Glossary

En modélisation des menaces , toute donnée ou tout appareil qui a besoin d’être protégé.

Sur Internet, un appareil doit avoir sa propre adresse pour recevoir des données , comme une résidence ou une société doivent avoir une adresse civique pour recevoir du courriel physique. Cette adresse est son adresse IP (protocole Internet). Quand vous vous connectez à un site Web ou autre serveur en ligne, vous révélez habituellement votre propre adresse IP. Cela ne révèle pas forcément votre identité (il est difficile d’associer une adresse IP à une vraie adresse ou à un ordinateur particulier). Une adresse IP peut cependant révéler des informations sur vous, telles que votre position géographique approximative ou le nom de votre fournisseur d’accès à Internet. Des services comme Tor vous permettent de dissimuler votre adresse IP, ce qui contribue à préserver votre anonymat en ligne.

Une adresse courriel que vous utilisez une seule fois et plus jamais par la suite. Elle est utilisée pour se connecter à un service Internet sans révéler une adresse courriel associée à votre identité.

Votre adversaire est la personne ou l’organisation qui tente de miner vos objectifs de sécurité. Les adversaires diffèrent selon la situation. Vous pourriez par exemple vous soucier de criminels qui vous espionneraient sur le réseau d’un café ou encore de vos compagnons de classe. L’adversaire est souvent hypothétique.

Un adversaire passif peut écouter vos conversations sans pouvoir les altérer directement.

En sécurité informatique, l’analyse des risques consiste à calculer les chances de réussite des menaces afin que vous puissiez évaluer l’effort à produire pour vous défendre contre elles. Il pourrait exister de nombreuses façons différentes de perdre le contrôle ou l’accès de vos données, mais certaines sont moins susceptibles de se présenter que d’autres. Évaluer le risque signifie décider quelles menaces vous allez prendre au sérieux et lesquelles pourraient être trop rares ou trop inoffensives (ou encore trop difficiles à combattre) pour s’en soucier. Voir Modélisation des menaces.

Un logiciel qui tente de protéger un appareil contre l’emprise d’un programme malveillant . Les virus étaient parmi les premiers programmes malveillants et les plus répandus. Ils étaient appelés virus pour refléter la façon dont ils se propageaient d’appareil en appareil. De nos jours, la plupart des logiciels antivirus se concentrent sur deux choses : vous avertir si vous vous apprêtez à télécharger un fichier suspect d’une source externe et examiner les fichiers sur votre ordinateur pour vérifier s’ils correspondent à l’idée que le logiciel se fait d’un programme malveillant.

Un logiciel antivirus ne peut reconnaître des programmes malveillants que s’ils sont pour l’essentiel semblables aux échantillons que les développeurs du programme antivirus ont déjà analysés. C’est pour cela qu’il est bien moins efficace pour combattre un programme malveillant ciblé, conçu pour infiltrer une communauté ou une personne précise, plutôt que des souches virales malveillantes répandues. Certains programmes malveillants sophistiqués peuvent attaquer activement un logiciel antivirus ou s’y soustraire.

En sécurité informatique, une attaque est une méthode qui peut être utilisée pour compromettre la sécurité ou l’utilisation même d’un système. Un assaillant est la personne ou l’organisation menant l’attaque. Une méthode d’attaque est parfois appelée « exploitation ».

Supposons que vous croyez que vous échangez avec votre ami Mark grâce à une messagerie instantanée chiffrée. Pour vous assurer que c’est bien lui, vous lui demandez de vous indiquer dans quelle ville vous vous êtes connus. Sa réponse est « Johannesburg ». C’est juste ! Malheureusement, sans que Mark ni vous ne le sachiez, quelqu’un d’autre, en ligne, a intercepté toutes vos communications. Lors de votre première connexion à Mark, vous vous êtes en fait connecté à cette personne qui s’est à son tour connectée à Mark. Quand vous pensez que vous posez une question à Mark, cette personne reçoit votre message, relaie la question à Mark, reçoit sa réponse et vous l’envoie ensuite. Alors que vous pensez communiquer en toute sécurité avec Mark, vous êtes en fait en train de communiquer en toute sécurité avec l’espion qui communique aussi en toute sécurité avec Mark ! C’est une attaque de l’intercepteur . L’intercepteur peut espionner vos communications et même insérer des messages faux ou trompeurs dans vos communications. Les logiciels de communication par Internet axés sur la sécurité doivent se défendre contre l’attaque de l’intercepteur pour être à l’abri d’assaillants qui contrôlent quelque portion d’Internet entre deux personnes qui communiquent.

Une méthode pour mettre hors service un site Web ou autre service Internet en coordonnant de nombreux ordinateurs différents afin qu’ils lui demandent ou lui envoient simultanément des données. Habituellement, les ordinateurs utilisés pour mener une telle attaque sont contrôlés à distance par des criminels qui ont pris le contrôle des machines en les piratant ou en les infectant par un programme malveillant.

