Pas que le VPN. Une fiche explicative sur la façon de sécuriser vos données et vous-même

Bonjour, Habr.

C'est nous, le service VPN HideMy.name. Nous travaillons temporairement sur le miroir HideMyna.me. Pourquoi ? Le 20 juillet 2018, Roskomnadzor nous a ajoutés à la liste des ressources interdites en raison d'une décision du tribunal de Medvedev à Yoshkar-Ola. Le tribunal a statué que les visiteurs de notre site ont un accès illimité à des matériaux extrémistes #sansinscriptionainsms, et d'une manière ou d'une autre, il a trouvé sur celui-ci le livre « Mein Kampf » d'Adolf Hitler. Apparemment, pour plus de fiabilité.

Cette décision nous a beaucoup surpris, mais nous continuons à travailler sur hidemyna.me, hidemyname.org, .one, .biz, entre autres. La longue interruption avec Roskomnadzor n'a abouti à aucun résultat. Pendant que nous contestons le blocage et la décision magique du tribunal avec nos avocats, nous partageons avec vous des conseils de base sur la protection de la confidentialité en ligne et des nouvelles à ce sujet.

Edward Snowden aime l'Agence nationale de sécurité (probablement)

Il n'est un secret pour personne que les services russes populaires ne sont pas sûrs. Votre correspondance peut à tout moment se retrouver sous le regard des gardiens de la loi locaux. Nous vous expliquons ce dont il faut se rappeler en communiquant via différents canaux.

SORM et ORI

Oui beaucoup de différentes façons d'écouter votre téléphone. La manière officielle et légale est le SORM, un système technique pour assurer les fonctions des opérations d'enquête. Selon la loi en Russie, tous les opérateurs de téléphonie mobile doivent installer un tel système sur leurs centrales téléphoniques s'ils ne veulent pas perdre leur licence. Il y a trois types de SORM : le premier a été inventé dans les années 80, le second a commencé à être adopté dans les années 2000, et le troisième est imposé aux opérateurs depuis 2014. Selon RBC, la plupart des opérateurs utilisent le deuxième type, mais dans 70% des cas, le système fonctionne mal ou ne fonctionne pas du tout. Cependant, il vaut quand même mieux ne pas discuter de sujets sensibles par téléphone fixe et lors d'un appel ordinaire depuis un mobile.

Schéma de fonctionnement du SORM-2 (Source : mfisoft.ru)

Selon la loi 97-FZ, tous les messageries, services et sites opérant sur le territoire russe doivent être inscrits dans le registre des organisateurs de distribution d'informations. Selon la «loi Yarovaya», ils sont tenus de conserver toutes les données des utilisateurs, y compris les enregistrements des appels vocaux et les correspondances, pendant six mois. Au fait, il y a aussi Habrakhabr dans l'ORI.

Le fonctionnement du registre est décrit en détail ici À titre d'exemple avec Threema, la conclusion principale est la suivante : sur demande des autorités russes, toute information vous concernant peut se retrouver dans les mains des forces de l'ordre. Ainsi, la première chose à faire pour préserver votre confidentialité est de transférer vos appels et messages vers des messageries qui ne figurent pas dans le registre ORI. Ou vers celles qui y figurent, mais refusent de transmettre des données aux autorités — comme Threema et Telegram.

Aide: Le simple fait d'être dans le registre ORI ne garantit pas que les données seront transmises aux autorités. Il est nécessaire de surveiller constamment les actualités et d'observer la réaction du messager lorsque les autorités s'en mêlent.

Appels vocaux et messages

Le chiffrement de bout en bout peut protéger nos conversations et messages des intrusions des tiers, ce qui fait des messageries avec E2E des options considérées comme les plus sûres. Mais ce n'est pas tout à fait vrai : examinons quelques options populaires.

Telegram prend en charge le chiffrement de bout en bout dans ses Secret Chats et conserve des données chiffrées de votre correspondance dans le cloud, dispersé à travers différents pays avec une juridiction « sûre ». Mais après article sur Habré, l'illusion de sécurité de Telegram Passport en E2E de Durov peut susciter des doutes.

Bien sûr, converser dans les Secret Chats reste une bonne option pour les paranoïaques. Dans leur cryptage, le serveur n'est absolument pas impliqué : les messages sont transmis de pair à pair, c'est-à-dire directement entre les participants à la correspondance. Pour plus de tranquillité d'esprit, vous pouvez utiliser la fonction de destruction automatique des messages après un certain temps. Mais ne comptez pas aveuglément sur Telegram. Pour le rendre légèrement plus sûr, vous et votre interlocuteur devez accéder aux paramètres du messager et faire au minimum deux choses :

• Définir un mot de passe pour l'accès à l'application (Confidentialité et sécurité —> Code d'accès);
• Activer l'authentification à deux étapes (Confidentialité et sécurité —> Vérification en deux étapes).

Après cela, en plus du code reçu par SMS lors de la connexion à partir d'un nouvel appareil, l'application vous demandera un mot de passe que vous seul connaissez.

