Votre boîte mail n'est pas une forteresse

La fausse impression de sécurité peut vous causer bien des dégâts. Il doit y a voir un malentendu mais, activiste ou pas, utiliser des services mails dédiés avec une protection de la vie privée renforcée tient plus de la bonne pratique qu’autre chose.

C’est parfaitement utile mais on ne s’en va pas faire la guerre avec !

Le scandale Protonmail

L’année dernière Protonmail, une entreprise spécialisée dans les emails sécurisés et basée en Suisse, s’est vue contrainte de divulguer l’addresse IP d’un de ses utilisateurs, un activiste francais faisant l’objet d’une enquêtes des autorités suisses suite à une demande d’Europol.

Protonmail ne s’amuse pas à loguer les IPs des ses utilisateurs d’après les déclarations de son dirigeant mais l’entreprise n’est pas au-dessus de la loi et doit coopérer.

Même si la politique de notification des utilisateurs indique noir sur blanc que tout utilisateur faisant l’objet d’une enquête de ce type doit en être informé :

requires a user to be notified if a third party makes a request for their private data and such data is to be used in a criminal proceeding

Dans ce cas, la notification a été décalée de plusieurs mois.

Source: TechCrunch

En d’autres termes, la fin justifie n’importe quel moyen et les entreprises peuvent changer leur conditions à tout moment.

Protonmail ne sert pas à communiquer en total incognito pour échapper aux autorités. Le service propose un cryptage end-to-end intéressant et c’est déjà pas mal par rapport à d’autres… Ils ont de très bons produits et même une offre totalement gratuite !

Protonmail n’est pas le problème mais bien la surveillance de masse et le sacrifice des libertés individuelles dans nos sociétés. Je n’ai même pas besoin de remonter jusqu’aux révélations de Snowden sur les portes dérobées destinées aux agences à trois lettres, les lois en vigueur suffisent !

Les forces de l’ordre ne vont pas arrêter la chasse demain, il y a du très gros gibier en liberté, parfois ultra-déterminés et très dangereux.

Les questions suivantes sont plus pertinentes à mon sens :

  • Qui décide de qui est dangereux ou pas ?
  • Quelles activités peuvent être considérées criminelles ?
  • Qu’est-ce qui peut justifier que vous deveniez une personne d’intérêt au cours d’une opération, même secrète ?

Bien sûr, si vous mettez la vie d’autrui en danger ou si vous volez de l’argent et des données confidentielles, vous allez vite rentrer dans le cadre des activités criminelles.

Quoiqu’il arrive, c’est eux* qui décideront au final.

* J’ai conscience que le “eux” est assez vague mais on n’en restera là. Comprenez “autorités” au sens large.

C’est quoi les NSL?

Les National Security Letters (NSL) sont des requêtes qui peuvent être initiées sans passer par un juge et auxquelles les agences américaines à trois lettres comme le FBI ont parfois recours.

Avec une telle requête, il est impossible pour le destinataire de divulguer qu’une enquête est en cours, quelles que soient les conditions d’utilisation d’un produit ou les termes d’un contrat.

La FISA peut aussi casser les termes légaux, notamment ceux concernant la vie privée.

C’est la raison pour laquelle certains utilisateurs regardent attentivement ce genre de détails mais, si cela s’avère nécessaire, une organisation fédérale ou internationale pourra demander aux autorités locales de contourner toutes les restrictions.

Encore une fois, la fin justifie les moyens, comme avec ce draft de loi européenne qui a failli passer et qui suggérait sérieusement que les opérateurs utilisant des systèmes encryptés end-to-end sabotent carrément leur propre infras pour donner accès aux communications des utilisateurs.

En gros, on dépasse de très loin le complotant “mettez-nous des backdoors” pour carrément ouvrir toutes les portes, et les fenêtres s’il le faut, façon nettoyage de printemps.

Heureusement, grâce à la mobilisation de centaines d’organisations diverses du secteur et de spécialistes de la cybersécurité, le projet est retourné dans “la boîte à idées moisies”, mais pour combien de temps ?

Modèle de menaces

Les companies qui fournissent des services d’emails sont constamment attaquées par divers acteurs. Voici à quoi peut ressembler leur modèle de menaces :

ThreatRemediation
sniffingSSL/TLS
phishing, virussignatures digitales, triade de la CIA
comptes compromis - mots de passe fuités2FA, MFA, phrases secrètes
surveillance de masse - attaquants avancéscryptage 4096 bits - E2EE
appareils compromis - zombies0
social engineering0
phrases secrètes ou appareils 2FA/MFA perdus0 or 1FA*
Man In The Middle0 ou peu
DDoS, payloads malicieux0

J’utilise 0 quand la seule défense est une mitigation incomplète. Si vous tenez à votre vie privée, vous pouvez construire votre propre modèle de menaces.

Pas besoin d’être dans un délire à la Jason Bourne, ça peut simplement consister à supprimer un compte Gmail pour basculer sur une messagerie plus sûre.

* 1FA : login/password classique

Protéger sa vie privée peut paraître louche

Pour certaines entreprises et personnes, rien que d’avoir un compte email chez Protonmail est déjà louche en soi !

Ces mêmes personnes sont peut-être réceptives à l’argument “rien à cacher, rien à se reprocher” donc, suivant vos objectifs, certaines mesures pour protéger votre vie privée ne seront peut-être pas très judicieuses.