Sécuriser l'environnement numérique

4.1 Sécuriser l'environnement numérique

Ce que recouvre la compétence : protéger ses équipements, ses communications et ses données contre les attaques, pièges et incidents (logiciels malveillants, hameçonnage, vol de compte, perte de données). Thématiques Pix : menaces et ingénierie sociale, authentification, chiffrement, mises à jour et logiciels de protection, sécurité des réseaux, paiements en ligne.

Progression par niveaux (résumé)

• N1-N2 : verrouiller son poste, ne pas partager ses mots de passe, reconnaître un message suspect évident.
• N3 : créer des mots de passe robustes, faire les mises à jour, repérer une connexion sécurisée (HTTPS).
• N4-N5 : utiliser un gestionnaire de mots de passe et la double authentification, chiffrer des données, sécuriser son réseau.
• N6+ : comprendre les mécanismes d'attaque et de chiffrement, appliquer une politique de sécurité pour un groupe, réagir à un incident.

Version Linux et libre

Le modèle de sécurité de Linux

• Compte utilisateur sans privilèges, sudo pour les actions d'administration
• Logiciels installés depuis des dépôts officiels signés plutôt que téléchargés au hasard
• Mises à jour centralisées pour tout le système (gestionnaire de logiciels, apt, dnf), automatisables
• Flatpak : applications isolées, permissions réglables avec Flatseal
• AppArmor ou SELinux en arrière-plan
• À démystifier : Linux n'est pas invulnérable. L'hameçonnage, les extensions de navigateur malveillantes, un curl … | bash aveugle ou un dépôt tiers douteux restent des risques réels

Mots de passe et authentification

• KeePassXC : gestionnaire libre, certifié par l'ANSSI
• Bitwarden (serveur auto-hébergeable avec Vaultwarden)
• Phrases de passe (méthode Diceware) plutôt que mots de passe complexes impossibles à retenir
• Vérifier si ses comptes ont fuité : Have I Been Pwned, Mozilla Monitor
• Double authentification (TOTP) : KeePassXC lui-même, Aegis (Android), Authenticator (GNOME)
• Clés de sécurité physiques FIDO2, dont Nitrokey au matériel ouvert ; passkeys

Chiffrement

• LUKS : chiffrement complet du disque proposé à l'installation de la plupart des distributions
• VeraCrypt : conteneurs chiffrés, lisibles aussi sous Windows et macOS
• Cryptomator : chiffrer ses fichiers avant de les mettre dans le nuage
• GnuPG pour les fichiers et courriels (Kleopatra, ou Mots de passe et clés sous GNOME)
• Clés SSH pour se connecter à un serveur
• HTTPS et certificats : ce que garantit vraiment le cadenas, et ce qu'il ne garantit pas

Réseau

• Pare-feu : ufw et son interface Gufw, ou firewalld
• Wi-Fi : WPA2/WPA3, prudence sur les réseaux publics
• VPN : WireGuard, OpenVPN ; ce qu'un VPN protège et ses limites
• Tor Browser pour l'anonymat
• Firefox : mode HTTPS uniquement, DNS chiffré

Logiciels de protection

• ClamAV avec l'interface ClamTk : utile surtout pour analyser des fichiers destinés à des postes Windows ou des clés USB partagées
• uBlock Origin contre les publicités piégées

Hameçonnage et ingénierie sociale

• Vérifier l'adresse réelle d'un lien et l'expéditeur réel (en-têtes dans Thunderbird)
• Signaler : Signal Spam, cybermalveillance.gouv.fr, 17Cyber pour les victimes
• Rançongiciels : la meilleure protection reste la sauvegarde hors ligne (lien 1.2)

Bonnes pratiques matérielles

• Verrouiller sa session (Super + L), mot de passe du BIOS/UEFI
• Ne pas brancher une clé USB inconnue
• Référence : guide d'hygiène informatique de l'ANSSI

Idées d'activités

• Migrer tous ses mots de passe vers KeePassXC et activer la double authentification sur un compte important
• Créer un conteneur VeraCrypt sur une clé USB et l'ouvrir sous un autre système
• Atelier hameçonnage : trier une série de vrais et faux messages en justifiant chaque choix
• Configurer Gufw et vérifier les ports ouverts avec ss -tulpn
• Examiner les permissions de ses applications Flatpak avec Flatseal et en restreindre une
• Échanger des fichiers chiffrés avec GnuPG entre deux participants