Actuellement, la confirmation de connexion uniquement via SMS ne protège en rien la personne utilisant une carte SIM russe. Des cas de piratage de comptes Telegram via des messages SMS interceptés sont déjà connus — en 2016, des malfaiteurs ont obtenu l'accès à la correspondance de plusieurs opposants, et en 2017, le compte du journaliste de « Dojd », Mikhaïl Roubine, a été piraté.

WhatsApp jusqu'à présent, il évite le registre ORI et utilise également le chiffrement de bout en bout, mais tout n'est pas si simple. Récemment, nous avons publié une nouvelle sur les habitants de Magadan, qui ont été poursuivis en justice pour avoir critiqué le maire de la ville. Cette histoire, heureusement, s'est terminée par une simple amende. Mais elle a confirmé les inquiétudes des utilisateurs : il n'est pas sûr de communiquer dans des chats de groupe WhatsApp.

Que va-t-il se passer ?

• Dès que vous écrivez un message, votre numéro de téléphone devient immédiatement accessible à tous les participants du groupe. Et avec ce numéro, votre identité peut être facilement déduite.

Que faire ?

• Une solution peut être une carte SIM 'fausse' ou un numéro étranger — de préférence européen.

Si vous utilisez une carte russe enregistrée à votre nom, évitez les commentaires cinglants dans les groupes avec des noms comme « Maire - démission » : pour WhatsApp, il vaut mieux se limiter aux messages et appels personnels.

Viber ne figure également pas au registre ORI, mais maintient une communication avec les autorités russes (en dehors des heures de spams). Ce messager a été l'un des premiers à satisfaire aux nouvelles exigences du gouvernement : il conserve les identifiants et les numéros de téléphone des utilisateurs russes sur le territoire de la Fédération de Russie, mais il refuse de fournir les données des messages refuse — invoquant la mécanique du chiffrement de bout en bout et la politique d'entreprise.

Apple utilise également le chiffrement de bout en bout, mais lors de l'inscription à iMessage, il crée deux paires de clés : une privée et une publique. Le message que vous recevez d'un utilisateur d'un appareil Apple similaire vous parvient avec un chiffrement utilisant la clé publique. Celui-ci ne peut être déchiffré qu'avec la clé privée du destinataire, qui est stockée sur son appareil. Pour en savoir plus sur l'attitude d'Apple envers la confidentialité des utilisateurs et ce qu'elle fera si elle reçoit une demande du gouvernement, vous pouvez lire ici. Aucun cas de transmission de données d'utilisateurs russes aux autorités de la Fédération de Russie n'a été enregistré par la société.

Source : https://www.apple.com/business/docs/iOS_Security_Guide.pdf

Mais iMessage présente deux inconvénients :

• Vous ne pouvez écrire ou appeler via ces canaux qu'à un autre utilisateur d'Apple;
• Si vous avez des problèmes de connexion Internet, le message sera envoyé par le canal cellulaire classique et deviendra un simple SMS, qui peut être facilement intercepté.

Pour éviter que iMessage ne soit converti en SMS, vous pouvez désactiver cette fonction dans les paramètres.

Des chercheurs de l'Electronic Frontier Foundation affirment, Il n'existe pas de méthode totalement sécurisée pour les appels et les messages. Si certaines messageries ne permettent pas aux autorités d'accéder à vos données privées, cela ne signifie pas que des hackers (ou des États qui peuvent recourir à leurs services) ne peuvent pas le faire légalement. Pour rassurer l'utilisateur sur l'absence d'un man-in-the-middle, Telegram a une fonctionnalité sympathique : lors d'un appel, les deux interlocuteurs peuvent vérifier qu'ils voient les mêmes emojis dans le coin supérieur droit de l'écran - cela confirme l'absence d'une "infiltration" dans la connexion.

Si vous avez besoin d'un moyen de communication plus fiable, nous vous recommandons de ne pas vous contenter d'utiliser des chats secrets, des mots de passe et de l'authentification à deux étapes/deux facteurs, mais aussi d'examiner des applications de niche moins populaires telles que Confide ou Signal.

J'utilise Signal chaque jour. #notespourleFBI (Spoiler : ils le savent déjà)

E-mail

Les entreprises populaires qui permettent d'utiliser leurs clients de messagerie (en Russie, c'est Yandex, Mail.Ru et Rambler) sont déjà inscrites sur la liste ORI, donc pas très sûres. Oui, Mail.Ru Group appelle à mettre un terme aux poursuites pénales pour des mèmes et à amnistier les condamnés, mais peut remettre vos données aux autorités sur simple demande.

Même si vous utilisez des clients de messagerie occidentaux comme Gmail ou Outlook, avez activé l'authentification à deux facteurs et savez que votre courrier est chiffré via un protocole SSL/TLS fiable, vous ne pouvez pas être sûr que le courrier de votre destinataire est également protégé.

