Les essentiels de la sécurité

On sait que l'ICE et d'autres services de flics utilisent des outils de géolocalisation qui s'appuient en partie sur l'« identifiant publicitaire » fourni par ton téléphone. Ces outils servent souvent à réprimer les mouvements sociaux.

Les identifiants publicitaires ont aussi été utilisés pour choisir les cibles de logiciels espions diffusés via des publicités.

iPhone désactive cette fonctionnalité par défaut. Sur Android, elle est activée par défaut et il faut la désactiver.

Ces applis peuvent vraiment avoir besoin de ta position pendant leur utilisation :

• Applis de navigation (Apple Maps, Magic Earth, CoMaps)
• Covoiturage et VTC (mais seulement pendant que tu t'en sers activement)

Certaines applis peuvent avoir besoin d'une autorisation temporaire :

• Les applis de livraison de repas n'ont besoin de ta position que lorsque tu passes vraiment commande

Les applis qui n'ont absolument PAS besoin d'accéder à ta position :

• Applis photo
• Applis de réseaux sociaux
• Jeux
• La plupart des applis de shopping
• Applis bancaires
• Applis d'actualités
• La plupart des applis de productivité

N'oublie pas : chaque appli qui a accès à ta position est une fuite potentielle de données personnelles. Dans le doute, désactive la localisation et ne la réactive que si tu te rends compte que tu en as vraiment besoin.

La plupart des textos et appels classiques peuvent être vus par ton opérateur mobile et par le gouvernement. Telegram est incroyablement peu sécurisé. (Voir plus bas ce qu'on pense de WhatsApp.)

Signal est la meilleure option pour sécuriser tes messages et garder privé avec qui tu parles.

Quand utiliser Signal

Quelques exemples de situations où tu voudras particulièrement utiliser Signal

• Discuter d'une manif/action qui n'est pas publique
• Organiser une manif/action publique, quand les organisateur·ices veulent protéger leur vie privée
• Critiquer le gouvernement ou d'autres détenteur·ices du pouvoir

Et WhatsApp ? (Évite-le si tu peux, utilise-le si tu dois)

Les messages WhatsApp sont protégés par la méthode de chiffrement développée par Signal, donc le contenu de tes messages est sécurisé. Par contre, Meta récolte plein d'infos sur les personnes avec qui tu parles, à quelle fréquence et dans quels groupes tu es. Rien qu'en 2024, Meta a transmis des données pour 78 % des demandes du gouvernement. Tes messages sont protégés, mais pas l'identité des personnes avec qui tu communiques. C'est une option à envisager si la communauté avec qui tu milites a peu de chances de passer à Signal. C'est plus sûr que les textos classiques, Telegram, etc. Si tu utilises WhatsApp, pense à activer la nouvelle fonctionnalité Paramètres de compte stricts et à verrouiller tes paramètres de confidentialité

La meilleure amélioration que tout le monde peut apporter à son utilisation de Signal, c'est de s'assurer que les messages éphémères sont activés par défaut. La plupart des militant·es avec qui on parle ne les ont pas activés par défaut. (Et la plupart des gens oublient de les activer manuellement pour chaque nouvelle conversation.)

Ça te protège, et ça protège les autres aussi. On ne sait jamais quel téléphone sera saisi par les flics. Même si on pense parler de choses parfaitement légales, le gouvernement peut trouver des moyens de déformer nos propos pour essayer de monter un dossier contre nous à cause de notre engagement politique

Il y a deux choses à surveiller avec les messages éphémères :

1. D'abord, modifie ton paramètre par défaut pour que cette fonctionnalité soit activée dans toutes les conversations que tu crées.
2. Ensuite, vérifie qu'elle est activée dans les conversations lancées par d'autres personnes : si quelqu'un d'autre lance la conversation, les messages éphémères ne sont peut-être pas activés. Tu devras peut-être les activer toi-même.

Choisir la durée de tes messages éphémères : la durée que tu choisis dépend de la sensibilité de tes messages. Une question que tu peux te poser : si l'appareil de quelqu'un était confisqué ou piraté, à quel point est-ce important que ces messages ne soient pas accessibles ?

