L’appelisme fait peur : aux nouveaux, nouvelles qui n’y comprennent rien ainsi qu’aux plus ancien.nes, quelques fois traumatisé.es, qui redoutent des prises de pouvoir. Voir les appelistes non comme des ennemi.es à abattre mais des personnes avec un ensemble de pratiques sur lesquelles nous nous opposons en principe permet de mieux identifier où l’on peut s’améliorer collectivement et comment le faire sans perpétuer des systèmes de domination.
L’appelisme, jargon militant favorisant l’entresoi ou mot fourre-tout utile ?
J’ai longtemps hésité et je continue à hésiter à utiliser le mot d’appelisme tant il a pu être obscur pour moi et peut continuer de l’être. Souvent je trouve qu’il fait partie de ce jargon militant qui favorise l’entresoi et crée un phénomène excluant pour toustes les nouveaux et nouvelles arrivant.es dans la lutte anarchiste.
Pourtant, je dois bien reconnaître que ce mot peut favoriser ma réflexion et mon expression de temps en temps. Comme tout mot fourre-tout, il a ses inconvénients et ses avantages. Rien qu’en existant, il rend visible ce qui pourrait sinon être invisible. Mais j’ai parfois l’impression que chacun.e a une définition différente de l’appelisme et que loin de favoriser la compréhension mutuelle, ce concept peut favoriser les quiproquos.
Par ce texte, je cherche à donner ma définition actuelle de l’appelisme. Cette définition a été variable dans le temps et a changé au rythme des rencontres et des récits et elle continuera de changer. Loin de vouloir être hégémonique, ma définition se veut une invitation à la discussion entre personnes qui ont une autre vision de ce qu’est l’appelisme.
L’appelisme est une insulte qui n’a rien à voir avec l’Appel
Ce n’est pas en lisant un texte de 2005, l’Appel, que l’on comprendra l’utilisation en 2020 du mot appeliste. Je n’ai d’ailleurs jamais lu l’Appel comme beaucoup de personnes qui utilisent le terme appelistes. Depuis, il y un ensemble d’histoires extrêmement complexe entre groupes anarchistes qui a eu lieu. Chacun.e a pu entendre certains bouts de ces histoires via le récit de protagonistes ou la lecture de brochures. Mais selon les versions entendues et les personnes rencontrées, on peut avoir des visions complètement différentes.
Ce texte ne se veut pas l’ambition de résumer ce qui a pu se passer à NDDL entre groupes anarchistes, cela me serait impossible¹. Je cherche plutôt l’essence théorique de l’appelisme c’est-à-dire à identifier des points communs entre ces groupes que l’on qualifie d’appelistes. Dans ma définition, on n’est jamais intrinsèquement appelistes mais on peut avoir des pratiques ou des choix que je qualifierais d’appelistes. Ces pratiques appelistes que je vais essayer de détailler dans la suite seront évidemment caricaturales. Il est peu probable qu’un groupe les cumule toutes ou du moins à des degrés très divers.
Il me semble important de dire à ce moment que je n’ai pas personnellement de passif émotionnellement chargé avec des groupes appelistes et que j’en ai peu cotoyé. Ce que je vais dire n’est au final qu’une construction théorique élaborée avec peu de contacts directs et beaucoup de on-dit. Cela pourra peut-être permettre à d’autres, avec plus de connaissances sur le sujet, de mieux comprendre comment une personne extérieure peut se représenter l’appelisme.
Voici schématiquement quelques pratiques que je qualifierais d’appelistes sur lequelles je reviendrai dans la suite :
penser plutôt en termes d’objectifs et d’efficacité sans réfléchir à ce que l’on peut sacrifier politiquement sur le chemin,
s’organiser uniquement avec des personnes avec qui l’on a des affinités,
ne pas faire suffisamment tourner les mandats ni prendre le temps long de partager nos savoirs-faire et compétences,
penser les questions d’oppressions systémiques quasi-exclusivement comme lutte globale à mener à l’extérieur et non également comme transformation des rapports personnels au sein d’un groupe affinitaire,
manipuler des réunions grâce à son aisance à l’oral,
romantiser la lutte et l’insurrection afin de faire rêver.
Derrière la notion d’appelisme, la volonté d’efficacité
Selon moi, la racine théorique de l’appelisme, c’est la volonté d’être efficace² d’un point de vue révolutionnaire. De ce point de départ peuvent découler beaucoup de choses de manière naturelles. Si l’on ne rencontre pas les bonnes personnes et si l’on ne fait pas attention à éviter les prises de pouvoir, cette volonté d’efficacité peut vite nous faire glisser sur une pente extrêmement dangereuse.
L’efficacité et la rapidité sont des notions construites socialement dans une société capitaliste et il est important de les remettre en question aussi. Accepter la lenteur pour faire les choses bien plutôt que de tomber dans le piège de l’efficacité à court terme devrait aussi faire partie des pratiques militantes.
Une organisation soudée en groupes affinitaires
On s’en rend compte facilement : on travaille beaucoup plus facilement et efficacement entre personnes qu’on connaît bien et avec qui on a l’habitude de travailler. Les groupes appelistes sont souvent très bien organisés au sein de groupes affinitaires soudés.
Le danger arrive quand on ne prend pas le temps, certes long, de discuter et de demander des retours à d’autres groupes ou personnes plus isolées et moins organisées. Au bout d’un moment, sans communications, l’incompréhension grandit et on se met à considérer les autres groupes comme des obstacles plutôt que des allié.es. La diversité des tactiques en prend un coup car souvent les groupes affinitaires se créent par unicité de tactique au sein d’un même groupe.
Organisation hiérarchique sans mandats tournants
Chacun.e arrive avec des capacités variées au sein d’un groupe. Faire tourner les mandats en dehors de ces affinités de capacités (par exemple celleux qui écrivent bien, qui dirigent bien un chantier, etc.), cela peut prendre du temps et ralentir le groupe le temps que les gens se forment et apprennent.
Pourtant, cette efficacité à court terme est problématique car loin de la société anarchiste que l’on souhaite construire. Dans cette future société, on cherche à éviter au maximum les phénomènes de spécialisations et d’expertises mais on souhaite plutôt partager les savoirs et les connaissances afin d’avoir un mode de fonctionnement le plus horizontal possible.
Peu de remise en cause des oppressions systémiques qui ont lieu en interne
Remettre en cause les oppressions systémiques qui ont lieu au sein même du groupe affinitaire peut foutre un sacré bordel et ralentir considérablement l’efficacité révolutionnaire à l’extérieur.
Ne pas prendre le temps de déconstruction des rapports de domination au sein d’un collectif, c’est laisser ces dominations systémiques se perpétuer.
Techniques appelistes en réunion et prises de pouvoir
On ne peut pas parler appelisme sans parler de prises de pouvoir. C’est la principale chose que beaucoup reprochent aux appelistes. Les réunions ou AG sont des lieux d’oppressions systémiques et sont aisément manipulables par les classes sociales qui sont à l’aise avec la prise de parole. Ne pas faire attention à cette réalité est déjà une oppression mais quelques techniques de manipulation actives sont encore plus graves.
Les techniques de manipulation en réunion que j’appelle appelistes sont les suivantes :
arriver à une réunion en ayant déjà pré-organisé une réunion à ce sujet en groupe affinitaire. Les appelistes arrivent alors en ayant les idées claires, une réflexion déjà construite et même quelques fois un texte déjà prêt. Celleux qui n’ont pas participé à la réunion préliminaire arrivent en position de faiblesse et la prise de pouvoir est évidente.
prendre la parole plusieurs fois pour énoncer la même idée quand on sent qu’on n’a pas été écouté. Cette manipulation est encore plus grave si cela est fait par plusieurs personnes d’un même groupe affinitaire voire si cela a été pensé à l’avance.
utiliser ses capacités d’énonciation pour discréditer d’autres groupes qui s’expriment moins bien.
Homogénéité sociale et maîtrise de la communication
On remarque souvent que les groupes appelistes maîtrisent bien l’écriture et la prise de parole en public. Même si cela est loin d’être systématique, il peut y avoir une certaine homogénéité d’origine sociale au sein des groupes appelistes et cela peut être expliqué par leur origine en tant que groupes affinitaires (on a souvent des affinités avec les personnes qui nous ressemblent et ont eu des parcours similaires).
Certains livres comme ceux du comité invisible donnent une vision romancée et lyrique de la lutte et de l’insurrection. La lutte ce n’est pas toujours joyeux et romantique et le cacher peut aboutir à des désillusions et être considéré comme de la manipulation.
