Sécurité Informatique pour noob

- Lun Déc 26, 2016 12:22 pm #181041 Cette démarche est née il y a un peu plus d'une année, après un cours de sécurité informatique donné par un expert mondialement reconnu sur l'importance de sécuriser les données biomédiacles des patients et la valeurs qu'elle peuvent avoir. Un professeur passionnant qui a étendu le cours à la sécurité informatique privée et les différentes traces que nous laissons, sans nous en rendre compte, sur le web. Je m'étais entretenu avec lui après le cours et, à plusieurs de mes interrogations, il me répondit:
[quote]En cherchant à vous surprotéger et à laisser le moins de traces possible sur internet, vous ne faites que vous rendre plus identifiable. Soyez plus malin que le système, brouillez les pistes: plusieurs cartes de crédits, plusieurs comptes FB, laissez circuler des fausses informations à votre sujet... Vous ne pourrez jamais avoir le contrôle sur tout ce qui s'écrit sur vous, surtout si vous êtes actif sur internet ou si êtes un personnage public. Contrôler ce qui est contrôlable et n'oubliez pas, soyez plus malin que le système.
--------------

Premier constat amer après avoir suivi ses conseils et Google-isé mon Nom + Prénom, Nom + adresse mail, Nom + Numéro de téléphone, Nom + Adresse complète. Je vous conseille de faire l'expérience, c'est passionnant ce qu'on y découvre:
- Des registres de courses sportives dans lesquelles il y a votre nom, adresse complète et numéro de téléphone
- Des sites comme MoneyHouse, ZIP, et les sites du registre du commerce qui fournissent un nombre d'informations impressionnantes à votre sujet: adresse, situation fiscale, situation familiale, patrimoine immobilier...
- Toutes les publications des pages FB publiques que vous avez commentées avec des vieux dossier datant de 2008-2009.
- Certains sites non-sécurisés sur lesquels vous vous êtes inscrits avec votre adresse mail
- Les sites des opérateurs téléphonique avec votre nom, adresse et numéro de téléphone
Une bonne nouvelle c'est que vous vous êtes en droit de faire effacer ces données. Il y a parfois un formulaire à remplir directement en ligne ou alors il suffit d'écrire aux sites en quesrion. Avec une petite mention de loi, ça va tout de suite plus vite. C'est pour la Suisse, mais vous saurez trouver à quoi ça correspond en France:
[quote]« En application de l’ordonnance incidente du Tribunal administratif fédéral dans la cause A-3831/2012, je vous communique mon opposition à toute divulgation de données me concernant, soit:VOTRE NOM/PRENOM, de COMMUNE, né le JJ.MM.AAAA; Je vous prie de m’en délivrer quittance dans les 24 heures. «
--------------

C'est ensuite dans [url=https://www.amazon.fr/Protegor-pratique-s%C3%A9curit%C3%A9-personnelle-self-d%C3%A9fense/dp/2851807358]Protegor[/url] (un livre qui devrait être dans toutes les bibliothèques) que j'ai creusé un peu plus le sujet. Dans l'ordre:

- Mot de passe de qualité pour ne plus vous emmerder avec 12 mots de passe différents. Deux mots de passe de bases (avec majusculue, minuscule, caractère spciaux bien entendu) qui sont personnalisés en fonction du site sur lequel vous devez vos connecter. Extrêmement pratique une fois intégré.

- Etant donné que votre page Facebook apparait en premier dans les recherches Google, ne pas mettre son vrai nom de famille semble être prudent. On pensera aussi à modifier les paramètres de confidentialité. Il y a un nombre impressionnant de permissions qui sont données d'office à FB si vous ne les modifiez pas.

- Ne pas utiliser le compte administrateur sur son ordinateur. On dispose de privilèges et de droits sur ce compte qui, en cas de virus ou d'infection pourraient causer des dommages bien plus grands que si vous étiez sur un simple compte utilisateur. Compte utilisateur qui suffit largement pour l'usage quotidien.

