine sans aucune sortie, c’est correctement configuré.
• Ensuite, tu peux vérifier si l’heure de réveil a été correctement définie dans l’horloge matérielle de l’appareil : cat /proc/driver/rtc Tu devrais y voir les valeurs suivantes :

[...]
alrm_time : 02:55:01 (Attention, this is UTC, which might have an offset to your local timezone)
alrm_date : <date of the next day>
alarm_IRQ : yes
[...]

• Il est fortement recommandé de tester si cela fonctionne pendant les deux ou trois nuits suivantes. Mets donc ton appareil en veille le soir et vérifie s’il est éteint le lendemain matin. Avec journalctl --list-boots, tu peux vérifier quand ton PC fonctionnait, ce qui inclut les périodes en mode veille.

MacOS

• Clique sur le Apple logo dans la barre de menu.
• Préférences Système
• Économisateur de batterie
• Programmation

La case du haut peut être utilisée pour préciser quand le PC doit redémarrer lorsqu’il est éteint. Cela ne nous intéresse pas. Nous voulons éteindre automatiquement le PC pour vider la RAM.

• Nous sélectionnons donc la case du bas
• Chaque jour
• Le choix de l’heure de redémarrage dépend de toi, mais nous recommandons une heure de nuit (par exemple 2 h), car c’est généralement le moment où nous n’utilisons pas l’ordinateur. De plus, les perquisitions ont souvent lieu le matin, donc redémarrer notre ordinateur avant cela a du sens.

Windows

Nous pouvons utiliser le Task Scheduler pour éteindre l’ordinateur, le redémarrer ou effectuer n’importe quelle action une fois ou à intervalles réguliers.

Si tu préfères suivre un tutoriel vidéo, il existe aussi une vidéo YouTube sur ce sujet.

• Saisis taskschd.msc dans la recherche du menu Démarrer et ouvre Task Scheduler.
• Dans la barre de droite, clique sur Create basic task
  • Donne un nom à la tâche, par exemple Auto Reboot
  • Exécuter que l'utilisateur soit authentifié ou non
• Va à l’onglet suivant et sélectionne Triggers
  • Quotidiennement
  • Définis l’heure de redémarrage (par exemple, 2 h du matin).
  • Date de début et heure de début : sélectionne l’heure actuelle c.-à-d. valide à partir de maintenant
• OK puis va à l’onglet suivant Action. Là, sélectionne Start a program
  • Saisis maintenant shutdown dans le champ Program/script
  • Saisis maintenant /r /f dans le champ Add arguments
  • Le \r signifie reboot. Si tu saisis seulement /f ici, le PC ne redémarrera pas automatiquement, mais restera simplement éteint.
• Next puis va à l’onglet suivant Conditions
• Assure-toi que dans la section « Power » :
  • les deux cases du haut sont décochées, donc désactivées
  • et que la dernière, « Wake the computer to run this program », est cochée.
• Clique sur Suivant pour tout vérifier, puis clique sur « Terminé »
• Enfin, tu devras probablement saisir ton mot de passe.

Sauvegardes

[!toc] Table of Contents

• Backup of what?

• How to back up
  • Copy manually
  • Native backup functions
    • MacOS

Dans l’article sur les sauvegardes dans la section contre-mesures, nous avons décrit pourquoi les sauvegardes sont si importantes. Ici, nous voulons montrer comment faire des sauvegardes.

Sauvegarde de quoi ?

Bien sûr, chacun·e doit réfléchir soi-même à ce qui doit être sauvegardé. Voici quelques exemples courants :

• Mots de passe
• Coordonnées (numéros de téléphone, adresses e-mail, etc.)
• Documents officiels
• Textes que tu as écrits toi-même (ou que d’autres ont écrits)
• Journaux/logs (si nécessaire)
• Discussions (si nécessaire)
• Images (photos, etc.)

Comment sauvegarder

Il existe de nombreuses manières de sauvegarder ses données. De la simple copie et l’utilisation de fonctions du système d’exploitation à des programmes puissants comme borg/rsync, Kopia ou d’autres.

[!tip] Important {static}

Sauvegarde uniquement sur des supports de données chiffrés !

Copier manuellement

La façon la plus simple de sauvegarder est bien sûr d’insérer simplement une clé USB dans l’ordinateur et d’y copier tes fichiers importants (dossier utilisateur), ou de copier tous les dossiers depuis le gestionnaire de fichiers de ton téléphone mobile. Cependant, cela peut être très inefficace, car de nouvelles données à sauvegarder sont constamment créées. Il faut alors réévaluer à chaque fois quels fichiers et dossiers doivent être copiés à nouveau.

[!success] Advantages {static}

• Aucune connaissance technique ni outil supplémentaire nécessaire

[!fail] Disadvantages {static}

• Évaluer à chaque fois ce qui doit être sauvegardé
• Pas automatisé (tu dois penser à le faire toi-même)
• Toutes les données doivent être recopiées à chaque fois (cela prend beaucoup de temps)

Fonctions de sauvegarde natives

MacOS

MacOS facilite beaucoup la création de sauvegardes régulières. L’outil intégré s’appelle Time Machine. Les instructions d’Apple sont très faciles à comprendre.

Tout ce dont tu as besoin est un support de stockage suffisamment grand, c’est à dire d’au moins deux fois la taille des données à sauvegarder.

[!success] Advantages {static}

• Configurer une fois, puis simplement connecter le support de stockage à chaque fois
• Rapide : les fichiers qui étaient déjà dans la sauvegarde précédente et qui n’ont pas changé sont ignorés.
• Selon tes paramètres, Time Machine peut conserver plusieurs sauvegardes, ce qui te permet de restaurer différentes versions de tes fichiers (hier, le mois dernier ou l’année dernière, par exemple). Là encore, le point ci-dessus s’applique : rien n’est stocké deux fois.
• Supprime automatiquement les anciennes sauvegardes remplacées lors du nouveau passage

[!fail] Disadvantages {static}

• Tu dois penser à connecter régulièrement le support de stockage

Cryptomator

[!toc] Table of Contents

• Installation

• Setup
• Usage
  • Use Cryptomator in the Cloud

Dans cet article, nous décrivons comment configurer Cryptomator. Nous recommandons fortement Cryptomator si tu veux synchroniser des fichiers chiffrés vers/depuis le cloud, car c’est beaucoup plus rapide que d’utiliser des conteneurs VeraCrypt.

Installation

First install Cryptomator. If you use anything other than Linux, simply follow the instructions for your operating system. If you are using Linux you may want to use the Cryptomator flatpak package. Depending on your distribution, you could also use your package manager repository, such as apt on Ubuntu/Debian or download the AppImage.

Configuration

[!tip] Cryptomator has pretty good documentation! Go ahead and check it out for more detailed instructions on lots of other functionalities.

Suis ces étapes pour créer ton premier coffre :

• Clique sur le symbole + en bas à gauche et sélectionne Créer un nouveau coffre-fort si tu n’en as pas déjà un.

• Choisis un nom pour le nouveau coffre et clique sur Suivant
• Choisis l’emplacement dans lequel ton coffre doit être stocké. Ce sera l’endroit où tu accéderas à tous tes fichiers plus tard. Clique sur Suivant
• Ne change pas les « paramètres exprt », clique simplement sur Suivant
• Saisis ton nouveau mot de passe. Il est important de choisir un mot de passe fort pour avoir un chiffrement solide.

[!warning] Recovery Key

Une clé de récupération peut déchiffrer tes données sans connaître ton mot de passe. Cela pose la question de l’endroit où stocker cette clé de récupération. Comme tu le sais, les mots de passe devraient être stockés dans un bon gestionnaire de mots de passe. Tant que ton mot de passe est stocké dans un gestionnaire de mots de passe et que tu as des sauvegardes de ton coffre Cryptomator et de ta base de données de mots de passe, tu n’auras pas besoin d’une clé de récupération.

Nous avons souvent constaté que des personnes stockaient simplement le fichier de clé de récupération sur leur bureau, alors qu’elles sécurisaient tous leurs mots de passe dans un gestionnaire de mots de passe. Faire cela annule l’intérêt du gestionnaire de mots de passe. Donc si tu n’as pas une bonne stratégie pour sécuriser ta clé de récupération, ne l’enregistre tout simplement pas et fais des sauvegardes régulières.

• Termine la création de ton nouveau coffre.

Utilisation

Après avoir ouvert Cryptomator, appuie sur Déverouiller et saisis ton mot de passe. Il te demande aussi si tu veux mémoriser ton mot de passe. Si tu utilises l’un des gestionnaires de mots de passe intégrés à ton système d’exploitation, tu peux cocher cette option. Sinon, laisse-la vide.

Tu vois maintenant l’interface générale. Avec Afficher les disques, tu peux directement ouvrir ton coffre déchiffré, pour le retrouver avec ton gestionnaire de fichiers.

Avec Verrouiller, tu « refermes » le coffre, de sorte que tu devras saisir à nouveau ton mot de passe.

Utiliser Cryptomator dans le cloud

Le grand avantage de Cryptomator est qu’il peut synchroniser ton coffre chiffré vers un cloud de manière très efficace.

[!tip] To do this, simply move your vault into your sync cloud directory. See our example on setting up the sync client for Nextcloud.

GrapheneOS

[!toc] Table of Contents

• Recommended Apps

• Install Accrescent
• Install Signal
• Install F-Droid
• Install Orbot and Tor Browser from F-Droid
• Recommended Settings
  • Device Unlock
  • Exploit Protection
  • More Security & Privacy
  • Apps

Applications recommandées

Install Accrescent

Download the Accrescent App Store from the default App Store, that comes preinstalled with GrapheneOS From Accrescent install App Verifier and Inter Profile Sharing, if you plan to share files between different Android Profiles.

Installer Signal

• Télécharge l’APK de Signal depuis le site web de Signal : https://signal.org/android/apk/. Après avoir téléchargé l’APK, vérifie-le avec App Verifier. Tu peux le faire en sélectionnant l’APK téléchargée dans ton dossier Downloads et en le partageant avec App Verifier. Cela affichera SUCCESS en haut. En bas, il peut être indiqué UNKNOWN, ce n’est pas grave. Si le haut indique aussi UNKNOWN, alors quelque chose s’est mal passé et tu as téléchargé le mauvais APK !
• Retourne dans le dossier Téléchargements et clique sur l’APK de Signal pour démarrer l’installation.
• Si l’avertissement Pour votre sécurité, votre appareil n'est pas autorisé à installer des applications inconnues depuis cette source. apparaît, c’est normal. Tu dois donner à ton application Files l’autorisation d’installer des applications. Clique sur Paramètres et active Autoriser depuis cette source

[!warning] Warning {static}

Pour des raisons de sécurité, par exemple pour éviter d’installer sans le vouloir une APK malveillante téléchargée depuis internet, retire cette autorisation après avoir installé Signal avec succès, en la désactivant à nouveau dans : Paramètres, Applications, Fichiers, Installer des applications inconnues

Seulement pour les niveaux de menace très élevés :

Si tu es chez toi, sur ton WiFi personnel, et que tu veux activer ton compte Signal anonymement, attends d’avoir installé Orbot depuis F-Droid avant d’activer ton compte. Suis simplement le guide ci-dessous.

