Guide de l'anonymat en ligne (par https://anonymousplanet.org/)

L'utilisation de ce guide se fait à vos risques et périls. Ne considérez pas ce guide comme une vérité définitive pour tout, car il ne l'est pas.

Spoiler : Table des matières

• Introduction:
• Comprendre les bases de la façon dont certaines informations peuvent mener à vous et comment en atténuer certaines :
  • Votre réseau :
    • Votre adresse IP :
    • Vos requêtes DNS et IP :
    • Vos dispositifs RFID :
    • Les appareils Wi-Fi et Bluetooth qui vous entourent :
    • Les points d'accès Wi-Fi malveillants ou malhonnêtes :
    • Votre trafic Tor/VPN anonymisé :
    • Certains appareils peuvent être suivis même lorsqu'ils sont hors ligne :
  • Vos identifiants matériels :
    • Votre IMEI et IMSI (et par extension, votre numéro de téléphone) :
    • Votre adresse MAC Wi-Fi ou Ethernet :
    • Votre adresse MAC Bluetooth :
  • Votre CPU :
  • Vos systèmes d'exploitation et services de télémétrie des applications :
  • vos appareils intelligents en général :
  • Vous-même :
    • Vos métadonnées, y compris votre géolocalisation :
    • Votre empreinte digitale, votre empreinte de pas et votre comportement en ligne :
    • Vos indices sur votre vie réelle et OSINT :
    • Votre visage, votre voix, vos données biométriques et vos photos :
    • L'hameçonnage et l'ingénierie sociale :
  • Les logiciels malveillants, les exploits et les virus :
    • Logiciels malveillants dans vos fichiers/documents/courriers électroniques :
    • Logiciels malveillants et exploits dans vos applications et services :
    • Dispositifs USB malveillants :
    • Les logiciels malveillants et les portes dérobées dans votre matériel, votre micrologiciel et votre système d'exploitation :
  • Vos fichiers, documents, images et vidéos :
    • Propriétés et métadonnées :
    • Filigrane :
    • Informations pixelisées ou floues :
  • Vos transactions en crypto-monnaies :
  • Vos sauvegardes/services de synchronisation dans le cloud :
  • Les empreintes digitales de votre navigateur et de votre appareil :
  • Les fuites de données locales et la criminalistique :
  • Mauvaise cryptographie :
  • Pas de journalisation mais des politiques de journalisation quand même :
  • Quelques techniques ciblées avancées :
  • Quelques ressources bonus :
  • Notes:
• Préparations générales :
  • Choix de l'itinéraire :
    • Limites temporelles :
    • Limites budgétaires/matérielles :
    • Compétences :
    • Adversaires (menaces) :
  • Etapes pour tous les itinéraires :
    • Obtenir un numéro de téléphone anonyme :
    • Obtenir une clé USB :
    • Trouver des endroits sûrs dotés d'une connexion Wi-Fi publique décente :
  • L'itinéraire TAILS :
    • Déni plausible persistant en utilisant Whonix au sein de TAILS :
  • Etapes pour tous les autres itinéraires :
    • Obtenez un ordinateur portable dédié à vos activités sensibles :
    • Quelques recommandations concernant les ordinateurs portables :
    • Paramètres Bios/UEFI/Firmware de votre ordinateur portable :
    • Protégez physiquement votre ordinateur portable contre les manipulations :
  • La route Whonix :
    • Choisir votre système d'exploitation hôte (le système d'exploitation installé sur votre ordinateur portable) :
    • Linux Host OS :
    • MacOS OS hôte :
    • Windows OS hôte : Windows OS hôte : Windows OS hôte : Windows OS hôte : Windows OS hôte : Windows OS hôte : Windows OS hôte
    • Virtualbox sur votre OS hôte :
    • Choisissez votre méthode de connectivité :
    • Obtenez un VPN/Proxy anonyme :
    • Whonix :
    • Tor sur VPN :
    • Whonix Machines virtuelles :
    • Choisissez votre machine virtuelle de station de travail invitée :
    • Machine virtuelle Linux (Whonix ou Linux) :
    • Windows 10 Machine virtuelle :
    • Android Machine virtuelle :
    • Machine virtuelle MacOS :
    • KeepassXC :
    • Installation d'un client VPN (payé en cash/Monero) :
    • (Facultatif) permettant uniquement aux VM d'accéder à internet tout en coupant l'OS hôte pour éviter toute fuite :
    • Dernière étape :
  • La route Qubes :
    • Choisissez votre méthode de connectivité :
    • Obtenez un VPN/Proxy anonyme :
    • Installation :
    • Comportement de fermeture du couvercle :
    • Se connecter à un Wi-Fi public :
    • Mettre à jour Qubes OS :
    • Durcissement du système d'exploitation Qubes :
    • Configurer le ProxyVM VPN :
    • Configurer un navigateur sûr dans Qube OS (optionnel mais recommandé) :
    • Configurer une VM Android :
    • KeePassXC :
• Créer vos identités anonymes en ligne :
  • Comprendre les méthodes utilisées pour empêcher l'anonymat et vérifier l'identité :
    • Captchas :
    • Vérification par téléphone :
    • Vérification du courrier électronique :
    • Vérification des coordonnées de l'utilisateur :
    • Vérification de la preuve d'identité :
    • Filtres IP :
    • Empreinte digitale du navigateur et de l'appareil :
    • Interaction humaine :
    • Modération des utilisateurs :
    • Analyse comportementale :
    • Transactions financières :
    • Connexion avec une plateforme :
    • Reconnaissance des visages en direct et biométrie (encore) :
    • Examens manuels :
  • Se connecter :
    • Créer de nouvelles identités :
    • Le système des noms réels :
    • À propos des services payants :
    • Vue d'ensemble :
    • Comment partager des fichiers ou discuter de manière anonyme :
    • Expurger des documents/photos/vidéos/audios en toute sécurité :
    • Communiquer des informations sensibles à diverses organisations connues :
    • Tâches de maintenance :
• Sauvegarder votre travail en toute sécurité :
  • Sauvegardes hors ligne :
    • Sauvegardes de fichiers sélectionnés :
    • Sauvegardes complètes du disque/système :
  • Sauvegardes en ligne :
    • Fichiers :
    • Informations :
  • Synchronisation de vos fichiers entre appareils En ligne :
• Couvrir vos traces :
  • Comprendre les disques durs par rapport aux disques SSD :
    • Nivellement de l'usure.
    • Opérations de découpage :
    • Collecte des déchets :
    • Conclusion :
  • Comment effacer en toute sécurité l'ensemble de votre ordinateur portable/disque dur si vous voulez tout effacer :
    • Linux (toutes les versions, y compris Qubes OS) :
    • Windows :
    • MacOS :
  • Comment effacer en toute sécurité des fichiers/dossiers/données spécifiques sur vos disques durs/SSD et clés USB :
    • Windows :
    • Linux (non Qubes OS) :
    • Linux (Qubes OS) :
    • MacOS :
  • Quelques mesures supplémentaires contre la criminalistique :
    • Suppression des métadonnées des fichiers/documents/photos :
    • TAILS :
    • Whonix :
    • MacOS :
    • Linux (Qubes OS) :
    • Linux (non-Qubes) :
    • Windows :
  • Suppression de certaines traces de vos identités sur les moteurs de recherche et diverses plateformes :
    • Google :
    • Bing :
    • DuckDuckGo :
    • Yandex :
    • Qwant :
    • Yahoo Search :
    • Baidu :
    • Wikipedia :
    • Archive.today :
    • Internet Archive :
• Quelques astuces de la vieille école :
  • Communications cachées à la vue de tous :
  • Comment savoir si quelqu'un a fouillé dans vos affaires :
• Quelques dernières réflexions sur l'OPSEC :
• Si vous pensez avoir été grillé :
  • Si vous avez du temps :
  • Si vous n'avez pas le temps : Si vous n'avez pas le temps :
• Une petite note éditoriale finale

 

[HEISENBERG]

Introduction.

Le résumé de l'ensemble du guide : "Un jeu étrange. Le seul coup gagnant est de ne pas jouer".


Il est facile de créer un compte de médias sociaux avec un pseudonyme ou un nom d'artiste ou de marque. Et cela suffit dans la plupart des cas d'utilisation pour protéger votre identité comme le prochain George Orwell. Il y a beaucoup de gens qui utilisent des pseudonymes sur Facebook/Instagram/Twitter/LinkedIn/TikTok/Snapchat/Reddit/... Mais la grande majorité d'entre eux sont tout sauf anonymes et peuvent facilement retrouver leur véritable identité grâce aux policiers locaux, à des personnes choisies au hasard dans la communauté OSINT (Open-Source Intelligence) et aux trolls sur 4chan.


C'est une bonne chose, car la plupart des criminels et des contrôleurs ne sont pas très au fait de la technologie et peuvent être facilement identifiés. Mais c'est aussi une mauvaise chose, car la plupart des dissidents politiques, des militants des droits de l'homme et des lanceurs d'alerte peuvent également être traqués assez facilement.


Ce guide mis à jour vise à présenter diverses techniques de désanonymisation, de traçage et de vérification de l'identité, ainsi que des conseils facultatifs pour créer et maintenir des identités raisonnablement anonymes en ligne, y compris sur les comptes de médias sociaux, en toute sécurité. Ces conseils s'appliquent aux plateformes traditionnelles et pas seulement à celles qui respectent la vie privée.


Il est important de comprendre que l'objectif de ce guide est l'anonymat et pas seulement la protection de la vie privée, mais de nombreux conseils que vous trouverez ici vous aideront également à améliorer votre vie privée et votre sécurité même si vous n'êtes pas intéressé par l'anonymat. Les techniques et les outils utilisés pour la protection de la vie privée, la sécurité et l'anonymat se recoupent largement, mais ils diffèrent à certains égards :

• La protection de la vie privée consiste à ce que les gens sachent qui vous êtes, mais ne sachent pas ce que vous faites.
• L'anonymat consiste à ce que les gens sachent ce que vous faites mais ne sachent pas qui vous êtes.