- Trouvez un service d'e-mails sécurisé et chiffré. Je vous invite à faire quelques recherches sur Hotmail ou G-mail, vous aurez vite envie de changer. J'ai opté pour [url=https://protonmail.com/fr/]Protonmail[/url], un service chiffré de bout en bout, ça veut dire que seuls vous et votre correspondant avez les clés de chiffrement/déchiffrement. Protonmail ne pourra pas déchiffrer vos messages, même si l'ordre lui en été donné. Qualité Swiss Made

- Je vous passe les conseils comme sauvegarder régulièrement vos données (en ligne et sur disque dur externe)...

---------------

Ce qui m'intéresse c'est d'avoir vos retours d'expérience sur ce sujet. D'autres conseils que vous estimez indispensables? Est-ce que certains ont franchi un cap supplémentaire en utilisant un VPN ou des logiciels comme Tor pour anonymiser leur connexion?
Le but n'est pas de devenir par parano mais bien de contrôler ce qui est contrôlable, en sachant que bon nombre d'informations sont de toute manière récoltées à notre insu. Ca ma rappelle quand Facebook a commencé à me suggérer des membres du forum comme amis, alors qu'il n'y avait aucune autre plateforme qu'Homme d'Influence qui nous reliait à l'époque .

- Lun Déc 26, 2016 12:41 pm #181042 [quote] - Je vous passe les conseils comme sauvegarder régulièrement vos données (en ligne et sur disque dur externe)...

Il suffit d'un cambriolage pour que tes belles données sauvegardées tombent dans les mains d'individus peu scrupuleux. Il semble que pour l'instant les filières s'y intéressent peu, mais cela peut changer.

Il faut également sécuriser les disques des appareils.

[quote]En cherchant à vous surprotéger et à laisser le moins de traces possible sur internet, vous ne faites que vous rendre plus identifiable

+1 et c'est plus général. Quand la vidéosurveillance se généralisera et que tout le monde aura un smartphone GPS actif, tu seras le seul visage à ne pas être corrélé aux données mobiles, donc facile à suivre.

C'est pour cela que je pense qu'on échappera à la surveillance généralisée uniquement dans des environnements où la nature est peu amicale.

Projet 2017 : lire les écrivains de l'ex-URSS.

- Lun Déc 26, 2016 12:53 pm #181043 [quote="jazzitup_"]
Il suffit d'un cambriolage pour que tes belles données sauvegardées tombent dans les mains d'individus peu scrupuleux. Il semble que pour l'instant les filières s'y intéressent peu, mais cela peut changer.
Il faut également sécuriser les disques des appareils.

Yes. Crypter les disques et également penser aux sauvegardes en ligne. Et là Dropbox n'est pas forcément une solution sûre.
[quote="jazzitup_"]+1 et c'est plus général. Quand la vidéosurveillance se généralisera et que tout le monde aura un smartphone GPS actif, tu seras le seul visage à ne pas être corrélé aux données mobiles, donc facile à suivre.

C'est pour cela que je pense qu'on échappera à la surveillance généralisée uniquement dans des environnements où la nature est peu amicale.
Une raison de plus pour quitter les grandes villes .
Quand tu vois l'efficacité de la reconnaissance faciale sur FB (qui te reconnait également sur des photos d'il y a 10-15 ans, quand tu n'étais qu'un adolescent) je n'ose pas imagine le puissance de certains logiciels.

- Lun Déc 26, 2016 9:02 pm #181048 Comme pour une entreprise; la vraie question est d'identifier les vraies informations à sécuriser.
On peut choisir de tout sécuriser mais on le fera mal ou on sélectionne et on adapte son comportement en utilisant une clés usb cryptée qui reste sur toi par exemple.

Sérieusement, qui a de véritables données sensibles? (je sais qu'on aime se raconter des histoires sur le net mais une vraie discussion avec soi-même s'impose)

Est ce que t’aboies tout le temps p’tit roquet ou est ce que tu mords ?

- Mar Déc 27, 2016 1:50 am #181051 A ce sujet, à lire absolument:

https://www.rts.ch/info/sciences-tech/r ... istes.html


1984, on y est.

- Mar Déc 27, 2016 2:52 am #181053 [quote]Et là Dropbox n'est pas forcément une solution sûre.