Installer F-Droid

• Comme pour Signal, récupère l’APK depuis leur site officiel : https://f-droid.org

Ton navigateur Vanadium peut afficher un avertissement indiquant que Ce fichier peut être dangereux. C’est aussi un bon avertissement, car normalement on ne devrait pas télécharger des APK au hasard depuis le web, mais plutôt depuis un app store comme F-Droid. Comme nous n’avons pas encore d’app store depuis lequel installer les applications que nous voulons, nous devons le faire une fois : Télécharger quand même

• Partage l’APK téléchargée avec App Verifier et confirme le “SUCCESS” en haut de App Verifier

• Retourne dans le dossier Téléchargements et clique sur l’APK de Signal pour démarrer l’installation.

• Si l’avertissement Pour votre sécurité, votre appareil n'est pas autorisé à installer des applications inconnues depuis cette source. apparaît, c’est normal. Tu dois donner à ton application Files l’autorisation d’installer des applications. Clique sur Paramètres et active Autoriser depuis cette source

[!warning] Warning {static}

Pour des raisons de sécurité, par exemple pour éviter d’installer sans le vouloir une APK malveillante téléchargée depuis internet, retire cette autorisation après avoir installé F-Droid avec succès, en la désactivant à nouveau sous : Paramètres, Applpications, Fichiers, Installer des applications inconnues

Installer Orbot et Tor Browser depuis F-Droid

Orbot fera passer tout le trafic internet de ton téléphone par Tor.

D’abord, tu dois copier le lien du dépôt Guardian Project depuis leur site web. Le lien tout en haut de la page devrait fonctionner.

• ajoute le dépôt du Guardian Project à ton F-Droid en suivant ces instructions

• retourne à la page principale de ton application F-Droid et tire l’écran vers le bas pour rafraîchir la page. Les dépôts nouvellement ajoutés devraient maintenant être inclus

• cherche Orbot du « Guardian Project » et installe-le

• cherche Tor Browser du « Guardian Project » et installe-le

[!technical] For high threat level

Si tu es chez toi sur ton WiFi personnel et que tu veux enregistrer ton compte Signal anonymement, active d’abord Orbot, puis démarre l’inscription.

La raison tient aux métadonnées potentielles. Les seules informations que Signal stocke sur ses utilisateur·ices sont l’horodatage de l’inscription du compte et l’horodatage de la dernière connexion au compte.

En théorie, si un jour tu devais faire un déni plausible du fait d’être propriétaire de ce compte Signal et que ton réseau était surveillé au moment où tu as créé le compte, on pourrait « prouver » que tu t’es connecté·e aux serveurs Signal juste au moment où ce compte a été créé.

Mais pour être tout à fait honnête, c’est un scénario de menace très théorique.

Paramètres recommandés

[!tip] Tip {static}

Pour voir pourquoi nous recommandons les paramètres suivants sur GrapheneOS, va à nos recommandations GrapheneOS

Déverouillage de l’appareil

Dans l’application de paramètres, va à : Sécurité et vie privée > Déverouiller l'appareil. Tu y trouveras des paramètres pour :

• Verouillage de l’écran : configure ici ton mot de passe fort
• Déverouillage par l’empreinte et sa fonctionnalité forte de 2FA
  • voir aussi la fonctionnalité PIN scrambling
• Mot de passe Duress
• PIN scrambling :
  • si tu n’utilises pas le déverrouillage par empreinte digitale avec son PIN 2FA : Déverouillage de l'appareil > Icône ⚙️ à droite de Verouiller l’écran > Scramble PIN input layout
  • si tu utilises déjà la méthode 2FA, tu dois aller à : Déverouillage de l'appareil > déverouillage empreinte > saisir ton mot de passe > second facteur PIN > activer Scramble PIN input layout

Si tu veux savoir pourquoi cela se trouve à deux endroits différents, voir : https://discuss.grapheneos.org/d/18661-where-is-pin-scramble-feature/11

Protection face aux Exploits

Dans l’application de paramètres, va à : Sécurité et vie privée > Protection face aux Exploits. Tu y trouveras des paramètres pour :

• redémarrage automatique
• Port USB-C Astuce : Chargement seulement
• Arrêter le WiFi & Bluetooth automatiquement

Plus Sécurité & Vie privée

Dans l’application de paramètres, va à : Securité & Vie privée > Plus sécurité & vie privée. Tu y trouveras des paramètres pour :

• Allow Sensors permission to apps by default: Tip: turn this off
• Notifications on lock screen: Tip: turn off: show sensitive content

Applications

Dans les paramètres sous Applications > Accès spéciaux des applications :

• Installer des applications inconnues

KeePassXC

[!toc] Table of Contents

• Create a database

• Key file
  • Decrypt database with key file and password
  • Add key file later
• Password entries
• Create strong password according to entropy
• Browser integration
• TOTP
• Backup
• Synchronization/backup in Nextcloud

[!info] Getting Started {static}

La documentation officielle en anglais de KeePassXC propose un très bon article complet « Getting Started ». Nous recommandons de le lire pour avoir une vue d’ensemble des fonctionnalités disponibles !

Ci-dessous, nous résumons ce que nous considérons comme les points les plus importants de la documentation KeePassXC liée ci-dessus. Tout au long de l’article, nous renvoyons aux différentes sections de la documentation KeePassXC. Si tu as du mal à suivre autant de texte, cette vidéo, (sur YouTube), explique assez bien les fonctionnalités de base de KeePassXC. Une fois que tu maîtrises l’utilisation de base de KeePassXC, il existe aussi une suite pour les cas d’usage avancés.

Créer une base de données

La base de données est essentiellement un fichier dans lequel les mots de passe sont stockés sous forme chiffrée. Elle se termine toujours par .kdbx

KeePassXC est le programme utilisé pour déchiffrer et utiliser ce fichier.

Si tu n’as pas encore de base de données, tu dois d’abord en créer une nouvelle. Avant de créer ta première base de données, tu dois réfléchir aux méthodes de protection que tu veux utiliser. La forme de protection la plus simple consiste à utiliser un mot de passe fort. Pour une protection supplémentaire, tu peux envisager d’ajouter d’autres « couches » de protection, comme un fichier de clé.

Pour créer une nouvelle base de données sans fichier-clé, suis les étapes de ce guide : Créer une nouvelle base de données

Fichier-clé

Lors de la création de la base de données, il y a un bouton intitulé « Ajouter une protection additionnelle » à l’endroit où tu définis le mot de passe de la base de données.

Ensuite, sous le champ « Fichier-clé », clique sur le bouton Ajouter un fichier-clé.

Ici, tu peux maintenant soit :

• Créer un nouveau fichier-clé.
  • Générer : indique un nom et un emplacement pour enregistrer le nouveau fichier-clé
• Indiquer un fichier-clé existant à utiliser pour chiffrer cette base de données :
  • Explorer : ici, tu peux sélectionner ton fichier-clé existant

Déchiffrer la base de données avec fichier-clé et mot de passe

Si tu as protégé ta base de données avec un mot de passe et un fichier-clé supplémentaire, tu auras besoin des deux pour la déverrouiller à nouveau :

• Ouvre la base de données avec KeePassXC
• J'ai un fichier-clé
• Sélectionne le fichier-clé dans le gestionnaire de fichiers
• Saisis le mot de passe
• Confirmer

Ajouter un fichier-clé plus tard

Si tu as déjà une base de données de mots de passe, tu peux aussi ajouter un fichier-clé plus tard.

Nous recommandons fortement de sauvegarder ta base de données au préalable. Cela évitera la perte de tous les mots de passe si quelque chose se passe mal. Pour cela, fais simplement une copie de la base de données avec un nouveau nom. Par exemple, si la base de données s’appelle « Passwords.kbdx », crée une copie appelée « Passwords-keyfile.kbdx » ou quelque chose de similaire.

• Ouvre la (nouvelle) base de données dans KeePassXC
  • Il se peut maintenant que les deux bases de données soient ouvertes en même temps : 
  • Ce n’est pas un problème, mais fais attention à ne pas te tromper et modifier la mauvaise base de données. Ferme la base de données originale pour que rien ne se passe mal.
• Dans la barre du haut, clique sur Base de données
• Clique ensuite sur Sécurité de la base de données...
• À partir de là, suis les instructions de la section sur l’ajout d’un fichier-clé
• Attention : une fois que tu as créé et enregistré un fichier-clé, KeePassXC suppose que tu veux maintenant utiliser **uniquement ce fichier-clé pour déverrouiller la base de données. Si tu as déjà cliqué sur OK, tu auras vu un message d’avertissement à ce sujet.
  • Tu dois donc réinitialiser et confirmer le mot de passe avec Changer le mot de passe.
  • OK

Entrées de mots de passe

Suis la documentation officielle pour créer une entrée de mot de passe.

Tu peux aussi modifier des entrées existantes plus tard (double-clique sur l’entrée).

Créer un mot de passe fort avec une entropie suffisante

Clique sur l’icône de dé dans la barre d’outils. Cela ouvre le générateur de mots de passe. Ici, nous avons deux options :

1. Créer un mot de passe à partir de types de caractères sélectionnés

2. Crée un mot de passe à partir d’une liste de mots sélectionnée

Dans les deux captures d’écran, tu peux voir le nombre de bits d’entropie du mot de passe généré. Nous recommandons de créer un mot de passe avec une entropie de 120 bits.

[!tip] You can download word lists for various languages

Par exemple ici. Tu peux aussi combiner des mots de différentes langues, même si tu devras le faire manuellement, car KeePassXC ne permet de sélectionner qu’une seule liste de mots à la fois.

Intégration au navigateur

KeePassXC peut être intégré à ton navigateur. L’intégration permet de remplir automatiquement les connexions du navigateur pour les mots de passe enregistrés dans ta base de données. Cela fait gagner beaucoup de temps, car tu n’as pas besoin de copier-coller manuellement tes mots de passe dans le navigateur.

Il existe des instructions officielles pour installer l’extension de navigateur (sauf pour Safari).

TOTP

Instructions officielles de KeePassXC avec des captures d’écran utiles.

TOTP est une forme d’authentification à deux facteurs utilisée par de nombreux services web, comme les accès e-mail ou cloud. Pour configurer la 2FA pour un service, tu as besoin de deux choses :

1. Le paramètre correspondant dans le service web, par exemple dans les paramètres e-mail.
2. La configuration de l’entrée KeePassXC correspondante pour ce service web.

Les paramètres des services web ont bien sûr tous une apparence légèrement différente, mais dans la plupart des cas, tu trouveras ce qui suit dans les paramètres du compte :

• Une section avec Sécurité ou Vie privée.
• Tu devrais y trouver les paramètres 2FA ou TOTP.
• « Activer TOTP » ou quelque chose de similaire

Un QR code et, dans le meilleur des cas, une chaîne de caractères aléatoire devraient maintenant apparaître (voir les instructions KeePassXC). Le QR code est utile si tu configures TOTP sur ton téléphone mobile, car les applications mobiles peuvent facilement lire le Secret avec la caméra. Sur un PC, nous avons besoin de la chaîne de caractères pour cela.

Si seul le QR code apparaît ici sans la chaîne de caractères, nous devons lire le « Secret » depuis le QR code.

