Khadija RAMMAH

Sécurité des utilisateurs et
confidentialité des données
Dr Khadija Ramah Houerbi
EABA, Laboratoire Cristal (ENSI)
Association des professionnels de la sécurité
de l'information (APSIT)
Introduction
●
Internet est un moteur de développement
économique, social et démocratique
⇒ Un accès à internet sécurisé, fiable, de débit
approprié, de coût abordable et égalitaire est-il un
droit humain ?
●
●
Dans quelle mesure les utilisateurs peuvent-ils faire
confiance aux :
–
fournisseurs de contenus, les sites web, réseaux sociaux,
clouds,..
–
FSIs, opérateurs,
–
logiciels utilisés, ...
Que peuvent faire les internautes pour limiter les
risques de violation de leurs données personnelles?
Plan
Le
mythe de l'anonymat sur l'Internet
Traces
numériques
◦ Traces involontaires
◦ Traces volontaires
Limiter
les risques de violation de
données personnelles
◦ Limiter les traces involontaires
◦ Et maîtriser celles volontaires
◦ Identité numérique et E-réputation
3
Sur l'Internet, personne ne sait que tu es un
chien, adage né d'un dessin humoristique de
1993
4
En 2000
le site web anonymizer.com
5
En 2013
les révélations faites par snowden au sujet des
systèmes d'écoute sur internet, des programmes
de surveillance PRISM et XKeyscore du
gouvernement américain.
Plus de 80 entreprises ont signé des convention avec NSA (National Security
Agency), leur permettant de pratiquer la surveillance généralisée et
indifférenciée des internautes et des communications téléphoniques
●
●
●
Ces projets sont conformes aux lois, ils ont eu
l'approbation du congrès qui continue de les suivre
de prés
Tout le monde le fait !!!
Quel écosystème Internet voudrons nous avoir en
Tunisie post révolutionnaire ?
Plan
Le
mythe de l'anonymat sur l'Internet
Traces
numériques
◦ Traces involontaires
◦ Traces volontaires
Limiter les risques de violation de données
personnelles
–
Limiter les traces involontaires
–
Et maîtriser celles volontaires
–
Identité numérique et E-réputation
10
Traces numériques
Désigne
les informations qu'un dispositif numérique
enregistre sur l'activité ou l'identité de ses utilisateurs
◦ Nos ordinateurs, nos téléphones mobiles, les FSIs, les opérateurs,
les moteurs de recherche, blogs, réseaux sociaux, sites web, …
◦ soit automatiquement,
◦ soit par le biais d'un dépôt intentionnel. Les
traces numériques en en constante augmentation
◦ Prix du Megaoctet a été divisé par 1 million, l’espace occupé par
100 000
◦ Puissance des µprocesseurs multipliée par 500 000
Les
traces sont souvent des fichiers de log ◦ Prises isolément, elles ont peu d’importance.
◦ Mais regroupées, traitées et combinées dans d'importantes bases
de données, elles peuvent révéler des informations significatives,
stratégiques ou sensibles.
11
Les traces involontaires
(sites web visités)
http://www.cnil.fr/vos-libertes/vos-traces/experience/
◦ Votre adresse IP permet de vous géolocaliser
◦ Celle de votre fournisseur d'accès (ou le proxy)
◦ Votre navigateur et votre système d'exploitation
◦ Adresse de la page web qui vous amené à ce site
◦ Votre historique de navigation
• L'horloge de votre ordinateur
• La résolution de votre écran
 le tout sans que vous ayez à remplir un formulaire
12
Les cookies (ou les traces
collectées par les sites web)
 Un
cookie
est un simple
fichier text
◦ stocké par un
serveur sur
votre disque
dur
◦ le nom du
serveur qui l'a
crée
◦ un identifiant
◦ une date
d'expiration. 13
Les cookies (mode de
fonctionnement)
Une
page sur internet est souvent une agrégation d’informations issues de
différents sites, notamment via les bannières publicitaires.
Les cookies peuvent être déposés et relus par des sites autres que ceux
auxquels vous accédez directement…
14
Les cookies tierces parties
et les cookies persistantes
Permettent
le pistage à travers les différents sites
visités par un internaute.
En
particulier, une entreprise de publicité peut pister
un utilisateur à travers toutes les pages où elle a
placé des images de publicité.
La
connaissance des pages visitées par l'utilisateur
permet à l'entreprise de publicité de lui envoyer des
publicités ciblées.
Les
cookies flash, evercookies (cookies persistantes)
et device finger printing
15
La ré-identification: le
scandale d’AOL
En
2006, AOL a mis en ligne, avant de le retirer rapidement, un
document contenant des millions de données sur les recherches
effectuées par des internautes américains
Avant
publication, le fichier avait été rendu anonyme : les noms
des abonnés étaient remplacés par des numéros d’identification.
En
observant la seule liste des requêtes quotidiennes, sur
plusieurs mois, de nombreux pisteurs ont pu retracer la vie
d’internautes, identifier leurs adresses ou leurs noms.
Toute information peut devenir personnelle quand elle se combine
avec suffisamment d’autres données.
chaque citoyen est aujourd’hui repérable par les données qu’il
laisse, ou que d’autres laissent sur lui
17
Et les fournisseurs de services
internet?
 Tous
nos trafics
passent par eux
 Quelles
informations
sont-ils en train de
collecter?
 Pour
 Les
quelles fins?
divulguent-ils?
 Utilisent-ils
la DPI:
Deep Packet
Inspection?
18
C’est quoi la Deep
Packet Inspection?