Devine qui est dans leur board ? Condoleezza Rice.

- Mar Déc 27, 2016 3:57 am #181055 [quote]1984, on y est.

C'est fou que GitHub y soit. C'est-à-dire un réseau social centré sur la programmation open source.

Je pense qu'il s'agit en réalité de la liste des réseaux ayant fourni un accès privilégié au gouvernement.

- Mar Déc 27, 2016 11:24 am #181060 [quote="coug"]A ce sujet, à lire absolument:

https://www.rts.ch/info/sciences-tech/r ... istes.html


1984, on y est.
"Seul le nom d'utilisateur est demandé, et pas le mot de passe."
Ils sont chou .

- Mar Déc 27, 2016 11:48 am #181061 [quote="Synchronn"]Comme pour une entreprise; la vraie question est d'identifier les vraies informations à sécuriser.
On peut choisir de tout sécuriser mais on le fera mal ou on sélectionne et on adapte son comportement en utilisant une clés usb cryptée qui reste sur toi par exemple.
Sérieusement, qui a de véritables données sensibles? (je sais qu'on aime se raconter des histoires sur le net mais une vraie discussion avec soi-même s'impose)
Ca va au delà du fait que les services de renseignement sachent que je correspond avec des hommes d'influence sur un forum. Je sais que vous avez l'habitude de la surveillance de masse en France mais en Suisse, le fait qu'on mette un flic derrière chaque porte ne correspond pas vraiment à la définition qu'on se fait de la démocratie.

Chez nous, peuple a dit oui à la nouvelle loi sur le renseignement en septembre dernier. Une nouvelle loi qui donne le droit aux services de renseignement de collecter des données personnelles à l’insu des personnes concernées. Même si les mesures plus intrusives comme les écoutes téléphoniques, des fouilles de domicile ou la pose de caméras dans des appartements ne peuvent être adoptées que dans les cas de soupçon de terrorisme, on a donné la permission aux autorités d’accéder aux métadonnées stockées par les opérateurs téléphoniques par exemple. Avant c'était uniquement en cas de soupçons d'infractions. Maintenant c'es le cas même si aucun soupçon d’infraction ne pèse sur l’individu concerné. 1984 vous avez dit.

On notera aussi, ce que personne n'a précisé, que les services des renseignements pourront partager ses données avec des services étrangers. Coucou la surveillance globalisée.

Il ne s'agit pas d'être parano et je ne me fais aucun cheveux blanc parce que les photos de mes dernières vacances en Toscance sont sur Dropbox. C'est juste histoire d'être réaliste sur ce qui se passe en ce moment. Dit toi que la surveillance de masse était déjà bien en place quand elle n'était pas inscrite dans la loi. On tente même de nous imposer une vignette électronique pour les autoroute* en Suisse pour enregistrer le moindre de nos déplacements.

*On a un système de vignette qui coute 40 CHF (35 euros) par année et qui nous permet de nous rendre sur l'autoroute.

- Mar Déc 27, 2016 12:30 pm #181062 [url=http://www.defense.gouv.fr/actualites/articles/sortie-du-nouveau-guide-du-bon-usage-des-reseaux-sociaux]Un guide de bon usage des réseaux sociaux[/url] destinés aux militaires et civils du ministère de la Défense et à leur famille.

Il y a du bon à prendre.

- Mar Déc 27, 2016 1:57 pm #181063 [quote="James ex S"][quote="coug"]A ce sujet, à lire absolument:

https://www.rts.ch/info/sciences-tech/r ... istes.html


1984, on y est.
"Seul le nom d'utilisateur est demandé, et pas le mot de passe."
Ils sont chou .

Tellement...