[!info]

Lire le Secret depuis le QR code Cela fonctionne avec toutes les caméras de téléphone mobile courantes qui peuvent lire les QR codes. Il est très probable que plus que le simple Secret apparaisse ici, mais plutôt une URL qui est en fait destinée aux applications mobiles, par exemple : otpauth://totp/example.org:username?secret=PABRSLZNHFLAIENT&issuer=Example Le secret est caché ici entre secret= et le caractère spécial suivant, dans ce cas &issuer....

Notre secret est donc : PABRSLZNHFLAIENT.

• Copier le secret

Maintenant, nous allons dans la base de données KeePassXC :

• Clic droit sur l’entrée de mot de passe correspondante
• TOTP
• Mise en place TOTP
• Colle le Secret
• OK

Tu devrais maintenant voir une petite horloge à côté de l’entrée de mot de passe. Cela symbolise la nature temporaire des codes TOTP. 

Enfin, nous devons synchroniser la configuration TOTP. Pour cela, le token TOTP actuel doit être saisi à nouveau dans les paramètres du service web. Le token TOTP peut être copié de deux manières :

• Control + T, ou
• Click droit > TOTP > Copier le TOTP

Retourne aux paramètres du service web :

• Colle le token TOTP
• Confirmer

Tu devrais maintenant voir un message indiquant que la configuration a réussi.

Sauvegarde

KeePassXC propose une fonction de sauvegarde automatique. Cela garantit que tu as toujours une version à jour de ta base de données de mots de passe dans un « emplacement » différent de celui que tu utilises principalement.

Dans Paramètres (⚙️) > Général > Gestionnaire de Fichiers, tu trouveras l’option Créer une sauvegarde de la base de données avant d'enregistrer. Là, tu peux indiquer un chemin où le fichier de remplacement doit être enregistré.

Il peut être judicieux d’indiquer un stockage cloud si tu ne synchronises pas déjà la base de données via un stockage cloud.

[!warning] Warning {static}

Même si la base de données est toujours chiffrée, y compris dans le cloud, il existe des scénarios à prendre en compte. Lis ici l’exemple de scénario d’une menace potentielle !

Synchronisation/sauvegarde dans Nextcloud

Tu peux aussi synchroniser ta base de données KeePassXC via un cloud entre plusieurs appareils. Voir nos instructions Nextcloud sur la manière de configurer cela.

Le principe fonctionne de la même manière avec iCloud, OneDrive, Dropbox, etc.

Monero wallets

[!toc] Table of Contents

• Install Feather

• Use Feather

There are two main applications for using the Monero cryptocurrency on desktop operating systems:

• The official, open-source Monero GUI wallet
• The open-source Feather wallet.

From our experience, Feather is the most easy to setup and interact with.

Install Feather

Feather can be installed on all desktop operating systems. See their documentation for specific instructions. Especially for Linux, we would recommend installing feather through flatpak and not as a standalone executable or AppImage, as this is more secure.

Use Feather

With feather, you can easily send and receive Monero. Although we would like to add some tips in the future, for now refer to the official feather documentation. Have a look at:

• Creating a new wallet.
• First Start

For sending and receiving Monero, you will always have to use an “address” which you can think of as an anonymous and (if you wish) temporary IBAN.

Nextcloud

[!toc] Table of Contents

• Account management

• Teams
• Transfer ownership

Nextcloud est souvent utilisé comme alternative respectueuse de la vie privée à Google Drive, iCloud ou d’autres fournisseurs de cloud commerciaux. Nextcloud est un logiciel open source que n’importe qui peut installer (héberger) sur son propre serveur. Des collectifs technologiques solidaires hébergent parfois leurs propres « instances »., qui sont les installations Nextcloud individuelles (groupes/associations/entreprises, etc). Selon les paramètres de l’instance concernée, chaque Nextcloud peut est complètement « autonome », c’est-à-dire qu’il n’a rien à voir avec les autres instances.

[!tip]

Nextcloud can be an attractive tool for political groups to organize their work with shared passwords, calendars, documentation, pads, etc.

We have two articles on how to use nextcloud with encrypted folders as a group and how to use KeePassXC as a group.

Gestion des comptes

Si vous voulez utiliser le cloud en groupe, la question se pose de savoir quel utilisateur possède les données partagées (documents, calendriers, tableaux Deck, etc.). Dans la plupart des cas, nous recommandons l’utilisation de teams pour les groupes.

Teams

• Chaque membre de ton groupe reçoit un compte personnel.
• En plus, tu crées un compte de groupe comme admin, qui est géré par plusieurs personnes.
• Utilise le compte de groupe dans la Collectives app (si disponible) pour créer un collectif pour le groupe.
  • Ajoute tous les comptes personnels dans Gérer les membres.
  • Si nécessaire, accorde des droits d’admin à certains comptes.
    • À côté de « Teams », clique sur « + » et ajoute une description.

[!note] Technical detail: Why not in Contacts?

You could also create the team under Contacts, but then the team would belong to you, which we want to avoid, as described below. If the Collectives app is not available, create a team under Contacts, but keep in mind the problems with this (see warning below)

Tu as maintenant créé un collectif « team » (avec le compte de groupe). À partir de maintenant, tu peux partager à peu près tout ce que tu fais dans Nextcloud avec cette team : fichiers, calendriers, tableaux Kanban (application Deck), sondages, etc.

Cependant, il y a une chose à garder en tête : Propriété. Tous les fichiers (y compris calendriers, tableaux Kanban, etc.) appartiennent toujours au compte qui les a créés ! Même si ces ressources (terme technique) sont ensuite partagées avec toute la team, elles appartiennent toujours au compte créateur.

[!warning]

Si le compte créateur d’une ressource est soudainement supprimé, tous les fichiers appartenant à ce compte seront également supprimés !

[!tip]

Il est donc fortement conseillé de créer toutes les ressources partagées avec le compte de groupe et de les partager avec la team depuis ce compte.

Le graphique ci-dessus montre que le compte de groupe téléverse une base de données de mots de passe dans ses fichiers, puis partage ce fichier avec la team. Les membres peuvent ensuite accéder à ce fichier.

Cela facilite l’ajout ou le retrait ultérieur de personnes de ta team/ton collectif. Tu n’as pas à partager à nouveau toutes les ressources pour chaque nouvelle personne. Tu peux aussi transmettre facilement l’administration du compte admin, et ce n’est pas un problème si les admins d’origine deviennent inactif·ves.

Inversement, des comptes individuels peuvent être retirés de la team en un seul clic, afin qu’ils n’aient plus accès aux ressources du groupe.

Transférer la propriété

Si tu perds un jour l’accès au compte de groupe, tu peux transférer au compte de groupe la propriété d’un fichier créé depuis ton compte personnel. Nextcloud fournit ses propres instructions pour cela.

• Cependant, le transfert doit toujours être confirmé par le compte de groupe (vers lequel la propriété est transférée) avant de prendre effet.
• L’expérience montre que cela peut prendre quelques minutes avant que le compte de groupe reçoive la notification de confirmation. Il se peut donc que tu doives attendre un peu.

Credit: This article was partly influenced and copied from https://wiki.systemli.org/howto/nextcloud/gruppen

Mots de passe d’application

[!toc] Table of Contents

• Delete old sessions

Nextcloud te permet de créer des mots de passe d’application. Cela te permet d’attribuer un mot de passe différent à chaque appareil ou application que tu connectes à ton compte. L’avantage est que tu peux facilement révoquer l’accès à ton compte pour certains appareils ou applications depuis les paramètres de ton compte.

• Connecte-toi au cloud et clique sur l’avatar en haut à droite

• Sélectionne Paramètres > Sécurité

Ici, tu peux créer un nouveau mot de passe d’application :

1. D’abord, donne un nom au nouveau mot de passe afin de savoir plus tard à quoi il sert. Donne à chaque mot de passe d’application un nom unique pour ne pas révoquer accidentellement l’accès de la mauvaise application. Ici, nous l’appellerons « Sync Client »
2. Clique sur Créer un nouveau mot de passe d'application

Le mot de passe est maintenant affiché pour la première et dernière fois ! Assure-toi donc d’avoir copié le mot de passe dans l’application que tu veux connecter à Nextcloud avant de fermer la fenêtre du mot de passe. Si tu as fermé la fenêtre trop tôt, supprime simplement le mot de passe perdu et crée-en un nouveau à la place.

Le bouton Afficher le QR code pour applications mobiles permet aux applications Nextcloud pour appareils mobiles de se connecter une seule fois. Si tu veux connecter Nextcloud à une application mobile, c’est plus pratique que de taper le mot de passe manuellement.

Ici, nous pouvons voir les différentes « sessions » qui peuvent accéder à notre compte.

Supprimer les anciennes sessions

Ici, tu remarqueras qu’à chaque fois que nous nous connectons dans le navigateur et que nous ne nous déconnectons pas ensuite avec le bouton Déconnexion, cette « session » reste valide. C’est un peu agaçant, car on perd vite la vue d’ensemble, s’agit-il par exemple de nos propres « sessions », ou de si un·e attaquant·e s’est connecté·e entre-temps.

Ici, par exemple, tu peux voir que nous ne nous sommes pas déconnecté·es correctement il y a 10 heures, mais avons simplement fermé la fenêtre du navigateur. La session est théoriquement toujours valide, mais ne nous est plus utile. Nous supprimons donc l’ancienne session.

Synchroniser Nextcloud sur les appareils

[!toc] Table of Contents

• Nextcloud Sync Client

• Installation
• Setup
• Encrypt your files in Nextcloud

Client de synchronisation Nextcloud

Le Client de Synchronisation Nextcloud est le logiciel propre à Nextcloud pour synchroniser le contenu du cloud avec tes propres appareils (PC, téléphone mobile, tablette). L’installation et la configuration sont très simples dans la plupart des cas.

La synchronisation du contenu signifie que Nextcloud crée un dossier sur l’appareil où tous les fichiers du cloud sont stockés. Si un fichier dans ce dossier est modifié, il est modifié directement dans le cloud et donc aussi sur tous les autres appareils qui y sont liés. Un exemple d’utilisation pratique de la synchronisation est décrit dans le module Utiliser KeePassXC en groupe

Installation

• Télécharge et installe le client de synchronisation : https://nextcloud.com/install/#desktop-files

Configuration

1. Connexion
2. Saisis l’URL de ton instance cloud (où tu as un compte)
3. Une fenêtre de navigateur avec la connexion au cloud devrait alors s’ouvrir

Il y a ici deux options :

• Connecte-toi avec tes identifiants habituels
• Pour plus de sécurité : Connexion alternative avec un mot de passe d'application. Suis rapidement nos instructions sur comment configurer un mot de passe d’application puis reviens ici !

[!warning]

If you have 2FA enabled in your general settings, you won’t be able to log in with your main (normal) password here, since the client app does not support 2FA.

In this case you have to create an app password. We recommend using this anyway.

Une fois connecté·es, une fenêtre de configuration apparaît, où nous pouvons préciser quels dossiers de notre cloud doivent être synchronisés avec notre ordinateur. Nous pouvons soit sélectionner des dossiers spécifiques (Choisir quoi synchroniser), soit simplement tout sélectionner. Sous Sélectionner un dossier différent, nous pouvons aussi préciser où le dossier Nextcloud synchronisé doit se trouver sur notre ordinateur.