• Pour discuter de choses peu risquées entre ami·es, tu peux choisir 4 semaines.
• Pour l'organisation politique courante, tu peux choisir 1 semaine.
• Pour des actions plus risquées, tu peux régler la durée sur 1 jour, 1 heure ou 5 minutes, pour que les messages aient disparu avant le début de l'action.

On recommande Brave, parce qu’il offre le plus de confidentialité sans aucune configuration supplémentaire, et c’est justement notre objectif sur ce site.

Astuces bonus pour configurer Brave :

• Installe Privacy Badger pour une protection supplémentaire.
• Tu peux aussi installer l’appli Brave sur iPhone ou Android.

Autres options de navigateur :

• Firefox peut offrir encore plus de confidentialité si tu prends le temps d’installer les bons plugins et de bien le configurer.
• Utilise Tor Browser pour une navigation très sensible et vraiment anonyme

• Brave Search donne généralement de meilleurs résultats et on lui fait confiance, mais certaines personnes ne sont pas d’accord avec son modèle économique
• Les résultats de DuckDuckGo sont moins fiables, mais son bilan en matière de vie privée est un peu meilleur.

Ton historique de localisation en dit long sur tes centres d'intérêt, tes ami·es et ton activité politique. Il peut aussi être utilisé contre toi au tribunal.

Ton téléphone révèle en permanence ta position approximative à ton opérateur mobile, parce qu'il sait à quelle antenne relais tu es connecté·e. Mais toute appli à qui tu donnes ta position GPS exacte en sait beaucoup plus.

Tu peux te protéger en utilisant une appli de cartes plus respectueuse de la vie privée.

Apple Maps (iPhone uniquement) offre des protections de la vie privée plus solides que ce que tu pourrais imaginer, et respecte bien plus ta vie privée que Google. Mais comme Apple est une grosse entreprise de la tech, mieux vaut l'utiliser au quotidien plutôt que pour l'organisation militante sensible. On la recommande parce qu'elle propose le trafic en temps réel et les transports en commun, ce qui manque aux alternatives axées sur la vie privée.

Magic Earth (iPhone ou Android ; gratuit) offre une bonne protection de la vie privée. Elle est bien plus simple à utiliser que notre autre suggestion multiplateforme (CoMaps). Certaines fonctionnalités ne sont toutefois disponibles que dans la version payante.

CoMaps (iPhone ou Android ; gratuit) est moins facile à prendre en main que Magic Earth ou Apple Maps, mais offre les garanties de confidentialité les plus solides. Tu peux l'utiliser entièrement hors ligne, ce qui est particulièrement utile pour les militant·es qui mènent des actions sensibles. Cela dit, elle n'a ni trafic en temps réel ni itinéraires en transports en commun, ce qui la rend difficile à utiliser comme appli de navigation principale.

Chaque nouvelle mise à jour du système d'exploitation corrige des failles de sécurité. Chaque mise à jour que tu n'as pas installée allonge la liste des moyens dont disposent les flics pour pirater ton appareil. Imagine un grand bâtiment avec de plus en plus de portes laissées déverrouillées.

Si ton système d'exploitation n'est pas à jour, beaucoup des autres recommandations de ce guide ne protégeront pas tes données.

Commence par ton téléphone. Si tu fais quelque chose de plus risqué, assure-toi de mettre à jour tous tes appareils.

Les sites de « recherche de personnes » collectent et publient des profils sur chacun·e d'entre nous, avec notre nom, nos adresses, nos numéros de téléphone, nos photos de profil, nos adresses e-mail et nos comptes sur les réseaux sociaux. La checklist en lien ci-dessous t'explique comment t'en retirer

Le doxxing est une tactique de plus en plus utilisée contre les militant·es : une personne malveillante publie ton e-mail, ton téléphone, ton adresse, etc., dans le but de pousser d'autres personnes à te harceler en ligne, et parfois en personne.

