Le début d’année peut être l’occasion de faire un point sur vos usages numériques et surtout sur la sécurité de vos données et comptes en général. Backup, gestionnaire de mots de passe, authentification à deux facteurs, VPN, virus et ransomware, on fait un tour rapide des recommandations en la matière. Il est temps de prendre une bonne résolution numérique.
Faites des backups (sauvegardes)
NAS (Network Attached Storage) ou périphérique de stockage en réseau ou cloud ne font pas tout. Vous n’êtes JAMAIS à l’abri du scénario catastrophe : le chiffrement par virus ransomware de l’ensemble de votre PC et la synchronisation des données ainsi rendues illisibles dans le cloud. Votre sauvegarde cloud ne vous servirait alors à… RIEN !!!!
Possible aussi, la suspension de votre compte google.
Bref, il n’y a AUCUNE solution ultime en matière de sauvegarde. La clé réside dans la multiplicité des supports et lieux de sauvegarde, tout simplement.
Pour ma part j’ai opté pour le schéma suivant :
- Dossier de l’année en cours uniquement sur le PC (photos, documents de travail). On évite ainsi le fouillis et les pertes.
- Backup automatique quotidien avec SyncBack (gratuit) sur le NAS qui stocke quand à lui l’ensemble de mes données
- Synchronisation en temps réel de l’ensemble du NAS en chiffré dans le cloud, SANS effacement des données. On évite ainsi les erreurs de manip au prix d’un espace occupé plus important. Un nettoyage manuel occasionnel est nécessaire. J’utilise encore Hubic, plus disponible mais toujours ouvert aux clients existants donc je fais partie. Les stockages cloud de plus de 1To restent à des prix prohibitifs et font des utilisations douteuses de vos datas. Dans tous les cas, il faut absolument chiffrer les données sauvegardées (méthode possible) pour éviter ce travers. Voir article détaillé sur ma méthode basique, appliquée depuis 2016 ici.
- Dernier rempart : 3 disques dur chiffrés dans une armoire sur mon lieu de travail. J’utilise Truecrypt 7.1a pour chiffrer la partition entière. A faire manuellement tous les 6 mois (Noel + Congés été). Ainsi la perte maximale de données sera de 6 mois.
Une bonne résolution : effacez vos disques durs et smartphones de façon sécurisée
Vous avez récemment vendu un smartphone d’occasion ou un vieux PC ? La plupart des utilisateurs n’effacent pas correctement les données qui sont facilement récupérables pour usurpation d’identité par la suite. Quand on dit effacer, ce n’est pas effacer depuis l’interface du téléphone mais bien via un logiciel PC, avec le téléphone ou disque dur branché par USB.
Le logiciel d’effacement profond va alors écrire des données aléatoires (ou des 0 ou 1) sur chaque portion de mémoire, plusieurs fois (on parle de passes) pour rendre irrécupérables les données.
Oublier CCleaner, victime de failles de sécurité ces dernières années. Privilégiez les outils présentés dans cet article sur l’effacement de données.
Savoir ce qu’est un ransomware
Les ransomwares (logiciels rançon) chiffrent l’intégralité de votre disque dur et vous demandent une rançon pour pouvoir récupérer vos fichiers. Certaines administrations ont été contraintes de passer à la caisse pour des sommes faramineuses.
Plusieurs règles à retenir :
- Ne jamais payer. Vos données ne vous seraient de toute façon sûrement pas restituées et l’argent servira à des actions peu recommandables (terrorisme, achats d’armes, réseaux mafieux etc.)
- Débrancher immédiatement la prise de courant ou éteindre le PC en force. Plsu vous attendez plus une large portion de votre disque sera chiffrée. Si vous vous y prenez tôt, il sera possible de brancher le disque sur une machine sous linux par exemple et récupérer des données saines. Ne PAS redémarrer le PC.
- Aller sur le site nomoreransom.org et voir si un déchiffreur existe.
La plupart des antivirus sont inutiles
Windows Defender est très bon contrairement à il y a quelques années. Il est amplement suffisant pour un usage domestique classique.
Attention à ne pas mettre un truc inutile, j’aurais tendance à éviter les antivirus gratuits qui ralentissent votre machine et ne font pas bien le boulot. Rester sur les grandes marques payantes comme Kaspersky si vraiment vous avez un besoin spécifique.