Selon la quantité de données que nous avons dans le cloud, le processus de synchronisation peut prendre un moment. Une fois la synchronisation terminée, nous devrions avoir tous nos fichiers personnels du cloud directement accessibles sur l’ordinateur dans le dossier Nextcloud indiqué.

Chiffrer tes fichiers dans Nextcloud

Par défaut, les fichiers dans Nextcloud ne sont pas chiffrés de bout en bout. Ils pourraient être stockés sur un serveur chiffré, mais le chiffrement de bout en bout doit être configuré en plus. Si tu veux comprendre ce que signifie le chiffrement de bout en bout, consulte l’article suivant. Même s’il porte sur l’E2EE dans l’e-mail, l’exemple décrit fonctionne ici aussi, juste sans second serveur impliqué.

[!tip] The easiest way to encrypt you files in Nextcloud (or any other cloud), is by using Cryptomator! Go ahead and checkout our short guide, or the official user manual!

You may later want to adjust which files you want to sync. So if you wonder, why you big folders are not present on you computer, you have to enable syncing them n the settings:

In the sync client, click on you profile name on the top left >> Settings >> Select

Créer des mots de passe sûrs avec Diceware

[!toc] Table of Contents

• Concept

• Step 1
• Step 2
• Step 3
• Step 4

Diceware est une méthode pour générer des phrases de passe/mots de passe à l’aide de dés et d’une liste de mots. Elles contiennent un vrai hasard et, si elles sont suffisamment longues, peuvent être considérées comme sûres.

Ce tutoriel décrit brièvement comment créer un mot de passe sûr en quelques étapes. Des instructions détaillées sur les phrases de passe générées avec des dés se trouvent aussi sur le site de l’EFF.

[!tip] Tip {static}

Nous te recommandons de lire d’abord la page sur les mots de passe. Nous y expliquons aussi quelle longueur ta phrase de passe devrait avoir et pourquoi elle devrait être générée aléatoirement. Dans tous les cas, il ne suffit pas d’inventer soi-même des mots « aléatoires » ou de les choisir dans une liste. Nous recommandons aussi d’utiliser un gestionnaire de mots de passe, afin de ne devoir retenir que quelques mots de passe vraiment sûrs.

Concept

L’idée est de choisir différents mots pour ton mot de passe à partir d’une liste d’environ 7 000 mots. Cela te donne un mot de passe facile à mémoriser qui contient quand même un vrai hasard. Tout ce dont tu as besoin, c’est d’un dé.

Étape 1

Choisis une liste de mots dans une langue avec laquelle tu es à l’aise. Si ta langue n’est pas dans la liste, tu peux trouver une liste de mots en cherchant « Diceware Wordlist » + « langue ». Choisis une liste conçue pour au moins cinq dés, c’est-à-dire contenant au moins 7776 mots.

• ArthurPons/diceware-fr FR
• Longue liste de mots de l’EFF EN
• Site web avec d’autres langues

Pour cet exemple, nous utiliserons la longue liste de mots de l’EFF. Cependant, tu peux aussi utiliser n’importe quelle autre liste conçue pour cinq dés.

Étape 2

Lance maintenant le dé cinq fois et note les résultats dans l’ordre où tu les as obtenus. Par exemple : 14314

Cherche maintenant dans la liste de mots le mot correspondant à ce nombre.

Dans la longue liste de mots de l’EFF, le mot correspondant à 14314 est bucktooth.

Étape 3

Répète l’étape 2 au moins six fois.

Tu devrais maintenant avoir six mots. Par exemple :

battery tacker horses blow counter note

Bravo ! Tu viens de créer une phrase de passe sûre et vraiment aléatoire !

Étape 4

S’il n’y a pas de danger immédiat de répression, écris le mot de passe sur un morceau de papier et saisis-le une ou deux fois par jour. Après une à deux semaines, la plupart des gens retiennent bien leur nouveau mot de passe. Ensuite, détruis le morceau de papier !

Il existe différentes techniques pour mieux mémoriser des phrases de passe aléatoires. Pour certaines personnes, inventer une histoire autour des mots peut aider à mieux les retenir.

[!technical] Technical

La recommandation d’utiliser six mots vient du guide officiel de l’EFF sur Diceware

Signal

[!toc] Table of Contents

• Register an anonymous account

• Set up registration PIN
• Self-destructing messages
• Restrict push notifications
  • iOS
  • Android
• Create usernames
• Disable Find by phone number
• Multiple Signal accounts on one device
  • Multiple Signal accounts on PC
  • Multiple Signal Accounts on Android
    • Molly
    • App clones
    • Additional Android profiles

Crédit : cet article est une traduction de la section Signal du LG Wiki.

[!tip] Tip {static}

En plus des guides pratiques suivants, nous avons un article général dans lequel nous discutons les avantages et les inconvénients de Signal et d’autres messageries.

Register an anonymous account

Since Signal requires a phone number for creating an account, you should evaluate whether it is necessary for you to use an anonymous phone number not linked to your name. If you can’t find a local shop selling anonymous SIM cards, you can also have a look at our article about online SIMs.

Configurer le PIN d’inscription

Il est très important que tu configures un PIN dans Signal, pour te protéger d’une réinscription non autorisée. Ton opérateur réseau est légalement tenu de transmettre les SMS à la police. Sans PIN, la police peut lire tes messages Signal. Cependant, tu remarquerais si quelqu’un essaie de réinscrire ton appareil. Un seul téléphone mobile peut être enregistré en même temps avec Signal, donc tu serais déconnecté·e de ton compte Signal.

Pour configurer un PIN :

• iOS : touche ton avatar » Paramètres » Compte
• Android : Paramètres » Compte » Blocage d’inscription

Messages éphémères

Dans les discussions/groupes individuels :

• Clique sur le nom en haut de la discussion
• Messages éphémères

Tu peux aussi définir une durée par défaut pour que la fonctionnalité soit activée automatiquement pour les nouvelles discussions :

• Paramètres
• Vie privée
• Messages éphémères
• Délai par défaut pour les nouveaux messages : définis un intervalle, par exemple 1 semaine

Restrict push notifications

Here we explain, why we recommend this.

iOS

• Click on your profile picture and open Settings
• Notifications
• Notification Content
• Select No Name or Content

Android

• Click on your profile picture and open Settings
• Notifications
• Show and Select No name or message

Créer des noms d’utilisateur

Les noms d’utilisateur permettent de partager ton contact sans révéler ton numéro de téléphone. Pour plus d’informations, voir le blog de Signal.

• Paramètres
• Clique sur ton numéro de téléphone mobile en haut
• Définis un nom d’utilisateur après le @

Le nom d’utilisateur doit se terminer par un point et au moins deux chiffres, par exemple : username.12. Il peut cependant aussi y avoir plus de chiffres après le point.

Désactive Chercher par numéro de téléphone

Tu peux empêcher que ton compte Signal soit trouvé avec ton numéro de téléphone. Cela rendra plus difficile pour les personnes qui connaissent ton numéro de découvrir si tu utilises Signal, ce qui est important si tu vis dans un pays où l’utilisation de Signal peut être suspecte ou illégale.

• Paramètres
• Vie privée
• Numéro de téléphone
• « Qui peut voir mon numéro » : Personne
• « Qui peut me trouver par mon numéro de téléphone ? » Personne

Plusieurs comptes Signal sur un seul appareil

Il existe différentes options pour utiliser plusieurs comptes Signal sur un seul appareil. Les options dépendent de ton système d’exploitation :

Plusieurs comptes Signal sur PC

La façon la plus simple est de télécharger l’outil signal-account-switcher. Cela te permet d’utiliser quatre comptes Signal supplémentaires en même temps. Pour cela

1. Clique sur ce lien : https://github.com/kmille/signal-account-switcher/releases/tag/v0.1.0
2. Télécharge l’outil pour ton système d’exploitation. En bas de la page : « signal-account-switcher.exe » pour Windows, « signal-account-switcher » pour Linux et « signal-account-switcher-mac-{amd,arm} » pour Mac (selon ton CPU).
3. Lance l’outil (Windows peut d’abord se plaindre parce qu’il est « unsafe » d’exécuter un fichier venant d’internet) et clique simplement sur « Start Signal Account #1 ». Une nouvelle instance signal-desktop s’ouvrira.

Si tu ne veux pas installer d’outil supplémentaire pour utiliser plusieurs profils Signal sur ton PC, tu peux aussi le faire toi-même avec un peu de configuration manuelle :

• Instructions pour Windows : https://www.youtube.com/watch?v=TejhH80jktE
• Instructions pour Mac :
  1. ouvre la ligne de commande/le terminal
  2. colle la commande suivante dans le terminal et appuie sur Entrée

mkdir $HOME/Library/Application/Signal-Account-1
/Applications/Signal.app/Contents/MacOS/Signal --user-data-dir=“$HOME/Library/Application/Signal-Account-1”

Plusieurs comptes Signal sur Android

Molly

Il existe un fork de Signal appelé Molly, qui peut être installé à côté de l’application Signal normale et configuré avec un compte différent.

[!technical] What is a fork?

Dans le développement logiciel, un fork est une application créée en dupliquant une base de code existante, ici la base de code de Signal, puis en la modifiant indépendamment de l’original. Molly modifie la base de code de Signal pour ajouter des fonctionnalités comme la possibilité d’avoir plusieurs comptes.

1. Si ce n’est pas déjà fait, installe F-Droid, un app store libre et open source :
   • Télécharge le fichier F-Droid.apk depuis le site web.
   • Installe F-Droid en ouvrant le fichier .apk que tu as téléchargé.
   • Autorise « Installer des applications depuis des sources inconnues » lorsque c’est demandé.
   • Autorise « Installer des applications depuis cette source » si nécessaire.
2. Ajoute la source de paquet de Molly à ton F-Droid en suivant ces instructions sur le site de F-Droid. Molly n’est pas incluse automatiquement dans F-Droid et doit donc être ajoutée manuellement.
   • Va sur https://molly.im/download/fdroid/ et sélectionne Molly (si tu lis ceci sur ton téléphone), ou scanne le QR code si tu lis cet article sur ton PC. Sélectionne Molly, pas Molly-FOSS, sauf si tu sais ce que tu fais (par exemple, pas de services Google Play).
   • Ouvre F-Droid et rafraîchis une fois en glissant vers le bas depuis le haut de ton téléphone ; cela chargera les informations sur toutes les applications disponibles, ce qui peut prendre jusqu’à 2 minutes.
3. Installer Molly via F-Droid
   • Cherche Molly dans F-Droid et installe-la. Si nécessaire, autorise à nouveau « Installer depuis cette source » pour F-Droid.

Molly est maintenant prête et tu peux configurer l’application comme tu configurerais normalement Signal.

Cependant, on te demandera au début si tu veux utiliser un chiffrement par mot de passe supplémentaire. Ton choix ne pourra pas être modifié plus tard. C’est utile pour les comptes sensibles.

Crée un PIN Signal dont tu es sûr·e de te souvenir, ou enregistre-le dans ton gestionnaire de mots de passe sécurisé, mais ne l’écris pas sur un morceau de papier ! Cela pourrait être utilisé par la police pour intercepter les messages qui te sont destinés après une perquisition.

