# Proposition de sécurisation globale par niveaux

## Préambule

Le document ci-présent a pour objectif de proposer un ensemble de solutions cohérentes pour sécuriser votre vie numérique. Chaque solution présente des avantages et des inconvénients. Aussi, chacun est conscient et responsable de sa propre sécurité numérique.

La sécurité numérique repose sur un ensemble d’outils, mais également de bons comportements et pratiques indispensables, sans quoi même avec les meilleurs dispositifs la sécurité ne sera pas assurée.

Le présent document propose une méthodologie avec 4 niveaux de sécurité. Libre à chacun de suivre ou non ces recommandations. Les “geeks” ou autres experts auront certainement une opinion divergente ou des remarques à proposer car ce document n’est en aucun cas exhaustif. Chacun se fera donc un avis en fonction de sa propre expérience. Le document se veut accessible avant d’être technique.

## Niveau 1

### L’adresse mail

Par défaut, un mail est par nature non sécurisé. On peut le considérer comme l’équivalent d’une carte postale. Toute personne ayant accès à celle-ci peut la lire si elle n'est pas dans une enveloppe. Néanmoins, des options techniques sont venues améliorer la sécurité de ces échanges. Toutefois, cela reste des palliatifs.

Il n’en demeure pas moins que l’adresse mail est devenue de facto un outil indispensable dans la construction d’une identité numérique. Elle peut être utilisée pour récupérer un mot de passe, recevoir un code de sécurité complémentaire, ou bien encore pour se connecter à un espace privé comme le fait par exemple la société Neobridge.

La recommandation usuelle est d’avoir un mot de passe différent pour sa boîte mail de celui habituellement utilisé, incluant quelques caractères spéciaux (^, ç, §, etc…).

Par ailleurs, afin de prévenir tout problème technique pouvant entraîner de nombreux désagréments, il est important d’évaluer une solution de récupération de son adresse mail. La plupart des fournisseurs d’adresses mail proposent ce genre de solutions, telle que l’ajout d’une personne de confiance, ou encore un numéro de téléphone ou des codes de secours. Pour valider le bon déroulement de la procédure, il convient d’essayer la fonction mot de passe oublié et de vérifier le bon déroulement de l’opération.

Plus globalement, pour échanger avec un prestataire, on préfèrera utiliser, s’il existe, l’outil de messagerie directement intégré au site de ce dernier et faire parvenir les documents par ce canal sécurisé. On évitera de conserver une copie des échanges dans la boîte mail.

## Niveau 2

On définira en premier lieu notre niveau de risque avec une approche pragmatique et de bon sens.

On segmentera les sites en 2 catégories :

- Les sites où l’accès non autorisé à mon compte aura peu de répercussions (sites considérés comme de faible importance).
- Les sites où l’accès non autorisé à mon compte aura de lourdes conséquences (sites considérés comme de haute importance).

### Les mots de passe

#### Accès aux sites de faible importance

On peut choisir une solution facile d’usage afin d’éviter des frustrations au quotidien. Pour ce faire, on pourra simplement utiliser l’option enregistrer le mot de passe dans le navigateur internet. On activera également la synchronisation sur son téléphone. Ceci a 2 avantages :

- Pouvoir accéder aux sites directement depuis son smartphone
- Disposer d’une copie des mots de passe afin de réparer une panne de son ordinateur

Pour information, le navigateur Brave se montre assez efficace. Il reprend la technologie des navigateurs Chrome largement répandue en ajoutant des options de sécurité par défaut. Il facilite la navigation en bloquant automatiquement les publicités. En bonus, il permet de synchroniser ses mots de passe sans la création d’un compte utilisateur (chaîne de synchronisation).

#### Accès aux sites de haute importance

Il est préférable d’utiliser un logiciel tiers pour y stocker ses mots de passe. Bien que plus pratique, l’enregistrement des mots de passe dans le navigateur internet n’est pas à recommander pour les sites sensibles.