Permet d’analyser le contenu d’un paquet en profondeur
(au-delà de l'en-tête).

Les FSIs utilisent la DPI pour sécuriser leurs réseaux
internes face aux intrusions.

Mais ils peuvent l’appliquer aux clients eux-mêmes:
stopper le contenu illégal, mettre en place de la publicité
ciblée, améliorer la qualité du service, stopper les viols de
la propriété intellectuelle et censurer Internet.
◦ Avant le 14 janvier, la DPI était utilisée pour inspecter le trafic
de tous les internautes et censurer tout contenu jugé critique
◦ Après, toutes les règles de filtrages ont été supprimées,
◦ Aujourd’hui, il y a l'agence technique des
télécommunications !!!
19
Les traces volontaires
Des
profils multiples (12 en moyenne pour
un internaute français)
Les
données de vos profiles:
◦ Nom, prénom, pseudo, ..
◦ Date de naissance, profession, lieu de résidence,
centre d’intérêt,..
◦ Photo, avatar,..
Vos
publications et vos contributions
(statuts, articles, vidéo, images, photos,..)
Vos
commentaires (blogs, médias en ligne,
pages de groupes FB,…)
20
Plan
Le
mythe de l'anonymat sur l'Internet
Traces
numériques
◦ Traces involontaires
◦ Traces volontaires
Limiter
les risques de violation de
données personnelles
◦ Limiter les traces involontaires
◦ Et maîtriser celles volontaires
◦ Identité numérique et E-réputation
21
Comment limiter nos traces
involontaires
●
●
●
Le chiffrement, ça marche. Correctement configurés, les systèmes
de chiffrement forts font partie des rares choses sur lesquelles vous
pouvez compter. Malheureusement, la sécurité des points d’accès
est si horriblement faible que la NSA peut la contourner
fréquemment. Edward Snowden
⇒ Utiliser la cryptographie (https) chaque fois que c’est possible
–
Septembre 2013 : 24.6% des 168088 sites webs les plus populaires
utilisent HTTPS
–
Edward Snowden : « la NSA a cassé le chiffrement du protocole HTTPS
grâce au programme Bullrun. Toutes les données chiffrées de l'internet
(transactions bancaires, courriers, etc.) sont ainsi accessibles aux
services de renseignement américain »
⇒ Si besoin utiliser un réseau informatique décentralisé permettant
l'anonymat de l'auteur, du destinataire et du contenu des échanges
d'information (Tor)
Maîtriser son identité
numérique
 L’identité
d’une personne sur le Net se définit
comme la somme des données et des
productions (ou contributions) associés à son
nom prénom ou pseudo.
 Elle
est alimentée par les traces volontaires mais
aussi par celles des autres
 Les
frontières vie publique/vie privée, vie
personnelle /vie professionnelle sont poreuses
 L’identité
numérique se gère et peut être mise au
service de l’influence que l’on souhaite exercer
sur les autres : employeurs, clients, proches…
23
E-réputation
C’est
l'image qu'un tiers se fera de nous à partir des
éléments de notre identité numérique
La
E-réputation est mondiale, publique et a une durée
indéterminée.
70%
des internautes (selon un rapport Microsoft), sont
conscients des enjeux de la e-réputation , mais
continuent à avoir une attitude paradoxale sur la toile!!
On
s’inquiète mais on étale sa vie privée
24
Conclusion
Les
traces numériques en constante augmentation
Les
informations personnelles identifiables sont une
catégorie en expansion constante
◦ Limiter les traces involontaires et préserver un tant soit peu son
intimité est possible grâce à la cryptographie
Internet
nous offre l’opportunité de façonner notre identité
◦ Une identité numérique claire, cohérente et actualisée rapporte
beaucoup (influence, crédibilité, ..)
◦ Une fois publiée, l’information a une portée mondiale
◦ Le web n’oublie jamais rien
Nouveaux
défis cloud computing et internet des objets
Quel
est le rôle des différents intervenants pour avoir un
internet plus sûr ?
25
26
Références
 Se
connecter d'une manière anonyme en toute
sécurité
◦ http://www.framablog.org/public/_docs/encryption_works.p
◦ http://www.staysafeonline.org/dpd/2012-events
◦ https://prism-break.org/
 Traces
involontaires
◦ www.cnil.fr/vos-libertes/vos-traces/
 Politique
privacy de google
◦ http://www.google.com/privacy
◦ https://www.google.com/dashboard
Merci
Des questions?
[email protected]
Et ailleurs? Sécurité du net et
propriété intellectuelle
 Plus
de sécurité, faire respecter les lois
passe inévitablement par restreindre la
sphère des libertés
 Pourquoi
craindre d’avoir sa vie privée
bafouée par les services
gouvernementaux puisqu’on n’a rien à se
reprocher?
Stop On line Piracy Act (SOPA) au USA :
projet abondonné
28
Stop On line Piracy Act (SOPA)
Projet
de loi permet à la justice américaine de
sanctionner n’importe quel site violant les
droits d’auteur
Tous
les sites alimentés par les internautes:
Youtube, Facebook, wikipédia,.. peuvent être
censurées partout dans le monde
◦ Blockage DNS
◦ dé-référencement dans les moteurs de recherche
◦ DPI au niveau des FSIs américains
◦ Pénalisation du l’usage du streaming
Censure à grande échelle
29
La page de Wikipedia en
anglais du 18 Janvier 2012
La page de google.com du 18
janvier
Stop On line Piracy Act: Opération blackout (18
janvier 2012) a aboutit à l’abandon du projet
http://americancensorship.org/
30
Nouveaux défis : Cloud computing et
internet des objets
Nouveaux défis : Cloud computing et
internet des objets
Avec le cloud les frontières de confiance sont
élargies vers les fournisseurs
●
●
●
●
Criticité du choix du fournisseur et du contrat SLA
Services peu matures
Manque de standards
L'enjeu est de construire un Internet des Objets
profitable, acceptable et « gouvernable »
●
●
Défis technologiques
Mais aussi sur le plan législatif et politique de gouvernance
33
Références
Data
Pravicy Day
◦ http://
http://www.staysafeonline.org/dpd/2012-events
Traces
involontaires
◦ www.cnil.fr/vos-libertes/vos-traces/
◦ http://www.gearfuse.com/are-you-being-watched-in
Politique
de confidentialité de google et
gestion de ses données sur google
◦ http://www.google.com/privacy
◦ https://www.google.com/dashboard
34
35
Pourquoi créer son identité
numérique?
36
La ré-identification
Au
milieu des années 90, un groupe d’Assurance américain
décida de publier des données médicales anonymisées
d’employés de l’Etat du Massachusetts.
Un
étudiant en informatique en demanda une copie et
travailla à leur “réidentification”.
◦ il utilisa les listes de votants de la petite ville où habitait le
gouverneur et croisa les deux bases de données.
◦ Seulement 6 personnes dans cette ville partageaient les mêmes
dates de naissance, seulement 3 étaient des hommes et un seul
partageait le même code postal… que le gouverneur.
L’informaticien
médical.
envoya au gouverneur tout son dossier
37
Gestion d’identité numérique
OpenID est
un système d’authentification décentralisé qui permet l’authentification unique,
ainsi que le partage d’attributs. Il permet à un utilisateur de s’authentifier auprès de
plusieurs sites (devant prendre en charge cette technologie) sans avoir à retenir un
identifiant pour chacun d’eux mais en utilisant à chaque fois un unique identifiant OpenID.
Le modèle OpenID se base sur des liens de confiance préalablement établis entre les
fournisseurs de services (sites web utilisant OpenID par exemple) et les fournisseurs
d’identité (OpenID providers). Il permet aussi d’éviter de remplir à chaque fois un nouveau
formulaire en réutilisant les informations déjà disponibles. OpenID permet à un utilisateur
d'utiliser un mécanisme d'authentification forte.
38
Données éphémères
39
Entreprises et célébrités :
des enjeux différents