Clones d’applications

Certains fabricants proposent une fonctionnalité de double application pour faire fonctionner plusieurs comptes sur un seul téléphone. Fais une recherche en ligne pour voir si ton appareil dispose de cette fonctionnalité. À partir d’Android 14, cette option peut être disponible par défaut sur de nombreux appareils.

Tu peux aussi utiliser cette fonctionnalité pour cloner Signal et Molly, ce qui te permettrait d’utiliser jusqu’à quatre comptes Signal différents. Tu pourrais aussi te passer de Molly et utiliser Signal deux fois, mais Molly est plus utile parce qu’elle dispose d’un chiffrement et de mécanismes de sécurité légèrement meilleurs, qui offrent un avantage en cas de perquisition.

Tu peux facilement activer la fonctionnalité dans les paramètres Android :

Samsung : Paramètres > Paramètres avancés > Double Messagerie

Huawei : Paramètres > Apps > Application Jumelée

LG : Paramètres > Général > Application Double

Un menu avec toutes les applications clonables devrait alors apparaître, où tu peux simplement sélectionner Signal (et toutes les autres applications que tu veux cloner) et les dupliquer.

Profils Android supplémentaires

Android offre la possibilité de créer plusieurs profils utilisateur, tout comme Linux, MacOS et Windows. Pour plus d’informations, consulte la page d’assistance Android correspondante.

Mises à jour système

[!toc] Table of Contents

• macOS

• System updates on macOS
• App updates on macOS
• Automatic updates on macOS
• Windows
  • System updates on Windows
    • Automatic system updates on Windows
• Linux
  • Ubuntu (including: Debian, Mint, PopOS,…)
    • Updates via the desktop app
    • Updates via terminal (Ubuntu)
    • Automatic updates (Ubuntu)
  • Fedora
    • Updates via the desktop app (Fedora)
    • Updates via terminal (Fedora)
    • Upgrade to new Fedora version (about once a year)
    • Automatic updates (Fedora)
  • Tails
• iOS
  • System updates on iOS
  • App updates
  • Enabling automatic updates
    • For system updates
  • For app updates
• Android
  • System updates on Android
  • Automatic system updates on Android
    • GrapheneOS
  • App updates on Android
    • Google Play Store

L’une des premières réponses aux questions de sécurité informatique est toujours : installe les mises à jour. Comme les applications et les systèmes devraient toujours être à jour, il est conseillé de configurer les mises à jour automatiques.

Selon ton système d’exploitation, tu devras peut-être distinguer les mises à jour système des mises à jour d’applications. Lorsque c’est pertinent, nous expliquons les différences et fournissons des instructions étape par étape sur cette page.

• Linux
• macOS
• Windows
• iOS
• Android

macOS

Mises à jour système sur macOS

Cela met à jour le système d’exploitation macOS vers la dernière version. Les mises à jour système sur macOS mettent aussi à jour toutes les applications standard comme Mail et Safari. Cependant, les applications installées via l’App Store doivent être mises à jour séparément

1. Clique sur l’Icône Apple en haut à gauche de l’écran.
2. Sélectionne Préférences Système dans le menu déroulant.
3. Clique sur Mise à jour logicielle.
4. Si des mises à jour sont disponibles, tu peux cliquer sur Mettre à jour maintenant pour les télécharger et les installer.

Mises à jour d’applications sur macOS

1. Ouvre l’App Store sur ton Mac.
2. Clique sur l’onglet Mises à jour dans la barre latérale.
3. Ici, tu verras une liste des mises à jour disponibles pour les applications que tu as installées. Clique sur « Tout mettre à jour » pour installer toutes les mises à jour disponibles.

Mises à jour automatiques sur macOS

Va dans Mises à jour logicielle comme décrit ci-dessus et active Mises à jour automatiques pour t’assurer que ton système reste toujours à jour. Il y a une petite flèche à côté de Mises à jour automatiques. En dessous, Télécharger les mises à jour en fond de tâche et Installer les mises à jour des applications depuis l'App Store devraient être activés.

Windows

Sous Windows, il est important de distinguer les mises à jour système des mises à jour d’applications, principalement parce que tous les programmes installés après l’installation initiale ont leurs propres mécanismes de mise à jour. Cela signifie que sous Windows, tu dois vérifier régulièrement les mises à jour pour chaque programme installé. Cette information se trouve généralement quelque part dans les paramètres du programme concerné.

Mises à jour système sur Windows

1. Clique sur le menu Démarrer (logo Windows) et sélectionne l’icône d’engrenage des paramètres.
2. Clique sur Mises à jour & Sécurité (Windows 10) ou Windows Update (Windows 11).
3. Clique sur le bouton Chercher des mises à jour.
4. Si des mises à jour sont disponibles, clique sur Installer les mises à jour.
5. Clique sur Redémarrer maintenant si un redémarrage est nécessaire pour terminer l’installation.

Mises à jour automatiques du système sur Windows

• Va aux paramètres de mise à jour comme décrit ci-dessus
• Clique sur Options avancées
• Active Télécharger les mises à jour automatiquement

Linux

Dans la plupart des cas, les mises à jour système et les mises à jour d’applications sous Linux peuvent être considérées comme la même chose. Selon la distribution Linux, les paramètres individuels peuvent varier légèrement, mais le principe est le même partout.

Ubuntu (y compris : Debian, Mint, PopOS,…)

Les mises à jour système peuvent être effectuées de deux façons : via des programmes de bureau similaires à l’App Store, ou directement avec une commande dans le terminal. En fait, les versions modernes d’Ubuntu devraient être préconfigurées pour effectuer toutes les mises à jour automatiquement. Il faut toutefois le vérifier. En cas de doute, jette un oeil ici.

Mises à jour via l’application de bureau

• Cherche Software Updater

Mises à jour via le terminal (Ubuntu)

1. Ouvre le terminal (Ctrl+Alt+T, ou cherche « Terminal » dans le menu des applications)
2. Colle la commande suivante dans le terminal (click droit, Coller)

sudo apt update && sudo apt upgrade -y && sudo snap refresh

[!technical] What does this command do?

Trois commandes sont exécutées ici, séparées par &&. La différence entre apt et snap ne sera pas expliquée ici afin d’éviter la confusion. Une bonne comparaison est fournie dans l’article suivant. sudo signifie « super-user do… ». La commande suivante est donc exécutée avec des droits admin. C’est nécessaire pour les mises à jour, car des programmes sont désinstallés et réinstallés. sudo apt update : cette commande « compare » en gros les numéros de version de tes programmes installés avec les derniers numéros de version dans le dépôt (App Store). Cela indique au PC quels programmes doivent être mis à jour à l’étape suivante. sudo apt upgrade : sur la base des résultats de la commande update précédente, cette commande télécharge les dernières versions et les installe directement. -y : le flag yes confirme automatiquement le processus de mise à niveau afin qu’il n’ait pas à être confirmé manuellement. sudo snap refresh : snap est un autre gestionnaire de paquets. Si tu as installé tes applications avec l’App Store graphique d’Ubuntu, la plupart ont été installées avec snap

Mises à jour automatiques (Ubuntu)

Dans GNOME :

• Ouvre « Software & Updates »
• Ouvre l’onglet Mises à jour
• Sous « Quand des mises à jour de sécurité sont disponibles », sélectionne l’option « Téléchargement et installation automatiques »

Fedora

Les mises à jour système peuvent être effectuées de deux façons : via des programmes de bureau similaires à l’App Store, ou directement avec une commande dans le terminal. Les versions modernes de Fedora activent généralement les mises à jour automatiques par défaut. Toutefois, il est préférable de vérifier si c’est bien le cas.

Mises à jour via l’application de bureau (Fedora)

Voir Ubuntu

Mises à jour via le terminal (Fedora)

1. Ouvre le terminal (Ctrl+Alt+T, ou cherche « terminal » dans le menu des applications)
2. Colle la commande suivante dans le terminal (click droit, Coller)

• sudo dnf update

Mettre à niveau vers une nouvelle version de Fedora (environ une fois par an)

Pour mettre à jour vers une version supérieure de Fedora, consulte la documentation officielle du projet Fedora.

Mises à jour automatiques (Fedora)

Voir ci-dessus sous Ubuntu.

Tails

Tails est fourni avec son propre Tails Upgrader, qui vérifie automatiquement les mises à jour et les installe. Cependant, cela nécessite que le système fonctionne assez longtemps pour terminer les mises à jour. Vérifie donc à nouveau avant d’éteindre si des mises à jour sont disponibles. (Ouvre Tails Upgrader dans le menu des applications)

Il est recommandé de mettre à niveau manuellement ton installation Tails tous les quelques mois. C’est légèrement plus sûr et cela réduira le temps nécessaire pour les futures mises à jour. Pour des instructions concrètes, va à la documentation Tails.

iOS

Mises à jour système sur iOS

1. Ouvre l’application Paramètres
2. Général
3. Software Update : cela vérifiera les mises à jour disponibles.
4. Télécharger et installer. Tu devras peut-être saisir ton mot de passe.
   • Accepte les conditions d’utilisation lorsque cela est demandé.
   • La mise à jour sera téléchargée et installée. Ton appareil peut redémarrer pendant le processus d’installation.

Mises à jour d’applications

1. Ouvre l’App Store
2. Va à Mises à jour
   • Touche ta photo de profil ou l’icône Mises à jour en bas à droite.
3. Touche Update All pour mettre à jour toutes les applications.

Activer les mises à jour automatiques

Pour les mises à jour système

1. Général
2. Software Update
3. Ici, tu trouveras l’option Mises à jour Automatiques. Active cette option.

Pour les mises à jour d’applications

1. Ouvre l’application Paramètres
2. Apps (généralement en bas)
3. App Store
4. Activer les Mises à jour d’Applications

Android

Les noms exacts des éléments de menu peuvent varier selon le fabricant de ton appareil Android, mais le principe est le même sur tous les appareils.

Mises à jour système sur Android

1. Ouvre l’application Paramètres
2. En bas, touche À propos de ce téléphone ou Système
3. Mise à jour logicielle ou System updates
4. Télécharger ou Installer. Tu devras peut-être saisir ton PIN ou ton mot de passe.

Mises à jour système automatiques sur Android

Les mises à jour système automatiques sont généralement activées par défaut sur Android. Elles ne sont accessibles que via les Options Developpeurs, qu’il ne faut pas toucher à moins de savoir exactement ce que tu fais.

GrapheneOS

En théorie, ce qui précède s’applique aussi aux versions Android « normales », mais ce qui suit s’applique généralement aux utilisateur·ices de GrapheneOS :

Si tu n’utilises pas régulièrement ton profil « Owner » et que tu es surtout dans un profil utilisateur, l’auto-updater (qui fonctionne uniquement dans le profil Owner) peut ne pas toujours vérifier les mises à jour.

Pour tou·tes les utilisateur·ices : passe régulièrement au profil propriétaire et suis la méthode manuelle décrite ci-dessus.

Mises à jour d’applications sur Android

Comme différents app stores sont utilisés ici, nous allons simplement tous les lister dans l’ordre. Même si les mises à jour automatiques sont généralement activées par défaut pour tous les app stores, il vaut mieux le confirmer manuellement.