Il existe des services cloud qui permettent de gérer ses mots de passe tels que :

- [bitwarden.com](http://bitwarden.com/) (10$/an)
- [pcloud.com/fr/pass/pricing-and-plans.html](http://pcloud.com/fr/pass/pricing-and-plans.html) (150$ pour 99 ans)

Ces services permettent le stockage chiffré de ses données. Cela a comme avantage de se prémunir contre les conséquences des pannes. Il est à noter que sur ce type de service, votre compte mail est la clé principale de votre accès.

Idéalement, on préfèrera un service “non cloud”, mais cela implique d’avoir une stratégie de sauvegarde (cf niveau 2). A noter qu’un copier/coller occasionnel sur une clé USB ne peut pas être considéré comme une stratégie de sauvegarde.

Ainsi, par défaut, le cloud restera la solution à privilégier, en gardant en tête que cela revient à laisser ses clés dans le coffre-fort d’une autre personne.

Pour les plus avertis, on pourra utiliser outil tel que KeepassXC qui est un programme autonome dont la pérennité n’est pas remise en question. Malheureusement par défaut ce logiciel n’est pas fait pour supporter la synchronisation entre plusieurs outils. On utilisera donc ce logiciel dans un usage standard sur un seul ordinateur avec une solution de sauvegarde automatique, ou un cloud gratuit à minima.

L’absence de synchronisation entre appareils est une contrainte. Toutefois, étant donné que l’accès à l’outil KeepassXC est uniquement nécessaire pour des opérations non courantes, cette contrainte ne devrait pas être insurmontable.

Il est important d’insister sur la sauvegarde des mots de passe car la perte de certaines clés, suite à un évènement malencontreux (panne, cambriolage, etc…) entraînera l’impossibilité d’accéder à ses propres ressources, ce qui revient en finalité aux mêmes conséquences qu’un hacking de compte, qui était le risque que l’on souhaitait éviter.

### La sécurité avec la double authentification

C’est l’un des mécanismes les plus efficaces et il est devenu assez simple à mettre en œuvre. Avec ce mécanisme, on force l’usage d’un mot de passe supplémentaire, à usage unique et communiqué au moment de son utilisation. Ainsi, le risque de vol de ce dernier est relativement faible. En pratique, il s'agit pour l’essentiel du fameux SMS utilisé pour valider un achat sur internet par exemple. L’inconvénient est que l’on perd du temps à remplir des formulaires avec des chiffres aléatoires. Ainsi, en pratique on privilégiera cette solution les sites de haute importance, qui pour nombre d’entre eux force maintenant l’usage de la double authentification.

On aura donc vérifié que cette fonctionnalité est bien activée sur la plateforme Tok, mais aussi sur le compte mail utilisé pour communiquer avec l’équipe support.

#### Plus aller plus loin sur la double authentification

##### Le SMS

Déjà couramment utilisé, il s’agit de valider une transaction par la réception d’un code sur son téléphone. Pour des raisons qui ne seront pas énoncées ici, il est préférable d’utiliser les deux autres solutions qui suivent.

##### Logiciel OTP sur smartphone

C’est une application mobile qui est synchronisée avec le service auquel on souhaite accéder. Un code est généré et valable pour une courte durée. L'avantage est qu’il ne nécessite pas de connexion réseau, donc il peut fonctionner à l’étranger et/ou sur un vieux smartphone.
L’inconvénient majeur de ce type d'outil est la perte ou vole de son téléphone et donc des mots de passe générés.
Il est donc important d’anticiper un tel évènement, avec par exemple un deuxième smartphone qui sera utilisé juste pour cela.
On privilégira [freeOTP](https://play.google.com/store/apps/details?id=org.fedorahosted.freeotp), qui dispose depuis peu d'une option de sauvegarde qu'il ne faudra pas oublier d'utiliser.

