Temps de lecture: 9 minutes
Internet, ce vaste monde, dont l'utilisateur moyen –vous et moi– se sert beaucoup mais auquel il ne comprend pas grand chose. Monsieur tout-le-monde achète, c'est un exemple, son ordinateur à la Fnac, utilise Windows, SFR, Facebook et laisse traîner des cookies espions derrière lui. Ah! cible parfaite du tracking, cette méthode commerciale qui vise à connaître les goûts d'une personne connectée pour mieux lui adresser des publicités personnalisées sur ses différentes pages de navigation. L'internaute insouciant protège son ordinateur par un code de quelques caractères et ses conversations privées sont entre les mains de Gmail.
Aeris –c'est un pseudo– surfe loin de ce modèle de candeur. Ce Parisien de 30 ans est ingénieur en développement logiciel dans l’industrie (aéronautique, ferroviaire, militaire…), ce qui implique qu'il soit habilité Confidentiel Défense.
À titre personnel, il participe au projet NSA-observer, un site recensant les documents livrés par Edward Snowden pour décrypter les programmes de surveillance des services de renseignements américains. Souriant et engageant, Aeris n'est pas vraiment l'image d'Épinal du paranoïaque. Mais les sujets sensibles qu'il traite l'invitent à un niveau de prudence que nous autres, citoyens lambda, n'avons pas forcément besoin d'atteindre au quotidien. Pourtant, sa façon d'utiliser le réseau est instructive à plus d'un titre.
1.Ordinateur et système d'exploitation maisonPC vide, Linux
Commençons par le début. Quand Aeris achète un ordinateur, il se procure une machine vide. Sans rien. C'est lui qui installe le disque dur, la carte mère et le reste des composants. Il se protège ainsi des potentiels logiciels espions implantés dans les machines, comme le cas du constructeur Lenovo dont nous vous parlions il y a quelques mois.
Ensuite bien sûr, c'est au tour des logiciels. Le do it yourself, «c'est fun», dit-il dans un sourire, mais ça lui permet surtout de savoir ce qu'il y a dans son PC.
Ah oui, parce qu'il achète un PC. C'est plus commode qu'un Mac pour installer Linux. Et comme tous les geeks qui se respectent, Linux est son système d'exploitation. Rien à voir avec un effet de mode ou de distinction. C'est un logiciel libre et coopératif, ce qui veut dire que son code source, son ADN en quelque sorte, est ouvert. Il est visible et améliorable par tout le monde: une garantie de fiabilité, selon lui. Comme une maison dont on pourrait regarder les plans pour s'assurer qu'il n'y a pas de cachette ni de caméra indiscrète. «On est jamais sûrs à 100%, mais on a confiance, explique le spécialiste. Parce que s'il y avait une faille, quelqu'un l'aurait repérée, ça se saurait.»
En revanche derrière Windows et MacOS, qui sont des logiciels dit propriétaires, personne, en dehors des informaticiens qui les conçoivent, ne sait de quoi est composé le code source.
Les fondations sont posées. Maintenant, place aux verrous.
2.Trois codes, dont un faux pour tout détruireToken
L'un des niveaux de chiffrement de l'ordinateur d'Aeris.
Restent quelques barrières à passer avant le world wide web. Et pour cause: «Avec une clé USB, je peux accéder à toutes les informations d'un ordinateur "protégé" par un code d'utilisateur, explique Aeris. Il me suffit de le démarrer sur la clé sans même ouvrir la session.»
Bon, nous voilà rhabillés pour l'hiver. Sur son ordinateur en revanche, rien n'est lisible par un potentiel intrus. Les disques durs d'Aeris sont chiffrés avec trois niveaux de code. L'un d'entre eux est contenu dans un Token, sorte de clé USB très fine qu'il garde dans sa poche. Ce générateur de mots de passe est nécessaire pour allumer son ordinateur. C'est une solution d'authentification considérée comme forte. Le Token s'accompagne d'un mot de passe.
