Entre confiance aveugle et psychose sécuritaire, quelle position adopter pour la protection de sa vie privée sur le web ?

Face à la toute puissance des multinationales du web, aux scandales de l'espionnage par des agences gouvernementales, aux risques liés à la concentration de nos données personnelles en ligne, il y a plusieurs façons de réagir.

J'ai l'impression de voir le plus souvent deux positions extrêmes :

- d'une part ceux qui font une confiance aveugle en toutes ces entreprises, arguant qu'ils n'ont rien à cacher, et qu'ils ne sont pas prêts à se passer de la qualité et du confort d'utilisation des outils les plus populaires,

- d'autre part ceux qui expriment un rejet profond de tout ce qui peut leur faire perdre une part de leurs libertés individuelles.

Il y a évidemment une troisième voie, un peu entre les deux, consistant à prendre garde aux outils que l'ont utilise, sans pour autant adopter une position de rejet complet si l'on n'a pas d'alternative efficace sous la main.

Beaucoup sont tentés de suivre cette voie paraissant la plus raisonnable... mais ils se rendent rapidement compte que ce n'est pas si simple, et ils ne savent souvent pas par où commencer.

Cette question me préoccupe de plus en plus, et je voulais te faire part aujourd'hui de mes réflexions.

Libre ne veut pas dire plus sécurisé

photo Andrew Hart

C'est bien là un des paradoxes de la tentation de basculer toutes ses informations en ligne vers des outils libres.

Même les libristes les plus convaincus en sont bien conscients.

Car si l'on ne veut pas faire confiance à un prestataire externe pour s'occuper de nos mails, photos, agendas, fichiers... il faut alors se tourner vers la solution d'héberger soi-même ses données... ce qui reporte toute la question de la sécurité sur nos frêles épaules. Qui parmi nous est capable d'administrer un serveur en limitant le risque d'intrusions, de vols de données ?

Très peu, sans aucun doute.

Google est une entreprise tentaculaire, mais dotée d'une armée d'ingénieurs en sécurité, et capable de nous proposer des solutions efficaces de sécurisation (double authentification...)

Les solutions libres sont-elles capables de nous en proposer autant ? C'est une question à se poser sérieusement et à étudier au cas par cas.

Mesurer les risques, identifier les plus importants, chercher les solutions alternatives, mesurer leurs avantages et inconvénients, et leur difficulté de mise en place.

C'est le petit exercice que je voulais te proposer aujourd'hui.

Étape n°1 : analyser l'état de notre présence en ligne ; proposition de tableau d'évaluation des risques

En me posant toute ces questions, j'ai commencé à remplir un tableau pour y voir un peu plus clair (car oui, j'aime bien les tableaux). Les puristes reconnaîtront des notions propres aux méthodes d'évaluation des risques, fréquemment utilisées en entreprise.

Je te montre le tableau, et je t'explique ensuite.

(note que je me suis en partie inspiré de mon usage personnel, mais que j'ai inventé d'autres situations pour couvrir le plus de cas possibles)

A l'intérieur du tableau, plusieurs informations simples :

- la liste des types d'outils qui me sont indispensables en ligne : mails, agenda, réseaux sociaux...

- en face, le nom de la solution ou de l'entreprise qui me fournit le service : Google, une autre entreprise, un prestataire d'hébergement, un hébergement en local chez moi...

- le pays où sont (vraisemblablement) stockées mes données. Pourquoi ? La gentille NSA espionne allègrement les grandes entreprises de son pays, on en est désormais certains. Pour le reste, à toi de voir si tu fais plus confiance dans les services de renseignements de ton propre pays...

- pour les différents risques identifiés, une évaluation de la probabilité qu'un problème survienne. Je me suis limité pour cet exercice à deux risques principaux : les risques d'espionnage par l'entreprise prestataire de service ou par les agences gouvernementales du pays d'accueil des données, et les risques d'intrusion par des tiers (piratage). Pour faire simple, j'ai simplement classé en 3 catégories : faible - moyenne - élevé, auxquelles on pourra attribuer une note (1 - 2 - 3)

- une évaluation de la sensibilité des données. C'est une évaluation toute personnelle selon l'usage que je fais de chaque outil : si ma boite mail personnelle ne me sert qu'à recevoir des coupons de réductions, tu te doutes que je n'ai pas trop de problème à ce que la sécurité ne soit pas optimale. C'est plus gênant concernant mon agenda si j'y ajoute tant mes rendez-vous professionnels que personnels. J'ai utilisé la même classification faible - moyenne - élevée que précédemment.

- la dernière colonne est un simple calcul permettant d'évaluer le risque : on additionne les différents probabilités que le risque soit réalisé, que l'on multiplie par la sensibilité des données. On obtient une note, dans mon exemple pouvant avoir avoir un maximum de 18 (dans le cas de (3+3) x 3).

J'ai utilisé un code couleur pour y voir un peu plus clair : rouge pour les plus aspects les plus sensibles, orange pour ce qui est un peu moins sensible, vert lorsque cela semble ok.

J'ai également utilisé de la couleur au niveau de la colonne "Qui ?" pour mettre en évidence un autre aspect important : la concentration de plusieurs services dans les mains d'un même acteur. On voit bien dans ce cas que Google possède une quantité de données importantes. On pourrait alors ajouter un "malus" à la note finale (par exemple ajouter systématiquement 2 points, ou multiplier par un coefficient)

Pourquoi faire tout ça ?

L'objectif est d'abord d'y voir un peu plus clair, mais surtout de pouvoir classer les risques par ordre de priorité. Dans l'exemple précédent, je devrais me préoccuper en priorité de mon agenda, et de mes mails pro.

Car l'étape suivant consiste à faire le point sur les alternatives à ma portée.

Étape n°2 : analyser les solutions et alternatives

Je me lance dans la création d'un second tableau. Prenons l'exemple des outils de courriers électroniques :

Dans ce tableau :

- la liste des outils alternatifs disponibles. J'ai ajouté l'outil actuel en première ligne pour rappel. Pour avoir des idées d'alternatives n'hésite pas à consulter le site de la campagne "Degooglisons Internet" de Framasoft ainsi que leur annuaire, mais aussi des sites comme AlternativeTo.

- la liste des avantages et inconvénients, en comparaison de l'outil actuel

- un point sur la difficulté de mise en place de la solution. Évidemment cela dépendra très souvent de tes compétences, ou de la possibilité de te faire aider.

On peut imaginer ajouter plein d'autres colonnes pour faire son choix, comme le prix si tu souhaites ajouter des solutions payantes, et tout un tas de caractéristiques techniques (par exemple pour les mails, l'espace de stockage fourni pour un compte gratuit...)

A toi de juger à partir de ça vers quelle direction tu souhaites t'orienter.

Et puis... il ne reste plus qu'à se lancer.

J'espère que tout ça ne t'apparaît pas comme une grosse prise de tête, j'ai vraiment essayé de proposer une solution simple.

Mais je pense que tout ça est largement améliorable, le but de cet article était aussi de lancer la discussion avec les intéressés.

Si cela peut être utile, je pourrais créer des modèles de tableau téléchargeables et prêts à être remplis.

Mais il faut d'abord que tu me dises ce que tu en penses ;-)