Ce guide vous aidera-t-il à vous protéger de la NSA, du FSB, de Mark Zuckerberg ou du Mossad s'ils sont à votre recherche ? Probablement pas... Le Mossad fera des "choses du Mossad" et vous trouvera probablement, même si vous essayez de vous cacher.


Vous devez réfléchir à votre modèle de menace avant d'aller plus loin.

Ce guide vous aidera-t-il à protéger votre vie privée contre des chercheurs OSINT tels que Bellingcat13, les trolls de Doxing14 sur 4chan15 et d'autres qui n'ont pas accès à la boîte à outils de la NSA ? C'est plus que probable. Mais je n'en suis pas si sûr pour 4chan.


Voici un modèle de menace simplifié pour ce guide :

Avertissement important : blagues à part (amulette magique...). Bien sûr, il existe aussi des moyens avancés pour atténuer les attaques contre des adversaires aussi avancés et compétents, mais ils sortent du cadre de ce guide. Il est essentiel que vous compreniez les limites du modèle de menace de ce guide. Par conséquent, ce guide ne doublera pas de volume pour aider à mettre en œuvre ces mesures d'atténuation avancées, car elles sont trop complexes et nécessitent des connaissances très pointues qui ne sont pas attendues de la part du public visé par le présent guide.


Le FEP propose quelques scénarios de sécurité à prendre en compte en fonction de votre activité. Bien que certains de ces conseils n'entrent pas dans le cadre de ce guide (ils concernent davantage la protection de la vie privée que l'anonymat), ils valent la peine d'être lus à titre d'exemples. Voir https://ssd.eff.org/en/module-categories/security-scenarios [Archive.org].
Il existe également des moyens plus sérieux de créer un modèle de menace, tels que :

• LINDDUN https://www.linddun.org/ [Archive.org]
• STRIDE https://en.wikipedia.org/wiki/STRIDE_(security) [Wikiless] [Archive.org]
• DREAD https://en.wikipedia.org/wiki/DREAD_(modèle_d'évaluation_du_risque) [Wikiless] [Archive.org]
• PASTA https://versprite.com/tag/pasta-threat-modeling/ [Archive.org]

Et il y en a pas mal d'autres, voir :

• https://insights.sei.cmu.edu/blog/threat-modeling-12-available-methods/ [Archive.org]
• https://www.geeksforgeeks.org/threat-modelling/ [Archive.org]

Vous pouvez trouver une introduction sur ces projets :

• OWASP https://cheatsheetseries.owasp.org/cheatsheets/Threat_Modeling_Cheat_Sheet.html [Archive.org]
• Online Operations Security https://github.com/devbret/online-opsec/ [Archive.org]

 

[HEISENBERG]

Comprendre les principes de base de la manière dont certaines informations peuvent mener à vous et comment en atténuer les effets.

Il existe de nombreuses façons d'être suivi, en dehors des cookies et des publicités, de votre adresse électronique et de votre numéro de téléphone. Et si vous pensez que seuls le Mossad ou la NSA/FSB peuvent vous retrouver, vous vous trompez lourdement.


Avant d'aller plus loin, vous pourriez envisager de visionner cette bonne liste de lecture YouTube en guise d'introduction : https://www.youtube.com/playlist?list=PL3KeV6Ui_4CayDGHw64OFXEPHgXLkrtJO [Invidious] (du projet Go Incognito https://github.com/techlore-official/go-incognito [Archive.org]). Ce guide couvrira beaucoup de ces sujets avec plus de détails et de références, ainsi que quelques sujets supplémentaires, non couverts par cette série, mais je recommande la série comme introduction, et il vous faudra juste 2 ou 3 heures pour la regarder en entier.


Voici maintenant une liste non exhaustive des nombreuses façons dont vous pouvez être suivi et désanonymisé :

 

[HEISENBERG]

Votre réseau.

Votre adresse IP.

Avertissement : tout ce paragraphe concerne l'adresse IP de votre réseau Internet public et non l'adresse IP de votre réseau local.


Votre adresse IP est la façon la plus connue et la plus évidente de vous suivre à la trace. Cette IP est celle que vous utilisez à la source. C'est l'endroit où vous vous connectez à l'internet. Cette IP est généralement fournie par votre fournisseur d'accès à l'internet (xDSL, mobile, câble, fibre, café, bar, ami, voisin). La plupart des pays disposent d'une réglementation en matière de conservation des données qui impose la tenue de registres indiquant qui utilise quelle IP à une certaine heure/date, et ce pendant plusieurs années, voire indéfiniment. Votre fournisseur d'accès peut dire à un tiers que vous utilisiez une adresse IP spécifique à une date et une heure précises, des années après les faits. Si cette IP (celle d'origine) fuit à un moment donné pour une raison quelconque, elle peut être utilisée pour vous retrouver directement. Dans de nombreux pays, vous ne pourrez pas avoir accès à l'internet sans fournir une forme d'identification au fournisseur (adresse, ID, nom réel, e-mail...).


Inutile de préciser que la plupart des plateformes (comme les réseaux sociaux) conserveront également (parfois indéfiniment) les adresses IP que vous avez utilisées pour vous inscrire et vous connecter à leurs services.


Voici quelques ressources en ligne que vous pouvez utiliser pour trouver des informations sur votre adresse IP publique actuelle :

• Trouvez votre IP :
  
  • https://resolve.rs/
  • https://www.dnsleaktest.com/ (en prime, vérifiez que votre IP ne présente pas de fuites DNS)
• Trouvez l'emplacement de votre IP ou l'emplacement de n'importe quelle IP :
  
  • https://resolve.rs/ip/geolocation.html
• Vérifiez si une IP est "suspecte" ou si elle a téléchargé des "choses" sur des ressources publiques :
  
  • https://www.virustotal.com/gui/home/search
  • https://iknowwhatyoudownload.com
• Informations sur l'enregistrement d'une IP (probablement votre fournisseur d'accès à Internet ou le fournisseur d'accès à Internet de votre connexion, qui sait très probablement qui utilise cette IP à tout moment) :
  
  • https://whois.domaintools.com/
• Vérifiez la présence de services ou d'appareils ouverts sur une IP (en particulier s'il y a des appareils intelligents qui fuient) :
  
  • https://www.shodan.io/host/185.220.101.134 (remplacez l'IP par votre IP ou toute autre, ou changez dans la boîte de recherche, cet exemple d'IP est un noeud Tor Exit)
• Divers outils pour vérifier votre IP, tels que des vérificateurs de listes noires et autres :
  
  • https://www.whatismyip.com
  • https://browserleaks.com/
• Voulez-vous savoir si vous êtes connecté via Tor ?
  
  • https://check.torproject.org

Pour ces raisons, nous devrons obscurcir l'IP d'origine (celle qui est liée à votre identification) ou la dissimuler autant que possible par une combinaison de divers moyens :

• En utilisant un service Wi-Fi public (gratuit).
• Utiliser le réseau d'anonymat Tor (gratuit).
• Utiliser des services VPN de manière anonyme (payés de manière anonyme avec de l'argent liquide ou Monero).

Tous ces moyens seront expliqués plus loin dans ce guide.

 

[HEISENBERG]

Vos requêtes DNS et IP.

DNS signifie "Domain Name System" (système de noms de domaine) et est un service utilisé par votre navigateur (et d'autres applications) pour trouver les adresses IP d'un service. Il s'agit en quelque sorte d'une énorme "liste de contacts" (annuaire téléphonique pour les personnes âgées) qui fonctionne comme si vous lui demandiez un nom et qu'il vous renvoyait le numéro à appeler. Sauf qu'il renvoie une adresse IP à la place.


Chaque fois que votre navigateur souhaite accéder à un certain service, tel que Google, via www.google.com. Votre navigateur (Chrome ou Firefox) interroge un service DNS pour trouver les adresses IP des serveurs web de Google.


Voici une vidéo expliquant visuellement le DNS si vous êtes déjà perdu :

[Invidious]


En général, le service DNS est fourni par votre fournisseur d'accès à Internet et configuré automatiquement par le réseau auquel vous vous connectez. Ce service DNS peut également être soumis à des règles de conservation des données ou conserver des journaux pour d'autres raisons (collecte de données à des fins publicitaires, par exemple). Par conséquent, ce FAI sera en mesure de savoir tout ce que vous avez fait en ligne simplement en consultant ces journaux, qui peuvent à leur tour être fournis à un adversaire. C'est aussi le moyen le plus facile pour de nombreux adversaires d'appliquer la censure ou le contrôle parental en utilisant le blocage DNS. Les serveurs DNS fournis vous donneront une adresse différente (de leur adresse réelle) pour certains sites web (comme rediriger thepiratebay vers un site web gouvernemental). Ce type de blocage est largement appliqué dans le monde entier pour certains sites.


L'utilisation d'un service DNS privé ou de votre propre service DNS atténuerait ces problèmes, mais l'autre problème est que la plupart de ces requêtes DNS sont par défaut toujours envoyées en texte clair (non crypté) sur le réseau. Même si vous naviguez sur PornHub dans une fenêtre incognito, en utilisant HTTPS et un service DNS privé, il y a de fortes chances que votre navigateur envoie une requête DNS en texte clair et non cryptée à certains serveurs DNS, demandant en gros "Quelle est l'adresse IP de www.pornhub.com ?".


Comme cette requête n'est pas cryptée, votre fournisseur de services Internet et/ou tout autre adversaire peut toujours l'intercepter (en utilisant une attaque de type "Man-in-the-middle") et savoir, voire enregistrer, ce que votre adresse IP recherchait. Le même FAI peut également falsifier les réponses DNS même si vous utilisez un DNS privé. L'utilisation d'un service DNS privé devient alors inutile.


En outre, de nombreux appareils et applications utilisent des serveurs DNS codés en dur, contournant ainsi tout paramètre système que vous pourriez définir. C'est par exemple le cas de la plupart (70 %) des téléviseurs intelligents et d'une grande partie (46 %) des consoles de jeux. Pour ces appareils, vous devrez les forcer à cesser d'utiliser leur service DNS codé en dur, ce qui pourrait les empêcher de fonctionner correctement.