Si tu as le temps, utiliser un gestionnaire de mots de passe est la meilleure option, parce qu’il t’aide automatiquement à générer des mots de passe forts, aléatoires et uniques pour chaque site/appli/compte.

Si tu dois choisir entre des mots de passe forts (longs, aléatoires) et des mots de passe uniques (pas le même mot de passe réutilisé sur plusieurs sites), mieux vaut choisir des mots de passe uniques. Comme ça, un mot de passe volé sur un site ne mettra pas en danger tous tes autres sites.

Les outils qu’on recommande :

• 1Password : très facile à utiliser. Un peu plus sécurisé. Coûte 3 $/mois.
• Bitwarden : gratuit. Quand même assez sécurisé.

Bonus : voici une bonne introduction pour tirer le meilleur parti de 1Password.

Autres options :

• Proton Pass : propose une option gratuite
• KeePassXC : Open source, il te permet de stocker tes mots de passe uniquement sur ton appareil plutôt que dans le cloud, mais l’interface est très peu pratique.

Après avoir saisi ton mot de passe, tu devras entrer un code reçu sur ton téléphone pour prouver que c'est bien toi. C'est comme avoir à la fois une clé et un code d'alarme pour entrer chez toi : il faut les deux pour entrer.

Ta boîte mail est le compte le plus important à protéger avec l'authentification à deux facteurs. Si un·e attaquant·e accède à ta boîte mail, iel peut réinitialiser tous tes autres mots de passe.

Remarque : quand un service te laisse choisir entre une application d'authentification et des codes de vérification par SMS, choisis toujours l'application d'authentification. Un·e attaquant·e peut intercepter tes SMS.

Combien de temps faut-il pour craquer un code ?

Remarque : ces durées ne s'appliquent qu'aux téléphones. Les ordinateurs se craquent beaucoup plus vite et ont besoin de mots de passe bien plus robustes.

Sources : les estimations du tableau ci-dessus se basent sur le nombre de tentatives par seconde réellement observé avec les outils de piratage forensique utilisés par les flics. Si tu as besoin de plus de sécurité, utilise un code à 10 chiffres : il te protégera même dans les pires scénarios de craquage possibles. Consulte les sources indiquées dans la FAQ sur les codes ici.

Les entreprises tech (comme Google) reçoivent souvent des demandes du gouvernement pour remettre toutes les données du compte d'un·e militant·e. Ces demandes s'accompagnent souvent d'une « ordonnance de non-divulgation », ce qui veut dire que l'entreprise ne peut pas prévenir la personne concernée avant des mois, voire des années.

Les outils cloud chiffrés comme Proton Mail, Drive, Docs et Sheets garantissent que l'entreprise ne détient aucune copie lisible de tes données à remettre. Si le gouvernement veut ces données, il doit te les demander directement : tu es ainsi prévenu·e et tu as la possibilité de contester la demande avec un soutien juridique.

CryptPad est une autre option populaire pour des documents chiffrés, mais c'est très difficile à utiliser. S'il a les fonctionnalités dont tu as besoin, il permet d'obtenir le même résultat.

Si tu as un mot de passe solide, que tu désactives le déverrouillage par reconnaissance faciale ou empreinte digitale et que tu actives le chiffrement du disque, ton ordinateur portable et tes autres appareils seront très difficiles d'accès. Le chiffrement est un élément essentiel de ces protections. Sans lui, ton mot de passe et tes autres précautions ne servent pratiquement à rien si l'État saisit ton appareil.

Les logiciels espions sont un type d'attaque avancé, qui exploite des failles sophistiquées de nos appareils. Pour y répondre, Apple et Google ont introduit un mode de sécurité avancé qui offre une protection renforcée contre les logiciels espions.

Sur iPhone, ça s'appelle le mode Isolement et sur Android, le Programme Protection Avancée. (Tu peux aussi activer le Programme Protection Avancée uniquement sur ton compte Google, même si tu n'as pas de téléphone Android.)

Nous n'avons aucun signalement de personne infectée par un logiciel espion alors que le mode Isolement d'Apple était activé. La Protection avancée d'Android est plus récente et son efficacité reste encore à prouver.