« Quelque chose que vous connaissez et quelque chose que vous avez ». Les systèmes d’authentification qui n’exigent qu’un nom d’utilisateur et son mot de passe risquent d’être percés si quelqu’un d’autre peut obtenir (ou deviner) ces informations. Les services qui offrent l’authentification à deux facteurs exigent aussi que vous fournissiez une confirmation séparée que vous êtes la personne que vous prétendez. La deuxième étape peut être un code secret à usage unique, un nombre généré par un programme qui fonctionne sur un appareil mobile ou un dispositif que vous portez, et qui peuvent être utilisés pour confirmer qui vous êtes. Des compagnies telles que les banques et les principaux services Internet comme Google, PayPal et Twitter offrent maintenant l’authentification à deux facteurs.

Pour recevoir des messages chiffrés en utilisant la cryptographie par clé publique (et informer autrui de manière fiable qu’un message provient vraiment de vous), vous devez créer deux clés. L’une, la clé privée que vous gardez secrète, l’autre, la clé publique que vous pouvez remettre à tout le monde. Les deux clés sont connectées mathématiquement et souvent désignées collectivement « biclé  ».

Une petite carte amovible qui peut être insérée dans un appareil mobile afin de fournir un service auprès d’une entreprise de télécommunication mobile particulière. Les cartes SIM (carte d’identité de l’abonné) peuvent aussi enregistrer des numéros de téléphone et des messages texte.

Que se passe-t-il si vous perdez l’accès à une clé secrète ou si elle n’est plus secrète ? Un certificat de révocation est un fichier que vous pouvez générer pour annoncer que vous n’avez plus confiance dans cette clé. Vous le générez quand vous avez encore la clé secrète et le conservez en cas de désastre futur.

Une façon de confirmer automatiquement qu’une clé publique est correcte (qu’elle est vraiment celle utilisée par une entité précise) afin de prévenir les attaques de l’intercepteur. Il est le plus souvent utilisé par les sites Web pour prouver à votre navigateur que vous avez une connexion sécurisée vers un vrai site et non quelque système qui manipulerait frauduleusement votre connexion.

Un processus qui rend un message illisible sauf pour une personne qui saurait le « déchiffrer  » afin qu’il redevienne lisible.

Le chiffrement de bout en bout garantit qu’un message est rendu secret par son expéditeur initial et déchiffré seulement par son destinataire final. D’autres sortes de chiffrement pourraient reposer sur un chiffrement effectué par des tiers. Cela implique que l’on fasse confiance à ces tiers en leur remettant le texte original. Le chiffrement de bout d’un bout est généralement considéré comme plus sûr, car il réduit le nombre de parties qui pourraient interférer avec le chiffrement ou le casser.

Le chiffrement des données alors qu’elles parcourent le réseau afin que ceux qui l’espionnent ne puissent pas les lire.

Si vous prévoyez sécuriser des données sur votre appareil local, vous pourriez choisir de chiffrer juste quelques fichiers clés ou vous pourriez chiffrer l’intégralité de votre ordinateur. « Chiffrement du disque entier  » est le terme utilisé pour tout chiffrer. Il est généralement plus sûr (et souvent plus facile) d’utiliser le chiffrement du disque entier que de gérer quelques fichiers chiffrés individuellement. Si vous tentez de seulement chiffrer quelques fichiers individuels, votre ordinateur pourrait créer des copies temporaires non chiffrées de ces fichiers sans que vous le sachiez. De plus, certains logiciels pourraient conserver des renseignements non chiffrés sur l’utilisation de votre ordinateur. OS X d’Apple, Linux et les versions haut de gamme de Windows proposent tous le chiffrement du disque entier, mais il n’est habituellement pas activé par défaut.

Les systèmes de chiffrement traditionnels utilisent le même secret ou clé pour chiffrer et déchiffrer un message. Donc si je chiffre un fichier avec le mot de passe « monstrebleutonique », il vous faudra à la fois le fichier et le secret « monstrebleutonique » pour le décoder. Le chiffrement par clé publique utilise deux clés : l’une pour chiffrer et l’autre pour déchiffrer. Les conséquences utiles sont nombreuses. L’une est que vous pouvez donner la clé pour que l’on chiffre des messages à votre intention et que tant que vous conserverez l’autre clé secrète, quiconque possède cette clé peut communiquer avec vous en toute sécurité. La clé que vous distribuez est appelée « clé publique », d’où le nom de la technique. Le chiffrement par clé publique est utilisé pour chiffrer les courriels et les fichiers avec PGP , OTR pour la messagerie instantanée et SSL/TLS pour la navigation Web.

Brouiller mathématiquement une information ou un message afin qu’ils paraissent dénués de sens, tout en pouvant être restaurés sous leur forme originale par une personne ou par un appareil qui possède un élément de données qui peut les débrouiller (une clé). L’accès à l’information s’en trouve restreint, car sans la bonne clé, il est quasiment impossible de renverser le chiffrement et de récupérer l’information originale. Le chiffrement est l’une de plusieurs technologies qui composent le domaine appelé cryptographie .

En cryptographie, des données qui vous permettent de chiffrer ou de déchiffrer un message.