Une solution à ce problème est d'utiliser des DNS cryptés en utilisant DoH (DNS over HTTPS), DoT (DNS over TLS) avec un serveur DNS privé (qui peut être auto-hébergé localement avec une solution comme pi-hole, hébergé à distance avec une solution comme nextdns.io ou en utilisant le fournisseur de solutions de votre fournisseur de VPN ou le réseau Tor). Cela devrait empêcher votre FAI ou un quelconque intermédiaire d'espionner vos requêtes ... sauf que ce n'est pas forcément le cas.


Petit avertissement intermédiaire : ce guide ne soutient ni ne recommande nécessairement les services de Cloudflare, même s'ils sont mentionnés à plusieurs reprises dans cette section pour des raisons de compréhension technique.


Malheureusement, le protocole TLS utilisé dans la plupart des connexions HTTPS dans la plupart des navigateurs (Chrome/Brave/Ungoogled-Chromium entre autres) laisse échapper le nom de domaine à nouveau par le biais des échanges SNI (ceci peut être vérifié ici chez Cloudflare : https://www.cloudflare.com/ssl/encrypted-sni/ [Archive.org]). Au moment de la rédaction de ce guide, seuls les navigateurs basés sur Firefox prennent en charge ECH (Encrypted Client Hello , précédemment connu sous le nom d'eSNI) sur certains sites web, ce qui permet de tout crypter de bout en bout (en plus de l'utilisation d'un DNS privé sécurisé via TLS/HTTPS) et de dissimuler vos requêtes DNS à une tierce partie. Cette option n'est pas non plus activée par défaut, vous devrez donc l'activer vous-même.

Outre la prise en charge limitée des navigateurs, seuls les services Web et les CDN derrière Cloudflare CDN prennent en charge ECH/eSNI à ce stade. Cela signifie que ECH et eSNI ne sont pas pris en charge (au moment de la rédaction de ce guide) par la plupart des plateformes courantes telles que :

• Amazon (y compris AWS, Twitch...)
• Microsoft (y compris Azure, OneDrive, Outlook, Office 365...)
• Google (y compris Gmail, Google Cloud...)
• Apple (y compris iCloud, iMessage...)
• Reddit
• YouTube
• Facebook
• Instagram
• Twitter
• GitHub
• ...

Certains pays comme la Russie et la Chine bloquent les échanges ECH/eSNI au niveau du réseau pour permettre l'espionnage et empêcher le contournement de la censure. Cela signifie que vous ne pourrez pas établir une connexion HTTPS avec un service si vous ne leur permettez pas de voir de quoi il s'agit.


Les problèmes ne s'arrêtent pas là. Une partie de la validation HTTPS TLS est appelée OCSP et ce protocole utilisé par les navigateurs basés sur Firefox laissera échapper des métadonnées sous la forme du numéro de série du certificat du site web que vous visitez. Un adversaire peut alors facilement trouver le site web que vous visitez en faisant correspondre le numéro de certificat. Ce problème peut être atténué en utilisant l'agrafage OCSP. Malheureusement, cette fonction est activée mais non appliquée par défaut dans le navigateur Firefox/Tor. Mais le site web que vous visitez doit également le prendre en charge, ce qui n'est pas le cas de tous. Les navigateurs basés sur Chromium, quant à eux, utilisent un système différent appelé CRLSets qui est sans doute meilleur.


Voici une liste des comportements de différents navigateurs par rapport à l'OCSP : https://www.ssl.com/blogs/how-do-browsers-handle-revoked-ssl-tls-certificates/ [Archive.org]


Voici une illustration du problème que vous pourriez rencontrer avec les navigateurs basés sur Firefox :

Enfin, même si vous utilisez un serveur DNS crypté personnalisé (DoH ou DoT) avec le support ECH/eSNI et l'agrafage OCSP, cela pourrait ne pas suffire car les études d'analyse du trafic ont montré qu'il est toujours possible de prendre des empreintes digitales et de bloquer les requêtes indésirables de manière fiable. Seul le DNS via Tor a été en mesure de démontrer une confidentialité DNS efficace dans des études récentes, mais même cela peut encore être vaincu par d'autres moyens (voir Votre trafic Tor/VPN anonymisé).


On peut également décider d'utiliser un service DNS caché par Tor ou ODoH (Oblivious DNS over HTTPS) pour améliorer encore la confidentialité/l'anonymat, mais malheureusement, pour autant que je sache, ces méthodes ne sont fournies que par Cloudflare à ce jour(https://blog.cloudflare.com/welcome-hidden-resolver/ [Archive.org], https://blog.cloudflare.com/oblivious-dns/ [Archive.org]). Je pense personnellement qu'il s'agit d'options techniques viables et raisonnablement sûres, mais c'est aussi un choix moral que d'utiliser ou non Cloudflare (malgré le risque posé par certains chercheurs).


Enfin, il existe une nouvelle option appelée DoHoT (DNS over HTTPS over Tor) qui pourrait également améliorer votre confidentialité/anonymat et que vous pourriez envisager si vous êtes plus à l'aise avec Linux. Voir https://github.com/alecmuffett/dohot [Archive.org]. Ce guide ne vous aidera pas à ce stade, mais il pourrait être disponible prochainement.


Voici une illustration de l'état actuel de la confidentialité des DNS et HTTPS, sur la base de mes connaissances actuelles.

En ce qui concerne votre utilisation quotidienne normale (non sensible), rappelez-vous que seuls les navigateurs basés sur Firefox prennent en charge l'ECH (anciennement eSNI) jusqu'à présent et qu'il n'est utile qu'avec les sites web hébergés derrière le CDN de Cloudflare à ce stade. Si vous préférez une version basée sur Chrome (ce qui est compréhensible pour certains en raison de certaines fonctionnalités mieux intégrées comme la traduction à la volée), je vous recommande d'utiliser Brave, qui prend en charge toutes les extensions Chrome et offre une bien meilleure confidentialité que Chrome. Si vous ne faites pas confiance à Brave, vous pouvez également utiliser Ungoogled-Chromium(https://github.com/Eloston/ungoogled-chromium [Archive.org]).


Mais l'histoire ne s'arrête pas là. Car après tout cela, même si vous cryptez votre DNS et utilisez toutes les mesures d'atténuation possibles, de simples requêtes IP vers n'importe quel serveur resteront probablement sans réponse. De simples requêtes IP adressées à n'importe quel serveur permettront probablement à un adversaire de détecter le site que vous visitez. Et ce, tout simplement parce que la majorité des sites web sont associés à des IP uniques, comme expliqué ici : https://blog.apnic.net/2019/08/23/what-can-you-learn-from-an-ip-address/ [Archive.org]. Cela signifie qu'un adversaire peut créer un ensemble de données de sites web connus, par exemple, y compris leurs IP, puis faire correspondre cet ensemble de données à l'IP que vous demandez. Dans la plupart des cas, il en résultera une estimation correcte du site web que vous visitez. Cela signifie que malgré l'agrafage OCSP, malgré l'ECH/eSNI, malgré l'utilisation du DNS crypté ... Un adversaire peut toujours deviner le site web que vous visitez de toute façon.


Par conséquent, pour atténuer tous ces problèmes (autant que possible et aussi bien que nous le pouvons), ce guide recommandera plus tard deux solutions : L'utilisation de Tor et une solution virtualisée (voir l'annexe W : Virtualisation) multicouche de VPN sur Tor. D'autres options seront également expliquées (Tor sur VPN, VPN seul, Pas de Tor/VPN) mais sont moins recommandées.

 

[HEISENBERG]

Vos dispositifs RFID.

RFID est l'abréviation de Radio-frequency identification (identification par radiofréquence). Il s'agit de la technologie utilisée, par exemple, pour les paiements sans contact et divers systèmes d'identification. Bien entendu, votre smartphone fait partie de ces appareils et possède des capacités de paiement sans contact RFID grâce à la technologie NFC. Comme pour tout le reste, ces capacités peuvent être utilisées à des fins de traçage par divers acteurs.


Malheureusement, ce phénomène ne se limite pas à votre smartphone, et vous portez probablement toujours sur vous un appareil équipé d'une puce RFID, comme par exemple :

• vos cartes de crédit/débit sans contact
• vos cartes de fidélité dans les magasins
• vos cartes de paiement pour les transports
• vos cartes d'accès au travail
• Vos clés de voiture
• Votre carte d'identité nationale ou votre permis de conduire
• Votre passeport
• Le prix/les étiquettes antivol sur les objets/vêtements
• ...

Bien que tous ces éléments ne puissent pas être utilisés pour vous désanonymiser face à un adversaire en ligne distant, ils peuvent être utilisés pour restreindre une recherche si l'on connaît votre emplacement approximatif à un moment donné. Par exemple, il n'est pas exclu que certains magasins scannent (et enregistrent) toutes les puces RFID qui passent la porte. Il se peut qu'ils recherchent leurs cartes de fidélité, mais qu'ils en enregistrent également d'autres au passage. Ces étiquettes RFID pourraient être reliées à votre identité et permettre la désanonymisation.


Plus d'informations sur Wikipedia : https://en.wikipedia.org/wiki/Radio-frequency_identification#Security_concerns [Wikiless] [Archive.org] et https://en.wikipedia.org/wiki/Radio-frequency_identification#Privacy [Wikiless] [Archive.org]


Le seul moyen d'atténuer ce problème est de ne pas porter d'étiquettes RFID sur soi ou de les protéger à l'aide d'une sorte de cage de Faraday. Vous pouvez également utiliser des portefeuilles/pochettes spécialisés qui bloquent spécifiquement les communications RFID. De nombreuses marques réputées, telles que Samsonite, proposent aujourd'hui ce type de produits.

 

[HEISENBERG]

Les appareils Wi-Fis et Bluetooth qui vous entourent.