Le Web est devenu incontournable, les médias sociaux aussi
◦ Les internautes y sont, les entreprises ont tout intérêt à y être
◦ Créer un climat de confiance et d'écoute avec les internautes
◦ Faire la promotion de leurs activités et de leur actualité
◦ Surveiller la concurrence
◦ Faire de la veille sur leur E-réputation
◦ Une recherche sur 4 concernant les 20 marques les plus connues au
niveau mondial aboutit sur un contenu généré par l’usager !!
◦ selon Jeff Bezos (PDG d'Amazon) « dans le monde réel, des clients
mécontents sont susceptibles d’en parler chacun à 6 amis. Sur internet,
ils peuvent en parler chacun à 6000 amis
Votre E-réputation sera faite avec ou sans vous
40/36
Entreprises et célébrités: Soigner
sa réputation numérique
 Internet
est devenu le lieu de la fabrication de
l’opinion publique. Politiques, entreprises,
acteurs de la société civile et particuliers s’y
pressent pour faire valoir leurs positions.
 Des
agences spécialisées
◦ Communication de crise, développer sa stratégie
web2.0, mangement de communautés, Audit
d’image, veille,..
◦ Stratégie de masquage (cacher une information
sans annuler sa visibilité en la noyant dans une
masse d'informations de même type, mais mieux
référencées)
◦ Utilisée par Benali
41/36