Une clé de chiffrement est une information qui est utilisée pour convertir un message sous une forme illisible. Dans certains cas, la même clé est utilisée pour décoder le message. Dans d’autres cas, les clés de chiffrement et de déchiffrement sont différentes.

Une propriété d’un système sécurisé de messagerie qui garantit la sécurité de vos communications passées même si l’une des clés privées est volée ultérieurement. La confidentialité persistante fonctionne en utilisant les clés secrètes du participant pour générer une nouvelle clé qui n’est utilisée que pour la conversation en cours et qui est détruite par la suite, ce qui rend les anciens messages impossibles à déchiffrer. Pour les sites HTTPS, la confidentialité persistante est une protection importante contre des adversaires, tels que les agences de renseignement, qui pourraient enregistrer de grandes portions du trafic et utiliser une clé volée pour les déchiffrer. Pour les messageries instantanées et les systèmes de dialogue en ligne, la confidentialité persistante est nécessaire afin de garantir que les messages supprimés sont bel et bien supprimés. Vous devrez toutefois aussi soit désactiver la journalisation soit supprimer les anciens messages de façon sécuritaire.

L’art de concevoir des codes secrets ou chiffres qui vous permettent d’envoyer ou de recevoir des messages à un destinataire sans que les autres puissent comprendre le message.

Rendre intelligibles un message secret ou des données. Le principe qui sous-tend le chiffrement est de créer des messages qui ne peuvent être déchiffrés que par les personnes à qui ils s’adressent.

Traditionnellement, les ordinateurs enregistraient les données sur des disques magnétiques rotatifs. Les appareils mobiles et un nombre croissant d’ordinateurs enregistrent maintenant les données permanentes sur des disques sans aucune pièce mécanique mobile. Ces disques électroniques sont actuellement plus coûteux, mais bien plus rapides que les mémoires magnétiques. Il peut malheureusement être plus difficile de supprimer de façon fiable et permanente des données d’un disque électronique .

N’importe quelle sorte d’informations, habituellement stockées sous forme numérique. Les données peuvent inclure des documents, des images, des clés, des programmes, des messages et autres informations numériques ou fichiers.

Les clés de la cryptographie par clé publique sont de très grands nombres, comprenant parfois mille chiffres ou plus. L’empreinte est un nombre beaucoup plus petit ou un ensemble de chiffres et de lettres qui peut être utilisé comme nom unique pour cette clé sans avoir à énumérer tous les chiffres de la clé. Par exemple, si un ami et vous souhaitiez vous assurer que vous avez tous les deux la même clé, vous pourriez passer beaucoup de temps à lire les centaines de chiffres qui composent la clé ou vous pourriez chacun de votre côté calculer l’empreinte de votre clé et comparer plutôt ces empreintes. Les empreintes présentées par les logiciels cryptographiques comprennent habituellement environ 40 lettres et chiffres. Si vous vérifiez avec soin qu’une empreinte a la bonne valeur, vous devriez être à l’abri d’une usurpation qui utiliserait une fausse clé. Des outils logiciels peuvent offrir des solutions plus pratiques de vérifier la clé d’un ami, mais une forme de vérification ou une autre doit être utilisée pour empêcher que les fournisseurs de service de communication écoutent à votre insu.

Une séquence de lettres et des chiffres qui représentent une clé publique. Certains outils de protection des renseignements personnels vous permettent de vérifier la correspondance entre l’empreinte de clé de quelqu’un telle que vue par votre appareil et telle que vue par son appareil. Le but est de prévenir une attaque de l’intercepteur, où quelqu’un tente par la ruse de vous faire utiliser la mauvaise clé.

Une séquence de lettres et de chiffres qui représente le contenu d’un fichier. Changer un fichier un tant soit peu modifiera complètement son empreinte. La vérification de l’empreinte d’un fichier que vous avez téléchargé, que ce soit un logiciel ou un greffon , contribue à garantir que vous avez obtenu le même fichier qu’autrui et que personne ne l’a altéré lors de son téléchargement.

Les diverses propriétés de votre navigateur Web ou de votre ordinateur qu’un site Web peut relever quand vous le visitez. Elles peuvent être légèrement différentes des autres navigateurs ou ordinateurs, ce qui peut être une façon de vous reconnaître même si vous ne vous connectez pas, même si votre ordinateur n’enregistre pas de témoins et même si vous vous connectez à Internet à partir d’un réseau différent à l’avenir. Par exemple, vous pourriez être la seule personne qui utilise un site particulier à partir d’un appareil réglé pour une certaine langue, avec une taille d’écran précise et qui utilise une certaine version d’un navigateur Web ; par la suite, le site pourrait réaliser qu’il s’agit de vous chaque fois que vous le visitez, même si vous ne faites rien pour divulguer votre identité.

Un programme ou un appareil malveillant qui enregistrent tout ce que vous frappez sur un clavier, incluant mots de passe et autres renseignements personnels, permettant à d’autres de recueillir secrètement ces renseignements. Les enregistreurs de frappe sont souvent des programmes malveillants que les utilisateurs ont été amenés à télécharger et à exécuter par la ruse, ou occasionnellement du matériel connecté en secret à un clavier ou un appareil.