La géolocalisation ne se fait pas seulement par triangulation des antennes mobiles. Elle s'effectue également à l'aide des appareils Wi-Fis et Bluetooth qui vous entourent. Les fabricants de systèmes d'exploitation comme Google (Android) et Apple (IOS) tiennent à jour une base de données pratique de la plupart des points d'accès Wi-Fi et des appareils Bluetooth, ainsi que de leur emplacement. Lorsque votre smartphone Android ou votre iPhone est allumé (et qu'il n'est pas en mode avion), il analyse passivement (sauf si vous désactivez spécifiquement cette fonction dans les paramètres) les points d'accès Wi-Fi et les appareils Bluetooth autour de vous et est capable de vous géolocaliser avec plus de précision qu'en utilisant un GPS.


Cela leur permet de fournir des localisations précises même lorsque le GPS est désactivé, mais aussi de conserver un enregistrement pratique de tous les appareils Bluetooth dans le monde entier. Cet enregistrement peut ensuite être consulté par l'entreprise ou par des tiers à des fins de suivi.


Remarque : si vous possédez un smartphone Android, Google sait probablement où il se trouve, quoi que vous fassiez. Vous ne pouvez pas vraiment faire confiance aux paramètres. L'ensemble du système d'exploitation est construit par une entreprise qui veut vos données. N'oubliez pas que si c'est gratuit, c'est que vous êtes le produit.


Mais ce n'est pas ce que tous ces points d'accès Wi-Fis peuvent faire. Des technologies récemment développées pourraient même permettre à quelqu'un de suivre vos mouvements avec précision en se basant uniquement sur les interférences radio. Cela signifie qu'il est possible de suivre vos déplacements à l'intérieur d'une pièce ou d'un bâtiment en se basant sur les signaux radio qui y transitent. Cela peut sembler relever de la théorie du complot, mais voici les références de démonstrations montrant cette technologie en action : http://rfpose.csail.mit.edu/ [Archive.org] et la vidéo ici :

[Invidious]


On peut donc imaginer de nombreux cas d'utilisation de ces technologies, comme l'enregistrement des personnes qui entrent dans des bâtiments ou des bureaux spécifiques (hôtels, hôpitaux ou ambassades, par exemple) et la découverte de qui rencontre qui, ce qui permet de les suivre de l'extérieur. Même s'ils n'ont pas de smartphone sur eux.

Là encore, ce problème ne peut être résolu que si l'on se trouve dans une pièce ou un bâtiment qui fait office de cage de Faraday.


Voici une autre vidéo du même type de technologie en action :

[Invidious]

 

[HEISENBERG]

Points d'accès Wi-Fi malveillants/en vogue.

Ces points d'accès sont utilisés depuis au moins 2008 au moyen d'une attaque appelée "Jasager" et peuvent être utilisés par n'importe qui à l'aide d'outils auto-construits ou de dispositifs disponibles dans le commerce tels que Wi-Fi Pineapple.


Voici quelques vidéos expliquant plus en détail le sujet :

• HOPE 2020, https://archive.org/details/hopeconf2020/20200725_1800_Advanced_Wi-Fi_Hacking_With_$5_Microcontrollers.mp4
• YouTube, Hak5, Wi-Fi Pineapple Mark VII
  [Invidious]

Ces appareils tiennent dans un petit sac et peuvent prendre le contrôle de l'environnement Wi-Fi de n'importe quel endroit situé dans leur rayon d'action. Par exemple, un bar, un restaurant, un café ou un hall d'hôtel. Ces appareils peuvent forcer les clients Wi-Fi à se déconnecter de leur réseau Wi-Fi actuel (à l'aide d'attaques de désauthentification et de dissociation) tout en usurpant l'identité des réseaux Wi-Fi normaux au même endroit. Ils continueront à mener cette attaque jusqu'à ce que votre ordinateur ou vous-même décidiez d'essayer de vous connecter au point d'accès pirate.


Ces appareils peuvent alors imiter un portail captif présentant exactement la même configuration que le réseau Wi-Fi auquel vous essayez d'accéder (par exemple, un portail d'enregistrement Wi-Fi d'aéroport). Ils peuvent également vous donner un accès libre à l'internet qu'ils obtiendront eux-mêmes au même endroit.


Une fois que vous êtes connecté par l'intermédiaire d'un point d'accès malveillant, ce dernier est en mesure d'exécuter diverses attaques de type "man-in-the-middle" pour analyser votre trafic. Il peut s'agir de redirections malveillantes ou d'un simple reniflage du trafic. Cela permet d'identifier facilement tout client qui essaierait, par exemple, de se connecter à un serveur VPN ou au réseau Tor.


Cela peut être utile lorsque vous savez qu'une personne que vous souhaitez désanonymiser se trouve dans un endroit très fréquenté, mais que vous ne savez pas de qui il s'agit. Cela permettrait à un adversaire de prendre l'empreinte de tout site web que vous visitez malgré l'utilisation de HTTPS, DoT, DoH, ODoH, VPN ou Tor en utilisant l'analyse du trafic comme indiqué ci-dessus dans la section DNS.


Ces outils peuvent également être utilisés pour créer et vous proposer des pages web d'hameçonnage avancées qui recueilleraient vos informations d'identification ou tenteraient de vous faire installer un certificat malveillant leur permettant de voir votre trafic crypté.

 

[HEISENBERG]

Votre trafic Tor/VPN anonymisé.

Tor et les VPN ne sont pas des solutions miracles. De nombreuses techniques avancées ont été développées et étudiées pour désanonymiser le trafic Tor crypté au fil des ans. La plupart de ces techniques sont des attaques par corrélation qui mettent en corrélation votre trafic réseau d'une manière ou d'une autre avec des journaux ou des ensembles de données. Voici quelques exemples classiques :

• Attaque par empreinte de corrélation : Comme illustré (de manière simplifiée) ci-dessous, cette attaque permet de relever les empreintes de votre trafic crypté (comme les sites web que vous avez visités) en se basant uniquement sur l'analyse de votre trafic crypté (sans le décrypter). Elle peut le faire avec un taux de réussite impressionnant de 96 %. Ces empreintes peuvent être utilisées par un adversaire ayant accès à votre réseau source pour découvrir certaines de vos activités cryptées (comme les sites web que vous avez visités).

Attaques par corrélation : Comme illustré (de manière simplifiée) ci-dessous, un adversaire qui a accès aux journaux de connexion réseau (IP ou DNS par exemple, rappelez-vous que la plupart des serveurs VPN et la plupart des nœuds Tor sont connus et listés publiquement) à la source et à la destination pourrait corréler les temps pour vous désanonymiser sans avoir besoin d'accéder au réseau Tor ou VPN entre les deux. Un cas réel d'utilisation de cette technique a été réalisé par le FBI en 2013 pour désanonymiser un canular d'alerte à la bombe à l'université de Harvard.

Attaques par comptage de corrélations : Comme illustré (de manière simplifiée) ci-dessous, un adversaire qui n'a pas accès aux journaux de connexion détaillés (il ne peut pas voir que vous avez utilisé Tor ou Netflix) mais qui a accès aux journaux de comptage de données pourrait voir que vous avez téléchargé 600 Mo à une date/heure spécifique qui correspond au téléchargement de 600 Mo à la destination. Cette corrélation peut alors être utilisée pour vous désanonymiser au fil du temps.

Il existe des moyens d'atténuer ces risques, comme par exemple :

• N'utilisez pas Tor/VPN pour accéder à des services qui se trouvent sur le même réseau (ISP) que le service de destination. Par exemple, ne vous connectez pas à Tor depuis le réseau de votre université pour accéder à un service universitaire de manière anonyme. Utilisez plutôt un point source différent (tel qu'un Wi-Fi public) qui ne peut pas être corrélé facilement par un adversaire.
• N'utilisez pas Tor/VPN à partir d'un réseau manifestement surveillé (tel qu'un réseau d'entreprise ou gouvernemental), mais essayez plutôt de trouver un réseau non surveillé, tel qu'un réseau Wi-Fi public ou résidentiel.
• Utilisez plusieurs couches (comme ce qui sera recommandé dans ce guide plus tard : VPN over Tor) afin qu'un adversaire puisse voir que quelqu'un s'est connecté au service via Tor mais ne puisse pas voir qu'il s'agit de vous parce que vous étiez connecté à un VPN et non au réseau Tor.

Attention, cela pourrait ne pas suffire face à un adversaire mondial motivé disposant d'un large accès à la surveillance de masse mondiale. Un tel adversaire pourrait avoir accès aux journaux, où que vous soyez, et pourrait les utiliser pour vous désanonymiser.


Soyez également conscient que toutes les autres méthodes décrites dans ce guide, telles que l'analyse comportementale, peuvent également être utilisées pour désanonymiser indirectement les utilisateurs de Tor (voir plus loin Your Digital Fingerprint, Footprint, and Online Behavior).


Je recommande également fortement la lecture de ce très bon guide complet et approfondi sur de nombreux vecteurs d'attaque sur Tor : https://github.com/Attacks-on-Tor/Attacks-on-Tor [Archive.org] ainsi que cette récente publication de recherche https://www.researchgate.net/public...ners_of_the_Internet_A_Survey_of_Tor_Research [Archive.org]


Ainsi que cette excellente série d'articles de blog : https://www.hackerfactor.com/blog/index.php?/archives/906-Tor-0day-The-Management-Vulnerability.html [Archive.org]


(Pour leur défense, il convient également de noter que Tor n'est pas conçu pour se protéger contre un adversaire mondial. Pour plus d'informations, voir https://svn-archive.torproject.org/svn/projects/design-paper/tor-design.pdf [Archive.org] et plus particulièrement "Part 3. Objectifs et hypothèses de conception").


Enfin, n'oubliez pas que l'utilisation de Tor peut déjà être considérée comme une activité suspecte et que son utilisation peut être considérée comme malveillante par certains.


Ce guide proposera plus tard des solutions pour atténuer ces attaques en changeant votre origine dès le départ (en utilisant des Wi-Fi publics par exemple).