Comme si les autorités américaines avaient besoin du mot de passe pour accéder aux informations "privées" d'un compte

Le journaliste SocialoCollabo te dira "mais non voyons je risque rien, j'ai partagé ma publication que avec mes amis, pas en public" #BabtouFragile

- Mar Déc 27, 2016 2:06 pm #181065 Must read, ici aussi, l'UK nous montre notre avenir si on se défends pas (vite).

https://www.rts.ch/info/monde/8267276-d ... geons.html

- Mar Déc 27, 2016 7:00 pm #181066 [quote="James ex S"]- Mot de passe de qualité pour ne plus vous emmerder avec 12 mots de passe différents. Deux mots de passe de bases (avec majusculue, minuscule, caractère spciaux bien entendu) qui sont personnalisés en fonction du site sur lequel vous devez vos connecter. Extrêmement pratique une fois intégré.
Un truc à écouter : [url]https://www.youtube.com/watch?v=3NjQ9b3pgIg[/url]

Le fonctionnement par mot de passe est contradictoire en soi, car son principe est d'avoir des mots de passe faciles à se rappeler quand on est un humain mais difficiles à craquer quand on est un ordi., alors qu'en pratique c'est exactement l'inverse qui se passe : on a du mal à s'en rappeler, mais ils sont toujours aussi faciles à craquer.

Un "mot de passe de qualité" ça n'existe pas dès lors que tu l'utilises sur plusieurs sites. Il faut a minima un mot de passe par site, idéalement généré aléatoirement, avec un gestionnaire de mots de passe qui t'évite de t'en souvenir (de toute façon se souvenir d'une suite de caractères aléatoires différentes pour chaque site c'est infaisable). C'est une chose de se faire pirater son compte hommesdinfluence.com, c'est autre chose que la connaissance de ce mot de passe donne accès à mes mails et autres.

Pour les données, considérer que tout ce qui n'est pas stocké chez nous ou dans des endroits sûrs (backup au boulot) est quasi en open access pour les gouvernements (US notamment). Crypter les disques des appareils mobiles, son disque de backup à la maison, il y a des outils maintenant pour que tout ça soit quasi transparent, en gros un ou deux mots de passe à entrer au démarrage de l'ordinateur et on est bon pour la journée.

Après, à part les données sensibles (banque etc.) je ne me complique pas la vie non plus.
J'estime que si quelqu'un rentre physiquement chez moi sans ma permission, protéger mon dernier bout de code ou mes derniers travaux de recherche seront le cadet de mes soucis. Idem pour les photos de vacances ou presque tout ce qui est numérique en fait. Par contre il ne pourra pas se connecter rapidement sur l'ordi, et s'il part avec mes disques il ne pourra pas les lire. Tout est une question de difficulté d'accès et de motivation, mais à un moment comme je suis un mec lambda je pense que la personne passera à une cible plus facile.

Une sauvegarde en ligne c'est une sauvegarde entre des mains inconnues, mais c'est assez simple d'avoir accès à un disque à la maison pour y faire une sauvegarde à distance. On peut se dire que ça rajoute une vulnérabilité en cas d'accès non autorisé mais si c'est pour des données non sensibles on s'en tape un peu.

Enfin, pour les aspects logiciel ne j'utilise que du libre (dont mes OS, le système de backup à la maison, le logiciel de gestionnaire de mot de passe, etc.) et le mode navigation privée de Firefox quand je vais voir ma banque (ça n'empêche pas le fournisseur d'accès de savoir ce qu'on fait). Pour le traçage de l'activité, je m'en fous un peu sinon j'utiliserais TOR mais c'est encore à peine assez user friendly.

- Mar Déc 27, 2016 7:06 pm #181067 Un site pratique qui recense les piratages connus et vous dit si un de vos comptes de messagerie ou de réseaux sociaux a été compromis :
https://haveibeenpwned.com/
Ça vaut le coup d'y jeter un coup d’œil de temps en temps.

Pour ces mêmes comptes, l'idéal est d'activer la double authentification (mot de passe + sms par exemple) quand cela est possible, et de paramétrer les alertes qui indiquent qu'il y a eu connexion depuis un pc ou mobile non connus.

Attention aussi aux usages sur smarphones, il est préférable d'éviter d'installer n'importe quelle application ou de "jaibreaker" son terminal.

- Mar Déc 27, 2016 8:30 pm #181068 Elan, as tu déjà pensé à faire un court guide des "best practices" pour appliquer tes recommendations de manière concrète et factuelle?

Ce serait utile à vachement de personnes.