Aeris a également programmé un mot de passe autodestructeur. Si par hasard quelqu'un souhaitait lui extorquer son code, il est capable de couper l'accès à tous les contenus de son ordinateur dès l'allumage.
Tant qu'à faire, il a un autre code pour les documents ultras confidentiels qu'il conserve. Et en fait, il a un ordinateur «qui n'a jamais vu et ne verra jamais Internet» (un ordinateur air-gapped) qui lui sert de stockage en parallèle. Euh... il se peut qu'un disque dur externe suffise pour éviter à nos photos de famille de rencontrer un vilain virus?
Les Tokens qui permettent à Aeris de chiffrer son disque dur.
3.Internet c'est luiRésolveur DNS et serveur perso
Chez Aeris, sous un fouillis de câbles, se trouve une petite boite, plus petite qu'une box Internet. Elle lui a coûté 40 dollars –un Rasberry Pi plus un câble réseau– et c'est son serveur personnel. La machine stocke ses données en ligne... mais dans son appartement. C'est lui qui héberge son cloud, son serveur mail et d'autres outils. Il paye 40 euros supplémentaires par mois pour stocker ce qui dépasse ses capacités de stockage personnelles.
Le serveur d'Aeris.
Il est tout de même relié au réseau par un fournisseur d'accès à Internet (FAI), OVH en l'occurrence. Mais ce n'est qu'un outil qui lui fournit l'ADSL. Aeris utilise un VPN, c'est-à-dire un intermédiaire entre le FAI et Internet. Le VPN encode son activité sur Internet –disons qu'il la met dans une boite opaque–, de sorte que le fournisseur de réseau n'a pas accès à ses connexions (les sites visités, les messages échangés...). Tout ce que voit le FAI, c'est qu'Aeris utilise un VPN –la boite donc, mais pas son contenu. Encore faut-il savoir mettre en place cet outil soit-même (comme Aeris) ou payer un prestataire de confiance. Comptez une dizaine d'euros par mois.
Et quand Aeris visite un site, ce n'est pas OVH qui le renvoie vers la page souhaitée. L'informaticien s'en charge par le biais d'un résolveur DNS: Unbound dans son cas.
Capture d'écran: le message du gouvernement français lorsqu'on essaye d'accéder à un site interdit
Normalement, les FAI se servent du Système de noms de domaine (DNS), l'équivalent des pages jaunes d'Internet, pour diriger l'internaute vers la destination demandée (Slate.fr, par exemple et par hasard).
Aeris n'utilise pas ce service, il cherche directement dans le répertoire des adresses numériques. Comme si au lieu d'appeler le 118-218 pour obtenir un numéro, vous tourniez les pages du bottin. Ce faisant, il contourne certaines restrictions imposées au FAI. Depuis la loi antiterroriste de novembre 2014, il est effectivement possible d'interdire administrativement l'accès à des sites faisant l'apologie du terrorisme. Le décret s'applique aussi aux sites pédophiles. Ce sont en réalité les FAI qui appliquent cette interdiction. Si quelqu'un demande islamic-news.info –dont l'interdiction a fait polémique–, ils le renvoient vers une page du ministère de l'Intérieur indiquant que ce contenu est illicite et bloqué.
Le Résolveur DNS résout ce détournement. Pour Aeris, c'est une question de principe et d'anticipation:
«Je souhaite pouvoir visiter ces sites, même si je ne consomme pas leur contenu, ne serait-ce que pour me faire mon avis. Pouvoir le faire me paraît important, parce que le gouvernement pourrait bloquer n'importe quoi. C'est comme ça que s'y prend le gouvernement chinois pour censurer certains sites.»
4.Brouiller les pistesTor
Sur Internet, Aeris emprunte les voies du Darknet par le biais de Tor. Un réseau anonyme où tout est permis puisque rien ne permet de remonter jusqu'à l'internaute qui agirait, et beaucoup le font, illégalement. C'est le paradis des ventes d'armes, de drogue et d'images pédophiles. Mais il est aussi permis de vouloir préserver son identité tout en agissant dans la légalité.