 

[HEISENBERG]

Certains dispositifs peuvent être suivis même lorsqu'ils sont hors ligne.

Vous l'avez vu dans les films d'action, d'espionnage ou de science-fiction, les protagonistes retirent toujours la batterie de leur téléphone pour s'assurer qu'il ne peut pas être utilisé. La plupart des gens penseraient que c'est exagéré. Malheureusement non, c'est en train de devenir une réalité, du moins pour certains appareils :

• iPhones et iPads (IOS 13 et plus)
• Téléphones Samsung (Android 10 et supérieur)
• MacBooks (MacOS 10.15 et supérieur)

Ces appareils continueront à diffuser des informations sur leur identité aux appareils voisins, même lorsqu'ils sont hors ligne, grâce à la technologie Bluetooth Low-Energy. Ils n'ont pas accès aux appareils directement (qui ne sont pas connectés à l'internet), mais utilisent BLE pour les trouver par l'intermédiaire d'autres appareils proches. Ils utilisent essentiellement la communication Bluetooth à courte portée d'égal à égal pour diffuser leur statut par l'intermédiaire d'appareils en ligne situés à proximité.


Ils pourraient désormais localiser ces dispositifs et conserver cette localisation dans une base de données qui pourrait ensuite être utilisée par des tiers ou par eux-mêmes à diverses fins (notamment l'analyse, la publicité ou la collecte de preuves ou de renseignements).

 

[HEISENBERG]

Vos identifiants matériels.

L'IMEI et l'IMSI (et par extension, votre numéro de téléphone).

L'IMEI (International Mobile Equipment Identity) et l'IMSI (International Mobile Subscriber Identity) sont des numéros uniques créés par les fabricants de téléphones mobiles et les opérateurs de téléphonie mobile.


L'IMEI est directement lié au téléphone que vous utilisez. Ce numéro est connu et suivi par les opérateurs de téléphonie mobile et par les fabricants. Chaque fois que votre téléphone se connecte au réseau mobile, il enregistre l'IMEI sur le réseau en même temps que l'IMSI (si une carte SIM est insérée, mais cela n'est même pas nécessaire). Il est également utilisé par de nombreuses applications (applications bancaires abusant de la permission du téléphone sur Android par exemple) et par les systèmes d'exploitation des smartphones (Android/IOS) pour l'identification de l'appareil. Il est possible, mais difficile (et pas illégal dans de nombreuses juridictions) de changer l'IMEI d'un téléphone, mais il est probablement plus facile et moins cher de trouver et d'acheter un vieux téléphone Burner (en état de marche) pour quelques euros (ce guide concerne l'Allemagne) sur un marché aux puces ou dans une petite boutique au hasard.


L'IMSI est directement lié à l'abonnement mobile ou au plan prépayé que vous utilisez et est fondamentalement lié à votre numéro de téléphone par votre fournisseur de téléphonie mobile. L'IMSI est codée en dur directement sur la carte SIM et ne peut pas être modifiée. N'oubliez pas que chaque fois que votre téléphone se connecte au réseau mobile, il enregistre également l'IMSI sur le réseau en même temps que l'IMEI. Comme l'IMEI, l'IMSI est également utilisé par certaines applications et certains systèmes d'exploitation de smartphones à des fins d'identification, et il fait l'objet d'un suivi. Certains pays de l'UE, par exemple, maintiennent une base de données des associations IMEI/IMSI pour permettre aux forces de l'ordre de les interroger facilement.


Aujourd'hui, donner son (vrai) numéro de téléphone revient à donner son numéro de sécurité sociale, son numéro de passeport ou sa carte d'identité nationale.


L'IMEI et l'IMSI permettent de remonter jusqu'à vous d'au moins 6 façons :

• Les registres d'abonnés de l'opérateur de téléphonie mobile, qui stockent généralement l'IMEI et l'IMSI, ainsi que leur base de données d'informations sur les abonnés. Si vous utilisez une carte SIM anonyme prépayée (IMSI anonyme mais IMEI connu), l'opérateur peut voir que ce téléphone portable vous appartient si vous l'avez déjà utilisé avec une carte SIM différente (IMSI anonyme différent mais IMEI connu identique).
• Les registres d'antenne de l'opérateur mobile, qui enregistrent commodément les IMEI et IMSI, conservent également certaines données de connexion. Ils savent et enregistrent par exemple qu'un téléphone avec cette combinaison IMEI/IMSI s'est connecté à un ensemble d'antennes mobiles et quelle était la puissance du signal vers chacune de ces antennes, ce qui permet une triangulation/géolocalisation aisée du signal. Ils savent également quels autres téléphones (votre vrai téléphone, par exemple) se sont connectés en même temps aux mêmes antennes avec le même signal, ce qui permettrait de savoir précisément que ce "téléphone brûleur" a toujours été connecté au même endroit/à la même heure que cet autre "téléphone connu" qui apparaît chaque fois que le téléphone brûleur est utilisé. Cette information peut être utilisée par divers tiers pour vous géolocaliser/tracer assez précisément.
• Le fabricant du téléphone peut retracer la vente du téléphone à l'aide de l'IMEI si ce téléphone a été acheté de manière non anonyme. En effet, il disposera des registres de chaque vente de téléphone (y compris le numéro de série et l'IMEI) et du magasin ou de la personne à qui il a été vendu. Et si vous utilisez un téléphone que vous avez acheté en ligne (ou à quelqu'un qui vous connaît). Ces informations permettent de remonter jusqu'à vous. Même si vous n'apparaissez pas sur la télévision en circuit fermé et que vous avez acheté le téléphone en espèces, il est possible de savoir quel autre téléphone (votre vrai téléphone dans votre poche) se trouvait là (dans ce magasin) à cette heure/date en utilisant les relevés d'antenne.
• L'IMSI seule peut également être utilisée pour vous retrouver, car la plupart des pays exigent désormais que les clients fournissent une pièce d'identité lorsqu'ils achètent une carte SIM (abonnement ou prépayée). L'IMSI est alors liée à l'identité de l'acheteur de la carte. Dans les pays où la carte SIM peut encore être achetée en espèces (comme le Royaume-Uni), on sait toujours où (quel magasin) elle a été achetée et quand. Ces informations peuvent alors être utilisées pour récupérer des informations du magasin lui-même (telles que des images de télévision en circuit fermé, comme dans le cas de l'IMEI). Ou encore, les journaux d'antenne peuvent également être utilisés pour déterminer quel autre téléphone était présent au moment de la vente.
• Les fabricants de systèmes d'exploitation pour smartphones (Google/Apple pour Android/IO) tiennent également des registres des identifications IMEI/IMSI liées aux comptes Google/Apple et à l'utilisateur qui les a utilisées. Ils peuvent eux aussi retracer l'historique du téléphone et savoir à quels comptes il était lié dans le passé.
• Les agences gouvernementales du monde entier qui s'intéressent à votre numéro de téléphone peuvent utiliser et utilisent des dispositifs spéciaux appelés "IMSI catchers", tels que le Stingray ou, plus récemment, le Nyxcell. Ces appareils peuvent usurper l'identité d'une antenne de téléphone portable et forcer un IMSI spécifique (votre téléphone) à s'y connecter pour accéder au réseau cellulaire. Une fois qu'ils y parviennent, ils peuvent utiliser diverses attaques MITM (Man-In-The-Middle Attacks) qui leur permettent de
  • Mettre votre téléphone sur écoute (appels vocaux et SMS).
  • Renifler et examiner votre trafic de données.
  • d'usurper votre numéro de téléphone sans contrôler votre téléphone.
  • ...

Voici également une bonne vidéo YouTube sur ce sujet : DEFCON Safe Mode - Cooper Quintin - Détecter les fausses stations de base 4G en temps réel

[Invidious]


Pour ces raisons, il est essentiel d'obtenir un numéro de téléphone anonyme et/ou un téléphone portable anonyme avec une carte SIM prépayée anonyme qui ne soit lié à vous d'aucune manière (passée ou présente) pour mener des activités sensibles (voir plus de conseils pratiques dans la section " Obtenir un numéro de téléphone anonyme" ).


Bien que certains fabricants de smartphones, comme Purism avec sa série Librem, prétendent avoir votre vie privée à l'esprit, ils ne permettent toujours pas la randomisation de l'IMEI qui, à mon avis, est une fonction anti-tracking essentielle qui devrait être fournie par ces fabricants. Bien que cette mesure n'empêche pas le suivi de l'IMEI au sein de la carte SIM, elle vous permettrait au moins de conserver le même "téléphone brûleur" et de ne changer que de carte SIM au lieu de devoir changer les deux pour des raisons de protection de la vie privée.

 

[HEISENBERG]

Votre adresse MAC Wi-Fi ou Ethernet.

L'adresse MAC est un identifiant unique lié à votre interface réseau physique (Ethernet câblé ou Wi-Fi) et pourrait bien sûr être utilisée pour vous suivre à la trace si elle n'est pas aléatoire. Comme dans le cas de l'IMEI, les fabricants d'ordinateurs et de cartes réseau tiennent généralement des registres de leurs ventes (comprenant généralement des éléments tels que le numéro de série, l'IMEI, les adresses Mac, etc.) et il leur est à nouveau possible de savoir où et quand l'ordinateur portant l'adresse MAC en question a été vendu et à qui. Même si vous l'avez acheté en liquide dans un supermarché, celui-ci peut toujours disposer d'un système de vidéosurveillance (ou d'un système de vidéosurveillance à l'extérieur du magasin) et l'heure et la date de la vente peuvent à nouveau être utilisées pour savoir qui se trouvait là en utilisant les registres d'antenne du fournisseur de téléphonie mobile à ce moment-là (IMEI/IMSI).


