Ce qu’il faut vérifier avant d’utiliser SecureDrop

Ce qu'il faut vérifier avant d'utiliser SecureDrop

SecureDrop est un système utilisé par les lanceurs d'alerte et les sources pour envoyer des documents de manière plus sûre à des rédactions et à des destinataires similaires.

Cependant, utiliser SecureDrop ne rend pas automatiquement les choses sûres. Le contenu déposé, les métadonnées des fichiers, l'heure d'accès, les journaux internes de l'organisation, les comportements dans le monde réel et la fiabilité de la destination entrent en jeu.

Pour les dépôts à haut risque, la préparation avant l'utilisation de l'outil est importante.

Cet article organise ce qu'il faut vérifier avant d'utiliser SecureDrop. Pour un dépôt réel, vérifiez toujours les consignes officielles de la destination.

Qu'est-ce que SecureDrop ?

SecureDrop est une plateforme open source de lancement d'alerte que les rédactions et organisations similaires utilisent pour recevoir des documents de manière plus sûre de la part de sources.

Le site officiel de SecureDrop permet de vérifier le fonctionnement, les organisations participantes et la documentation.

URL : https://securedrop.org/

SecureDrop n'a de sens qu'avec une destination digne de confiance et une utilisation correcte.

Vérifier la destination

Avant d'utiliser SecureDrop, on vérifie que la destination est authentique.

Ne faites pas simplement confiance aux liens trouvés dans les résultats de recherche ou sur les réseaux sociaux. On part du site officiel de la rédaction ou de l'organisation pour accéder à ses consignes.

Dans l'anonymat, la destination fait aussi partie du modèle de confiance.

On vérifie non seulement l'outil, mais aussi l'autre partie.

Vérifier les fichiers et le contenu

Avant le dépôt, on vérifie les métadonnées et le contenu des fichiers.

Les documents Office, PDF, images, vidéos et fichiers audio peuvent conserver le créateur, le nom d'entreprise, les informations de localisation, l'historique de modification et les commentaires. Le contenu du texte peut aussi laisser deviner qui avait accès au document.

Dans une alerte interne, le contenu lui-même peut être l'indice le plus fort.

Même si les métadonnées sont supprimées, si peu de personnes pouvaient voir le document, le nombre de candidats se réduit.

Préparer l'environnement avant l'accès

Dans l'utilisation de SecureDrop, l'environnement d'accès est également important.

Accéder depuis un réseau professionnel ou scolaire, un appareil fourni ou un appareil surveillé est dangereux. Les journaux internes de l'organisation, la gestion de l'appareil, les caméras de surveillance, les registres d'entrée et de sortie et l'historique d'impression peuvent entrer en jeu.

Dans une situation à haut risque, ne décidez pas seulement à partir de cet article.

S'il existe un risque juridique ou un danger physique, une consultation avec un avocat ou un soutien fiable est nécessaire.

Décider à l'avance du comportement après dépôt

Quand on utilise SecureDrop, le comportement après le dépôt concerne aussi l'anonymat.

Aller vérifier plusieurs fois, chercher des actualités liées depuis le travail, sonder des collègues, réagir sur un réseau social en nom réel. Ces comportements peuvent devenir des indices plus dangereux que les actions avant le dépôt.

La transmission d'informations ne se termine pas au moment de l'envoi.

On considère l'avant-dépôt, le dépôt et l'après-dépôt comme une seule pratique opérationnelle.

Il existe aussi d'autres options que SecureDrop

SecureDrop n'est pas la seule méthode pour transmettre des informations.

Selon la rédaction, Signal, l'envoi postal, des formulaires dédiés, une consultation en personne ou un autre système de dépôt anonyme peuvent être disponibles. La meilleure méthode dépend de la nature des documents, du risque, de la destination et de la situation juridique.

Pour les transmissions d'informations à haut risque, on choisit non pas simplement une méthode qui permet d'envoyer, mais une méthode qui permet de traiter l'information en sécurité.

On lit les consignes officielles de la destination et, en cas d'hésitation, on consulte un spécialiste ou un soutien fiable.

Protéger non seulement soi-même, mais aussi les sources

Lorsqu'on utilise SecureDrop, il faut protéger non seulement soi-même, mais aussi les personnes liées aux documents.

À partir du contenu des documents, on peut déduire à rebours qui pouvait y accéder, qui a participé à une réunion, qui les a créés ou qui était en position de les envoyer.

Dans une transmission d'informations, la déduction à partir du contenu est très importante, pas seulement le trajet de communication.

Avant le dépôt, on organise combien de personnes pouvaient voir le document, à quel moment le document a été manipulé et où il pouvait être enregistré.

Cette organisation devient elle-même une information confidentielle ; il faut donc éviter de l'enregistrer dans un compte cloud lié à une identité réelle ou sur un appareil professionnel.

SecureDrop aide pour le trajet de dépôt, mais la sûreté du contenu déposé doit être vérifiée séparément.

Résumé

SecureDrop est un système important pour relier plus sûrement les sources aux rédactions et à des destinataires similaires.

Cependant, utiliser SecureDrop ne rend pas automatiquement les choses sûres.

La fiabilité de la destination, les métadonnées des fichiers, les déductions à partir du contenu, l'environnement d'accès, les journaux internes de l'organisation et les traces du monde réel entrent en jeu.

Avant de l'utiliser, on vérifie les consignes officielles, on vérifie les documents et on organise les comportements qui pourraient mener à son identification ou à celle des personnes concernées.

Pour les transmissions à haut risque, il est important de ne pas trop décider seul.

Outils liés

Articles liés