Quand vous visitez un site Web, votre navigateur envoie des informations aux exploitants de ce site : par exemple votre adresse IP, d’autres informations sur votre ordinateur et des témoins qui vous associent à des visites précédentes effectuées en utilisant ce navigateur. Si le site Web inclut d’autres images et contenus provenant d’autres serveurs Web, ces mêmes informations sont envoyées aux autres sites Web lors du téléchargement ou de la visualisation de la page. Les réseaux publicitaires, les fournisseurs de données analytiques et autres collecteurs de données peuvent recueillir des informations sur vous de cette manière.

Vous pouvez installer des logiciels supplémentaires qui fonctionnent en parallèle à votre navigateur et qui limiteront l’ampleur d’une telle fuite d’informations vers des tiers. Les exemples les plus connus sont des programmes qui bloquent les publicités. La FFE offre un outil appelé « Privacy Badger » qui est une autre extension de blocage du trafic.

Filtrage est un terme poli pour regrouper les notions de blocage et de censure du trafic Internet. Les réseaux privés virtuels ou les services tels que Tor sont parfois utilisés pour accéder à des communications Internet qui seraient filtrées autrement.

Un outil qui peut chiffrer et enregistrer vos mots de passe grâce à un seul mot de passe maître , facilitant l’utilisation de plusieurs mots de passe différents sur des sites et des services différents sans avoir à les mémoriser.

Un logiciel qui modifie une autre application, changeant son fonctionnement et ce qu’elle peut faire. Les greffons peuvent souvent ajouter des fonctions de confidentialité ou de sécurité aux navigateurs Web ou aux logiciels de courriel. Certains greffons sont malveillants, veillez donc à n’installer que des greffons réputés provenant de sources officielles.

Si vous avez déjà vu une adresse Web épelée « http://www.exemple.com/ », vous reconnaissez la partie « http » de cette adresse. Le HTTP (protocole de transfert hypertexte) est le moyen qu’un navigateur Web sur votre machine utilise pour parler à un serveur Web distant. Malheureusement, le HTTP normal envoie du texte par Internet sans sécurité. Le HTTPS (S signifiant sécurisé) utilise le chiffrement pour mieux mettre à l’abri des regards indiscrets les données que vous envoyez aux sites Web ainsi que les informations qu’ils vous retournent.

Indices qui démontrent que votre appareil pourrait avoir été piraté ou modifié frauduleusement.

Les entreprises et autres sociétés d’envergure offriront habituellement certains services (par exemple courriel, Web, accès aux fichiers et aux imprimantes) accessibles de leur propre réseau local, mais pas de l’extérieur par Internet. La plupart des compagnies considèrent cette sécurité suffisante pour protéger leurs documents internes, mais cela signifie que n’importe quelle attaque qui peut se connecter à l’intranet peut aussi accéder ou interférer avec toutes les informations conservées localement. Un exemple d’une telle attaque serait d’amener un employé, par la ruse, à installer un programme malveillant sur son ordinateur portable. Afin de permettre aux employés de se connecter à l’intranet à partir d’Internet, les entreprises fourniront souvent leur propre réseau privé virtuel (RPV ) qui crée une connexion sécurisée vers l’intranet accessible partout dans le monde.

Un ordinateur ou un réseau est isolé quand il est physiquement tenu à l’écart de tous les autres réseaux, incluant Internet.

La plupart des appareils vous permettent de supprimer des données qu’ils contiennent ; vous pouvez, par exemple, glisser-déposer un fichier sur l’icône de la corbeille ou appuyer sur Supprimer dans un album photo. Mais la suppression ne signifie pas toujours que les données originales n’existent plus. Les programmes d’annulation des suppressions sont des applications qui peuvent être utilisées par le propriétaire de l’appareil ou toute autre personne y ayant accès, pour restaurer des données. Les programmes d’annulation des suppressions sont utiles pour qui suppriment accidentellement ses propres données et pour ceux dont les données auraient été sabotées, par exemple un photographe qui aurait été obligé de supprimer des images de son appareil photo. Ces mêmes programmes peuvent cependant représenter une menace pour quiconque souhaite supprimer de façon permanente des données confidentielles. Voir Instructions afin d’éliminer vos données de manière sécurisée sur Windows pour obtenir des conseils sur la suppression des données et le fonctionnement des programmes d’annulation des suppressions sur les appareils modernes.

Les logiciels à code source ouvert, aussi appelés logiciels libres, sont des logiciels qui peuvent être distribués librement sous une forme qui permet aux autres de les modifier et de les reconstruire de zéro. Bien qu’ils soient connus sous le nom de logiciels libres, ils ne sont pas nécessairement gratuits : les programmeurs de logiciels libres et à code source ouvert peuvent demander des dons ou faire payer le soutien ou des exemplaires de ces logiciels. Linux est un exemple de logiciel libre et à code source ouvert, ainsi que Firefox et Tor.