Comment les groupes appelistes arrivent-ils à prendre le pouvoir ?
Le mouvement anarchiste manque souvent d’organisation collective et fait face à des réflexes individualistes. Quand un groupe soudé, efficace qui arrive en réunion avec une réflexion construite et qui communique efficacement à l’extérieur fait face à un mouvement désorganisé et peu préparé, la prise de pouvoir est inévitable.
Face à l’appelisme, organisons nous !
Chacun.e peut agir à un moment de manière appeliste (en ne faisant pas attention à telle prise de pouvoir par exemple). L’important n’est pas de désigner des ennemi.es, les appelistes, mais de réfléchir collectivement aux manières de faire les choses avec lesquelles nous ne sommes pas d’accord et de les repérer.
Pour éviter des prises de pouvoir par des groupes se posant moins de questions sur leurs pratiques, apprenons à nous organiser différement et développons des outils d’organisations anarchistes afin de lutter à armes égales.
¹ De nombreux textes ont été écrit sur ce sujet comme par exemple Réflexions à propos de la ZAD : une autre histoire disponible sur Infokiosques.net.
² Le terme d’efficience serait légèrement plus correcte que efficacité dans ce contexte. L’efficicence, c’est l’optimisation du temps et de l’énergie déployée pour atteindre ses objectifs. On a choisi d’utiliser le terme d’efficacité pour des facilités de compréhension.
Illustration: Image extraite de la brochure Tourner autour, une critique de l’Insurrection qui vient disponible sur Infokiosques.net
En direct de la Zad du Carnet, Ne m’expulse pas de Yach Braille sur l’air de Ne me quitte pas ; Emmenez-moi en tête de cortège de Schlagnavour sur l’air de Emmenez moi ; La manif qui redémarre sur l’air de la Chenille ! Bientôt les audios ?
Ne m’expulse pas
Ne m’expulse pas, faut pas oublier Les potes embarqué.e.s, qui s’enfuient déjà, Vers la liberté, loin des gardes à vue, Loin du temps perdu. Faut pas pardonner Les bonnimenteurs qui endorment toujours La pauvre basse-cour, en lui faisant peur. Ne m’expulse pas, ne m’expulse pas, Ne m’expulse pas, ne m’expulse pas.
Moi je caillaisserai tes fourgons blindés, avec des pavés, lourds de mes révoltes. J’défendrai la terre, jusqu’après ma mort, J’écrirai encore des chants libertaires. Et sans se soumettre, on f’ra un endroit, Pour vivre sans loi, sans dieu et sans maître. Ne m’expulse pas, ne m’expulse pas, Ne m’expulse pas, ne m’expulse pas.
Ne m’expulse pas, ouvre bien tes yeux, Sous ton armure bleue, qu’est-ce que tu fous là, Armé jusqu’aux ch’veux, à leur obéir, À nous matraquer, et à tout détuire ? Reprends tes grenades, allez casse-toi, Sur ma baricade, j’ai pas peur de toi. Ne m’expulse pas, ne m’expulse pas, Ne m’expulse pas, ne m’expulse pas.
On a vu souvent rejaillir le feu, Avec seulement un molo ou deux. Il est paraît-il, des ZADs expulsées Qu’on r’vient occuper sans être docile. Et dans nos espoirs et dans nos combats, Le rouge et le noir ne s’épousent-ils pas ? Ne m’expulse pas, ne m’expulse pas, Ne m’expulse pas, ne m’expulse pas.
Ne m’expulse pas, Je n’veux plus pleurer Devant ton armée et tous ses soldats. J’ai trop regardé vos méchants sourires, J’ai trop écouté vos sirènes rugir. Que tu l’veuilles ou pas, je serai ton ombre Qui te poursuivrai jusque dans ta tombe. Ne m’expulse pas, ne m’expulse pas, Ne m’expulse pas, ne m’expulse pas.
Emmenez-moi
1er couplet
Dans les champs, où la fatigue et le poids nous courbent le dos. Dans les quartiers où les armes et les lois nous font nous tenir à carreau. Dans les usines et les boîtes où toujours les tyrans nous usent et nous exploitent tout en nous menaçant du chômage. Et quand nous sommes sans travail et que nous chapardons qu’on nous traite de canaille et que nous finissons dans une cage.
Dans les écoles et les hôpitaux, où nous sommes précaires. Nous sommes toustes dans le même bateau, dans la même galère !
Refrain
Emmenez-moi en tête de cortège, là où les pavés tombent comme de la neige. Il me semble que la misère demande qu’on exprime sa colère ! Emmenez-moi en tête de cortège, là où les parapluies noirs nous protègent. Il me semble que l’injustice demande d’affronter la police !
2ème couplet
Dans les bars, au fond de la salle, avec les copaines. Quand on parle de notre idéal, De nos joies de nos peines. J’imagine un monde nouveau affranchi des patrons qui se servent sur le dos des plus faibles maillons du système. Un monde où les propriétaires se feraient dégager où les soeurs et les frères pourraient donc se loger sans problème.
Puis les bars ferment et alors je me dis que tout n’est pas perdu, mais que pour vivre cette utopie, il faut sortir dans la rue !
Refrain
3ème couplet
Un beau jour sur un bateau pirate, Hissant l’pavillon noir, J’partirai dans la nuit écarlate Où tremperont nos espoirs.
Affrontant souvent des tempêtes, Écrasées par le vent, Nous relèverons la tête Face aux chefs dominant À voix haute. Toujours prêtes à nous mutiner Pour que sur le navire Nous puissions exister, Vivre libre et mourir Côte-à-côtes.
Comme faisaient les anciens équipages Qui parcouraient les mers. Nous répandrons dans notre sillage Nos idées libertaires.
Refrain
La manif’ qui redémarre (sur l’air de la chenille)
I – Un syndicat qui s’tient sage
Prend ton drapeau d’la CGT, Va à la manif déclarée. Rejoins tes frères et tes soeurs, Mais la manif’ s’ra pas à l’heure.
Derrière le camion d’la sono, On écoute du Manu Chao, Et on se dit qu’on lâche rien, Sûr qu’avec ça on ira loin !
Les médias disent qu’on est 1100. En vrai on est 5500. On nous a r’tiré tous nos droits, Mais en discutant ça ira.
Gazage devant la préfecture, Il faudrait pas trop que ça dure. Pendant qu’les casseurs lances des pierres, Nous on ira boire quelques bières.
II – Black Plouc (punk)
Une fois les syndicats partis Peuvent commencer les chamailleries, Prends ton marteau ton k-way noir, C’est la manif’ qui redémarre.
Dès la première sommation, On fait le plein de munitions : Toutes les poubelles de verre y passent, Toutes les barrières toutes les caillasses.
Il faut sortir de la matrice. Lance un bon gros feu d’artifice ! Y a des slogans dans tous les sens, Un coup ça crie, un coup ça lance.
Ils ont jeté des lacrymos Tiens ton binôme par le dos. Dégaine vite ton parapluie, Et une bonne dose de sérum-phy.
La BAC de Rennes est de sortie, J’espère que t’as des garanties. Allez vas-t’en dépêche toi, Ils t’ont déjà pointé du doigt.
III – Chat et souris (bossa)
T’es partie dans les petites rues, T’en profites pour changer de tenue. T’évites la nasse de justesse, Franchement c’est une jolie prouesse.
Mais y a la CDI qu’arrive Matraques prêtes, caméras actives. Un pote va se faire embarquer, Pas l’choix il faut y retourner.
IV – Méta Cagoule (jazz-punk)
Prends ton drakkar et ta lance, C’est la manif’ qui recommence. Gandalf arrive en soutien, Il porte un bonnet péruvien.
200 ninjas crachent du feu Pour briser la ligne de baqueux, 300 sorcières super vener’ Chassent les GMs le poing en l’air.
Mickeal nous fait un p’tit moonwalk, Et les ewoks dansent un bal folk. Ça permet de faire diversion Pour la prochaine apparition.
Hey c’est Zidane qui s’élance ! Coup d’boule dans le drapeau d’la France ! Les journalistes d’lundi matin Filment la scène en maillot d’bain.
De la Loire sortent par millier Des canards et des oreillers. Méga-bataille de polochon, Pour finir d’régler la question ! Et fêter la révolution !