Google Play Store

1. Ouvre le Google Play Store
2. Va à « Mes applications et jeux »
3. « Tout mettre à jour »

Mises à jour automatiques dans Google Play Store

1. Ouvre le Google Play Store
2. Sous l’icône utilisateur, appuie sur Paramètres
3. « Paramètres réseau »
4. « Activer la mise à jour automatique des applications »

Mises à jour automatiques dans Aurora Store

1. Touche l’icône d’engrenage en haut à droite
2. Va dans « Paramètres »
3. Appuie sur « Mises à jour »
4. Appuie sur « Mises à jour des apps automatique »
5. Sélectionne « Installer automatiquement »

Mises à jour automatiques dans F-Droid

• Paramètres
• Intervalle de mises à jour automatiques
  • Ici, tu peux définir à quelle fréquence vérifier les nouvelles mises à jour. (par exemple chaque jour)
• Active Installer les mises à jour automatiquement

Mises à jour automatiques dans Accrescent

• Paramètres
• Active Mises à jour automatiques

Mises à jour automatiques dans Obtainium

• Paramètres
• Activer les mises à jour en fond de tâche
• Pour des mises à jour plus rapides : Autoriser les téléchargements parallèles

VeraCrypt

[!toc] Table of Contents

• Encrypt entire hard drives/USB sticks or folders with VeraCrypt

• Open VeraCrypt
  • Option 1: Create file for encrypted container
  • Option 2: Encrypt the entire file system
• Encryption Options
• Option 1: Volume Size
  • Option 1: Folder as large as the entire stick
• Set password
• File system settings
  • Quick Format
• Random generator
• Encryption process
• Change password later

Le logiciel VeraCrypt est nécessaire pour toutes les méthodes mentionnées ici. Cela signifie que ce programme doit être installé sur ton PC afin de chiffrer et de déchiffrer (rouvrir) des stockages chiffrés, comme des dossiers ou des clés USB.

Chiffrer des disques durs/clés USB entiers ou des dossiers avec VeraCrypt

Il existe deux façons principales de chiffrer entièrement une clé USB ou un disque dur :

1. Créer et chiffrer un dossier aussi grand que tout le support de stockage.
2. Chiffrer le système de fichiers du disque dur lui-même.

Comme beaucoup de choses peuvent mal se passer avec l’option 2, nous recommandons généralement l’option 1. Elle ne devrait pas avoir d’inconvénients. Ça signifie aussi qu’avec l’option 1, le processus pour chiffrer des dossiers individuels ou toute la clé USB/le disque dur est identique.

Cependant, si l’appareil à chiffrer est formaté en FAT32 et fait plus de 4 Go, cela ne fonctionnera pas, ce qui est malheureusement souvent le cas.

[!technical] Details about FAT32

Les nouvelles clés USB sont souvent livrées avec un formatage FAT32. C’est un problème, car les fichiers de plus de 4 Go ne peuvent pas être stockés sur FAT32 et des formats similaires.

Comme la clé USB fait probablement plus de 4 Go, l’option 1 nécessiterait de créer un fichier (dans ce cas, le fichier du dossier chiffré) de plus de 4 Go, ce qui échouera dans ce cas.

Si ton support de stockage a ce type de formatage, il doit soit être reformaté pour l’option 1, ce qui nécessite un autre logiciel, soit l’option 2 doit être sélectionnée.

[!technical] Reformat your drive

En formatant ton disque, tu perdras l’accès à tes données. Cependant, les autorités pourraient encore être capables de les récupérer. Voici des instructions pour reformater ton appareil en exFAT :

• Sous Linux : https://linuxconfig.org/how-to-format-usb-with-exfat-on-linux
• Sous MacOS : https://support.apple.com/en-gw/guide/disk-utility/dskutl1010/mac
• Sous Windows : https://learn.microsoft.com/en-us/answers/questions/4281222/how-to-format-usb-drive-to-exfat-on-windows-10-hom

À partir de maintenant, nous décrirons les deux options en parallèle. S’il y a des différences entre les deux options, elles seront indiquées avec les titres « Option 1 » ou « Option 2 ». Le reste s’applique aux deux options.

Ouvre VeraCrypt

• Clique sur Créer un Volume

Option 1 : Créer un fichier pour le conteneur chiffré

Le « dossier » chiffré n’est finalement qu’un fichier, appelé container dans VeraCrypt. Nous ne pourrons l’utiliser plus tard comme un dossier normal que lorsqu’il sera ouvert et déchiffré via VeraCrypt.

[!info] Note {static}

• Un conteneur VeraCrypt n’est qu’un fichier pour le PC
• Pour nous, le conteneur ressemblera à un dossier normal une fois déchiffré

• Ici, nous sélectionnons « Encrypted file container » : Suivant>

• Sélectionne ensuite Standard VeraCrypt Volume puis Next>

Dans le menu Localisation, nous sélectionnons maintenant l’emplacement sur lequel VeraCrypt doit stocker le conteneur pour nous. Comme indiqué, cela devrait être notre clé USB/disque dur.

• Clique d’abord sur Sélectionner un Fichier
• Cela ouvrira le gestionnaire de fichiers. Navigue jusqu’à la clé USB/le disque dur que tu veux chiffrer.
• Nous créons maintenant le conteneur, qui deviendra plus tard notre dossier chiffré. Saisis un nom pour le fichier dans le champ prévu. Le nom est techniquement sans importance, mais ce sera le nom du fichier que tu verras plus tard lorsque tu inséreras simplement la clé et l’ouvriras.

• Confirme avec Enregistrer

Option 2 : chiffrer tout le système de fichiers

• Volume VeraCrypt Standard > Suivant>

Nous devons maintenant sélectionner le support de stockage.

[!warning] Attention {static}

La liste affiche maintenant tous les supports de stockage disponibles connectés à l’ordinateur, y compris d’autres disques durs, clés USB, cartes SD, etc.

Tous les fichiers sur l’appareil sélectionné ici seront définitivement supprimés, donc assure-toi de sélectionner le bon appareil !

Il est généralement utile de regarder la taille de stockage pour identifier la bonne clé. Si tu veux chiffrer un disque dur qui peut avoir la même taille que d’autres supports de stockage connectés, tu dois regarder le chemin/les points de montage, qui peuvent inclure le nom de l’appareil. Dans les captures d’écran ci-dessus, tu peux voir deux appareils avec 3 et 1 partitions : nvme0n1* et sda*. Les entrées directement en dessous sont leurs partitions séparées.

Par exemple ici, l’appareil supérieur nvme0n1 est un SSD de 1,8 To (~2 To), tandis que celui du bas sda est une clé USB de 29,3 Go (~32 Go).

Si tu n’es toujours pas sûr·e de quel appareil ou quelles partitions sont les bons, retire l’appareil que tu veux chiffrer et vérifie à nouveau la liste. Ceux qui apparaissent encore ne sont pas les bons !

• Une fois que tu es sûr·e de l’appareil qui doit être chiffré, confirme l’avertissement indiquant que tous les fichiers sur l’appareil sélectionné seront détruits.

Options de chiffrement

Les paramètres par défaut devraient suffire. Expliquer les détails techniques dépasserait le cadre de ce guide. Si cela t’intéresse, tu peux en savoir plus sur les différents algorithmes de chiffrement.

• Clique sur Suivant>

Option 1 : taille du volume

Ici, nous indiquons quelle taille le conteneur (dossier) devra avoir plus tard. Tu peux choisir n’importe quelle taille selon l’espace de stockage libre disponible.

[!info] {notitle}

Garde simplement en tête que si tu veux mettre plus tard un fichier de 100 Mo dans le dossier, tu devrais choisir un peu plus d’espace ici, comme 110 Mo. C’est parce que le chiffrement lui-même prend un peu de place.

Option 1 : dossier aussi grand que toute la clé

Comme tu peux le voir sur l’image ci-dessus, il y a une case supplémentaire pour utiliser tout l’espace disponible lors de la création du conteneur (dossier).

[!info] Example

Donc s’il y a déjà 1 Go de données sur une clé de 4 Go, le nouveau conteneur fera 3 Go avec cette option et les données existantes resteront intactes.

C’est pour cela que nous avons choisi la première option dès le début, car avec la deuxième option, toutes les données seront supprimées si, par exemple, le mauvais disque dur est sélectionné.

Un avertissement apparaît indiquant que les fichiers de plus de 4 Go ne peuvent pas être stockés sur FAT32. Tu peux simplement cliquer sur OK ici, si tu t’es assuré·e que ton disque n’est pas formaté en FAT32.

Définir le mot de passe

Ici, tu peux définir le mot de passe qui sera utilisé pour chiffrer le conteneur. Tu devrais choisir un mot de passe fort, sinon il peut être facilement deviné.

Il vaut mieux générer et enregistrer un mot de passe avec un gestionnaire de mots de passe comme KeePass :

Paramètres du système de fichiers

On nous demande maintenant si nous voulons stocker des fichiers de plus de 4 Go dans notre dossier.

Si tu es sûr·e de ne pas vouloir le faire, clique sur non, sinon clique sur oui. Ensuite, un système de fichiers doit être indiqué.

• Sélectionne exFAT si tu veux utiliser le stockage sur des ordinateurs Windows.
• Sélectionne ext4 si tu veux utiliser le stockage uniquement sur Linux et MacOS.
• Sélectionne NTFS si tu veux utiliser le stockage uniquement sur Windows et Linux. Même si NTFS n’est pas conçu pour Windows lui-même, Linux le gère assez correctement.

Les plateformes concernées peuvent être capables de gérer tous les formats, mais ces recommandations devraient fonctionner sans problème.

Formatage Rapide

La case à côté de Formatage Rapide n’est généralement disponible que pour l’option 2. Elle signifie que le stockage ne sera pas écrasé avec des bits aléatoires pendant le chiffrement. L’avantage est que, surtout pour les grands supports de données, le processus de chiffrement est extrêmement raccourci et ne prend que quelques secondes.

Cependant, cela apporte aussi des incertitudes en matière de sécurité, c’est pourquoi nous ne sélectionnons cette option que si :

• Aucune donnée sensible n’a jamais été stockée sur ce support de stockage. (Jamais veut vraiment dire jamais, voir Hygiène des données), ou
• Le support de stockage est déjà chiffré, son mot de passe n’est connu d’aucun adversaire, et il est seulement chiffré « à nouveau » (pour quelque raison que ce soit).

[!tip] {static}

L’option la plus sûre est d’utiliser Formatage Rapide uniquement pour des supports de stockage tout neufs !

Ensuite, indique si tu veux utiliser le support de stockage sur des systèmes d’exploitation autres que ton système actuel (en cas de doute, sélectionne toujours cette option, au cas où).

Générateur aléatoire

La fenêtre « Générateur aléatoire » va maintenant s’ouvrir. Sans entrer dans les détails, il faut noter ici qu’un bon chiffrement dépend du fait que des données générées aléatoirement soient « mélangées » au chiffrement.

Comme les ordinateurs ne sont pas parfaits pour cela, VeraCrypt te demande de faire des mouvements aléatoires avec ta souris dans la fenêtre. Cela remplit lentement la barre bleue sous « Randomness Collected From Mouse Movements »

La barre devrait être au moins à moitié pleine. Plus il y en a, mieux c’est !

