Ce qu’il faut penser des techniques qui promettent l’anonymat sur le net

Atlantico : On a pu remarquer dernièrement que de nombreux appels à financement sur le mode du crowdfunding avaient pour objectif de rendre la navigation sur internet plus transparente. Ainsi, un routeur systématisant l'utilisation de Tor du nom d'Anonabox, et promettant de crypter toutes les navigations est sur le point d'aboutir. L'anonymat sur Internet peut-il se résumer à l'utilisation d'un seul appareil ?

Stéphane Bortzmeyer : Anonabox est une bonne idée dans son principe, comme tout ce qui contribue à rendre la tâche des surveillants plus difficile. À noter toutefois une sérieuse bavure de communication, quand les gens d'Anonabox ont prétendu qu'ils avaient conçu eux-même le matériel, ce qui était faux. Ce genre de choses a de quoi inquiéter.

Mais la limite principale d'Anonabox est qu'on ne peut jamais compter sur une seule technique pour protéger sa vie privée. Tor brouille certaines métadonnées (qui parle à qui) mais pas le contenu. Le chiffrement (de bout en bout, ce que ne fait pas Tor) brouille le contenu mais pas les métadonnées. Il faut donc au moins les deux.

En outre, il reste encore à assurer la sécurité de sa machine. Tor et le chiffrement ne servent pas à grand chose si votre iPhone transmet toutes vos données sur l'iCloud, où la NSA et le FBI peuvent le lire. Cette sécurité des machines implique évidemment du logiciel libre, dont le code source est disponible et vérifiable, mais cette condition n'est pas suffisante : il reste encore à adopter de bonnes pratiques de sécurité (mot de passe fiable, par exemple), ce qui est contraignant.

Car, pour citer Bruce Schneier, "la sécurité est un processus, pas un produit". Elle dépend d'un grand nombre d'actions et d'une stricte discipline.

Utilisation d'un VPN, d'un proxy... Quelles sont les techniques dont on sait qu'elles sont sûres, et qui permettent de le préserver, et quels sont leurs avantages et inconvénients spécifiques ?

Il est difficile de répondre à ce type de question. Par exemple, certains VPN ne sont pas chiffrés et, dans ce cas, ne fournissent guère de protection. Une des difficultés de la sécurité est qu'on ne peut pas la réduire à quelques slogans infantiles (comme "n'ouvrez pas les pièces jointes suspectes") ou à l'achat d'un produit particulier. Il faut analyser chaque cas.

Egalement, quel degré de compétence informatique est-il nécessaire de posséder pour naviguer anonymement sur internet ?

Trop élevé aujourd'hui : l'anonymat devrait être la règle, comme il l'était avant la numérisation, quand on pouvait lire un journal, acheter un livre, prendre le train anonymement. C'est devenu impossible de nos jours et il faut lutter pour que cela redevienne possible. Or, aujourd'hui, non seulement il faut une compétence élevée pour s'assurer un minimum d'anonymat mais il faut surtout une attention de tous les instants. Une erreur et l'anonymat est déjoué.

Un bon exemple est fourni par Tor : il ne suffit pas de dire à son logiciel de se connecter via Tor. Il faut aussi éviter que ledit logiciel ne fasse fuiter des informations qui permettent de l'identifier. Le projet Panopticlick a montré que la plupart des navigateurs Web ont, de facto, une signature unique. C'est pour cela que le Tor Browser Bundle (un navigateur Web modifié fourni par le projet Tor) envoie si peu d'informations au site Web visité. Comment est-ce que l'Anonabox va résoudre ce problème de fuite d'informations ? Je l'ignore.

Après de nombreux scandales liés à l'espionnage informatique, comme les révélations de Snowden, peut-on noter une amélioration globale de l'anonymat en ligne ?

Le chiffrement s'est nettement développé depuis les révélations du héros Snowden mais l'anonymat, semble-t-il, n'a pas suivi.

Que penser des initiatives prises récemment par les géants du net comme Apple et Android, qui promettent de chiffrer les données de leurs téléphones ?

C'est une excellente chose et elle va dans le bon sens, celui du rétablissement du relatif anonymat dont on jouissait autrefois, avant qu'on transporte en permanence dans sa poche un mouchard qui connaît notre position exacte, ainsi que toute notre activité en ligne (ce qui, aujourd'hui, revient à presque toute notre vie), puis l'enregistre et le transmet.

Pour l'iPhone, le logiciel étant fermé et secret, on doit faire une confiance aveugle à Apple pour que le chiffrement ait réellement les propriétés annoncées. Mais cela ne signifie pas que les autres systèmes soient parfaits : il y a plein d'autres points à vérifier.