La version ci-dessous est la version 2021 du guide de survie numérique. Ce guide a été mis à jour en 2024. La version la plus à jour se trouve sur infokiosques.net : https://infokiosques.net/spip.php?article1849
Quelles sont les principales menaces numériques et comment s’en protéger ? Comment fonctionne la surveillance numérique ? Que penser de Signal ? Des mails ? Des smartphones ? Comment gérer ses mots de passes ? Que faire des réseaux sociaux ? Comment utiliser son ordinateur ? Ce guide de survie tente de présenter de manière synthétique des éléments de réponses à toutes ces questions.
Ci-joint les 4 pdf du guide : en format couleur et noir&blanc et en format cahier. Pour imprimer un joli cahier pliable, il faut imprimer le pdf cahier avec les options 2 pages par feuille et recto-verso bord court.
Si vous préférez lire le texte sur le site, le voici !
Ce guide est encore sujet à modifications, n’hésitez pas à proposer des modifications, à signaler les passages pas clairs, etc. en envoyant un mail à zadducarnet[at]riseup.net.
Guide de survie en protection numérique à l’usage des militant·es
La diversité des tactiques existe aussi dans la protection numérique
Utiliser des outils numériques n’est pas quelque chose d’anodin. Ne pas laisser de traces, de potentielles preuves sur son téléphone ou ordinateur est une mission impossible. Utiliser des smartphones ou ordinateurs quand on connaît les conditions de travail des ouvriers et ouvrières de la chaîne de production de ces objets numériques est un reniement de nos valeurs anticapitalistes.
Pourtant le terrain d’Internet et du numérique est un lieu de lutte important et le déserter totalement serait une erreur. Mener de front la lutte pour se libérer de notre dépendance aux outils numériques tout en se formant à mieux les utiliser pour lutter efficacement via ces outils peut paraître incohérent. Ce n’est pourtant qu’un aspect de la diversité des tactiques. Il est important de comprendre, de tolérer et de s’entre-aider entre personnes faisant le choix d’utiliser le moins possible les outils numériques et personnes faisant d’Internet leur principal lieu de lutte. Ces deux méthodes de lutte sont complémentaires.
Ce guide est destiné aux personnes utilisant quelques fois des outils numériques (téléphones, ordinateurs, etc.) dans leur militantisme. Il expose quelques menaces et présente des contre-mesures partielles pouvant aider à protéger contre ces menaces.
Il est important de noter que la lutte pour la sécurité informatique est une question de ressources disponibles. Des attaquants puissants avec du temps devant eux pourront toujours contourner les méthodes de protection que l’on met en place. Les mesures de protection que l’on conseille dans ce guide ne sont donc jamais parfaites.
Guide élaboré sur la Zad du Carnet en 2020/2021. Pour toutes remarques, contactez zadducarnet[at]riseup.net
On parlera dans ce guide d’attaques pour obtenir des données numériques que l’on souhaiterait garder privées. On présentera d’abord les attaques les plus courantes, celles liées aux erreurs humaines. On parlera ensuite des attaques spécifiques aux supports physiques que l’on utilise : téléphone et ordinateur. Nous finirons par les attaques spécifiques à la navigation Web, à la messagerie instantanée et aux mails.
Il va sans dire que si vous utilisez un téléphone portable pour consulter Signal, vous pouvez subir des attaques spécifiques aux téléphones ainsi que des attaques spécifiques à la messagerie instantanée Signal.
Pour chaque attaque, nous présenterons des méthodes pour se protéger. Ces méthodes ne seront pas toujours elles mêmes fiables mais peuvent améliorer vos défenses face à un attaquant. Mettre en place une mesure de protection numérique de manière efficace, c’est comprendre en quoi elle nous protège d’une certaine attaque mais aussi de ses limites face à d’autres types d’attaques.
Avec ces mesures de protection, on souhaite complexifier le fichage, éviter la récupération de données en cas de perquisitions et éviter de fournir des preuves judiciaires. Viser l’anonymat total serait beaucoup trop ambitieux. Ce guide n’est qu’un guide de survie, il ne présente que quelques attaques potentielles et quelques contre-mesures et est loin d’être exhaustif.
Pour les personnes pressées, on pourra lire uniquement les conseils de la dernière section « En pratique, que faire ? » qui répète les principales méthodes de protection de la brochure.
1. Les attaques liées aux erreurs humaines
Les erreurs humaines sont la principale source d’attaques réussies.
1.1. Le shoulder surfing
On parle de shoulder surfing quand quelqu’un·e regarde ce qu’on écrit au-dessus de notre épaule. Cela peut être un mot de passe, le nom d’une adresse mail que l’on consulte ou un document sur lequel on travaille. On parlera aussi de shoulder surfing si une caméra arrive à voir notre écran et ce qu’on fait sur le support physique que l’on utilise.
Pour se protéger, on peut faire attention aux caméras, taper ses mots de passe de façon discrète sans avoir peur de passer pour paranoïaque ou tout simplement se mettre dans un coin de pièce quand on est sur notre ordinateur ou notre téléphone.
1.2. Le social engineering
On parle de social engineering quand des personnes nous soutirent des informations que l’on souhaiterait idéalement garder secrètes via des manipulations psychologiques. Cela peut se faire par exemple lors d’une discussion par une question anodine.
La méthode de protection face au social engineering est tout autant collective qu’individuelle. Ne pas être curieux.ses ou poser des questions indiscrètes, cela se travaille¹. Pour aider les gens à oser dire non aux questions auxquelles iels ne souhaitent pas répondre, on peut faire en sorte que cela soit tout à fait accepté dans un collectif sans qu’il y ait de conséquences négatives sur l’image que l’on donne.
1.3. La mauvaise gestion des mots de passe
Les dangers : réutilisation des mêmes mots de passe et mots de passe courts
Plus un mot de passe est utilisé, plus sa sécurité baisse. En effet, quand vous donnez un mot de passe à une application ou un site Internet, vous ne pouvez pas être certain·es que cette application ou site stocke le mot de passe de manière sécurisée. Si les personnes à qui vous avez donné ce mot de passe se font attaquer, les attaquants peuvent récupérer votre identifiant et votre mot de passe et l’essayer sur d’autres services où vous avez donné un mot de passe.
Une autre erreur concernant les mots de passe est leur longueur trop faible. L’élément clé pour déterminer la robustesse d’un mot de passe est la longueur. Si on utilise plusieurs types de caractères (majuscules, chiffres, etc.), on augmente également le temps de calcul nécessaire pour trouver le mot de passe via la force brute de calcul. On considère en ce moment qu’un mot de passe de plus de 16 caractères est un mot de passe solide².
Une méthode facile pour retenir des mots de passe est de retenir une phrase simple comme par exemple « les chevaux aiment bien les carottes roses ». Le mot de passe est alors « chevaux carottes roses » ce qui fait 22 caractères. On peut aussi souhaiter améliorer la robustesse du mot de passe en modifiant légèrement les mots du dictionnaires. Par exemple, « chev@ux carottes r0ses » est un mot de passe plus robuste que « chevaux carottes roses ».
Les gestionnaires de mots de passe permettent de se simplifier la vie
Pour éviter d’utiliser plusieurs fois le même mot de passe et avoir des mots de passe longs, on conseille d’utiliser un gestionnaire de mot de passe et d’utiliser au maximum des mots de passe à usage unique.
KeepassXC est un gestionnaire de mot de passe. Cette application peut stocker dans une base de données un grand nombre de mots de passe. Idéalement le mot de passe principal qui débloque la base de mots de passe doit être long et unique à cette base de données. Cela permet de ne pas avoir à se souvenir de tout les mots de passe à usage unique que vous utilisez, mais uniquement de celui qui permet de débloquer la base de données.
Diagramme donnant une idée du temps nécessaire pour trouver un mot de passe par la force brute de calcul. Les données sont vieilles de quelques années. Source : Howsecureismypassword.net.
Comme illustré ci-dessus, on préférera les mots de passe mélangeant des lettres et des chiffres à des mots de passe ne comportant que des chiffres. Cette remarque est particulièrement importante pour les codes de déverrouillage de téléphones. Préférez quand cela est possible des codes de déverrouillage avec des lettres aux codes qui ne comportent que des chiffres.
Comme illustré ci-dessus, on préférera les mots de passe mélangeant des lettres et des chiffres à des mots de passe ne comportant que des chiffres. Cette remarque est particulièrement importante pour les codes de déverrouillage de téléphones. Préférez quand cela est possible des codes de déverrouillage avec des lettres aux codes qui ne comportent que des chiffres.
