Sécuriser votre vie numérique, première partie : les bases

Ces jours-ci, je passe le plus clair de mon temps à enquêter sur le côté le plus laid de la vie numérique, à examiner les techniques, les outils et les pratiques des cybercriminels pour aider les gens à mieux se défendre contre eux. Ce n’est pas tout à fait différent de mes jours chez Ars Technica, mais cela m’a permis de mieux comprendre à quel point il est difficile pour les gens normaux de rester « en sécurité » numériquement.

Même ceux qui se considèrent bien informés sur la cybercriminalité et les menaces pour la sécurité, et qui font tout ce qu’on leur a appris à faire, peuvent (et le font !) finir comme des victimes. La vérité est qu’avec suffisamment de temps, de ressources et de compétences, tout peut être piraté.

La clé pour protéger votre vie numérique est de rendre aussi coûteux et peu pratique que possible le vol des choses les plus importantes pour votre sécurité, votre sécurité financière et votre vie privée. Si les attaquants trouvent qu’il est trop difficile ou trop coûteux d’obtenir vos affaires, il y a de fortes chances qu’ils passent simplement à une cible plus facile. Pour cette raison, il est important d’évaluer les façons dont les informations vitales peuvent être volées ou divulguées et de comprendre les limites de la protection de ces informations.

Dans la première partie de notre guide pour sécuriser votre vie numérique, nous parlerons brièvement de ce processus et des mesures de base que chacun peut prendre pour réduire les risques pour ses appareils. Dans la deuxième partie, dans quelques jours, nous aborderons des mesures plus larges de protection de l’identité numérique, ainsi que des mesures spéciales pour les personnes pouvant être confrontées à des risques élevés. Mais si vous cherchez des conseils sur sandwich au beurre de cacahuète gouttes mortes pour transférer anonymement des cartes de données en échange de paiements en crypto-monnaie… nous ne pouvons pas vous aider, désolé.

Tu n’es pas Batman

Il y a quelque temps, nous avons couvert modélisation des menaces—une pratique qui englobe une partie de ce qui est décrit ci-dessus. L’un des aspects les plus importants de la modélisation des menaces est de définir votre niveau de risque acceptable.

Nous effectuons des évaluations du niveau de risque tout le temps, peut-être inconsciemment, comme juger s’il est sécuritaire de traverser la rue. À totalement Supprimez la menace d’être heurté par une voiture, vous devrez soit construire un tunnel sous ou un pont au-dessus de la rue, soit interdire complètement les voitures. De telles mesures sont excessives pour une seule personne traversant la rue lorsque la circulation est faible, mais elles peuvent constituer une atténuation des risques appropriée lorsque de nombreuses personnes doivent traverser une rue ou si la rue est essentiellement un centre commercial piétonnier.

Il en va de même pour la modélisation des menaces dans votre vie numérique. À moins que vous ne soyez Batman – avec de vastes réserves de ressources, une identité secrète à protéger des criminels et de tous sauf quelques membres des forces de l’ordre, et des conséquences de vie ou de mort si vos informations sont exposées – vous n’avez pas besoin d’une sécurité à la Batman. les mesures. (Il y a certainement des moments où vous avez besoin d’une sécurité supplémentaire même si vous n’êtes pas Batman, nous aborderons ces circonstances particulières dans la seconde moitié de ce guide.)

Pour ceux qui souhaitent verrouiller les choses sans se déconnecter et déménager dans un bunker en Nouvelle-Zélande, la première étape consiste à évaluer les éléments suivants :

• Qu’est-ce qui, dans ma vie numérique, peut révéler des informations critiques liées à mes finances, à ma vie privée et à ma sécurité ?
• Que puis-je faire pour minimiser ces risques ?
• Quel est l’effort de réduction des risques proportionnel aux risques auxquels je suis confronté ?
• Combien d’efforts puis-je réellement me permettre ?