Les fabricants de systèmes d'exploitation (Google/Microsoft/Apple) conservent également des données sur les appareils et leurs adresses MAC dans leurs registres pour l'identification des appareils (services de type "Find my device" par exemple). Apple peut dire que le MacBook avec cette adresse MAC spécifique était lié à un compte Apple spécifique auparavant. Peut-être le vôtre avant que vous ne décidiez d'utiliser le MacBook pour des activités sensibles. Peut-être à un utilisateur différent qui vous l'a vendu mais qui se souvient de votre e-mail/numéro au moment de la vente.


Votre routeur domestique/point d'accès Wi-Fi conserve les journaux des appareils qui se sont enregistrés sur le Wi-Fi, et il est également possible d'y accéder pour savoir qui a utilisé votre Wi-Fi. Parfois, cette opération peut être effectuée à distance (et silencieusement) par le fournisseur d'accès, selon que ce routeur/point d'accès Wi-Fi est "géré" à distance par le fournisseur d'accès (ce qui est souvent le cas lorsqu'il fournit le routeur à ses clients).


Certains appareils commerciaux enregistrent les adresses MAC qui circulent à des fins diverses, telles que l'encombrement des routes.


Il est donc important de ne pas emporter votre téléphone lorsque/où vous menez des activités sensibles. Si vous utilisez votre propre ordinateur portable, il est essentiel de cacher l'adresse MAC (et l'adresse Bluetooth) partout où vous l'utilisez et de faire très attention à ne pas divulguer d'informations. Heureusement, de nombreux systèmes d'exploitation récents proposent ou autorisent l'option de randomisation des adresses MAC (Android, IOS, Linux et Windows 10), à l'exception notable de MacOS qui ne prend pas en charge cette fonctionnalité, même dans sa dernière version Big Sur.

 

[HEISENBERG]

Votre adresse MAC Bluetooth.

Votre adresse MAC Bluetooth est semblable à l'adresse MAC précédente, sauf qu'elle est destinée à Bluetooth. Là encore, elle peut être utilisée pour vous suivre, car les fabricants et les concepteurs de systèmes d'exploitation tiennent des registres de ces informations. Elle pourrait être liée à un lieu/heure/date de vente ou à des comptes et pourrait alors être utilisée pour vous suivre grâce à ces informations, aux informations de facturation du magasin, à la vidéosurveillance ou aux journaux de l'antenne mobile en corrélation.


Les systèmes d'exploitation ont mis en place des protections pour randomiser ces adresses, mais ils sont toujours sujets à des vulnérabilités.


Pour cette raison, et à moins que vous n'en ayez vraiment besoin, vous devriez simplement désactiver complètement le Bluetooth dans les paramètres BIOS/UEFI si possible ou dans le système d'exploitation dans le cas contraire.


Sous Windows 10, vous devrez désactiver et activer le périphérique Bluetooth dans le gestionnaire de périphériques lui-même pour forcer une randomisation de l'adresse pour la prochaine utilisation et empêcher le suivi.

 

[HEISENBERG]

Votre unité centrale.

Toutes les unités centrales modernes intègrent désormais des plates-formes de gestion cachées, telles que le désormais tristement célèbre Intel Management Engine et le AMD Platform Security Processor.


Ces plates-formes de gestion sont en fait de petits systèmes d'exploitation fonctionnant directement sur votre unité centrale tant qu'ils sont alimentés. Ces systèmes ont un accès total au réseau de votre ordinateur et peuvent être utilisés par un adversaire pour vous désanonymiser de différentes manières (en utilisant un accès direct ou des logiciels malveillants, par exemple), comme le montre cette vidéo très instructive : BlackHat, How to Hack a Turned-Off Computer (Comment pirater un ordinateur éteint), ou Running Unsigned Code in Intel Management Engine (Exécuter du code non signé dans Intel Management Engine)

[ Invidious].


Ces systèmes ont déjà été affectés par plusieurs failles de sécurité dans le passé, qui ont permis à des logiciels malveillants de prendre le contrôle des systèmes cibles. Ils sont également accusés par de nombreux acteurs de la protection de la vie privée, dont l'EFF et Libreboot, d'être une porte dérobée vers n'importe quel système.


Il existe des moyens plus ou moins simples de désactiver l'IME d'Intel sur certains processeurs, et vous devriez le faire si vous le pouvez. Pour certains ordinateurs portables AMD, vous pouvez le désactiver dans les paramètres du BIOS en désactivant PSP.


Notez qu'à la décharge d'AMD, jusqu'à présent et AFAIK, aucune vulnérabilité de sécurité n'a été trouvée pour ASP et aucune porte dérobée non plus : Voir

[Invidious]. En outre, AMD PSP ne fournit aucune capacité de gestion à distance, contrairement à Intel IME.


Si vous vous sentez un peu plus aventureux, vous pouvez installer votre propre BIOS en utilisant Libreboot ou Coreboot si votre ordinateur portable le supporte (soyez conscient que Coreboot contient du code propriétaire contrairement à son équivalent Libreboot).


De plus, certains processeurs ont des failles non corrigibles (en particulier les processeurs Intel) qui peuvent être exploitées par divers logiciels malveillants. Voici une bonne liste actualisée de ces vulnérabilités affectant les processeurs récents les plus répandus :


https://en.wikipedia.org/wiki/Transient_execution_CPU_vulnerability [Wikiless] [Archive.org]

• Si vous utilisez Linux, vous pouvez vérifier l'état de vulnérabilité de votre processeur aux attaques Spectre/Meltdown en utilisant https://github.com/speed47/spectre-meltdown-checker [Archive.org] qui est disponible sous forme de paquet pour la plupart des distros Linux, y compris Whonix.
• Si vous utilisez Windows, vous pouvez vérifier l'état de vulnérabilité de votre unité centrale en utilisant inSpectre https://www.grc.com/inspectre.htm [Archive.org]

Certaines de ces vulnérabilités peuvent être évitées en utilisant les paramètres du logiciel de virtualisation qui peuvent atténuer ces exploits. Voir ce guide pour plus d'informations https://www.whonix.org/wiki/Spectre_Meltdown [Archive.org] (avertissement : ces paramètres peuvent avoir un impact important sur les performances de vos machines virtuelles).


Je vais donc atténuer certains de ces problèmes dans ce guide en recommandant l'utilisation de machines virtuelles sur un ordinateur portable anonyme dédié à vos activités sensibles, qui ne sera utilisé qu'à partir d'un réseau public anonyme.

 

[HEISENBERG]

Les services de télémétrie de vos systèmes d'exploitation et de vos applications.

Qu'il s'agisse d'Android, d'iOS, de Windows, de MacOS ou même d'Ubuntu. La plupart des systèmes d'exploitation populaires collectent désormais des informations de télémétrie par défaut, même si vous n'avez jamais choisi d'y participer ou de vous en désintéresser dès le départ. Certains, comme Windows, ne permettent même pas de désactiver complètement la télémétrie sans quelques ajustements techniques. Cette collecte d'informations peut être importante et inclure un nombre stupéfiant de détails (métadonnées et données) sur vos appareils et leur utilisation.


Voici de bons aperçus de ce qui est collecté par ces 5 systèmes d'exploitation populaires dans leurs dernières versions :

• Android/Google :
  
  • Consultez leur politique de confidentialité https://policies.google.com/privacy [Archive.org]
  • School of Computer Science & Statistics, Trinity College Dublin, Irlande Mobile Handset Privacy : Mesurer les données qu'iOS et Android envoient à Apple et Google https://www.scss.tcd.ie/doug.leith/apple_google.pdf [Archive.org]
• IOS/Apple :
  
  • Pour plus d'informations, voir https://www.apple.com/legal/privacy/en-ww/ [Archive.org] et https://support.apple.com/en-us/HT202100 [Archive.org].
  • School of Computer Science & Statistics, Trinity College Dublin, Irlande Mobile Handset Privacy : Mesurer les données qu'iOS et Android envoient à Apple et Google https://www.scss.tcd.ie/doug.leith/apple_google.pdf [Archive.org]
  • Apple affirme qu'il anonymise ces données en utilisant la confidentialité différentielle, mais vous devrez lui faire confiance sur ce point.
• Windows/Microsoft :
  
  • Liste complète des données de diagnostic requises : https://docs.microsoft.com/en-us/wi...indows-diagnostic-data-events-and-fields-2004 [Archive.org]
  • Liste complète des données de diagnostic facultatives : https://docs.microsoft.com/en-us/windows/privacy/windows-diagnostic-data [Archive.org]
• MacOS :
  
  • Plus de détails sur https://support.apple.com/guide/mac-help/share-analytics-information-mac-apple-mh27990/mac [Archive.org]
• Ubuntu :
  
  • Ubuntu, bien qu'étant une distribution Linux, collecte également des données de télémétrie de nos jours. Ces données sont cependant assez limitées par rapport aux autres. Plus de détails sur https://ubuntu.com/desktop/statistics [Archive.org]

Les systèmes d'exploitation ne sont pas les seuls à collecter des services de télémétrie, les applications elles-mêmes, telles que les navigateurs, les clients de messagerie et les applications de réseautage social installées sur votre système, le font également.


Il est important de comprendre que ces données télémétriques peuvent être liées à votre appareil et contribuer à vous désanonymiser, puis être utilisées contre vous par un adversaire qui aurait accès à ces données.


Cela ne signifie pas, par exemple, que les appareils Apple sont de mauvais choix pour la protection de la vie privée, mais ils ne sont certainement pas les meilleurs choix pour l'anonymat (relatif). Ils peuvent vous protéger contre les tiers qui savent ce que vous faites, mais pas contre eux-mêmes. Selon toute vraisemblance, ils savent certainement qui vous êtes.


Plus loin dans ce guide, nous utiliserons tous les moyens à notre disposition pour désactiver et bloquer autant de télémétrie que possible afin d'atténuer ce vecteur d'attaque dans les systèmes d'exploitation pris en charge dans ce guide.

 

[HEISENBERG]

Vos appareils intelligents en général.