Un site Web qui permet à ses utilisateurs d’accéder à d’autres sites Web bloqués ou censurés. Habituellement, le mandataire Web vous permettra de taper une adresse Web ou (URL) sur une page Web et affichera cette page Web sur la page du mandataire. Plus facile à utiliser que la plupart des services de contournement de la censure.

En sécurité informatique, une menace est un événement potentiel qui pourrait compromettre vos efforts pour défendre vos données. Les menaces peuvent être intentionnelles (conçues par des assaillants) où elles pourraient être accidentelles (vous pourriez laisser votre ordinateur allumé et sans surveillance).

Les métadonnées (ou « données sur les données ») sont des données qui décrivent un élément d’information, séparées de l’information même. Le contenu d’un message n’est donc pas des métadonnées , mais qui l’envoie, quand, d’où et à qui sont tous des exemples de métadonnées. Les systèmes juridiques protègent souvent le contenu plus qu’ils ne protègent les métadonnées : par exemple, aux États-Unis les organismes d’application de la loi doivent avoir un mandat pour écouter les appels téléphoniques de quelqu’un, mais réclament le droit d’obtenir beaucoup plus facilement la liste des personnes que vous avez appelées. Cependant, les métadonnées permettent habituellement de dévoiler beaucoup de renseignements et devront souvent être protégées avec autant de soin que les données qu’elles décrivent.

Une manière très ciblée de penser aux protections que vous souhaitez pour vos données. Il est impossible de se prémunir contre toutes les sortes de ruses ou d’assaillants. Vous devriez donc déterminer en priorité qui pourraient vouloir vos données, ce qu’ils pourraient en tirer et la façon dont ils pourraient se les procurer. On appelle modélisation des menaces la détermination d’un ensemble d’attaques possibles contre lesquelles vous souhaitez vous prémunir. Une fois que vous avez tracé un modèle de menaces, vous pouvez mener une analyse des risques.

Un secret destiné à être mémorisé et dont le but est de restreindre l’accès à quelque chose afin que seule la personne qui connaît le mot de passe puisse y accéder. Il peut restreindre l’accès à un compte en ligne, à un appareil ou à quelque chose d’autre. On nommera aussi « phrase de passe  » un long mot de passe composé de plusieurs mots pour nous rappeler que ce n’est pas juste un « mot ». Un mot de passe principal pour déverrouiller d’autres mots de passe dans un gestionnaire de mots de passe ou dans une application de coffre-fort à mots de passe est souvent appelé « mot de passe maître ».

Les mots de passe sont habituellement semi-permanents ; une fois que vous les définissez, vous pouvez continuer à les utiliser jusqu’à ce que vous les changiez manuellement ou les réinitialisiez. Par définition, les mots de passe à usage unique ne peuvent être utilisés qu’une fois. Certains systèmes de mots de passe à usage unique fonctionnent en combinaison à un outil ou programme qui peut créer de nombreux mots de passe à usage unique que vous utiliserez à tour de rôle. Cela est utile si vous craignez la présence d’un enregistreur de frappe sur un système où vous avez à taper un mot de passe.

Un mot de passe utilisé pour déverrouiller un magasin de mots de passe ou d’autres façons de déverrouiller des programmes ou des messages. Vous devriez vous assurer que votre mot de passe maître est aussi robuste que possible.

Le programme que vous utilisez pour visualiser des sites Web sur Internet. Firefox, Safari, Internet Explorer et Chrome sont tous des navigateurs Web. Les appareils mobiles proposent une appli de navigation Web à ces fins.

L’adresse, sous forme de mots, d’un site Web ou d’un service Internet. Par exemple : ssd.eff.org

La « ligne de commande » est une façon de donner à un ordinateur une série de petits ordres autonomes. Pour utiliser un outil en ligne de commande, l’utilisateur tape une commande dans une fenêtre appelée émulateur de terminal, appuie sur la touche Retour ou Entrée et reçoit ensuite une réponse textuelle dans la même fenêtre. Les ordinateurs de bureau sous Windows, Linux et macOS peuvent encore exécuter des programmes en utilisant cette interface et, avec la bonne appli, même certains appareils mobiles peuvent le faire. La ligne de commande peut être utilisée pour exécuter des programmes livrés avec votre système d’exploitation. Certains programmes téléchargeables, particulièrement des utilitaires techniques, utilisent la ligne de commande au lieu d’une interface utilisateur plus familière composée d’icônes et de boutons. La ligne de commande exige que vous tapiez exactement la bonne suite de lettres et de chiffres pour obtenir le bon résultat, et il n’est parfois pas évident de savoir quoi faire si les réponses ne correspondent pas à vos attentes.

IMAP est le protocole utilisé par de nombreux programmes de courriel pour communiquer avec les services qui envoient, reçoivent et stockent vos courriels. En changeant les paramètres IMAP de votre programme de courriel, vous pouvez choisir de charger vos courriels à partir de serveurs différents et de définir le niveau de sécurité et de chiffrement utilisé pour transférer les courriels d’Internet vers vous.