• Clique sur Suivant> une fois que la barre est suffisamment remplie

Processus de chiffrement

VeraCrypt commence maintenant à chiffrer le fichier à la taille indiquée et avec les paramètres sélectionnés. Pour cela, il écrit d’abord des « uns » et des « zéros » aléatoires sur tout le conteneur (sauf si Formatage Rapide est sélectionné). Selon sa taille et sa vitesse, cela peut prendre de quelques minutes à plusieurs heures.

Changer le mot de passe plus tard

Tu peux aussi changer plus tard le mot de passe d’un conteneur VeraCrypt.

• Monter le conteneur

• Clique sur Changer le mot du passe du Volume

• Saisis l’ancien mot de passe en haut et le nouveau mot de passe deux fois en bas. _(Astuce : génère et enregistre les mots de passe avec un gestionnaire de mots de passe)

Installer VeraCrypt

[!toc] Table of Contents

• Downloading the installer file

• Verifying the installer file
  • Installing PGP
  • Downloading, verifying, and importing the developers’ public key
  • Download the signature from VeraCrypt
  • Checking the signature of the installer file
• VeraCrypt Installation Process
• Updating VeraCrypt

Télécharger le fichier d’installation

Pour installer VeraCrypt, tu dois d’abord télécharger le fichier d’installation approprié. Des fichiers d’installation pour différents systèmes d’exploitation sont disponibles sur le site de VeraCrypt.

Vérifier le fichier d’installation

Avant d’installer VeraCrypt, il est important de vérifier l’authenticité et l’intégrité du fichier d’installation téléchargé. L’intégrité signifie que le fichier n’a pas été endommagé ni modifié pendant le téléchargement. L’authenticité signifie que nous avons téléchargé le fichier depuis la source prévue et non depuis quelqu’un qui se fait passer pour VeraCrypt. La vérification se fait avec deux techniques : les checksums et les signatures PGP/GPG.

[!technical] How does the verification work?

Les développeurs calculent une valeur de hachage à partir du fichier qu’ils mettent à disposition pour téléchargement. Cela montre rapidement si un fichier a été modifié pendant le téléchargement ou s’il est incomplet. Les développeurs signent la valeur de hachage du fichier téléchargé avec leur clé PGP privée. Le résultat s’appelle une signature. Nous pouvons maintenant vérifier la signature en essayant de la déchiffrer avec la clé PGP publique appropriée. Un programme nous aide généralement à le faire. La bonne signature indique que ce sont bien les développeurs eux-mêmes qui ont fourni le fichier téléchargé et la valeur de hachage.

Installer PGP

Pour les étapes suivantes, nous devons installer un programme capable de gérer les signatures PGP. Il est déjà préinstallé sous Linux. Pour Windows, il doit être téléchargé ici et installé. Pour MacOS, homebrew peut être téléchargé et installé.

Télécharger, vérifier et importer la clé publique des développeurs

D’abord, nous avons besoin de la clé PGP publique des développeurs. Elle nous permet de vérifier que la signature du fichier téléchargé est correcte. La clé publique peut être téléchargée ici et enregistrée dans Downloads. Tu dois maintenant vérifier que tu as téléchargé la bonne clé en comparant l’empreinte de la clé publique (un identifiant unique pour une clé). Pour cela, ouvre une fenêtre CMD sous Windows ou un terminal sous Linux/macOS et saisis ce qui suit :

cd Downloads
gpg VeraCrypt_PGP_public_key.asc

L’empreinte (nombre à 36 chiffres) qui s’affiche doit correspondre à celle sur le site de VeraCrypt. Si c’est le cas, la clé est correcte et peut être importée. Pour cela, retourne dans la fenêtre CMD sous Windows ou dans le terminal sous Linux et saisis ce qui suit :

gpg --import VeraCrypt_PGP_public_key.asc

Assure-toi d’être dans le dossier ou répertoire où la clé publique est stockée, par exemple Téléchargements.

Télécharger la signature depuis VeraCrypt

Nous devons maintenant télécharger la signature correspondant au fichier d’installation depuis le site de VeraCrypt et l’enregistrer dans Téléchargements. Il est important de télécharger la signature qui se trouve directement derrière le fichier d’installation que tu as téléchargé plus tôt.

Vérifier la signature du fichier d’installation

Nous utilisons maintenant la signature et la clé publique pour vérifier si le fichier d’installation est complet et s’il a réellement été téléchargé depuis les développeurs de VeraCrypt. Pour cela, ouvre un CMD sous Windows ou un terminal sous Linux/macOS et saisis ce qui suit (remplace les placeholders dans [] par tes vrais noms de fichiers) :

gpg -verify [full name of the signature file] [full name of the installer file]

Par exemple : gpg --verify veracrypt-1.26.20-Ubuntu-24.04-amd64.deb.sig veracrypt-1.26.20-Ubuntu-24.04-amd64.deb

La sortie devrait maintenant indiquer “Signature OK from 'VeraCrypt Team (2018 - Supersedes Key ID=0x54DDD393) <veracrypt@idrix.fr>' [unknown]”. Le fichier d’installation est maintenant fiable et peut être installé. Tu peux ignorer l’avertissement indiquant que la clé n’a pas de signature de confiance.

Processus d’installation de VeraCrypt

Double-clique sur le fichier d’installation pour installer VeraCrypt.

Mettre à jour VeraCrypt

Dans certains cas, VeraCrypt peut te proposer une mise à jour automatique, ce qui est le processus de mise à jour à privilégier puisqu’il est rapide et simple.

Si VeraCrypt ne propose pas de mise à jour automatique, une mise à jour manuelle fonctionne de la même manière que ci-dessus. Tu dois télécharger le fichier d’installation, le vérifier, puis l’installer à nouveau en remplaçant ta version obsolète. Cela devrait être fait chaque fois qu’une nouvelle version est disponible.

Saisie des appareils

[!toc] Table of Contents

• Prevention

• Encryption
• Passwords
• Data hygiene
• Signal
• Backups
• Turn off devices
• Follow-up
  • Evaluation
  • Restore backups

Après une perquisition, il y a souvent beaucoup de spéculation sur quelles informations ont éventuellement pu être récupérées sur chaque appareil. Dans ces moments, on se remémore toutes les petites “fautes de sécurité” faites ces dernières années : photos, conversations, contacts, etc. qui n’ont pas été supprimées.

Le choc est souvent violent et s’accompagne d’une inquiétude quant à la réaction du reste du groupe lorsqu’il découvrira que nos erreurs pourraient désormais leur causer des problèmes à eux aussi.

C’est justement dans ces moments-là que nous nous demandons :

[!quote] Why didn’t we prepare better for this?! {static}

C’est exactement le sujet de ce module :

[!success] Goals {static}

• Dans cette section, nous souhaitons vous présenter les étapes de la préparation et du suivi d’une saisie d’équipements techniques.
• Ce faisant, nous souhaitons vous aider à prendre les précautions éventuelles et à mettre en œuvre les mesures nécessaires pour limiter les dommages par la suite.

Prévention

Il convient de réfléchir attentivement à certains points à l’avance, car cela peut nous éviter bien des soucis par la suite.

Chiffrement

• Est-ce que les appareils sont chiffrés ?
• Est-ce qu’ils sont chiffrés avec un mot de passe fort ?
• Est-ce que les supports de stockage tels que les clefs USB, les disques durs et les cartes SD sont chiffrées avec des mots de passe forts ?

Mots de passe

• Est-ce que tous les mots de passe sont enregistrés de manière sécurisée dans un gestionnaire de mots de passe ?
• Existe-t-il une sauvegarde récente de la base de données des mots de passe conservée dans un emplacement sécurisé, afin que vous puissiez facilement la récupérer si votre base de données quotidienne des mots de passe venait à être saisie ?
• Y a-t-il des mots de passe notés sur du papier qui traînent quelque part ? Si c’est le cas, détruisez-les.
• Avez-vous activé l’authentification à deux facteurs sur au moins tous vos comptes importants ? En particulier vos comptes de messagerie, car ceux-ci peuvent souvent servir à réinitialiser les mots de passe d’autres services pour lesquels vous avez utilisé cette adresse e-mail.

Hygiène des données

Moins vous accumulez de données, moins il y en a qui peuvent vous être saisies : lisez l’article sur l’hygiène des données :

[!tip] {static}

• Lorsque vous enregistrez des données, posez-vous la question suivante : « Avons-nous vraiment encore besoin de ces données ? »
• Il n’est pas toujours possible de chiffrer a posteriori des supports de stockage non chiffrés sans laisser de traces. Chiffrez vos appareils dès le départ.
  • Les données qui n’étaient pas chiffrées peuvent encore être récupérées même après leur suppression
  • La suppression de données chiffrées ne pose aucun problème

Signal

Dans Signal, vous devriez absolument :

• Configurer les messages éphémères sur une durée (par exemple, 1 semaine) afin que le moins de conversations possible soient stockées sur l’appareil à tout moment.
• Désactiver l’option Recherche par numéro de téléphone.
• Définir le code PIN d’enregistrement.

Sauvegardes

La saisie signifie que les appareils et les données ont disparu. Pouvez-vous « vous remettre » de cette perte le plus rapidement possible, c’est-à-dire restaurer vos données sur d’autres appareils ?

Faire des sauvegardes est fastidieux, mais sans elles, vous et d’autres personnes pourriez subir des préjudices considérables. Il arrive parfois que des années de travail soient perdues parce que des données ou des résultats essentiels ont été saisis et qu’aucune stratégie de sauvegarde n’avait été mise en place.

[!tip] {static} That’s why you should make backups!

Éteingnez vos appareils

Les appareils ne sont correctement chiffrés que lorsqu’ils sont éteints, car dès leur premier déverrouillage (immédiatement après le démarrage), la clé de chiffrement est stockée dans la mémoire vive (RAM) de l’appareil.

Par conséquent, essayez d’éteindre vos appareils avant qu’ils ne soient saisis. Les perquisitions ont souvent lieu la nuit ou très tôt le matin. En configurant le redémarrage automatique sur tous vos appareils, vous vous assurez qu’ils seront en sécurité chaque matin !

[!tip] {static}

• Éteignez vos appareils avant la saisie !
• Activer le redémarrage automatique

Suivi

Les appareils ont désormais été saisis et sont hors de portée. Tous les points mentionnés ci-dessus ont-ils été pris en compte ? Si oui, bravo ! Mais si ce n’est pas le cas ?

Dans tous les cas, vous devriez contacter un avocat dès que possible et lui exposer les faits. Nous ne sommes pas avocats et ne pouvons donc pas vous donner de conseils juridiques. Vous devriez également aborder les points suivants avec lui, si possible.

Évaluation

[!failure] What information could have been compromised by this seizure? {static}

• À qui devez-vous le signaler ?
• Est-ce que votre compte a été exclu de tous les groupes de discussion par vos camarades afin que les autorités ne puissent pas lire les nouveaux messages.
• Modifiez dès que possible les noms de groupes problématiques dans Signal. Seul le fait que le nom ait été modifié sera visible, mais pas l’ancien nom du groupe. Cette procédure peut s’avérer inutile pour d’autres applications de messagerie.
• Les deux derniers points ci-dessus ne fonctionneront que tant que l’appareil disposera d’une connexion réseau, mais ça ne coûte rien d’essayer.