Vous l'avez compris, votre smartphone est un dispositif d'espionnage et de traçage avancé qui :

• enregistre tout ce que vous dites à tout moment ("Hey Siri", "Hey Google").
• Enregistre votre position partout où vous allez.
• Enregistre toujours les autres appareils autour de vous (appareils Bluetooth, points d'accès Wi-Fi).
• Enregistre vos habitudes et vos données de santé (pas, temps d'écran, exposition aux maladies, données des appareils connectés).
• Enregistre tous les emplacements de votre réseau.
• Enregistre toutes vos photos et vidéos (et très probablement l'endroit où elles ont été prises).
• a très probablement accès à la plupart de vos comptes connus, y compris les médias sociaux, les comptes de messagerie et les comptes financiers.

Les données sont transmises, même si vous vous y opposez, traitées et stockées indéfiniment (très probablement de manière non cryptée) par diverses tierces parties.


Mais ce n'est pas tout, cette section ne s'appelle pas "Smartphones" mais "Appareils intelligents" car ce n'est pas seulement votre smartphone qui vous espionne. Il s'agit également de tous les autres appareils intelligents que vous pourriez avoir.

• Votre montre intelligente (Apple Watch, Android Smartwatch...)
• Vos appareils et applications de fitness ? (Strava, Fitbit, Garmin, Polar, ...)
• Votre enceinte intelligente ? (Amazon Alexa, Google Echo, Apple Homepod ...)
• Votre moyen de transport intelligent ? (Voiture ? Scooter ?)
• Vos étiquettes intelligentes ? (Apple AirTag, Galaxy SmartTag, Tile...)
• Votre voiture ? (Oui, la plupart des voitures modernes ont des fonctions avancées d'enregistrement/suivi de nos jours)
• Tout autre appareil intelligent ? Il existe même des moteurs de recherche pratiques pour les trouver en ligne :
  
  • https://www.shodan.io/
  • https://censys.io/
  • https://www.zoomeye.org/

 

[HEISENBERG]

Vous-même.

Vos métadonnées, y compris votre géolocalisation.

Vos métadonnées sont toutes les informations sur vos activités sans le contenu réel de ces activités. Par exemple, c'est comme si vous saviez que vous avez reçu un appel d'un oncologue avant d'appeler successivement votre famille et vos amis. Vous ne savez pas ce qui s'est dit au cours de la conversation, mais vous pouvez le deviner grâce aux métadonnées.


Ces métadonnées comprennent souvent votre localisation, qui est collectée par les smartphones, les systèmes d'exploitation (Android/IOS), les navigateurs, les applications et les sites web. Il y a de fortes chances que plusieurs entreprises sachent exactement où vous vous trouvez à tout moment grâce à votre smartphone.


Ces données de localisation ont déjà été utilisées dans de nombreuses affaires judiciaires dans le cadre de "mandats de géofence" qui permettent aux forces de l'ordre de demander aux entreprises (telles que Google/Apple) une liste de tous les appareils présents à un endroit donné et à un moment donné. En outre, ces données de localisation sont même vendues par des entreprises privées à l'armée, qui peut alors les utiliser de manière pratique.


Supposons que vous utilisiez un VPN pour masquer votre IP. La plateforme de médias sociaux sait que vous étiez actif sur ce compte le 4 novembre de 8h à 13h avec cette IP VPN. Le VPN ne conserve prétendument aucun journal et ne peut pas remonter de cette IP VPN à votre IP. Votre FAI, cependant, sait (ou du moins peut savoir) que vous étiez connecté à ce même fournisseur VPN le 4 novembre de 7h30 à 14h, mais ne sait pas ce que vous faisiez avec.


La question est la suivante : existe-t-il quelqu'un, quelque part, qui pourrait disposer de ces deux éléments d'information pour les corréler dans une base de données pratique ?


Avez-vous entendu parler d'Edward Snowden ? C'est le moment de le googler et de lire son livre. Lisez également XKEYSCORE, MUSCULAR, SORM, Tempora et PRISM.


Voir "We kill people based on Metadata" ou ce fameux tweet de l'IDF [ Archive.org] [Nitter].

 

[HEISENBERG]

Votre empreinte numérique, votre empreinte digitale et votre comportement en ligne.

C'est ici que vous devriez regarder le documentaire "The Social Dilemma" sur Netflix, qui traite de ce sujet mieux que quiconque, selon moi.


Cela inclut la façon dont vous écrivez (stylométrie), la façon dont vous vous comportez. La façon dont vous cliquez. La façon dont vous naviguez. Les polices de caractères que vous utilisez sur votre navigateur. L'empreinte digitale est utilisée pour deviner l'identité d'un utilisateur en fonction de son comportement. Il se peut que vous utilisiez des mots pédants ou que vous fassiez des fautes d'orthographe spécifiques qui pourraient vous trahir lors d'une simple recherche de caractéristiques similaires sur Google, parce que vous avez tapé de la même manière dans un message Reddit il y a cinq ans, en utilisant un compte Reddit pas si anonyme que cela.


Les plateformes de médias sociaux telles que Facebook/Google peuvent aller plus loin et enregistrer votre comportement dans le navigateur lui-même. Par exemple, elles peuvent enregistrer tout ce que vous tapez, même si vous ne l'envoyez pas ou ne le sauvegardez pas. Pensez à la rédaction d'un e-mail dans Gmail. Il est enregistré automatiquement au fur et à mesure que vous le tapez. Ils peuvent également enregistrer vos clics et les mouvements du curseur.


Tout ce dont ils ont besoin pour y parvenir dans la plupart des cas, c'est d'activer Javascript dans votre navigateur (ce qui est le cas dans la plupart des navigateurs, y compris le navigateur Tor par défaut).


Bien que ces méthodes soient généralement utilisées à des fins de marketing et de publicité, elles peuvent également s'avérer utiles pour relever les empreintes digitales des utilisateurs. En effet, votre comportement est très probablement unique ou suffisamment unique pour qu'avec le temps, vous puissiez être désanonymisé.


Voici quelques exemples :

• Par exemple, comme base d'authentification, la vitesse de frappe d'un utilisateur, les dépressions de touches, les schémas d'erreur (par exemple, frapper accidentellement un "l" au lieu d'un "k" lors de trois transactions sur sept) et les mouvements de souris établissent le schéma de comportement unique de cette personne. Certains services commerciaux tels que TypingDNA(https://www.typingdna.com/ [Archive.org]) proposent même ce type d'analyse en remplacement des authentifications à deux facteurs.
• Cette technologie est également largement utilisée dans les services CAPTCHAS pour vérifier que vous êtes "humain" et peut être utilisée pour prendre les empreintes digitales d'un utilisateur.

Des algorithmes d'analyse pourraient alors être utilisés pour faire correspondre ces modèles avec ceux d'autres utilisateurs et vous faire correspondre à un autre utilisateur connu. On ne sait pas si ces données sont déjà utilisées par les gouvernements et les forces de l'ordre, mais elles pourraient l'être à l'avenir. Bien que ces données soient principalement utilisées à des fins de publicité, de marketing et d'identification, elles pourraient être utilisées, et le seront probablement, à des fins de marketing et d'identification. Elles pourraient être et seront probablement utilisées dans le cadre d'enquêtes à court ou moyen terme pour désanonymiser les utilisateurs.


Voici un exemple amusant que vous pouvez essayer vous-même pour voir certaines de ces choses en action : https://clickclickclick.click (pas de liens d'archives pour celui-ci, désolé). Vous verrez qu'il devient intéressant au fil du temps (Javascript doit être activé).


Voici également un exemple récent montrant ce que Google Chrome collecte sur vous : https://web.archive.org/web/https://pbs.twimg.com/media/EwiUNH0UYAgLY7V?format=jpg&name=4096x4096


Voici d'autres ressources sur le sujet si vous ne pouvez pas voir ce documentaire :

• 2017, Behavior Analysis in Social Networks, https://link.springer.com/10.1007/978-1-4614-7163-9_110198-1 [Archive.org]
• 2017, Social Networks and Positive and Negative Affect (Réseaux sociaux et affects positifs et négatifs ) https://www.sciencedirect.com/scien...c077d46&pid=1-s2.0-S1877042811013747-main.pdf [Archive.org]
• 2015, Utilisation des données des réseaux sociaux pour l'analyse des comportements et des sentiments https://www.researchgate.net/public...orks_Data_for_Behavior_and_Sentiment_Analysis [Archive.org]
• 2016, Enquête sur l'analyse du comportement des utilisateurs dans les réseaux sociaux https://www.academia.edu/30936118/A_Survey_on_User_Behaviour_Analysis_in_Social_Networks [Archive.org]
• 2019, Influence and Behavior Analysis in Social Networks and Social Media ( Analyse de l'influence et du comportement dans les réseaux sociaux et les médias sociaux ) https://sci-hub.do/10.1007/978-3-030-02592-2 [Archive.org]

Alors, comment atténuer ce phénomène ?

• Ce guide propose quelques mesures techniques d'atténuation à l'aide d'outils résistants à l'empreinte digitale, mais ces mesures peuvent ne pas être suffisantes.
• Vous devez faire preuve de bon sens et essayer d'identifier vos propres modèles de comportement et vous comporter différemment lorsque vous utilisez des identités anonymes. Il s'agit notamment de
  
  • La façon dont vous tapez (vitesse, précision...).
  • Les mots que vous utilisez (attention à vos expressions habituelles).
  • Le type de réponse que vous utilisez (si vous êtes sarcastique par défaut, essayez d'avoir une approche différente avec vos identités).
  • La manière dont vous utilisez votre souris et cliquez (essayez de résoudre les Captchas différemment de votre manière habituelle).
  • Les habitudes que vous avez lorsque vous utilisez certaines applications ou visitez certains sites web (n'utilisez pas toujours les mêmes menus/boutons/liens pour accéder à votre contenu).
  • ...

Fondamentalement, vous devez agir et adopter pleinement un rôle comme le ferait un acteur pour une représentation. Vous devez devenir une personne différente, penser et agir comme cette personne. Il ne s'agit pas d'une limitation technique, mais d'une limitation humaine. Vous ne pouvez compter que sur vous-même pour cela.