Un outil qui protège un ordinateur contre les connexions indésirables vers ou en provenance de réseaux locaux et d’Internet. Un pare-feu peut avoir des règles qui interdisent le courriel sortant ou les connexions vers certains sites Web. Les pare-feu peuvent être utilisés comme première ligne de défense pour protéger un appareil contre des perturbations imprévues. Ils peuvent aussi être utilisés pour empêcher les utilisateurs d’utiliser Internet de certaines façons.

PGP (littéralement « confidentialité plutôt bonne » en anglais) était l’une des premières mises en œuvre populaires de la cryptographie par clé publique. Phil Zimmermann, son créateur, a écrit le programme en 1991 pour aider les activistes et autres à protéger leurs communications. Il a fait l’objet d’une enquête officielle du gouvernement américain quand le programme s’est propagé en dehors des États-Unis. Alors, l’exportation d’outils qui incluaient un chiffrement robuste par clé publique violait la loi américaine. PGP existe encore comme logiciel commercial. GnuPG (ou GPG), une mise en œuvre libre de la même norme utilisée par PGP est aussi offerte. Dans la mesure où les deux utilisent la même approche interchangeable, on parlera souvent d’utiliser une « clé PGP » ou d’envoyer un « message PGP » même si GnuPG est utilisé.

Une phrase de passe est une sorte de mot de passe. Nous utilisons le terme « phrase de passe » pour exprimer l’idée qu’un mot de passe composé d’un seul mot est bien trop court pour vous protéger et qu’une longue phrase est préférable. La bande dessinée en ligne XKCD offre une bonne explication (en anglais). http://xkcd.com/936/

La possibilité d’action d’un assaillant (dans le sens où nous l’utilisons dans ce guide) est ce qu’il peut faire pour atteindre ses objectifs. Par exemple, les services de sécurité d’un pays pourraient avoir la capacité d’écouter les appels téléphoniques, alors qu’un voisin pourrait avoir la capacité de vous surveiller de sa fenêtre. Dire qu’un assaillant a une capacité ne signifie pas nécessairement qu’il l’utilisera. Cela signifie cependant que vous devriez envisager cette possibilité et vous y préparer.

Un programme conçu pour effectuer des actions non désirées sur votre appareil. Les virus informatiques sont des programmes malveillants. Il en est de même pour les programmes qui volent vos mots de passe, vous enregistrent en secret ou suppriment vos données.

Un protocole de communication est une façon d’envoyer des données entre des programmes ou des ordinateurs. Les programmes informatiques qui utilisent le même protocole peuvent se parler. Ainsi, les navigateurs et les serveurs Web utilisent le même protocole appelé HTTP. La version sécurisée du protocole HTTP est appelée HTTPS. OTR, un protocole de messagerie instantanée sécurisée, est un autre exemple de protocole chiffré utilisé par de nombreux programmes.

Une ancienne méthode pour copier les fichiers d’un ordinateur local vers un ordinateur distant ou vice-versa. Le travail des programmes FTP (et des serveurs FTP qui stockent les fichiers) a essentiellement été remplacé par les navigateurs et les serveurs Web, ou encore par des programmes de synchronisation des fichiers comme Dropbox.

Souvent, les systèmes de messagerie instantanée ne sont pas chiffrés. Le protocole OTR est une façon d’y ajouter le chiffrement afin que vous continuiez à utiliser des réseaux familiers tels que les systèmes de clavardage de Facebook et Google ou encore Hangouts, tout en vous assurant que vos messages résistent mieux à la surveillance. Le protocole cryptographique OTR apporte un chiffrement robuste aux systèmes de messagerie instantanée.

Le protocole SSH est une méthode qui vous permet de contrôler un ordinateur à distance en toute sécurité par une interface en ligne de commande. Une des caractéristiques du protocole SSH est qu’en plus d’envoyer des commandes, vous pouvez aussi l’utiliser pour relayer en toute sécurité le trafic Internet entre deux ordinateurs. Pour mettre en place un lien SSH, le système distant doit exécuter un serveur SSH et la machine locale à besoin d’un programme client SSH.

La technologie qui vous permet de maintenir une connexion sécurisée et chiffrée entre votre ordinateur et certains des sites Web et services Internet que vous visitez. Quand vous êtes connecté à un site Web grâce à cette technologie, l’adresse du site Web commence par https plutôt que par http. Son nom a officiellement été changé pour Sécurité de la couche de transport (TLS) en 1999, mais de nombreuses personnes continuent à utiliser l’ancien nom, le protocole SSL .

Une norme ouverte pour la messagerie instantanée. Google utilise le protocole XMPP pour Google Talk, Facebook l’offrait, mais ce n’est plus le cas. Les services de messagerie instantanée indépendants qui n’appartiennent pas aux grandes sociétés utiliseront habituellement XMPP. Les services comme WhatsApp ont leur propre protocole fermé et secret.

Un nom que vous choisissez d’utiliser dans un certain contexte (comme un forum en ligne) et que les autres apprennent à reconnaître, mais qui n’est pas associé aux noms par lesquels les gens vous connaissent dans votre vie de tous les jours.