1.4. Les réseaux sociaux
La quantité d’informations que vous pouvez donner sur vous-mêmes sur un réseau social est considérable. Utiliser un compte sur un réseau social pour consulter des informations militantes, c’est offrir à la police et aux géants du Web (Facebook, Twitter, Instagram, etc.) des données que vous souhaiteriez probablement garder cachées et un pouvoir considérable³. Les réseaux sociaux sont conçus pour se rendre indispensables et addictifs ce qui est dangereux.
Il peut paraître compliqué de quitter d’un jour à l’autre un réseau social que l’on utilise très régulièrement pour communiquer et s’informer. C’est pourtant ce que l’on conseille. Pour faciliter la transition, vous pouvez essayer de déterminer pourquoi vous avez l’impression d’avoir besoin des réseaux sociaux.
Si vous utilisez les réseaux sociaux pour vous informer, on vous conseille d’utiliser les flux RSS⁴. Si c’est pour rester en contact avec d’autres collectifs, vous pouvez leur demander d’utiliser d’autres moyens de communications (listes mails, publier sur les réseaux Mutu ou sur un site Internet leurs contenus, etc).
Si vous utilisez les réseaux sociaux pour toucher un grand nombre de personnes dans une optique militante, on vous conseille de faire attention à poster systématiquement vos contenus sur d’autres supports pour ne pas exclure les militant·es qui font le choix de ne plus les utiliser⁵.
Si vous aimez quand même le concept des réseaux sociaux par exemple pour rester en contact avec des ami·es, le réseau Mastodon⁶ est plus respectueux de la vie privée même s’il est loin d’être exempt de certains défauts (addiction par exemple). Vous pouvez aussi choisir de ne plus poster sur les réseaux sociaux tout en gardant votre compte et en le consultant épisodiquement, vous garderez ainsi contacts avec vos ami·es. Cependant notez bien que les réseaux sociaux sont conçus pour vous attirer donc cette stratégie est complexe à mettre en place dans la pratique.
2. Attaques spécifiques aux téléphones portables
On essayera de voir les spécificités et quelques mesures de protections face aux attaques suivantes :
– récupération des données que stockent les fournisseurs d’accès téléphoniques,
– récupération des données que stockent les applications de vos téléphones (par exemple via une perquisition d’un téléphone lors d’une garde à vue),
– prise de contrôle d’un téléphone à distance (via divers bugs d’applications).
2.1. Les données accessibles via les opérateurs téléphoniques : géolocalisation et métadonnées
Tout ce que l’on dit là concerne tout les téléphones portables, qu’ils soient dits intelligents ou pas.
Toutes les 5 minutes, votre téléphone envoie un signal aux antennes proches (qui peuvent déterminer votre position via une triangulation de 3 antennes), le numéro de la carte SIM active dans le téléphone ainsi que le numéro IMEI de l’emplacement de la carte SIM. Le numéro IMEI est un numéro de série qui identifie de manière unique le téléphone.
Dès que vous passez un appel ou envoyez un SMS, les opérateurs téléphoniques stockent les métadonnées de ce coup de fil ou SMS pendant 2 ans dans la facture détaillée. Ces métadonnées consistent en : géolocalisation approximative des deux correspondant.es, date et heure de la communication ainsi que durée de l’appel.
Attaque possible : récupération des métadonnées et de la géolocalisation via une simple demande
La police peut demander aux opérateurs les informations suivantes de manière automatique et très rapide⁷ (le prix fixé au journal officiel est entre parenthèses) :
– identification d’une personne via son numéro de téléphone (4,59 euros),
– obtenir la facture détaillée d’un numéro de téléphone (15,30 euros),
– mettre sur écoute un numéro de portable (24 euros),
– liste des numéros utilisant telle borne de télécommunication (12,75 euros),
– en cas de cartes prépayées, la police peut demander où a été vendue cette carte pour 15,30 euros,
– les adresses IP auxquelles un téléphone se connecte.
Comment marche schématiquement la surveillance automatisée de masse des militant.es
La facture détaillée d’un numéro de téléphone contient de nombreuses informations analysables facilement par ordinateurs. C’est un moyen d’enquête utilisé massivement. Un exemple d’utilisation de ces données est le suivant : on attribue à chaque personne un score de dangerosité via ses déplacements dans des lieux de lutte et ses communications avec d’autres militant·es. On peut ainsi détecter de nouveaux lieux de luttes de manière totalement automatisée en remarquant que beaucoup de personnes avec un haut score de dangerosité s’y rendent. De même on peut détecter les nouveaux et nouvelles militant·es via les communications qu’iels ont avec d’ancien·nes militant·es et leur passage dans des lieux de lutte. Cet exemple est particulièrement important pour comprendre que la surveillance de masse est un enjeu collectif et non un enjeu individuel.
Pour plus d’informations sur la surveillance de masse liée aux villes intelligentes, lire le manifeste sur le site technopolice.fr.
Face à la géolocalisation : cartes SIM prépayées et ne pas toujours prendre son téléphone avec soi
Il est possible d’utiliser des cartes SIM prépayées (Lebara, Lycamobile par exemple). On peut associer une fausse identité à ces cartes SIM et non sa vraie identité. Il n’empêche que votre carte SIM prépayée sera quand même géolocalisée toutes les 5 minutes. De plus, les autorités pourraient recouper votre fausse identité d’une carte SIM prépayée avec votre vraie identité civile un jour. Les prix des appels, des SMS ainsi que des données Internet des cartes SIM prépayées sont importants.
Notez bien que si vous mettez une carte SIM prépayée avec une fausse identité dans un téléphone que vous utilisiez auparavant, le numéro IMEI du téléphone reste le même. Cela permet d’établir un lien entre votre fausse identité et votre vraie identité. Si vous achetez un téléphone neuf avec un moyen de paiement nominatif, le numéro IMEI du téléphone sera aussi relié à votre identité. Pour compliquer la tâche des autorités de relier votre fausse identité de carte SIM prépayée avec votre vraie identité, utilisez un téléphone acheté cash où vous n’avez jamais mis de cartes SIM à votre nom.
Notez que même des solutions partielles comme les cartes SIM prépayées sous des faux noms peut considérablement compliquer le travail de la justice. Même si les services de renseignement arrivent à relier votre fausse identité à votre vraie identité, ils devront encore le prouver aux juges.
Pour éviter d’être géolocalisé, on peut choisir de ne pas prendre systématiquement son téléphone avec soi et ne le consulter qu’à un lieu quasi-fixe. Faites attention, les changements d’habitude abrupts (éteindre son téléphone juste avant une manifestation par exemple) sont facilement repérables par une analyse automatisée. Il vaut mieux si cela est possible le laisser allumer chez soi comme si on était resté à la maison.
Enlever sa carte SIM et éteindre son téléphone régulièrement et en faire une habitude est utile.
Pour laisser moins de métadonnées, utiliser les applications de communication via Internet
Pour protéger nos données de ces attaques de la police, on peut choisir de communiquer via nos téléphones exclusivement en utilisant nos connexions Internet via diverses applications comme Signal, Conversations ou Element (voir plus bas). Même en demandant à votre fournisseur d’accès internet votre relevé détaillé de la facture d’Internet, la police aura accès à moins de métadonnées. En effet, le fournisseur d’accès Internet saura juste que vous demandez à communiquer avec le serveur de Signal à telle heure et pas avec qui vous souhaitez communiquer.
Face aux écoutes, choisissez bien vos sujets de discussion par téléphone
N’hésitez pas à couper votre interlocuteur.ice si iel parle d’un sujet sensible par téléphone. Cela n’est absolument pas le bon moyen de communication pour ce genre de discussions car les SMS et appels ne sont pas chiffrés et donc visibles par l’opérateur ainsi que par la police en cas de mise sur écoute.
Il est important de noter que les écoutes sont enregistrées numériquement, stockées et peuvent resservir des années plus tard lors d’une enquête.
2.2. Données accessibles via les applications de vos téléphones
Chaque fois que vous installez une application, cette dernière stocke des données sur votre téléphone ainsi que sur des serveurs distants (le « cloud »). La police peut récupérer ces données par exemple en accédant à votre téléphone via une perquisition ou en demandant aux propriétaires ou développeurs de l’application les données qu’ils ont sur vous.