En fin de compte, c'est surtout à vous de tromper ces algorithmes en adoptant de nouvelles habitudes et en ne révélant pas d'informations réelles lorsque vous utilisez vos identités anonymes.

 

[HEISENBERG]

Vos indices sur votre vie réelle et OSINT.

Il s'agit d'indices que vous pourriez donner au fil du temps et qui pourraient révéler votre véritable identité. Il se peut que vous parliez à quelqu'un ou que vous postiez des messages sur un forum ou sur Reddit. Dans ces messages, il se peut qu'au fil du temps, vous divulguiez des informations sur votre vie réelle. Il peut s'agir de souvenirs, d'expériences ou d'indices que vous avez partagés et qui pourraient permettre à un adversaire motivé d'établir un profil pour affiner sa recherche.


L'arrestation du pirate informatique Jeremy Hammond, qui a partagé au fil du temps plusieurs détails sur son passé et a été découvert par la suite, en est un exemple concret et bien documenté.


Bellingcat présente également quelques cas impliquant l'OSINT. Jetez un coup d'œil à leur boîte à outils très instructive (mais légèrement dépassée) ici : https://docs.google.com/spreadsheet...NyhIDuK9jrPGwYr9DI2UncoqJQ/edit#gid=930747607 [Archive.org]


Vous pouvez également consulter des listes pratiques d'outils OSINT disponibles ici si vous souhaitez les essayer vous-même, par exemple :

• https://github.com/jivoi/awesome-osint [Archive.org]
• https://jakecreps.com/tag/osint-tools/ [Archive.org]
• https://osintframework.com/
• https://recontool.org
• https://github.com/jivoi/awesome-osint [Archive.org]

Ainsi que cette intéressante liste de lecture sur YouTube : https://www.youtube.com/playlist?list=PLrFPX1Vfqk3ehZKSFeb9pVIHqxqrNW8Sy [Invidious]


Ainsi que ces podcasts intéressants :


https://www.inteltechniques.com/podcast.html


Vous ne devriez jamais partager de véritables expériences/détails personnels en utilisant vos identités anonymes qui pourraient plus tard mener à la découverte de votre véritable identité.

 

[HEISENBERG]

Votre visage, votre voix, vos données biométriques et vos photos.

"Même si vous échappez à toutes les méthodes énumérées ci-dessus, vous n'êtes pas encore sorti d'affaire grâce à l'utilisation généralisée de la reconnaissance faciale avancée par tout le monde.


Des sociétés comme Facebook utilisent la reconnaissance faciale avancée depuis des années et ont recours à d'autres moyens (imagerie satellitaire) pour créer des cartes des "personnes" dans le monde entier. Cette évolution se poursuit depuis des années, à tel point que nous pouvons désormais dire que nous avons perdu le contrôle de nos visages.


Si vous vous promenez dans un lieu touristique, il est fort probable que vous apparaissiez dans le selfie de quelqu'un en l'espace de quelques minutes sans le savoir. Cette personne téléchargera ensuite ce selfie sur diverses plateformes (Twitter, Google Photos, Instagram, Facebook, Snapchat...). Ces plateformes appliqueront alors des algorithmes de reconnaissance faciale à ces photos sous prétexte de permettre un meilleur étiquetage ou de mieux organiser votre photothèque. En outre, la même photo fournira un horodatage précis et, dans la plupart des cas, la géolocalisation de l'endroit où elle a été prise. Même si la personne ne fournit pas d'horodatage et de géolocalisation, il est possible de le deviner par d'autres moyens.


Voici quelques ressources qui vous permettront d'essayer vous-même :

• Bellingcat, Guide To Using Reverse Image Search For Investigations ( Guide d'utilisation de la recherche inversée d'images pour les enquêtes ) : https://www.bellingcat.com/resource...sing-reverse-image-search-for-investigations/ [Archive.org]
• Bellingcat, Utilisation du nouveau site russe de reconnaissance faciale SearchFace https://www.bellingcat.com/resource...ussian-facial-recognition-site-searchface-ru/ [Archive.org]
• Bellingcat, Dali, Warhol, Boshirov : Déterminer l'époque d'une photo présumée de Chepiga, suspect de l'affaire Skripal https://www.bellingcat.com/resource...e-alleged-photograph-skripal-suspect-chepiga/ [Archive.org]
• Bellingcat, Guide avancé de vérification du contenu vidéo https://www.bellingcat.com/resources/how-tos/2017/06/30/advanced-guide-verifying-video-content/ [Archive.org]
• Bellingcat, Utilisation du soleil et des ombres pour la géolocalisation https://www.bellingcat.com/resources/2020/12/03/using-the-sun-and-the-shadows-for-geolocation/ [Archive.org]
• Bellingcat, La brigade antipoison de Navalny impliquée dans les meurtres de trois militants russes https://www.bellingcat.com/news/uk-...icated-in-murders-of-three-russian-activists/ [Archive.org]
• Bellingcat, Assassinat de Berlin : New Evidence on Suspected FSB Hitman Passed to German Investigators https://www.bellingcat.com/news/202...ed-fsb-hitman-passed-to-german-investigators/ [Archive.org]
• Bellingcat, Didacticiel de recherche numérique : Enquête sur le bombardement d'un hôpital au Yémen par la coalition dirigée par l'Arabie saoudite
  [Invidious]
• Bellingcat, Didacticiel de recherche numérique : Utilisation de la reconnaissance faciale dans les enquêtes
  [Invidious]
• Bellingcat, Tutoriel de recherche numérique : Géolocalisation de fonctionnaires vénézuéliens (prétendument) corrompus en Europe
  [Invidious]

Même si vous ne regardez pas la caméra, ils peuvent toujours savoir qui vous êtes, distinguer vos émotions, analyser votre démarche et probablement deviner votre affiliation politique.

Ces plateformes (Google/Facebook) savent déjà qui vous êtes pour plusieurs raisons :

• Parce que vous avez ou avez eu un profil chez elles, et que vous vous êtes identifié.
• Même si vous n'avez jamais créé de profil sur ces plateformes, vous en avez un sans le savoir.
• Parce que d'autres personnes vous ont étiqueté ou identifié sur leurs photos de vacances ou de fêtes.
• Parce que d'autres personnes ont mis une photo de vous dans leur liste de contacts, qu'ils ont ensuite partagée avec eux.

Voici également une démonstration très intéressante de Microsoft Azure que vous pouvez essayer par vous-même à l'adresse https://azure.microsoft.com/en-us/services/cognitive-services/face/#demo. Vous pouvez y détecter des émotions et comparer des visages à partir de différentes photos.


Les gouvernements savent déjà qui vous êtes parce qu'ils disposent des photos de votre carte d'identité, de votre passeport ou de votre permis de conduire et ont souvent ajouté des données biométriques (empreintes digitales) dans leur base de données. Ces mêmes gouvernements intègrent ces technologies (souvent fournies par des entreprises privées telles que l'israélienne AnyVision, Clearview AI ou NEC) dans leurs réseaux de télévision en circuit fermé pour rechercher des "personnes d'intérêt". Certains États très surveillés, comme la Chine, ont généralisé l'utilisation de la reconnaissance faciale à diverses fins, notamment pour identifier les minorités ethniques. Une simple erreur de reconnaissance faciale par un algorithme peut ruiner votre vie.


Voici quelques ressources détaillant certaines techniques utilisées aujourd'hui par les forces de l'ordre :

• Vidéo CCC expliquant les capacités de surveillance actuelles des forces de l'ordre : https://media.ccc.de/v/rc3-11406-spot_the_surveillance#t=761 [Archive.org]
• EFF SLS : https://www.eff.org/sls [Archive.org]

Apple est en train de généraliser l'utilisation de FaceID pour vous connecter à divers services, y compris les systèmes bancaires.


Il en va de même pour l'authentification par empreintes digitales, que de nombreux fabricants de smartphones utilisent pour s'authentifier. Une simple photo où apparaissent vos doigts peut être utilisée pour vous désanonymiser.


Il en va de même pour votre voix, qui peut être analysée à des fins diverses, comme le montre le récent brevet de Spotify.


Nous pouvons imaginer sans risque un avenir proche où il sera impossible de créer des comptes ou de s'identifier sans fournir des données biométriques uniques (c'est le moment de revoir Gattaca, Person of Interest et Minority Report). On peut imaginer sans peine à quel point ces grandes bases de données biométriques pourraient être utiles à des tiers intéressés.
En outre, toutes ces informations peuvent également être utilisées contre vous (si vous êtes déjà désanonymisé) à l'aide de deepfake en fabriquant de fausses informations (photos, vidéos, enregistrements vocaux...) et ont déjà été utilisées à de telles fins. Il existe même des services commerciaux pour cela, tels que https://www.respeecher.com/ [Archive.org] et https://www.descript.com/overdub [Archive.org].


Voir cette démo :

[Invidious]


À l'heure actuelle, il existe quelques mesures que vous pouvez prendre pour atténuer (et seulement atténuer) la reconnaissance des visages lorsque vous menez des activités sensibles en présence d'un système de vidéosurveillance :

• Portez un masque, car il a été prouvé qu'il pouvait neutraliser certaines technologies de reconnaissance faciale, mais pas toutes.
• Portez une casquette ou un chapeau de baseball pour éviter que les caméras de vidéosurveillance à angle élevé (filmant d'en haut) n'enregistrent votre visage. N'oubliez pas que cela n'est d'aucune utilité contre les caméras frontales.
• Portez des lunettes de soleil en plus du masque et de la casquette de base-ball afin de limiter l'identification à partir des caractéristiques de vos yeux.
• Envisagez de porter des lunettes de soleil spéciales (chères, malheureusement) appelées " Reflectacles" https://www.reflectacles.com/ [Archive.org]. Une petite étude a montré leur efficacité contre la reconnaissance faciale d'IBM et d'Amazon.

(Notez que si vous avez l'intention de les utiliser là où des systèmes avancés de reconnaissance faciale ont été installés, ces mesures pourraient également vous signaler comme suspect et déclencher un contrôle humain).