Options de protection :

• Lors de l'envoi d'informations sensibles, chiffrer les e-mails à l'aide de Pretty Good Privacy (PGP). Ce programme aide à transformer les données d'un e-mail en un ensemble de symboles sans signification pour quiconque, sauf l'expéditeur et le destinataire ;
• Lors de l'envoi d'informations importantes, porter une attention particulière au domaine du destinataire et éviter d'écrire à une adresse suspecte ;
• Vérifiez à l'avance avec le destinataire s'il a configuré un redirection ou collecte des e-mails via un service de messagerie russe.

Dans le cas des entreprises nationales figurant sur la liste ORI, aucun chiffrement côté utilisateur ne peut vraiment aider. Les informations ne sont pas interceptées, mais conservées et transmises par des points terminaux — des services similaires. La seule solution pourrait être leur remplacement par des alternatives plus sûres comme ProtonMail, Tutanota ou Hushmail. Vous pouvez en trouver d'autres de ces services de messagerie sur celui-ci la page.

Réseaux sociaux

Pour commencer, minimisez votre présence sur les réseaux sociaux russes populaires — « Mon monde », « Odnoklassniki » et « VKontakte ». Au moins, Facebook ne transmet pas vos données aux services secrets russes. Du moins, aucun cas de ce genre n’a été enregistré.

Mais il est intéressant de noter qu'en 2017, 85 % des demandes du gouvernement américain ont néanmoins été satisfaites par l'entreprise :

Captures d'écran du Rapport de transparence de Facebook

Si vous êtes trop habitué à VK, mais ne voulez pas vous retrouver sur le banc des accusés, faites attention à quelques éléments :

• vos images enregistrées ;
• les publications, commentaires et messages que vous rédigez ;
• les publications que vous aimez ;
• les publications que vous partagez ;
• les utilisateurs avec lesquels vous êtes amis.

Dans tout ce qui précède, il est préférable d'éviter ce qui pourrait être considéré comme offensant ou extrémiste. Rappelez-vous toujours que la « diffusion » implique l'envoi d'informations « illégales » à au moins une personne. L'avocat du groupe de défense des droits de l'homme international « Agora », Damir Gainutdinov, affirme qu'en vertu de la loi ORI ils sont tenus de conserver et de transmettre même les brouillons de messages non envoyés. En savoir plus sur la manière de ne pas être poursuivi pour un partage, lisez ici.

D'ailleurs, depuis quelque temps, quiconque possède votre numéro de téléphone peut par défaut vous trouver sur VKontakte, même si votre page ne révèle pas votre véritable identité.

Vous pouvez interdire de vous trouver par numéro dans les paramètres de votre profil (Paramètres —> Confidentialité —> Contactez-moi). Mais cela ne vous protégera bien sûr pas des services de renseignement. N'utilisez pas les appels et la visio dans VKontakte : on ne sait pas si le réseau les chiffre véritablement de bout en bout, comme l'affirme l'administration.

Sécurité des sites

La seule bonne nouvelle, c'est que plus de la moitié Tous les sites populaires sur Internet ont déjà une version https ou sont complètement passés à l'utilisation uniquement de versions https. Les informations reçues et transmises sur ces sites sont cryptées et ne peuvent pas être lues par des tiers. Ces ressources sont marquées en vert avec le mot « protégé ».

Mais c'est là que s'arrêtent les bonnes nouvelles. Malgré le protocole https, le fait de visiter un tel site et les requêtes DNS (informations concernant les domaines que vous avez consultés) restent visibles pour le fournisseur d'accès à Internet.

Mais il y a une autre mauvaise nouvelle : l'autre moitié des sites fonctionne avec le protocole http standard, c'est-à-dire sans cryptage des données. Une solution peut être un VPN, qui crypte absolument toutes les données reçues et transmises, de sorte qu'il n'y a aucune information lisible du côté du fournisseur d'accès à Internet ou de quiconque essaie de s'interposer entre vous et le site final. La seule chose visible sera le fait que vous êtes connecté à une certaine adresse IP sur Internet (c'est-à-dire au serveur VPN). Et rien d'autre.

Nous serions ravis si la vie devenait réellement aussi simple : activer le VPN et oublier les fuites d'informations sensibles. Mais ce n'est pas le cas. Vérifiez régulièrement si votre ressource préférée figure dans le registre des ORI, surveillez la manière dont elle interagit avec les autorités, vérifiez les connexions actives dans les paramètres des messageries et des réseaux sociaux, et réinitialisez les connexions suspectes (et changez absolument vos mots de passe par la suite).

Globalement

Lorsqu'il s'agit de canaux de communication et de transmission de données, une approche globale de la sécurité et de la confidentialité est essentielle. Suivez les événements liés à la sécurité Internet sur notre canal Telegram @hidemyname_fr, sur le site Roskomsvoobody et sur d'autres ressources consacrées aux événements sur Internet et RuNet en particulier.

Quelles mesures de sécurité prenez-vous ?

Source : habr.com