Ces données peuvent être les suivantes :
pour les applications de messagerie, l’intégralité de vos messages potentiellement même ceux supprimés,
pour les applications de type GPS, toutes les adresses que vous avez rentrées dans votre GPS ainsi que l’historique de vos trajets,
pour les applications d’achats, l’historique de vos achats, vos cartes bleues enregistrées, vos recherches,
pour les navigateurs Web, votre historique de navigation (même s’il est supprimé de votre téléphone si les serveurs de l’application le stockent),
vos photos, vidéos, etc,
vos contacts.
Mesures de protection : chiffrer votre téléphone et limiter les données des applications
Vous ne pouvez pas garantir que les autorités n’auront pas accès aux données que vos applications stockent. Lors d’une perquisition d’un téléphone, considérez que toutes les données de votre téléphone sont accessibles aux autorités facilement. Vous pouvez essayer de ralentir la police au maximum en choisissant de chiffrer votre téléphone avec un code de déverouillage long. Cette option est disponible sur de nombreux systèmes d’exploitation. Cependant sachez que le chiffrement des données ne sera utile que si le téléphone est saisi quand il est éteint. De plus des entreprises comme la société israélienne Cellebrite ont annoncé avoir trouvé des failles⁸ face au chiffrement des données de plusieurs marques de téléphones.
La stratégie de protection principale est donc tout simplement de limiter les données que stockent les applications de votre téléphone. Sur toutes les applications, vous pouvez modifier les paramètres de confidentialité. Mettez les au maximum systématiquement.
On conseille de se séparer définitivement de tout téléphone qui a passé un moment dans les mains de la police loin de votre surveillance car des mouchards peuvent y avoir été mis.
Mesure de protection : ne pas se fier aux applications financées en revendant vos données
Dans la mesure du possible, désactivez le stockage de vos données sur le cloud ce que de nombreux téléphones et nombreuses applications font automatiquement. Vos données ne devraient être stockées que en local sur votre téléphone et non sur des serveurs distants. Cela peut être compliqué à faire avec certaines applications comme celles que les GAFAM⁹ proposent.
Vous ne pourrez en effet jamais faire confiance à des applications qui se financent en revendant vos données pour ne pas conserver vos historiques de données. Choisir des logiciels dits libres10, c’est quelques fois trouver des applications faites par des personnes luttant pour la vie privée sur Internet et contre la surveillance de masse.
Ainsi pour installer des logiciels sur Android, on recommande d’utiliser F-Droid et non le Google Play Store. Comme application GPS, on préférera OpenStreetMap et Firefox ou Tor Browser comme navigateur Web.
En général, essayez de limiter au maximum votre dépendance aux GAFAM. On recommande ainsi de limiter au maximum la présence sur les réseaux sociaux (Twitter, Facebook, Instagram, etc.), de ne pas utiliser Chrome ou Gmail, etc.
2.3. Prise de contrôle à distance d’un téléphone
On quitte ici le domaine de la surveillance de masse pour la surveillance individuelle. Les services de renseignement ont eu les moyens de prendre le contrôle total des téléphones à distance et l’ont probablement encore aujourd’hui. On ne sait pas exactement si cela est facile ou pas, si cela est fréquent ou pas et cela dépend des marques des téléphones mais cela est une possibilité.
Cette attaque permet entres autres de :
– noter tout ce que vous écrivez dans votre téléphone (mots de passes, etc.)
– activer le micro à distance,
– activer la caméra à distance.
Face à cette attaque, il y a peu à faire. On peut essayer de l’empêcher en amont en installant le moins d’applications possibles et en désactivant le Bluetooth. C’est souvent via des failles de sécurité du Bluetooth ou d’une application que l’attaquant s’introduit dans votre téléphone. Cela peut aussi être en vous envoyant un SMS avec un lien comme pour le logiciel Pegasus11.
On peut aussi cacher les caméras des téléphones via des stickers pour éviter que quelqu’un ayant piraté votre téléphone puisse prendre des photos ou vidéos sans que vous le sachiez.
Ne pas utiliser de téléphones ou ne pas l’avoir avec soi ou l’utiliser le moins possible constituent les meilleurs méthodes de protection face à cette attaque.
2.4. Conclusion : le téléphone, un objet que l’on peut difficilement protéger
Comme on l’a vu avec la dernière attaque, les téléphones ne seront jamais « sécurisés ». Quoi que l’on fasse, une carte SIM active est géolocalisée toutes les 5 minutes ce qui suffit pour avoir accès à une quantité impressionnante d’informations même si cette carte SIM n’est pas reliée à votre vraie identité (cependant elle pourra l’être plus tard si la police arrive un jour à recouper vos différentes identité numériques et civiles).
Les applications comme Signal permettent d’éviter la surveillance de masse via les factures détaillées de téléphonie mais absolument pas de garantir des communications privées avec d’autres gens dans le cas d’un piratage d’un téléphone présent dans la communication.
Il vaut mieux éviter d’utiliser des téléphones et en avoir le moins souvent besoin pour des activités sensibles. Par exemple il vaut mieux éviter de lire ses mails sur son smartphone si on a un ordinateur accessible pour le faire suffisamment régulièrement.
3. Attaques spécifiques aux ordinateurs
On envisagera les attaques suivantes :
– tentative d’intrusion par virus,
– perquisition de l’ordinateur.
3.1. Les virus
Les virus peuvent s’introduire sur votre ordinateur pour des effets indésirables allant de la récupération de quelques données à la prise de contrôle totale de votre ordinateur en passant par diverses formes d’espionnage (caméra activable à distance, etc.) ou de demande de rançon pour récupérer vos données (ransomware).
Pour vous protéger des virus, on vous conseille de mettre à jour vos applications dès que l’on vous le propose. Il s’agit souvent de mises à jour de sécurité qui vous protègent contre des failles que des attaquants pourraient utiliser pour entrer sur votre ordinateur.
Faites également attention aux documents que vous ouvrez sur votre ordinateur notamment sur Windows. Il n’est pas compliqué de mettre un virus dans un fichier PDF ou Word qui infecte votre ordinateur si vous l’ouvrez avec Acrobat ou MS Office. Les applications libres sous Linux comme LibreOffice sont plus résistantes face à ce type d’attaques.
Un antivirus à jour et un pare-feu sur Windows sont plus que nécessaires pour les utilisateur·ices de Windows. Nous ne savons pas si le pare-feu Windows présent de base sur Windows est suffisant ou s’il faut le compléter avec d’autres applications de protections
Si votre ordinateur a une Webcam, on peut cacher la caméra avec un sticker afin qu’un utilisateur ayant pris le contrôle de notre ordinateur ne puisse pas prendre de photos ou vidéos.
3.2. Les perquisitions
Si votre ordinateur tombe dans les mains de la police et que vous n’avez rien préparé, ils auront accès à une quantité impressionnante de données sur vous. Cela va même jusqu’aux fichiers que vous avez supprimé si vous n’avez pas pensé à les écraser proprement via des applications spécifiques. Le mot de passe administrateur d’un mac ou d’un Windows ne vous protège absolument pas et le choisir long ne servira qu’à vous protéger d’ami·es intrusif·ves n’ayant pas le temps de se renseigner pour les contourner.
Logo de Luks
Pour ralentir l’obtention de vos données, vous pouvez choisir de chiffrer vos données. Plusieurs options s’offrent à vous : Veracrypt ou Luks12. Attention cependant, vous ne pourrez faire confiance au chiffrement de vos données via Luks ou Veracrypt que si votre ordinateur est éteint.
Toutefois si la justice vous présente une demande de vos mots de passes ou clés de chiffrement, vous êtes tenu·es de les donner et vous encourez une peine maximum de 3 ans d’emprisonnement et 270 000 euros d’amende en cas de refus. Ces demandes ne sont que rarement effectuées dans le cadre de gardes à vue mais plutôt lors d’enquêtes plus longues13 donc ne donnez pas vos codes lors des gardes à vue. Veracrypt permet via un système de chiffrement avec deux mots de passe (un vrai et un faux) de tenter de contourner ces demandes en donnant uniquement le faux mot de passe.
Ne faites plus confiance à un ordinateur ou tout autre objet informatique tombé entre les mains de la police. Ils peuvent y installer des programmes espions sans que vous le sachiez. Cela peut même se faire sans que vous le sachiez si des personnes ont accès pendant quelques minutes à votre ordinateur sans surveillance. Un système d’exploitation sur une clé USB comme Tails peut être plus facilement protégé qu’un ordinateur car facilement transportable sur vous à tout moment.
L’autre danger d’une perquisition est la perte de vos données personnelles. Pour contrer cela, pensez à faire des sauvegardes que vous stockez dans des lieux sûrs et que vous actualisez régulièrement.