Quelques sites sont cependant récalcitrants à Tor, et redoublent par exemple de captchas qui entravent la navigation. Pour certains d'entre eux, et surtout pour Wikipédia, dont les pages ne peuvent pas être éditées sur Tor, Aeris passe «en clair»:
«La protection des données sur Internet, c'est toujours une question de compromis.»
Il utilise alors Firefox, navigateur dont le code source est accessible. Il y a aussi Chromium, mais celui-là ne gagne pas sa confiance: «Il dépend trop de Google.»
Aeris a aussi d'autres préférences, comme par exemple Duckduckgo pour son moteur de recherche.
Et même sous ces auspices, quelques outils de vigilance restent de mise.
5.Tenir les espions à distanceuBlog, No script, Request policy, Monster Cookies
Adblock a changé la navigation de beaucoup d'internautes. Cette extension, installée sur un navigateur, bloque un certain nombre de publicités sur Internet. Des comme elle, Aeris en a des dizaines.
À commencer par uBlock, l'équivalent d'Adblock: stoppeur de pub et un peu de tracking. Mais Aeris fait aussi la chasse aux autres contenus cachés et potentiellement espions qui circulent à notre insu sur les pages web. No Script lui permet de bloquer les éléments codés en Flash et en Java Script. Se priver du premier «passe très bien», Java Script en revanche est un langage de programmation très répandu, utilisé pour rendre les sites plus esthétiques. Pour Aeris:
«C'est purement visuel. Sauf exception, on pourrait s'en passer. Or c'est intrusif, Snowden a montré que la NSA s'est servi de ces bouts de codes comme vecteur d'attaque, pour prendre le contrôle d'un ordinateur par exemple.»
La page d'accueil du Monde, par défaut sur l'écran d'Aeris.
Les développeurs n'étant pas tous de son avis, certains sites sont illisibles sans Java Script. Tumblr par exemple. «Je décide au feeling, explique Aeris. Si c'était techniquement nécessaire de recourir à Java Script ou si c'est le site d'une association ou d'un développeur que je connais par exemple, je débloque.»
Il y a aussi des sites qu'il continue à regarder en version «toute moche». Avec un fond blanc et un menu vertical interminable, mais dont les contenus restent accessibles.
La page d'accueil d'eBay, par défaut sur l'écran d'Aeris.
Dernière botte de l'informaticien: Request Policy. Il analyse tout ce qui, sur un site, ne vient pas du nom de domaine, ce qui est hébergé sur un autre site, un autre serveur. Les contenus extérieurs –image, police de caractère...– sont monnaie courante partout. Sur lemonde.fr, il y a du contenu provenant d'un site russe, de Google ou encore de Facebook. Être présent sur de nombreux sites permet potentiellement de reconstituer le chemin numérique d'un internaute. Aeris a appris à les identifier.
«Dès qu'on sent qu'il y a un malaise, on arrête.»
Liste des sites impliqués sur une page du monde.fr.
Citons encore MonsterCookies: ce logiciel signale qui dépose sur votre ordinateur des cookies, ces témoins de connexion qui marquent le passage sur un site. Ces potentiels mouchards sont très controversés mais ont leur utilité pour identifier un usager d'un site. «Si Google dépose un cookie quand je suis sur Google, OK. Mais pourquoi Google déposerait un cookie quand je suis sur Le Monde», s'interroge Aeris?
Une même entité peu ainsi recouper les comportements d'un internaute sur plusieurs sites et lui proposer des publicités adaptées.
Tout ça corse parfois vraiment les choses. Le paiement en ligne, par exemple, ne semble pas être un jeu d'enfant:
Okaaaaay… Donc #3DSecure, c'est 11 redirections web, dont 1 page obligatoirement avec JS, avec passage par le smartphone… 1/2
— Aeris (@aeris22) 11 Juin 2014
En bitcoin peut-être?