La version grand public à savoir [Google Authenticator](https://play.google.com/store/apps/details?id=com.google.android.apps.authenticator2&hl=fr&gl=US) s'est fait remarqué par une synchronisation avec son compte Google, ce a l'avantage de faciliter la vie, mais s'est fait epingler pour une faille de securité, point particulièrement, pour un outil de securité.

A noter qu'on peut utiliser OTP depuis sont ordinateur avec [KeepassXC](https://keepassxc.org/docs/KeePassXC_UserGuide#_adding_totp_to_an_entry) outil deja recommandé. Néanmoins on évitera cette pratique dans la mesure ou il est préférable de bien dissocier les outils sur deux supports distincts afin de conserver un plus haut niveau de securité.

##### Clé Ubikey FIDO2

Pour les plus exigeants en termes de sécurité, on pourra utiliser les clés de sécurité de type [Ubikey](https://www.yubico.com/la-cle-yubikey/?lang=fr) à sélectionner selon son usage. Il s’agit d’une solution hardware permettant une authentification forte, multi-facteurs et utilisable sans mot de passe. La simple insertion de la clé permet de justifier son identité. Cette clé est unique et infalsifiable. Malheureusement le nombre de sites qui utilisent ce type de technologie est encore assez faible, mais la majorité des sites crypto-monnaies sont compatibles avec cet outil. Le seul véritable risque à son utilisation est la perte ou le vol. L’usage d’un tel outil étant encore confidentiel. Il pourra attirer certainement la curiosité ou convoitises de certains.

### Le générateur de mot de passe

On peut penser à priori que c’est inutile, mais curieusement les analyses statistiques montrent que les mots de passe se ressemblent beaucoup entre eux. Ainsi, mieux vaut ne pas chercher à être imaginatif et simplement demander à un outil de le faire pour soi. Les outils de conservation de mot de passe tels que KeepassXC proposent généralement un générateur de mot de passe.

### Vérifier le niveau de sécurité de son adresse mail

Lors de la réception d’un mail, on souhaitera s’assurer que l’adresse mail de l’expéditeur est bien celle indiquée. Autrement dit, on veut être sûr de l’authenticité de la personne qui envoie le mail.

Afin de s’assurer la sécurité de l’authenticité de l’adresse mail de l’expéditeur, on pourra mettre en place un protocole DKIM qui permet à une organisation de prendre la responsabilité de transmettre un message en le signant d'une manière vérifiable par les fournisseurs de boîtes mail. Cette vérification est rendue possible grâce à l'authentification cryptographique.

Si vous souhaitez vérifier que votre fournisseur de boîtes mail utilise bien la technologie DKIM, même si vous n'avez pas vraiment compris de quoi on parle, vous pouvez vous rendre sur le site h[ttps://www.mail-tester.com](https://www.mail-tester.com/) et envoyer un mail à l’adresse indiquée puis vérifier votre score. Une note de 7/10 est considérée comme une note acceptable. Une note de 10/10 pourra être obtenue avec des fournisseurs de boîtes mail tels que : 

- [ik.me](http://ik.me/)
- [proton.me](http://proton.me/)

## Niveau 3

À partir de ce niveau, l’investissement personnel deviendra plus important. Il sera impératif de réfléchir à sa vie et sa pratique numérique (ses contraintes et conséquences). On construira donc son propre système. On pourra multiplier les niveaux de sécurité selon son usage, mais tout cela nécessite d’accepter d’apprendre pourquoi on fait les choses et quelles en sont les conséquences, ce qui revient à s’approprier l’outil informatique.

### L’éducation

Sans devenir un expert en sécurité informatique, la connaissance représentera une forme de protection. Ainsi en connaissant les points faibles d’un système, on pourra adopter les bonnes pratiques et pourquoi on fait les choses.

Le site suivant est une référence dans le domaine de la sécurité grand public : [Le guide boum](https://guide.boum.org/hors-connexions-comprendre-bases-sur-les-ordinateurs.html).