Il vaut mieux corriger le problème à la source en installant quelques extensions Chrome ou Firefox limitant les sites malveillants et les malwares si le PC est utilisé par une personne vulnérable à ce genre de virus.
Attention aux VPN
Un VPN est une sorte de tunnel chiffré pour ne pas dévoiler à votre FAI (ou hotspot Wifi) le contenu du traffic internet consulté. Le risque est de déplacer le problème et de fournir ces données sur un plateau à des prestataires douteux (faux Hotspot mis en place par un pirate dans un McDonalds, cela ne prend que quelques secondes).
Avec un VPN, on déporte la confiance : autant dans un hôtel ou lieu public, vous pouvez préférer faire confiance à votre prestataire VPN plutôt qu’au fournisseur de wifi. Mais même pour cet usage là, mieux vaut partager votre connexion 4G de téléphone en passant en mode hotspot.
Pour d’autres usages, mieux vaut utiliser un VPN payant et de confiance. La plupart se targuent être sans log, c’est souvent faux.
Voici une liste mise à jour régulièrement et qui pousse TRÈS TRÈS loin le comparatif de quasiment tous les services VPN : thatoneprivacysite. Une bonne résolution numérique est de s’en tenir aux meilleurs de la liste.
Vos mots de passe ne sont pas sûrs !
Utiliser un gestionnaire de mot de passe
Pourquoi un mot de passe robuste ? Il est extrêmement facile de trouver un mot de passe contenant des chiffres, des mots de la langue française, ou un mot de passe utilisé ailleurs.
Les hackers attaquent les mots de passe en utilisant des dictionnaires de mots de passe et les ordinateurs récents permettent de tester plus de 100 000 mots de passe par seconde sans souci !! Votre mot de passe password ou azerty sera trouvé en une fraction de seconde et Arnaud1978 en quelques secondes de plus !
Ces dictionnaires s’enrichissent régulièrement de tous les mots de passes capturés sur des services mis en défaut (Facebook, Google, etc. subissent des failles).
Si vous utilisez le même mot de passe partout (même très robuste), il suffit qu’un service soit victime d’un piratage pour que tous vos comptes soient vulnérables, instantanément.
La solution consiste à utiliser un gestionnaire de mot de passe qui retiendra pour vous des mots de passe uniques et très robustes, et peut même vous alerter pour les changer tous les ans par exemple.
- Lequel utiliser ? Je conseille Keepass car pas de stockage en ligne, libre et gratuit. Lastpass et compagnie me gênent car votre base est stockée dans le cloud. Vous confiez la sécurité de tous vos mots de passe à un prestataire extérieur, qui plus est payant et non libre. Au pire, pour un utilisateur non aguerri c’est mieux que d’enregistrer dans Chrome ou Firefox.
- Utiliser des mots de passe aléatoires, très longs, différents pour chaque service
- Faire expirer ses mots de passe, tous les 6 mois pour les services primordiaux comme votre Email, FAI, impots etc.
- Sauvegarder la base régulièrement et sur support externe non connecté (pour éviter le chiffrement par un ransomware)
Sur Android, accès possible à votre base de mots de passe via KeePass2Android ou mieux, KeePass DX.
Authentification double facteur (2FA) avec application dédiée
Cette méthode est fortement recommandée pour votre mail principal, backoffice de votre blog, logiciel de jeux video type Steam avec beaucoup d’argent dépensé ou stocké.
Elle consiste à saisir un second mot de passe (souvent une suite de chiffres) généré toutes les 10 secondes par une application installée sur un de vos périphériques de confiance (smartphone / PC)
- Utiliser des solutions logicielles comme andOTP pour Android ou Google Authenticator
- Bannir coûte que coûte les doubles authentifications par SMS. La mode est au simswapping, permettant de récupérer ces identifiants et se connecter à votre banque par exemple. Le pirate fait une demande de nouvelle SIM à votre opérateur et obtient ainsi accès à vos SMS. En recrudescence en 2019 – 2020.
Et vous, avez vous d’autres bonnes résolutions numériques pour la nouvelle année ?