Cher @ComiteRMLL, y'aurait pas plutôt moyen de vous payer l'hébergement en #bitcoin ? Non parce que #3DSecure…
— Aeris (@aeris22) 11 Juin 2014
6.Hygiène de baseMise à jour et historique
Surprenant: Aeris n'a pas d'antivirus, ils ne sont pas nécessaires sur Linux. En revanche, son historique est effacé automatiquement tous les dix jours, et les mises à jour sont effectuées quotidiennement:
«C'est la première chose que je fais quand j'allume mon ordinateur. Ca prend quelques secondes, sans redémarrer. OK, on a l'air de paranos avec nos trucs de protection, mais toute personne devrait faire ça au minimum toutes les semaines. Ne pas être à jour pendant une semaine, c'est juste du suicide actuellement avec les risques d'infections et de virus qui circulent.»
7.Conversations vraiment privéesGPG, Kontact, réponse automatique
Le nœud de la confidentialité sur Internet, c'est avant tout les communications. Aeris refuse tout bonnement Facebook, qui n'assure aucune protection pour ses données. À contrecœur mais sans regret. C'est le seul site qu'il pense à mentionner quand on lui demande si sa pratique d'Internet est pénalisante.
Par contre, Aeris utilise Twitter, sous pseudonyme, parce qu'il s'y passe quand même des choses. Mais il préfère le site de microblogging StatusNet, qu'il héberge lui-même et sur lequel il a une centaine de contacts, des connaisseurs comme lui.
Pour les mails: Gmail, Hotmail et les autres messageries de cette trempe sont bannies. D'ailleurs, quand vous lui envoyez un mail depuis l'un de ces clients mail, vous recevez le message suivant:
Ce lien qui vous explique comment respecter, sinon votre vie privée, au moins celle de vos interlocuteurs, accompagne son mail automatique. Le titre de l'article est évocateur: «Et puis merde à la vie privée».
Aeris, lui, utilise Kontact –mais ça pourrait être Thunderbird ou Enigmail. Et il s'est armé d'une clé GPG. Il s'agit d'un code de chiffrement personnel à deux versants. D'un côté un cadenas, divulgué à tout le monde, et de l'autre la clé qui permet de l'ouvrir et que le propriétaire est le seul à posséder.
La clé numérique d'Aeris, par exemple, est affichée dans sa présentation sur Twitter et en signature de ses mails. C'est le cadenas. Tout le monde peut lui envoyer des messages qu'il est le seul à pouvoir déchiffrer grâce à sa clé privée, et qui ressemblent à ça:
Les quelques éléments présentés ici ne sont qu'une petite partie des efforts que fait Aeris au quotidien pour «faire du propre». Mais il est bien loin de s'en plaindre: «ça se mange sans faim», plaisante-t-il. Car pour lui, il s'agit simplement d'«utiliser Internet comme on aurait du le faire depuis la nuit des temps»: des relations directes entre individus, sans intermédiaire.
Aeris est conscient que les premiers pas ne sont pas faciles. Il partage ses trucs et astuces lors de Cafés vie privée, des rencontres informelles ouvertes à tous ceux qui souhaitent apprendre à prendre la main sur leurs données personnelles.
8.Téléphone pour téléphonerSMS Secure, appli IMSI Catcher
Pour ce qui est de l'Internet mobile, un geek vraiment prudent s'en passera. Le smartphone, c'est «une usine à géolocalisation», assure Aeris. «L'opérateur sait où tu es en permanence». Très peu pour lui donc, on l'aura deviné.
Un téléphone pour téléphoner donc, et envoyer des SMS, sans forfait data, seulement le wi-fi quelque fois. Ses applis lui ressemblent: Open Street Map pour trouver son chemin à l'occasion, KeePassX pour générer des mots de passe temporaires associés à ses comptes (Twitter...), et surtout Androïd IMSI Catcher! L'application mobile détecte les systèmes d'espionnage mobiles qui captent toutes les données des téléphones alentour. Elle a déjà servi pendant les manifestations contre le Projet de loi sur le renseignement, affirme-t-il.