Triplex, le blogue techno de Radio-Canada

La semaine dernière, le journaliste Mat Honan a perdu son emprise sur sa vie numérique. Un pirate est parvenu à s’introduire dans ses courriels, prenant ainsi le contrôle de son compte Twitter et accédant à une foule d’autres services (Amazon, Apple, Google). Le malfaiteur a aussi profité de son intrusion pour diffuser des messages racistes et homophobes à partir du compte Twitter de Honan, en plus de supprimer tous ses courriels, ses photos et… ses souvenirs.

Google invite ses utilisateurs à activer la validation en deux étapes,
une façon plus sécuritaire de s’identifier sur son portail.

Ce cauchemar jette la lumière sur un problème persistant qui nous menace tous : la sécurité précaire de notre identité numérique et les risques de confier nos données à des services infonuagiques (le cloud) déficients.

Mise en situation

Vendredi dernier, Honan remarque que son iPhone a redémarré tout seul, affichant l’écran de configuration, comme si on avait accidentellement demandé que le téléphone soit remis à zéro. Sans pour autant être inquiet, il tente de se connecter à iCloud afin de restaurer sa plus récente sauvegarde – car son téléphone archive automatiquement son contenu chaque nuit. Le mot de passe est rejeté par le système. Honan reste calme, croyant être en présence d’un simple bogue de logiciel.

Il décide alors de brancher son téléphone à son ordinateur portable afin de récupérer la sauvegarde localement. En ouvrant son ordinateur, il constate que celui-ci est verrouillé et qu’il exige un NIP de quatre chiffres.

Le hic? Honan n’a jamais choisi de NIP.

Bref, quelqu’un a téléphoné au service à la clientèle d’Apple en se faisant passer pour lui. Malgré le fait que l’usurpateur ait été incapable de répondre aux questions de sécurité déterminées au préalable par Honan, Apple lui a transmis un mot de passe temporaire, puisque l’imposteur possédait deux renseignements jugés insignifiants par un autre fournisseur de services web : Amazon. Les renseignements en question? L’adresse postale de Honan et les quatre derniers chiffres de sa carte de crédit.

À partir de ces éléments, le malfaiteur a pu exploiter les services « Localiser mon iPhone » et «Localiser mon Mac » afin de neutraliser les appareils en question. Je vous invite à lire l’article (en anglais) de Mat Honan dans Wired afin de mieux connaître sa fascinante histoire, le dénouement de celle-ci et ses échanges avec le pirate, qui ne désirait qu’une chose : obtenir son très convoité nom d’usager Twitter : @mat.

Ce genre de phénomène est malheureusement appelé à se reproduire. En effet, avec les plateformes construites selon les standards du web 2.0, les consommateurs sont poussés à surmultiplier les identifiants numériques (noms de comptes, mots de passe). Étant donné qu’ils doivent gérer beaucoup d’identifiants, non seulement ils disséminent bon nombre d’informations personnelles un peu partout sur le web, mais cela les pousse également à utiliser les mêmes mots de passe pour plusieurs services – les statistiques démontrent que les individus utilisent en moyenne de trois à cinq mots de passe différents pour l’ensemble de leurs activités web. Sachant qu’il y a des gens qui se spécialisent dans le glanage d’informations en ligne, et ce, dans l’optique de recréer des profils les plus complets possible, ce genre de cas est symptomatique d’une tendance de fond qui risque de devenir la norme.

L’aspect temporel est aussi bien souvent oublié par les consommateurs utilisant les différents services web. Il faut toujours garder à l’esprit que ce n’est pas parce que l’on cesse d’utiliser un service que ses données personnelles s’effacent par magie. Il faut souvent déployer des efforts supplémentaires pour effacer adéquatement ces informations, sinon celles-ci dorment dans des bases de données sur lesquelles les utilisateurs n’ont aucun contrôle.

— Benoît Gagnon, spécialiste en sécurité et ancien membre
des services de renseignement criminel

Pourquoi ne pas faire un ménage?

Benoît Gagnon nous rappelle l’importance de limiter la divulgation de renseignements personnels, voire même de réduire notre utilisation éphémère d’une panoplie de services web :

Dans la situation actuelle, la sécurité des consommateurs est malheureusement trop souvent mise en marge des réflexions sur les services web. L’objectif n’est que de rentabiliser les informations personnelles fournies par les individus, ou tout simplement d’améliorer l’expérience d’achat. Ainsi, pour l’heure, la responsabilité de leur sécurité incombe-t-elle surtout aux individus. Ce sont eux qui doivent non seulement avoir des réflexes de sécurité adéquats, mais aussi se doter d’outils performants pour appuyer leurs démarches. Il n’y a malheureusement pas de solutions miracles, mais des outils de gestion de mots de passe (comme 1Password, par exemple) apparaissent très utiles.

Finalement, il faut se souvenir que sur le web, small is beautiful. Cela veut dire qu’il est peut-être plus prudent d’utiliser moins de services, mais de bien les choisir, plutôt que de se lancer partout et, par conséquent, de laisser des traces indélébiles. Les gens devraient garder l’image du Petit Poucet en tête lorsqu’ils utilisent le web; leur chemin peut souvent être retrouvé avec les traces qu’ils laissent derrière eux.

Les comptes des divers réseaux sociaux sont de plus en plus appelés à être interreliés, un mouvement qui s’inscrit dans une tendance à vouloir simplifier la vie des internautes. Pour essayer un nouveau service web, rien de plus simple : connectez-vous par le biais de votre compte Facebook ou Twitter. Bien que la sécurité de ce type de connexion s’est améliorée depuis son implantation il y a quelques années, l’histoire de Honan nous démontre que les diverses entreprises ne partagent pas la même notion de ce qu’elles considèrent comme confidentiel.