[!failure] Have passwords/accounts been compromised? {static}

• Modifiez les mots de passe concernés. Si ce n’est pas déjà fait, activez l’authentification à deux facteurs afin d’empêcher les autorités d’accéder à vos comptes à l’aide de votre mot de passe.

Restauration des sauvegardes

Vous allez maintenant vouloir récupérer vos données, ce qui ne posera aucun problème si vous avez effectué des sauvegardes régulièrement.

Encrypt Your Group Files in the Cloud

[!toc] Table of Contents

• Potential issues

Using a cloud to synchronize your files over devices or to collaboratively work on them as a group is very useful. The main downside is that no cloud solution offers secure, working end-to-end encryption per default, at least until know (2026).

Therefore, the easiest and safest method is to synchronize your cloud files with your device and to put your sensitive files inside an encrypted container inside the synced folder.

[!tip]

1. Setup the Nextcloud Sync-Client
2. Setup group permissions in Nextcloud
3. Setup a Cryptomator vault inside your Nextcloud folder

Now that everyone of you has access to the encrypted folder you will have to share the password through a secure channel.

Potential issues

There may be issues, when two or more of you try to open, edit and save a file at the same time. If that happens so called “conflicts” appear, because the server doesn’t know which changes to accept first, or in which order.

[!technical] Technical

When you open a file in LibreOffice for example, there will be a file with the ending .lock right next to the file you just opened. This small file will get synced to the cloud and from there to your friends devices. When they try to open the same file now, their programm sees the .lock file and knows, that another program (on you device) is currently editing this file and therefore “locked” it up. The actual problems may arise, when the first person opens the file and before the .lock file is being synced to you friends device, they open the file, too. So now both of you opened the file in editing mode. While this is completely fine in the browser, when using encrypted folders this can become part the issue described above.

Utiliser KeePassXC en groupe

[!toc] Table of Contents

• Sharing the password database (and other files)

• Share file
• Open shared database

KeePassXC n’est pas un logiciel cloud, ce qui est l’une des raisons de sa popularité : aucun de tes mots de passe ne quitte jamais ton propre ordinateur. Cependant, cela le rend peu commode pour gérer différents identifiants de connexion en groupe. Chaque fois qu’une modification est faite dans la base de données (nouveau mot de passe ajouté, mot de passe modifié, etc.), tout le monde doit être informé des changements afin de pouvoir les appliquer localement.

Cependant, comme avec des gestionnaires de mots de passe basés sur le cloud tels que Bitwarden, nous pouvons aussi garder une base de données KeePassXC automatiquement synchronisée entre différents ordinateurs, tout en continuant à ouvrir et modifier la base de données normalement avec KeePassXC.

Cela nécessite qu’un environnement cloud fonctionnel soit mis en place pour ton groupe. Nous recommandons Nextcloud, car il est non seulement open source, mais aussi hébergé par plusieurs collectifs tech très bien, ce qui signifie que tu n’as pas besoin d’installer Nextcloud toi-même. Consulte nos instructions sur les groupes Nextcloud et la synchronisation des appareils pour plus d’informations sur l’utilisation de Nextcloud.

Après une installation et une configuration réussies, chaque membre de ton groupe devrait avoir un accès direct à tous vos fichiers cloud localement, c’est-à-dire directement sur l’ordinateur.

Partager la base de données de mots de passe (et d’autres fichiers)

Maintenant, la base de données de mots de passe du groupe, ci-après appelée « la base de données », est téléversée depuis le compte du groupe vers tes propres fichiers :

Partager un fichier

• Clique sur l’icône Partager (ou sur Détails sous les trois points) :

• Saisis le nom de l’équipe dans le champ de recherche et sélectionne l’équipe (il peut être nécessaire d’écrire le nom en entier) :

• Donne au groupe les droits de modification (sinon les membres de l’équipe ne pourront pas modifier le fichier, ce qui est nécessaire s’ils doivent pouvoir ajouter ou modifier des mots de passe, par exemple) :

Ici, tu peux maintenant voir qui a accès à cette ressource :

Tous les membres de l’équipe devraient maintenant avoir accès à cette base de données dans les fichiers de leurs propres comptes. (Voir ce schéma, qui explique comment les fichiers partagés sont accessibles depuis différents comptes)

Ouvrir la base de données partagée

• Dans KeePassXC, sélectionne Ouvrir la base de données dans la barre en haut à gauche.

• Dans la fenêtre qui s’ouvre, sélectionne la base de données partagée depuis le dossier cloud.

Jeu de rôle sur le chiffrement de transport, le chiffrement E2E et MITM

[!toc] Table of Contents

• Roles

• Materials
• Procedure
  • Unencrypted
    • Unencrypted - MITM
  • Transport encrypted
    • Transport encrypted - MITM
  • End-to-end encryption
    • End-to-end encryption - MITM
  • End-to-end encryption with TOFU
    • End-to-end encryption with TOFU - MITM

Ce jeu vise à illustrer le processus, mais pas le fonctionnement technique, de la communication réseau à partir de l’exemple des e-mails sans chiffrement, avec chiffrement de transport et avec chiffrement de bout en bout. Ce n’est pas vraiment un jeu censé être amusant, mais plutôt un moyen d’expliquer le sujet sans devoir utiliser un schéma réseau, afin de le rendre plus accessible aux personnes moins techniques.

Rôles

• 2x serveurs (systemli.org et gmail.com)
• 2x parties communicantes (Alice et Bob)
• 1x (ou plus) agent·e de police (Eve)
• 3x “Internet” (facultatif)

Matériel

• 1x feuille de papier pour le texte
• 1x feuille de papier avec les métadonnées d’e-mail
• 3x feuilles de papier avec les métadonnées IP pour les routes entre les noeuds
• 2x panneaux avec les noms des serveurs
• 2x panneaux avec les adresses e-mail et IP des parties communicantes
• 1x petite boîte qui peut être fermée avec un cadenas (assez grande pour contenir la feuille de papier avec le texte)
• 3x grandes boîtes avec couvercles (assez grandes pour contenir l’autre boîte)
• 2x cadenas
• 3x chaises

Idéalement, les feuilles devraient être plastifiées et écrites avec des feutres pour tableau blanc. Elles peuvent ainsi être facilement réutilisées.

Déroulé

En préparation, les informations de métadonnées Internet sont collées sur chacune des grandes boîtes.

Ensuite, les rôles sont attribués. Le rôle de la police devrait de préférence être joué par quelqu’un sans grandes connaissances techniques, afin que les attaques demandent de la créativité. Les autres personnes observent.

Les deux serveurs et les deux parties communicantes se placent en carré. Les serveurs et les parties communicantes reçoivent les panneaux avec leurs informations.

Une chaise est placée entre chacune des quatre personnes ; une personne jouant Internet s’y assoit. Elle reçoit aussi la boîte avec les métadonnées Internet correspondantes.

Alice écrit un message à Bob sur la feuille prévue pour le texte et remplit les métadonnées qui ne sont pas déjà indiquées sur la feuille de métadonnées.

Les différents scénarios sont maintenant joués. Chaque scénario est montré une fois sans MITM et une fois avec MITM (dans notre cas, par la police). Le rôle de la police est de trouver ses propres idées pour attaquer le scénario. Les seules exceptions sont les attaques contre Alice et Bob, qui ne sont pas le but de ce jeu. De plus, la légalité des attaques ou la question de savoir si les parties remettraient les données aux autorités n’est pas discutée ; toutes les attaques techniquement possibles peuvent être envisagées. La police ne peut attaquer qu’Internet et les serveurs.

Si la police ne trouve aucune manière d’attaquer, le public peut aider. Si le public n’a pas d’idées non plus, la personne qui anime peut aider.

Le public doit ensuite expliquer ce qui s’est passé, si l’attaque a fonctionné et quelles données la police a obtenues.

Non chiffré

Anna donne les feuilles avec le texte et les métadonnées d’e-mail à Internet, qui les donne au premier serveur, qui les renvoie à Internet, qui les envoie au second serveur, qui les renvoie à Internet, qui les envoie finalement à Bob. À chaque noeud, les feuilles sont placées dans la boîte avec les métadonnées IP correspondantes.

Non chiffré - MITM

Les cibles d’attaque possibles sont :

• Internet
• Les serveurs

Toutes les données peuvent être interceptées à ces deux endroits.

Chiffrement de transport

Cette fois, les boîtes sont « fermées » avec des couvercles. Même si ces boîtes ne sont pas verrouillées dans le jeu, on précise qu’elles doivent tout de même être considérées comme sûres. Cependant, elles ne protègent que pendant le transport ; les noeuds doivent pouvoir ouvrir les boîtes correspondantes.

Sinon, cela fonctionne comme dans le scénario non chiffré. Il est important de s’assurer que les deux feuilles sont sorties de la boîte à chaque noeud, puis placées dans l’autre boîte appropriée. C’est nécessaire parce que les serveurs ont besoin des métadonnées pour savoir où transférer l’e-mail.

Chiffrement de transport - MITM

Les cibles possibles pour l’attaque sont :

• Les serveurs

Toutes les données peuvent y être interceptées.

Chiffrement de bout en bout

D’abord, on explique que le chiffrement de bout en bout implique une clé publique et une clé privée. Nous représentons la clé publique par un cadenas et la clé privée par la clé du cadenas. On rappelle brièvement que cette clé publique doit être échangée de manière à être certain·e qu’elle appartient à la personne. Pour ce scénario, nous faisons cela en demandant à Bob d’aller voir Alice en personne et de lui donner le cadenas.

Alice met le morceau de papier avec le texte dans la petite boîte, la ferme avec le cadenas, puis place cette boîte avec la feuille contenant les métadonnées dans la grande boîte. Elle l’envoie ensuite à Internet. Après cela, le processus est le même qu’avant : la grande boîte est déballée et remballée à chaque noeud, et la petite boîte est finalement ouverte du côté de Bob.

Chiffrement de bout en bout - MITM

Les cibles possibles pour l’attaque sont :

• Les serveurs

Seules les métadonnées peuvent y être consultées.

Chiffrement de bout en bout avec TOFU

Cette fois, la clé publique est échangée comme d’habitude par e-mail, sans être vérifiée.

1. Alice écrit à Bob : « Envoie-moi la clé. »
2. Bob envoie la clé.
3. Alice écrit avec un chiffrement de bout en bout, comme ci-dessus.

Chiffrement de bout en bout avec TOFU - MITM

Les cibles d’attaque possibles sont :

• Les serveurs

Toutes les données peuvent y être interceptées.

L’attaque se déroule comme suit :

1. Alice écrit à Bob : « Envoie-moi la clé. »
2. Bob envoie la clé à Alice.
3. La police intercepte la clé et la remplace par la sienne.
4. Alice chiffre le message avec la clé de la police.
5. La police intercepte le message et le lit.
6. La police rechiffre le message avec la vraie clé de Bob et le transmet.

Ni Alice ni Bob ne se rendent compte de l’attaque, mais la police peut tout lire. Comme la clé a été remplacée par la police, un deuxième cadenas est nécessaire ici.