4. Attaques spécifiques à la navigation Web
On parlera de l’espionnage de votre navigation Web via :
– la demande des données que possède votre fournisseur d’accès Internet
– la surveillance des communications non chiffrées,
– les trackers.
4.1. Données de votre fournisseur d’accès Internet
Quand vous naviguez sur le Web, vous demandez à votre fournisseur d’accès Internet de communiquer avec les serveurs qui gèrent les sites Web que vous visitez. Ce dernier peut donc savoir quels sites vous consultez, ce que vous y faites et stocke ces données. Les autorités peuvent demander à votre fournisseur d’accès Internet l’historique de votre utilisation d’Internet et donc de votre navigation Web en particulier.
Pour se protéger de cette attaque, on conseille d’utiliser Tor. Le principe de Tor est très simple, il essaye de faire en sorte qu’aucun serveur ne sache avec qui vous souhaitez communiquer en utilisant 3 nœuds qui n’ont accès qu’à des informations partielles14.
Fonctionnement du réseau Tor via 3 nœuds.
À défaut d’utiliser Tor, vous pouvez utiliser un VPN. Le principe est similaire sauf qu’à la place d’avoir 3 nœuds tenus par des acteurs probablement différents, vous n’avez plus qu’un acteur intermédiaire entre vous et le serveur final. Cet intermédiaire a donc accès à l’intégralité de vos demandes de communication contrairement à Tor. Cependant votre fournisseur d’accès Internet sait juste que vous souhaitez communiquer avec le serveur de votre VPN.
Pour utiliser Tor, on peut installer Tor Browser sur téléphone ou ordinateur, utiliser le système d’exploitation Tails sur ordinateur ou installer Orbot sur téléphone.
Cependant il est important de noter que la navigation Web n’est pas le seul moment où vous utilisez Internet depuis un ordinateur. En utilisant Tor Browser par exemple, vous ne protégez votre IP que pendant votre navigation mais pas le reste du temps. Le système d’exploitation Tails est pensé pour que absolument toutes les connexions à Internet passent par Tor.
Tor n’est par contre pas parfait et comporte des faiblesses15. Régulièrement, des attaques réussissent contre Tor car de nombreux acteurs puissants (NSA, Europol, FBI, etc.) cherchent à lever l’anonymat que Tor procure notamment dans la lutte contre le marché noir.
De plus, le fournisseur d’accès Internet connaît vos heures d’accès à Tor ainsi que le volume de données qui transitent par Tor. Via ces éléments, on peut tenter de retrouver ce que vous avez fait sur Tor. D’où l’importance d’utiliser Tor pas uniquement pour des activités sensibles. En faisant cela, on participe à cacher dans la masse des personnes ayant besoin de protéger leur anonymat.
4.2. Surveillance des communications non chiffrées
De nombreux sites Internet utilisent encore le protocole HTTP. Ce protocole fait que les communications entre vous et le serveur final auquel vous souhaitez accéder ne sont pas chiffrées ni pour le serveur final ni pour votre fournisseur d’accès Internet.
On conseille d’utiliser le plus souvent le protocole HTTPS qui chiffre vos données de bout-à-bout c’est-à-dire que seuls vous et le serveur auquel vous souhaitez accéder ont accès aux données que vous demandez. Un module installable sur Firefox s’appelle HTTPS everywhere, elle force votre navigateur à utiliser le protocole HTTPS quand cela est possible.
Mais sachez que HTTPS ne vous protège que lors du transport des informations entre vous et le site web que vous consultez16. Ce dernier a toujours accès à de nombreuses informations pour vous identifier.
4.3. Trackers, cookies
Les trackers sont des données que votre navigateur Web fournit aux sites que vous souhaitez consulter qui peuvent permettre de vous identifier et de vous pister. Certains cookies sont des cookies dits de pistage et sont mis par des sites malveillants pour analyser vos habitudes de visite et d’achats en lignes.
Pour vous protéger des cookies malveillants entre autres, on conseille d’installer Privacy Badger, uBlock Origin et Cookie Autodelete sur votre navigateur Firefox. Pensez aussi à mettre les paramètres de confidentialité au maximum et d’être tout le temps en navigation privée.
Mais les cookies malveillants ne sont pas la seule méthode de pistage. Quand vous communiquez avec un site Web, vous communiquez un ensemble d’informations sur votre navigateur, une empreinte17, qui peut vous identifier. Dans cette empreinte, on peut par exemple trouver la résolution de votre navigateur, la version exacte de votre navigateur, le langage de votre navigateur, l’heure de votre ordinateur, les polices d’écritures que vous avez installées, etc.
Le système d’exploitation Tails fait en sorte que cette empreinte de navigateur soit la plus standardisée possible et soit la même pour toustes les utilisateur·ices de Tails. N’hésitez pas aussi à utiliser systématiquement Tor Browser. Plus de personnes utiliseront Tor Browser, plus ce navigateur aura une empreinte générique.
5. Attaques spécifiques aux systèmes de messagerie instantanées
Les conversations qui passent via Internet sont souvent chiffrées : Signal, XMPP, Matrix, mails, etc. On va essayer de comprendre comment ça se passe précisément pour mieux visualiser les risques de ces mécanismes de chiffrements.
Quand un message va de Alice à Betty via Internet, des données transitent par un grand nombre de serveurs. Les systèmes de chiffrement font en sorte que ces serveurs intermédiaires ne puissent pas déchiffrer ces données en le contenu du message entre Alice et Betty.
Si aucun mécanisme de chiffrement n’est mis en place pour une conversation sur Internet, cela signifie que des attaques sur n’importe quel serveur intermédiaire permettent de récupérer la conversation.
5.1. Transfert des mails
La plupart des clients mails utilisent le protocole TLS qui est un système de chiffrement. Ce protocole chiffre la communication entre les serveurs mails de l’expéditeur·ice et du destinataire.
Cependant les serveurs de mails ont accès aux communications et peuvent les lire. Par exemple, si vous utilisez un compte Gmail, Google lit vos communications et récupère les données.
Les serveurs de mails ont accès aux contenus de vos mails si vous n’utilisez que le protocole TLS (présent souvent par défaut). Cela n’est pas le cas quand vous utilisez le protocole PGP.
Un système de chiffrement dit bout-à-bout est un système qui chiffre les communications de manière à ce que seul·es le ou la destinataire et l’expéditeur·ice puisse déchiffrer. Le système TLS n’est donc pas un système de chiffrement bout-à-bout.
Pour mieux vous protéger, y compris de vos hébergeurs d’adresse mails, on vous conseille d’utiliser le protocole PGP18 qui est un mécanisme de chiffrement bout-à-bout que vous contrôlez. Vous n’aurez de plus plus à faire confiance aux acteurs intermédiaires pour bien chiffrer vos données vu que vous le ferez vous-mêmes.
Faites attention également aux usurpations d’identité. Il n’est pas si compliqué de se faire passer pour quelqu’un·e d’autre lors de l’envoi d’un mail. On ne peut donc pas être certain·e sans procéder à des vérifications que c’est bien la personne que vous pensez qui vous envoie un mail même si l’adresse mail semble correspondre.
Le système PGP vous protège de ces usurpations via un système de signature numérique.
Les métadonnées de vos communications mails (heure d’envoi, émetteur et destinataire) restent accessibles à de nombreux acteurs quels que soient le protocole.
Illustration expliquant le fonctionnement du protocole PGP.
Client mail ou webmail?
Les clients mails comme Thunderbird, l’application « Mails » d’Apple permettent de centraliser sur une même application plusieurs adresses mails. On conseille de les utiliser uniquement si le disque dur de l’ordinateur est chiffré car sinon toute personne ayant accès à votre ordinateur pourra lire vos mails. Il faudra préférer consulter ses adresses mails sur Tor Browser si le disque dur n’est pas chiffré.
Si le disque dur est chiffré, les clients mails sont bien pratiques notamment si on a plusieurs adresses mails car on compartimente les adresses selon les usages. On peut les configurer pour que la connexion aux serveurs mails passent par Tor ; cela est fait automatiquement sur Tails.
5.2. Signal, WhatsApp, Telegram, XMPP, Matrix
Signal, WhatsApp, Telegram, XMPP, Matrix utilisent un protocole de chiffrement bout-à-bout avec quelques spécificités selon les protocoles sur lesquels on ne s’attardera pas ici19. Ce principe assure que les seuls appareils ayant les clés de déchiffrement des messages sont ceux des correspondant·es. Les serveurs qui permettent la conversation (par exemple celui de Signal) ne peuvent pas déchiffrer les conversations. Cela assure que si les autorités piratent uniquement les serveurs de Signal, ils n’auront pas accès aux messages mais seulement aux métadonnées.