En plus des mots de passe, certains systèmes utilisent des « questions de sécurité ». Vous êtes censé être le seul à pouvoir y répondre. Le problème des questions de sécurité est que ce sont vraiment seulement des mots de passe supplémentaires dont les réponses pourraient potentiellement être devinées ou découvertes. Nous vous recommandons de les traiter comme tout autre mot de passe : créez au hasard une longue phrase nouvelle pour y répondre et enregistrez-la en lieu sûr. Donc la prochaine fois que votre banque vous demande le nom de jeune fille de votre mère, vous devriez être prêt à répondre « correct batterie cheval agrafe » ou quelque chose du genre.

Quand vous utilisez le chiffrement par clé publique, il est important de vous assurer que la clé que vous utilisez pour chiffrer un message appartient vraiment au destinataire (voir Vérification de clé ). PGP facilite un peu ce processus en permettant de dire aux autres « Je croie que cette clé appartient à cette personne et si vous me faites confiance vous devriez le croire aussi ». Dire au monde entier que vous vous avez confiance en la clé de quelqu’un est appelé « Signer la clé de cette personne » : cela signifie que quiconque utilise cette clé peut voir que vous la cautionnez. Pour encourager les uns et les autres à vérifier et à signer leurs clés, les utilisateurs de PGP organisent de telles rencontres. Elles sont presque aussi palpitantes qu’elles semblent l’être.

Analogie : semblable à une rencontre de réseautage où vous présentez vos amis les uns aux autres.

Certains types de stockage numérique tels que la mémoire flash utilisée dans les disques électroniques et les clés USB peuvent s’user si les données sont écrasées de nombreuses fois. La répartition de l’usure est une méthode qui répartit uniformément l’écriture des données sur l’ensemble du support pour empêcher la sollicitation excessive d’une partie précise. Son avantage est la prolongation de la durée de vie des périphériques. Pour les personnes qui se préoccupent de la sécurité, le danger est que la répartition de l’usure interfère avec les programmes d’effacement sécurisé qui tentent délibérément d’écraser les fichiers critiques par des données inutiles afin de les effacer de façon permanente. Plutôt que de faire confiance aux programmes d’effacement sécurisé pour les fichiers stockés sur les disques électroniques ou les clés USB, il est préférable d’utiliser le chiffrement du disque entier. Le chiffrement contourne la difficulté que représente l’effacement sécurisé en empêchant, sans la phrase de passe juste, la récupération de tout fichier sur le disque.

Un réseau privé virtuel est un moyen de connecter votre ordinateur en toute sécurité au réseau d’une organisation à l’autre bout d’Internet. Quand vous utilisez un RPV, toutes les communications Internet de votre ordinateur sont compressées, chiffrées puis relayées vers cette autre organisation où elles sont déchiffrées, décompressées et envoyées ensuite à destination. Aux yeux du réseau de l’organisation ou de tout autre ordinateur sur Internet, la requête de votre ordinateur semble venir de l’intérieur de l’organisation, non d’un autre lieu.
Les RPV sont utilisés par les entreprises pour fournir un accès sécurisé à des ressources internes (comme des serveurs de fichiers ou des imprimantes). Ils sont aussi utilisés par des individus pour contourner la censure et la surveillance locales.

Un réseau privé virtuel commercial est un service privé qui offre de relayer par son propre réseau, en toute sécurité, vos communications Internet. L’avantage est que toutes les données que vous envoyez ou recevez sont dissimulées aux yeux des réseaux locaux. Cela assure à vos données une meilleure sécurité contre les criminels du voisinage, les FAI locaux non fiables ou quiconque pourrait espionner votre réseau local. Un RPV peut être hébergé dans un pays étranger, ce qui est utile à la fois pour protéger les communications contre un gouvernement local et pour contourner la censure nationale. L’inconvénient est que le trafic est déchiffré du côté du RPV commercial. Cela signifie que vous devez faire confiance au RPV commercial (et au pays où il se situe) pour qu’ils ne surveillent pas votre trafic.

Un serveur de commandement est un ordinateur qui donne des ordres aux appareils infectés par un programme malveillant et qui reçoit des informations de ces appareils. Certains serveurs de commandement contrôlent des millions d’appareils.

Si vous prévoyez d’envoyer un message sécurisé à quelqu’un qui utilise la cryptographie par clé publique comme PGP, vous devez savoir quelle clé utiliser pour chiffrer votre message. Les serveurs de clés publiques agissent en tant qu’annuaire pour ces clés, permettant aux logiciels d’utiliser une adresse courriel, un nom ou une empreinte de clé pour chercher une clé complète et la télécharger. Il existe de nombreux serveurs de clés publiques PGP, mais ils partagent habituellement leurs collections de clés. Les serveurs de clés ne peuvent pas vérifier si les clés qu’ils publient sont authentiques ou falsifiées. N’importe qui peut téléverser une clé vers un serveur de clés publiques, au nom de n’importe qui. Cela signifie qu’une clé associée au nom d’une personne ou à une adresse courriel sur un serveur de clés pourrait ne pas être sa vraie clé. Afin de vérifier l’authenticité d’une clé, vous devez vérifier ses signatures ou confirmer son empreinte avec l’utilisateur initial de manière fiable.