### Le ledger

A la différence d’une solution telle que Ubikey utilisée pour l’authentification renforcée de son utilisateur,, une clé Ledger est un portefeuille numérique sécurisé. Il utilise un système d'exploitation qui lui est propre et fournit un moyen sécurisé de stocker ses clés privées, qui sont utilisées pour gérer les crypto-monnaies de son détenteur.

La clé Ledger vient  ajouter une vérification manuelle pour autoriser les mouvements d’argent numérique.

La première recommandation sera d’en utiliser plusieurs afin de ne pas mettre tous ses œufs dans le même panier.

La recommendation de base est d'acheter le produit en ligne directement sur le [site officiel](https://www.ledger.com/fr) ou en physique directement en grande surface selon votre préférence afin d'éviter toute compromission. Dans cette hypothèse il est donc exclut, les sites tiers même de confiance tel qu'amazon d'autant plus les bons plans, promos, ou matériel d'occasion pour faire quelques économies.

Il existe un produit alernatif, moins populaire mais qui est préférable du fait d'une liberté significativement supérieur à savoir le [trezor](https://trezor.io/)

### Le matériel dédié

D’une manière générale, on recommandera de ne pas visiter des sites internets que l’on ne connaît pas et de ne pas ouvrir de documents sans en connaître la provenance. Bien que ces conseils aient du sens, en pratique, rares sont les personnes à les respecter, ce qui revient finalement à pratiquer l’abstinence numérique. Or dans un contexte de sécurité numérique, on cherchera à réduire au maximum ses risques d’exposition.

Ainsi, l’usage d’un matériel dédié pourra être recommandé pour certaines opérations numériques sensibles. Ce matériel pourra éventuellement avoir un système d’exploitation différent selon son “dogme technologique”.

On pourra aller jusqu’à utiliser un second smartphone avec une ligne dédiée aux opérations financières, réduisant encore les risques, étant donné que ce numéro ne sera communiqué qu’aux tiers de confiance.

Un live [CD linux](https://linuxmint.com/) pourra également être une alternative à du matériel dédié. L’inconvénient de ce type de pratique est qu’il n’est pas possible de conserver de d’informations entre les sessions. 

### Stratégie de sauvegarde

En pratique, il vaudra mieux conserver ses données sur un stockage en ligne de type cloud comme ceux de Google, Microsoft, Amazon, etc… plutôt que de ne rien sauvegarder du tout.

La difficulté dans la sélection du service est qu’il existe beaucoup de solutions pour différents usages et ce, à des prix variés.

À titre personnel, sous l’environnement Windows, j’ai choisi de retenir la solution [Hyper Backup](https://www.synology.com/fr-fr/dsm/feature/hyper_backup) de Synology sur un Nas personnel. Les principaux inconvénients sont : l’absence de chiffrement de l’archive et le stockage localisé. 

Il existe également des solutions telles que [Acronis](https://www.acronis.com/fr-fr/products/true-image/) qui permettent via une suite logicielle intégrée de sauvegarder  la totalité du disque ou des partitions sélectionnées, de cloner le système d'exploitation, restaurer des données précédemment sauvegardées, et créer un support de démarrage.

Sous environnement Mac, non utilisé personnellement, on pourra utiliser la solution [Time Machine](https://support.apple.com/fr-fr/HT201250) pour sauvegarder ses données.

Sous environnement Linux, les solutions [Borg](https://www.borgbackup.org/) associé à [Vorta Backup](https://vorta.borgbase.com/) est la solution la plus adaptées pour une mise en place rapide et fiable de sauvegarder ses données, encore faut-il accéder à un serveur distant compatible.

### Choix de du système d'exploitation
La majorité est statistiquement sur Windows, une plus faible partie sur mac, et une plus faible encore sur Linux et ses dérivés.
Avoir plusieurs OS selon l'usage qui en est fait est cohérent.
L'auteur de ses lignes utilise un système Linux de façon quotidienne ,mais j'ai régulièrement besoin d'Excel, ainsi, je suis contraint de jongler avec plusieurs systèmes.