Ce chiffrement bout-à-bout ne protège par contre pas d’attaques visant les appareils des correspondant·es et les autorités essaient de trouver des solutions pour avoir accès aux messages via des failles20.
Signal, Telegram et WhatsApp utilisent votre numéro de téléphone portable. Cela est un risque car comme on l’a vu, les autorités peuvent récupérer votre nom via un numéro de téléphone portable si vous payez un abonnement à votre nom.
C’est pourquoi l’on préfère XMPP ou Matrix qui demandent juste un compte XMPP ou un compte Matrix pour fonctionner ce qui est plus anonymisable. À défaut, on préfèrera Signal à Telegram ou WhatsApp car Facebook contrôle WhatsApp et Telegram envisage de se financer via de la publicité.
Logo de XMPP
On pourra aussi essayer d’enregistrer un compte avec un faux numéro de téléphone ; diverses techniques sont possibles.
De plus XMPP et Matrix sont des applications décentralisées ce qui peut compliquer la tâche des autorités pour récupérer des métadonnées. En effet les applications centralisées centralisent ces métadonnées sur un seul serveur. Si les autorités arrivent à pirater le serveur de Signal, ils ont donc accès aux métadonnées de toutes les conversations passant par Signal.
Dans le cas d’une application décentralisée, pour avoir accès aux métadonnées d’une conversation, il faut que les autorités piratent un serveur utilisé pour cette conversation. En piratant ce serveur, elles n’auront accès qu’aux métadonnées des utilisateur·ices de ce serveur et pas aux métadonnées d’autres conversations passant par d’autres serveurs. De plus les applications décentralisées sont moins sensibles aux attaques par déni de service21 pour bloquer les communications.
Une attaque spécifique aux applications utilisant un numéro de téléphone comme Signal, Telegram ou WhatsApp est la suivante. Les autorités pourraient demander à un opérateur une copie de votre carte SIM, installer Signal dessus et récupérer ainsi l’intégralité de vos messages sur un smartphone qu’ils possèdent22 si elles ont accès au code PIN que vous avez donné à Signal.
Pour vous protéger de cette attaque, pensez à choisir un code PIN long et unique à votre compte Signal. Choisissez de même un mot de passe sécurisé pour vos comptes XMPP ou Matrix.
5.3. Hébergeur d’adresse mails
Selon l’adresse mail que vous avez, vos données sont stockées sur des serveurs différents (les serveurs de riseup pour les adresses riseup, les serveurs de Google pour Gmail, etc.). Ces serveurs ont souvent accès au contenu de vos mails si vous n’utilisez pas le protocole PGP. Ils ont en tout cas accès aux métadonnées des mails, c’est-à-dire aux heures des communications et aux adresses mails qui communiquent.
Choisir un hébergeur mail, c’est choisir à quel serveur vous faites confiance. Faites vous plutôt confiance à riseup ou à Google ? La réponse n’est pas si évidente car vu que beaucoup de militant·es utilisent riseup, les serveurs de riseup sont surveillés et subissent des attaques régulières.
Pour se protéger face aux attaques sur les serveurs mails que vous utilisez, vous pouvez :
utiliser le protocole PGP de chiffrement des mails pour que même le serveur mail n’ait jamais accès à vos mails sans votre clé privée personnelle,
essayer de décentraliser vos données au maximum et ne pas tout mettre sur les mêmes serveurs (on devrait ainsi éviter de toustes utiliser riseup)23.
Un des dangers de la centralisation des adresses mails sur les mêmes serveurs par exemple riseup est l’attaque par déni de service (DoS). Un attaquant peut empêcher toustes les utilisateur·ices d’un même serveur d’accéder à leurs mails pendant un laps de temps en attaquant ce serveur. Cette attaque peut bloquer vos communications. Elle est similaire dans ce sens au brouillage d’antennes réseau pour la téléphonie mobile.
Une adresse mail peut tendre vers l’anonymat si vous compartimentez ses usages. Avoir plusieurs adresses mails pour notre vie personnelle, notre travail, notre activité militante est bénéfique. Sinon les autorités peuvent retrouver votre identité via votre adresse mail. On pourra aussi choisir d’avoir plusieurs adresses mails24 selon les lieux de lutte que l’on visite de la même manière qu’on pourra choisir différents pseudos selon les lieux de lutte sur lesquels on va.
5.4. Fiabilité des mécanismes de chiffrement
L’attaque frontale des mécanismes de chiffrement demande une puissance de calcul considérable. La seule menace concrète pour des particuliers est en cas d’évolution de technologie permettant de calculer beaucoup plus rapidement qu’avant ce qui compromettrait l’ensemble messages chiffrés du passé. Certains mécanismes ont intégré ce risque pour éviter qu’on puisse déchiffrer un vieux message après un certain temps25.
6. En pratique, que faire ?
6.1. Prendre au sérieux la surveillance numérique
Ce guide n’est pas uniquement pour les militant·es aguerri·es. La surveillance numérique est principalement mise en place grâce à de grandes bases de données26 récupérées via de nombreuses personnes y compris des personnes qui pensent n’avoir rien à cacher27. Ces données sont ensuite analysées par ordinateur.
Dans une conversation à plusieurs, c’est la personne la moins protégée qui détermine le niveau de sécurité de la conversation. Se protéger, c’est donc aussi protéger les autres. La surveillance est un enjeu collectif et non individuel.
6.2. Bien choisir son système d’exploitation pour son ordinateur
On pourra différencier les systèmes d’exploitation selon les usages que l’on fait (personnel, militant, travail, etc.). On pourrait ainsi avoir une clé Tails pour un usage militant et un ordinateur avec Linux pour un usage plus personnel (famille, achats en ligne, etc.).
Le système d’exploitation Tails est facilement utilisable par une personne ayant peu de connaissances informatiques28. Parmi les avantages qu’une clé Tails offre, on peut citer entre autres :
Tails propose un environnement qui vous protège contre un grand nombre d’attaques et vous empêche de faire certaines erreurs,
Tails vient équipé en applications pratiques,
Tails passe par Tor systématiquement pour l’intégralité de vos connexions à Internet,
les utilisateur·ices de Tails se ressemblent sur Internet ce qui procure une certaine forme d’anonymat,
vos données dans le stockage persistent d’une clé Tails sont chiffrées via Luks.
Les problèmes de Tails sont les suivants :
complexité d’installer d’autres applications que celles fournies de base,
le fait de passer par Tor systématiquement vous empêche parfois de vous connecter à des services que vous utilisiez d’habitude,
surveillance considérable de Tails et attaques quelques fois réussies contre Tails29. Tails peut donner un faux sentiment de sécurité ce qui peut être dangereux.
Linux, plus compliqué à protéger mais plus flexible
Linux est l’autre choix naturel pour la protection numérique. Il permet de chiffrer l’intégralité de votre disque dur via le système Luks ce qui n’est pas négligeable. De plus, peu de virus existent sur Linux.
Il faudra par contre installer vous-mêmes Tor et vous y connaître un peu pour protéger votre anonymat sur Internet.
Windows ou Mac plutôt à éviter
Beaucoup de virus sont présents sur Windows alors que les Mac et Linux sont moins sujets aux virus. Ces derniers sont en effet des systèmes d’exploitation plus rares ce qui rend le développement de virus moins rentable. Cela est un point positif mais n’empêche absolument pas des développeurs malveillants de créer des virus pour Linux, Mac ou même Tails.
On conseille d’éviter Windows et Mac aussi parce que les sociétés Microsoft et Apple sont des multinationales contre lesquelles de nombreux·ses militant·es luttent.
6.3. Faites des sauvegardes régulières de vos données
Les sauvegardes permettent de récupérer vos données en cas de perte de votre matériel informatique (accident, perquisition, etc.). Si vous utilisez Tails, il est possible de faire une copie conforme de votre clé Tails30. Pour les ordinateurs sur Linux, Windows ou Mac, vous pouvez avoir un disque dur chiffré où vous copiez les données que vous ne souhaitez pas perdre. Stockez vos sauvegardes dans des endroits à l’abri des perquisitions.
6.4. Sécuriser ses échanges mails et préférer les mails aux échanges via téléphone
On pourra faire attention à créer plusieurs adresses mails selon les usages : personnel, militant, etc.