Réduire votre surface d’attaque personnelle

La première question ci-dessus concerne l’inventaire des éléments de votre vie numérique qui pourraient être exploités par un criminel (ou une entreprise sans scrupules, un employeur ou autre) à des fins lucratives à vos frais ou pourraient vous mettre dans une position vulnérable. Un exemple de liste peut inclure votre téléphone et d’autres appareils mobiles, votre ordinateur personnel, votre réseau domestique, vos comptes de réseaux sociaux, vos comptes bancaires et financiers en ligne, ainsi que votre identification physique et vos cartes de crédit. Nous allons couvrir les premiers ici; plus sera couvert dans la deuxième partie.

Chacun de ces éléments offre une « surface d’attaque » : une opportunité pour quelqu’un d’exploiter ce composant pour accéder à vos données personnelles. La surface d’attaque que vous présentez dépend de nombreux facteurs, mais vous pouvez réduire considérablement les possibilités d’exploitation malveillante de ces choses avec quelques contre-mesures de base.

Menaces mobiles physiques

Les téléphones intelligents et les tablettes portent une part importante de nos identités numériques. Ils ont également l’habitude de tomber hors de notre contrôle physique direct en étant perdus, volés ou récupérés par d’autres par d’autres pendant que nous ne nous occupons pas d’eux.

Se défendre contre les tentatives occasionnelles d’obtenir des données personnelles sur un téléphone intelligent (par opposition aux tentatives des forces de l’ordre, des criminels sophistiqués ou des acteurs étatiques) est assez simple.

Tout d’abord, si vous n’êtes pas à la maison, vous devez toujours verrouiller votre appareil avant de le poser, sans exception. Votre téléphone doit être verrouillé avec la méthode la plus sûre avec laquelle vous êtes à l’aise, tant qu’il ne s’agit pas d’un code PIN à 4 chiffres, ce qui n’est pas exactement inutile mais est certainement adjacent à l’inutilité. Pour une meilleure sécurité, utilisez un mot de passe ou un code secret d’au moins six caractères, et de préférence plus long. Si vous utilisez la reconnaissance faciale ou un déverrouillage par empreinte digitale sur votre téléphone, cela ne devrait pas être trop gênant.

Deuxièmement, configurez votre appareil pour qu’il demande un mot de passe immédiatement après avoir été verrouillé. Les retards signifient que quelqu’un qui s’empare de votre téléphone peut accéder à vos données s’il affiche l’écran à temps. De plus, assurez-vous que votre appareil est configuré pour effacer son contenu après 10 tentatives incorrectes de mot de passe au maximum. Ceci est particulièrement important si vous n’avez pas défini de mot de passe plus long.

De plus, sauvegardez régulièrement votre téléphone. Le moyen le plus sûr de sauvegarder des données si vous êtes préoccupé par la confidentialité est une sauvegarde cryptée sur votre ordinateur personnel ; Cependant, la plupart des propriétaires d’appareils iOS peuvent sauvegarder leurs données sur iCloud en sachant qu’elles sont chiffrées de bout en bout (tant qu’ils ont iOS 13 ou une version ultérieure). Votre kilométrage variera en fonction des différentes implémentations Android et applications de sauvegarde.

Dans le même ordre d’idées, assurez-vous d’avoir installé la version la plus récente du système d’exploitation du téléphone disponible pour empêcher quelqu’un de profiter des contournements de sécurité connus. Pour iOS, c’est généralement simple : lorsque votre appareil vous invite à effectuer une mise à niveau, fais-le. La situation de mise à niveau sur Android est un peu plus compliquée, mais le même conseil général s’applique : mettez à niveau dès que possible, à chaque fois. (Il existe une école de pensée qui dit que vous devez attendre les dernières mises à niveau pour que les bogues soient résolus, mais le respect de ces conseils vous mettra dans une position où votre appareil pourrait avoir des vulnérabilités exploitables. Vous pouvez atténuer ces vulnérabilités par mise à niveau.)