Si tu fais partie d'une catégorie plus exposée, tu devrais faire attention chaque fois que tu parles d'activités politiques à proximité d'un micro. Ça inclut les ordinateurs portables, les téléphones, les montres connectées et les enceintes connectées.

Risques : ces appareils ont des micros qui sont toujours à l'écoute.

Te protéger : retirer les enceintes connectées de chez toi est une étape facile pour réduire les risques de surveillance.

La plupart d'entre nous ne sommes pas activement surveillé·es la plupart du temps, mais c'est plus sûr de prendre l'habitude de partir du principe que tu pourrais l'être. Une fois que tu en as l'habitude, ça ne demande pas beaucoup d'efforts.

Si tu remplaces un produit, essaie d'acheter d'occasion pour réduire les déchets électroniques et l'extraction de ressources.

Contexte :

• En 2017, on a appris que la CIA avait développé un piratage permettant à certains téléviseurs connectés d'être toujours à l'écoute, même quand ils semblaient éteints.
• Amazon reçoit aussi souvent des demandes légales des flics pour obtenir des enregistrements d'enceintes connectées.

Si les flics confisquent ton téléphone, l'un des plus gros risques, c'est d'exposer tout ton réseau. Même si les gens n'utilisent pas leur vrai nom sur leur compte Signal, il y a quand même un identifiant unique derrière chaque nom d'utilisateur Signal. Et les flics peuvent s'en servir pour recouper l'identité de quelqu'un sur plein d'appareils saisis.

Tu dois à la fois quitter ET supprimer le groupe :

• Si tu quittes seulement le groupe, les anciens messages restent sur ton téléphone, ainsi que l'historique des personnes qui étaient dans le groupe.
• Si tu supprimes seulement le groupe, les nouveaux messages continueront d'arriver et la conversation réapparaîtra.

Conseils d'hygiène numérique :

• Programme un rappel récurrent pour faire le ménage dans tes conversations Signal tous les 3 mois.
• Pense bien à noter quels groupes tu quittes et à qui tu peux demander de te réajouter après l'action.

Remarque : Si tu trouves ce processus super pénible et fastidieux (parce qu'il l'est !), c'est une raison de plus d'utiliser un téléphone secondaire pour les actions. Ce téléphone ne serait jamais que dans le ou les deux groupes nécessaires pour mener à bien l'action ce jour-là.

Les logiciels espions arrivent souvent par SMS ou par e-mail, avec un lien conçu sur mesure pour être impossible à ignorer, spécialement pour toi. Ce n'est pas du spam au hasard : ce sont des attaques personnalisées qui exploitent ce qui compte le plus pour toi.

Les messages contenant des logiciels espions peuvent être très ciblés. Voici quelques exemples réels de la manière dont le logiciel espion Pegasus a été déployé :

« Chère Carmen, mon frère est mort dans un accident, je suis dévasté, je t'envoie les informations sur les funérailles, j'espère que tu pourras venir : [lien vers le logiciel espion] » (source)

USEMBASSY.GOV/ NOUS AVONS DÉTECTÉ UN PROBLÈME AVEC VOTRE VISA, VEUILLEZ VOUS RENDRE RAPIDEMENT À L'AMBASSADE. VOIR LES DÉTAILS [lien vers le logiciel espion] (source)

LX 1955 BCN-ZRH 26Jun2020 - Cliquez sur le lien pour recevoir votre carte d'embarquement mobile [lien vers le logiciel espion] (source)

Attention : Certains logiciels espions sont déployés grâce à des failles qui ne nécessitent même pas que tu cliques sur un lien (« exploits zéro clic »). Ils peuvent par exemple apparaître sous forme d'appels manqués sur WhatsApp.

Chaque fois que tu utilises « Se connecter avec Google » (ou une option similaire), tu permets à Google de suivre les services que tu utilises et de les relier à ta véritable identité. Créer des comptes séparés avec des mots de passe uniques (grâce à ton gestionnaire de mots de passe) rend plus difficile pour les entreprises et les flics de dresser un portrait complet de tes activités en ligne.