Les mails sont globalement plus sécurisables que les téléphones à condition d’utiliser le protocole PGP et de ne jamais consulter ses mails sur son téléphone. Ce protocole n’est pas compliqué à mettre en place. Attention cependant à ne pas perdre vos clés de chiffrement en faisant des sauvegardes dans des lieux sûrs.
6.5. Les téléphones : utilisation minimale et applications de messagerie via Internet
On peut essayer au maximum de garder nos téléphones loin de nous la plupart du temps. Cela nous forcera à moins compter sur eux et limitera notre dépendance à cet outil dangereux31. Si on prend en plus l’habitude d’enlever sa carte SIM quand on n’utilise pas son téléphone, c’est encore mieux.
Pour éviter d’être trop facilement espionnables, on préfèrera utiliser des applications de messagerie par Internet comme Signal, Conversations pour le protocole XMPP ou Element pour Matrix tout en étant conscient·e que ces outils ne vous protègent pas contre tout les types d’attaques.
On pourra aussi choisir d’utiliser au maximum des cartes SIM prépayées pour compliquer la géolocalisation de notre identité. Pour coupler ça à l’utilisation d’applications de messagerie par Internet, on peut par exemple fonctionner par partage de connexions avec des cartes SIM prises par des prêtes noms qui acceptent d’être géolocalisés à un endroit où iels ne sont pas.
6.6. Bien gérer ses mots de passe et options de confidentialité
Si cela n’est pas déjà fait, on peut choisir un nouveau mot de passe fort pour créer une base de données de mots de passe et tendre vers le fait d’avoir des mots de passe uniques pour chaque service que l’on utilise.
On conseille de mettre au maximum les options de confidentialité des applications que l’on utilise et installer des modules supplémentaires de protection de la vie privée. Sur Firefox, on recommande les modules suivants : Privacy Badger, Ublock Origin, HTTPS everywhere, Cookie Autodelete.
6.7. Limiter l’utilisation des réseaux sociaux
Le mieux est évidemment de quitter les réseaux sociaux. Si cela est compliqué pour vous, limitez votre activité dessus au strict minimum. Pour aider collectivement les personnes quittant les réseaux sociaux, ne postez que des documents (articles, images, vidéos, etc.) déjà présents sur un autre support et en mettant un lien vers ce dernier.
Boîte à outils de la Zad du Carnet Pas de Copyright. Reproduction vivement conseillée
Le logo de Tails a été oublié dans les images. Il sera ajouté dans la prochaine version
Dans la partie sur les clients mails, on a oublié de parler des interactions entre le protocole PGP et le client mail ou webmail.
Ajout d’ateliers pratiques à la fin du guide
Ajout de dispositions matérielles possibles et d’estimation des prix
Remplacement du terme schizophrène dans l’intro par incohérent pour ne pas stigmatiser les personnes souffrant de schizophrénie et éviter une confusion classique entre schizophrénie et trouble de dissociation de l’identité.
Changement de la partie mot de passes : vous êtes nombreux.ses à nous avoir signalé qu’utiliser des mots du dictionnaire baisse beaucoup l’entropie du mot de passe (cela veut dire approximativement que cela baisse la difficulté à attaquer le mot de passe par force brute). Nous changerons donc nos conseils dans cette partie.
Nous reformulerons la partie sur les métadonnées pour mieux distinguer la surveillance de masse (métadonnées) et la surveillance plus individualisée (écoutes).
Note 11 du pdf : erreur dans l’url du lien à corriger.
Nous développerons peut être un peu plus les conseils sur les hébergements de clients mails.
Le 3 novembre, nous avions fait une banderole de soutien à la Grande Ourse. La manifestation contre l’expulsion prévue initialement le 31 octobre avait été reportée le 9 janvier à Angers. C’est bientôt. On envoie tout notre soutien au squat de la Grande Ourse !!
Viens te réchauffer à la ZAD du Carnet le samedi 23 et le dimanche 24 janvier à l’occasion du grand weekend de chantiers collectifs !
Les températures baissent mais pas notre détermination à maintenir l’occupation ! Plusieurs chantiers sont en cours à la ZAD du Carnet, viens donc finir avec nous ces constructions !
Au programme du week-end :
Chantier dortoir collectif à l’accueil de la zone,
Chantier en mixité choisie,
Animations,
Cantine collective.
Pour plus d’infos sur comment venir sur la ZAD, consultez notre site web : https://zadducarnet.org/index.php/venir-nous-rejoindre/. Si cela est possible, ramenez de quoi vous couvrir chaudement et dormir. Sinon il y a de la place pour dormir dans des dortoirs collectifs avec des couvertures.
Pense à prendre des outils si tu peux ! En particulier nous aurons besoin d’outils électriques (scies sauteuses, visseuses, disqueuses) et de scies. Pour connaître notre liste complète de besoins actualisées, c’est ici : https://frama.link/besoinscarnet/.
Et pour toi qui ne vois pas ce que c’est, toi qui utilises Twitter, ou Facebook, nous t’invitons à venir jeter un coup d’œil !
Un réseau décentralisé c’est un réseau sans autorité centrale, composé d’acteur·ices divers·es et varié·es, avec chacun·es leurs règles. Mastodon c’est un peu comme Twitter, mais sans Twitter !
Si ça t’intéresse d’en savoir plus, voire de rejoindre, tu peux suivre ce lien : https://joinmastodon.org !
Certains n’y voient qu’une preuve de la décadence, la paresse et l’encrassement généralisé que représente la ZAD dans leur esprit. Le lien étant vite établi entre l’espèce du zadiste de base et la caste des chômeurs pouilleux, c’est tout naturellement que surgit le mot « schlag », qui désigne habituellement une loque humaine – à savoir un individu louche, sale, pauvre et mal famé. Mais la schlaguerie est bien plus grandiose ! C’est une véritable tendance, qui se cultive …
« Ah, tu te zadifies ! » ; combien de fois par jour entend t-on cette expression bénie marquant le fameux rite de passage à l’état zadiste de la chose ? C’est à dire le moment où la couleur des chaussures s’uniformise à celle de la gadoue, où l’on accepte enfin que la vaisselle ne sera jamais faite et qu’on devient expert dans la maîtrise du freinage de vélo sans frein. On adopte la schlag attitude. On renonce au monde de l’ordre, de la propreté et du rangement, illusion d’une société nette et harmonieuse.
On choisit l’esthétique du sauvage, de la pagaille ; peu à peu les espaces se transforment, l’air lui-même se zadifie. Par le refus d’un ordre préconçu de l’univers où chaque chose a une place et un rôle bien défini, on réinvente le quotidien. La discipline exercée ordinairement sur les objets pour qu’ils correspondent à nos attentes se change en un acharnement collectif pour les faire parler. Par une multitude d’initiatives créatives individuelles, tout se dérègle, les idées saugrenues s’additionnent, dialoguent en différé : l’autogestion devient une pratique artistique. Ce qui est cassé n’est pas réparable car ce qui répare est cassé aussi, et puis on manque de matos et on ne manque pas de flemme, alors on bricole avec ce qu’on a sous la main sans se préoccuper du résultat. Rien ne convient, ça se recassera la figure, mais tant que ça tient, ça tient ! Peut-être que c’est aussi l’effet que ça fait de construire en sachant que tout sera bien plus vite détruit.
Le concept de la schlaguerie, c’est crier « tant pis » pour se mettre à chérir l’imperfection et cultiver l’étrange. C’est aimer être hilare devant une chaise, une peluche ou un parapluie. C’est se dire qu’il n’y a ni urgence, ni sérieux, ni souci.
Et si le schlag, c’était laisser un peu de place à la vie ?
Teufeur·se intrépide se préparant à avaler les kilomètres pour célébrer la nouvelle année en territoire libre, ce message t’est adressé·e. Nous avons le regret de te dire qu’il n’y aura pas de grosse fête à la ZAD du Carnet le soir du nouvel an.
Ce soir particulièrement requiert la vigilance de nombreuses personnes sur zone. La ZAD n’est pas un lieu de teuf, mais un lieu de vie et de lutte. Le 31 comme tous les autres soirs, nous serons nombreux·ses à être vigilant·es aux barricades pour défendre l’île du Carnet.
Tu es bienvenu·e pour venir vivre avec nous à la ZAD du Carnet et découvrir notre vie. Tu y seras accueilli·e chaleureusement !
Nous te souhaitons un très bon réveillon du nouvel an !