PGP vous permet de signer les clés d’autrui, ce qui représente une façon d’utiliser votre propre clé pour affirmer qu’une clé particulière est la bonne clé à utiliser pour contacter une autre personne. L’objectif est de fournir une façon de distinguer les clés authentiques des fausses ; si les utilisateurs signent les bonnes clés pour les personnes qu’ils connaissent et avec qui ils communiquent, les autres peuvent utiliser ces signatures pour confirmer que les clés authentiques sont authentiques. Quand vous téléchargez une clé d’un serveur de clés, elle peut inclure des signatures d’autres personnes qui affirment que c’est la bonne clé. Si vous connaissez ces personnes et savez que vous avez la bonne clé pour elles, vous pouvez avoir davantage confiance dans la clé nouvellement téléchargée. Ce processus de vérification est aussi appelé la toile de confiance. Son avantage est qu’elle est décentralisée et n’est contrôlée par aucune autorité. Vous n’avez donc pas à croire une certaine compagnie ou un certain gouvernement pour savoir quelle clé utiliser quand vous écrivez à une nouvelle personne. Vous pouvez plutôt croire vos propres réseaux sociaux. Un désavantage important de la toile de confiance est que la publication de signatures pour les clés d’autres personnes informe le monde entier de l’identité de vos contacts ; cela crée une preuve publique que vous connaissez une personne en particulier. De plus, une utilisation correcte de la toile de confiance exige du temps et de l’attention, et certaines communautés n’y participent que rarement ou jamais.

Utilisation d’une technique mathématique pour confirmer l’origine d’une information et pour confirmer qu’elle n’a pas été modifiée après écriture. Les signatures numériques peuvent être utilisées avec des téléchargements de logiciels pour garantir que le logiciel que vous installez est identique à la version officielle et que personne ne l’a manipulé. Elles sont aussi souvent utilisées pour confirmer que les courriels chiffrés n’ont pas été altérés. Si une information n’est pas protégée par une signature numérique, un assaillant pourrait modifier le contenu de ce quelqu’un a écrit ou publié, et il n’existerait aucun moyen technique de le détecter.

Là où vos données sont enregistrées, habituellement localement sur votre ordinateur ou sur un autre appareil. Les documents personnels et les notes sont généralement enregistrés sur des systèmes de fichiers afin d’y accéder facilement.

Un logiciel de base qui exécute tous les autres programmes sur un ordinateur. Windows, Linux, Android, macOS et iOS sont des exemples de systèmes d’exploitation.

Un téléphone qui n’est pas relié à votre identité, n’est utilisé que pour un nombre limité d’appels ou d’activités et qui peut être jeté, le cas échéant, si vous soupçonnez qu’il est suivi à la trace ou compromis. Les téléphones jetables sont souvent des téléphones mobiles prépayés, achetez comptant.

Les témoins sont une technologie Web qui permet aux sites Web de reconnaître votre navigateur. Les témoins étaient à l’origine conçus pour permettre aux sites de vous offrir des paniers d’achats, d’enregistrer vos préférences ou d’assurer votre connexion à un site. Ils permettent aussi le suivi à la trace et le profilage afin que les sites puissent vous reconnaître et en apprendre davantage sur votre navigation, les appareils que vous utilisez et ce qui vous intéresse, même si vous n’avez pas de compte sur ce site et n’y êtes pas connecté.

Si vous utilisez la cryptographie par clé publique, vous devrez assurer le suivi de plusieurs clés : votre clé privée secrète, votre clé publique ainsi que les clés publiques de toutes les personnes avec qui vous communiquez.

En cryptographie par clé publique, chaque personne détient un jeu de clés. Pour envoyer un message en toute sécurité à une personne précise, vous chiffrez votre message en utilisant sa clé publique. Un assaillant pourrait vous amener par la ruse à utiliser sa clé, ce qui signifie qu’il pourrait lire votre message au lieu de la personne prévue. C’est pourquoi vous devez vérifier qu’une clé est bien utilisée par une personne précise. On appelle vérification de clé toute méthode qui vous permet de faire correspondre une clé à une personne.

« Hors bande  » signifie n’importe quelle méthode de communication qui n’est pas la méthode actuelle. Vérifier l’identité de la personne avec qui vous communiquez par un système non sécurisé exige souvent de communiquer hors bande par une autre méthode qui est moins vulnérable à la même sorte d’attaque. Vous pourriez donc par exemple vérifier que vous utilisez la bonne clé publique de quelqu’un en lui parlant en personne avant de l’utiliser pour chiffrer votre courriel.

Toute technologie qui vous permet d’utiliser Internet pour des communications vocales avec d’autres utilisateurs d’un système voix sur IP ou pour recevoir des appels téléphoniques par Internet.

Une vulnérabilité, dans un logiciel ou du matériel, qui était jusqu’ici inconnu du fabricant. Tant que les fabricants ne connaissent pas l’existence du défaut et le corrigent, des assaillants peuvent l’utiliser à leurs propres fins.