Dans notre cas, on attirera l'attention sur les systèmes d'exploitation qui ont une tendance à tout enregistrer. En effet, Windows enregistre d'une façon ou d'une autre, tout ce qui est saisi au clavier, ceci, afin d'améliorer l'expérience utilisateur.
Sur le principe cela peut être une bonne idée, mais en pratique lors de la saisie des mots de passe, on préfèrera naturellement éviter.
Voilà donc un argument supplémentaire pour la segmentation des outils et des pratiques.

### Chiffrement de son disque
Nous avons tous pour habitude de saisir un mot de passe au démarrage de son ordinateur, néanmoins, il faut comprendre que la sécurité qui en découle est assez limitée, car toute personne ayant accès au matériel peut accéder aux informations qu'il contient.
Pour remédier à cela, sur Windows il convient d'activer Bitlocker afin que le mot de passe empêche la lecture des informations même en ayant accès au matériel. Néanmoins cette activation nécessitera la saisie d'un mot de passe supplémentaire au démarrage.
Sur Linux, il convient d'activer LUKS. En pratique, cela se réalise facilement lors de l'installation du système d'exploitation, en sélectionnant l'option "chiffrer la partition"

### Surveillance de ses informations personnelles

Le site [Incogni.com](https://incogni.com/pricing) permet de surveiller internet à la recherche d’éléments ou d’identifiants personnels, traquant ainsi les éventuelles fuites de sécurité.

## Niveau 4

Ce niveau est plus complexe et restera réservé aux personnes curieuses, voulant passer du temps à approfondir certains besoins spécifiques liés à leur sécurité numérique.

Aucune solution clé en main ne sera présentée ici. Un temps de mise en œuvre, d’expérimentation et de tests occasionnels afin de vérifier le bon fonctionnement de l’ensemble seront nécessaires.

### Le découpage d’un secret sans les services d’un GAFAM

Le principe est simple : découper un mot de passe et en donner un morceau à x personnes. Ainsi pour reconstituer le mot de passe, il est nécessaire de réunir ces x personnes pour que chacune puisse reconstruire la pièce d’origine.

Dans le détail cette solution a comme particularité les points suivants :

- Elle ne dépend d’aucun service web et reste donc valable sur de longues périodes sans crainte d'interruption de service.
- Il est possible de renseigner un nombre minimal (y) de personne nécessaire à la reconstitution de la pièce d’origine, ce qui autorise la perte de (x-y) éléments secondaires.
- On se limite au découpage des chaînes de caractères ASCII de 128 caractères maximum

-> Mise en application ici : [Lien provisoire](https://noteshare.space/note/clgkmv32b592601pjxnoc1iu7#n7nrR0Nr6w8x0mwC914i9Uc/Kg5r6AmkSgql+17B5IQ)

### Mise en place du multisignature sur ses crypto-monnaies

Le principe est simple, il faut être plusieurs intervenants pour valider une transaction crypto-monnaies, réduisant de facto le poids du risque sur une seule personne.

Bien que cette solution existe, elle est citée comme référence, mais il conviendra de la mettre en application.Idéalement, on réalisera une demande groupée auprès d’un prestataire blockchain ou à sa fintech préférée de fournir ce service à minima aux membres VIP.

# Conclusion

La difficulté à assurer sa sécurité numérique est inversement proportionnelle à son usage.

Les contraintes peuvent devenir très complexes au quotidien si vous avez souhaité renforcer vos procédures de sécurité. A terme, la complexité de la mise en œuvre  d’une interface de sécurité numérique pourra rendre certains utilisateurs “laxistes”, ce qui laissera des failles pouvant être exploitées. 

Mon avis est qu’il est préférable de commencer simplement, avec les bases et d’agrémenter au fur et à mesure des options de sécurité supplémentaires, plus complexes.