Modèle de menace et modèle de confiance

Quand on réfléchit à l'anonymat, il y a une chose à décider en premier.

La question est : « contre qui et quoi voulez-vous protéger ? »

Il n'est pas réaliste de cacher complètement toutes les informations à tous les acteurs. De plus, les mesures nécessaires varient selon les personnes.

Une personne ordinaire, un ou une journaliste, un lanceur ou une lanceuse d'alerte, une personne militante et une personne responsable dans une entreprise n'ont pas les mêmes choses à protéger ni les mêmes adversaires à envisager.

La manière d'organiser cette prémisse s'appelle un modèle de menace. La manière d'organiser les services ou les acteurs auxquels on choisit de faire confiance s'appelle un modèle de confiance.

Cet article organise le modèle de menace et le modèle de confiance comme prémisses pour réfléchir à l'anonymat.

Qu'est-ce qu'un modèle de menace ?

Un modèle de menace est une manière d'organiser qui vise quoi, et par quels moyens le risque apparaît.

Pour l'anonymat, on commence par des questions comme celles-ci.

• Contre qui veut-on se protéger ?
• Que ne veut-on pas faire connaître ?
• Quelles informations posent problème si elles se relient ?
• De quelles capacités dispose l'autre partie ?
• Jusqu'où peut-on accepter le risque ?

Par exemple, les mesures nécessaires sont complètement différentes si l'on veut éviter qu'un ami découvre un autre compte, ou si l'on veut protéger une source face à une organisation dotée de pouvoirs importants.

Si l'on choisit des mesures sans construire de modèle de menace, on risque de faire des choses plus complexes que nécessaire ou, à l'inverse, de manquer des risques importants.

Décider ce que l'on veut protéger

La première chose à examiner est ce que l'on veut protéger.

Dans l'anonymat, l'objet à protéger n'est pas seulement le vrai nom.

Dire simplement « je veux rester anonyme » ne suffit pas. Il faut réfléchir concrètement à ce qui poserait problème si deux éléments se reliaient.

Décider contre qui l'on veut se protéger

Ensuite, on réfléchit à l'autre partie.

Dans l'anonymat, les informations visibles et les moyens utilisables changent selon l'acteur.

Déterminer l'acteur permet de voir plus facilement les mesures nécessaires.

Estimer les capacités de l'autre partie

Il est important de savoir non seulement qui est l'autre partie, mais aussi de quelles capacités elle dispose.

Est-ce qu'un ami fait seulement une recherche sur les réseaux sociaux ? Est-ce que l'opérateur d'un service peut consulter les journaux d'accès ? Est-ce qu'un administrateur au travail ou à l'école peut consulter les journaux réseau ? Est-ce qu'une autorité étatique peut demander des enregistrements à un opérateur télécom ?

Quand les capacités changent, les mesures nécessaires changent aussi.

Si l'on suppose que tous les acteurs ont la capacité maximale, il devient difficile d'agir de manière réaliste. À l'inverse, sous-estimer les capacités de l'autre partie est dangereux.

Il faut réfléchir dans un périmètre réaliste, adapté à l'objectif.

Qu'est-ce qu'un modèle de confiance ?

Un modèle de confiance est une manière d'organiser à qui l'on choisit de faire confiance, et à qui l'on ne choisit pas de faire confiance, lorsqu'on utilise un mécanisme.

Quand on utilise un outil d'anonymat, les acteurs qui voient l'information changent. L'information visible ne disparaît pas toujours ; elle peut se déplacer vers un autre acteur.

Par exemple, avec un VPN, l'adresse IP du domicile peut devenir moins visible pour le site web de destination. Mais le fournisseur VPN peut voir des informations liées aux communications de l'utilisateur.

Avec Tor, la destination peut voir le nœud de sortie Tor. Cependant, si l'on utilise Tor de manière incorrecte, l'état de connexion ou les informations du navigateur peuvent créer une liaison.

Quand on réfléchit à l'anonymat, il faut regarder non seulement « cet outil est-il sûr ? », mais aussi « sur quelle conception de confiance repose-t-il ? ».

Sans modèle de menace, les mesures se décalent

Sans modèle de menace, les mesures se décalent facilement par rapport à l'objectif.

Par exemple, si l'on veut seulement éviter de montrer son IP personnelle au site web de destination, un VPN peut suffire. Mais si l'on considère le fournisseur VPN comme un acteur auquel on ne peut pas faire confiance, un VPN seul peut ne pas correspondre à l'objectif.

Si l'on ne veut pas relier un compte sous identité réelle et un compte anonyme, les cookies, l'état de connexion, la séparation du navigateur, le style d'écriture et l'heure de publication peuvent devenir plus importants que le chemin de communication.

Si un lanceur d'alerte manipule des documents internes à une organisation, le chemin réseau n'est pas le seul point important : les métadonnées du document, les droits d'accès, l'historique de diffusion et la fiabilité de l'interlocuteur de conseil comptent aussi.

Les mesures changent selon ce que l'on veut protéger et selon l'autre partie.

Penser par niveau de risque

Le modèle de menace ne sert pas à supposer à chaque fois le danger maximal.

Il existe des niveaux de risque. Une personne qui veut publier sous un pseudonyme pour un loisir et une personne qui dénonce des irrégularités au travail utilisent toutes deux le mot anonymat, mais les préparations nécessaires ne sont pas les mêmes.

Plus le risque est élevé, plus il est important de ne pas décider uniquement à partir d'un article.

Le recours à un interlocuteur de confiance, comme un avocat, une organisation de soutien ou une personne responsable de la sécurité dans une rédaction, fait aussi partie du modèle de menace.

Le modèle de menace simple à construire en premier

Il n'est pas nécessaire de construire un modèle de menace complexe dès le début.

Pour commencer, il suffit de remplir un tableau comme celui-ci.

Rien que cette réflexion permet déjà d'organiser nettement les mesures nécessaires.

Résumé

Un modèle de menace est une manière d'organiser contre qui et quoi l'on veut se protéger. Un modèle de confiance est une manière d'organiser les acteurs ou services auxquels on fait confiance pour agir.

Dans l'anonymat, il n'est pas réaliste de tout cacher à tous les acteurs. Il faut distinguer ce que l'on veut protéger, les acteurs envisagés, leurs capacités, les indices qui restent et les acteurs auxquels on fait confiance.

Des mesures comme VPN, Tor, Wi-Fi public, chiffrement ou séparation des comptes changent de signification selon l'objectif.

Commencer par décider « contre qui, que veut-on protéger, et jusqu'à quel point ? » est le point de départ pour réfléchir à l'anonymat.

Outils liés

Articles liés