Différences

Ci-dessous, les différences entre deux révisions de la page.

--- fr:consignes_securite_people [2018/01/28 12:35] – [Mnémotechnique] zatalyz
+++ fr:consignes_securite_people [2022/12/18 11:18] (Version actuelle) – [Situation de conflit] zatalyz
@@ Ligne 1: / Ligne 1: @@
 ====== Consignes de sécurité générique ======
-<WRAP center round todo 60%>
-Mise à jour de [[fr:consignes_securite]], qui va devenir une page portail.
+<WRAP center round info 60%>
+Vous trouverez des informations pour les pratiques plus avancées sur [[fr:consignes_securite|la page portail des consignes de sécurité]]. Cet article concerne les fondamentaux.
 </WRAP>
@@ Ligne 29: / Ligne 32: @@
 ==== Vol de compte ====
-Ce genre de chose arrive assez fréquement sur les MMORPG. Généralement, le vol de compte n'est pas lié aux compétences de pirate d'un malveillant, mais simplement à un peu de manipulation mentale. Et non, on ne parle pas des techniques du mentalisme.
+Ce genre de chose arrive assez fréquement sur les MMORPG... mais aussi sur les mails. Généralement, le vol de compte n'est pas lié aux compétences de pirate d'un malveillant, mais simplement à un peu de manipulation mentale. Et non, on ne parle pas des techniques du mentalisme.
 Un vol de compte est généralement réalisé par quelqu'un que vous connaissez, plus ou moins bien, et qui va trouver votre identifiant et mot de passe soit en vous amenant à le lui dire, soit en amenant un ou une de vos ami-e-s à le lui dire. Ou, pire, le deviner d'après ce que vous laissez voir de vous. Enfin, une partie de ces vols sont possibles parce que quelqu'un d'autre que vous a eu accès à votre ordinateur ou votre logis, qu'il y aie eu effraction ou non (généralement, c'est quelqu'un qui a été autorisé à rentrer !).
@@ Ligne 53: / Ligne 56: @@
 Si vous êtes victime d'une attaque, ne restez pas seule, ne cherchez pas à gérer ça de votre côté, allez rapidement trouver les //autorités//, c'est à dire, ici, les modératrices. Elles aideront à apaiser le conflit et à limiter les incidents.
+Notez que dans certaines relations amoureuses, ou certaines relations parent/enfant, la notion d'intimité peut être mise à mal par le besoin de contrôle/rébellion et la jalousie. Désolé, mais il n'est pas sain d'avoir accès aux comptes de son époux, de ses enfants, de ses parents. La seule exception possible est dans le cas où il faut gérer les comptes d'une personne qui n'a plus toute sa tête (Alzheimer par exemple) et même là, cela doit être restreint aux quelques comptes d'échanges avec les administrations. Ne partagez pas vos comptes avec vos proches, d'autres solutions existent pour partager les informations qui doivent l'être. Ou alors faites un vrai compte commun.
 ===== Mots de passe =====
 Vos mots de passe protègent vos comptes. Il faut en prendre soin et éviter qu'ils tombent entre de mauvaises mains.
@@ Ligne 78: / Ligne 81: @@
 Il y a plusieurs façons de gérer ses mots de passes.
-<WRAP center round important 60%>
+<WRAP center round important 90%>
 Ne laissez pas un bout de papier ou un carnet près de votre bureau, où les mots de passes sont notés : la plupart du temps les pirates sont des gens qui vous connaissent, qui ont accès à chez vous, et qui peuvent donc facilement trouver ces papiers ou deviner votre date de naissance et votre couleur favorite.
+Il n'y a que deux lieux possibles où stocker un mot de passe : dans votre mémoire, et dans une base de donnée suffisament chiffré (voir la [[#logiciels|partie logiciel]]). Un bon logiciel est plus sécurisé que le papier. Les arguments sont plus bas, si vous avez besoin d'être convaincu.
 </WRAP>
@@ Ligne 118: / Ligne 123: @@
 Il existe aujourd'hui des logiciels qui vous dispensent de retenir plusieurs mots de passe : il faut en retenir un seul pour débloquer les autres.
-Vous pouvez aussi stocker vos mots de passe via [[fr:pass|pass]] (accessible en ligne de commande, il y a aussi une interface si besoin), ou dans un fichier qui est chiffré et semble anodin((Attention, quand vous déchiffrez le fichier, où sa version déchiffrée est-elle stockée ? Possibilité de faille)).
+<WRAP center round info 90%>
+Un bon logiciel (comme ceux listés ici) est la solution la plus sécurisée pour gérer ses mots de passe.
+Certes, un ordinateur peut se pirater, mais si votre mot de passe principal (celui qui déverrouille les autres) est suffisamment "fort", il n'y a aucun risque que la base soit forcée. Ces logiciels sont créés par des experts, et lorsque c'est libre, vous pouvez avoir confiance dans la qualité de la cryptographie. L'évolution des technologies pourraient rendre certains chiffrements actuels obsolètes MAIS les logiciels seront aussi mis à jour, corrigeant les éventuelles failles. Certains parlent de la facilité pour un ordinateur quantique de craquer les chiffrements actuels ; alors que ces ordinateurs ne sont pas encore sur le marché, il y a déjà les algorithmes permettant de déjouer le "brute force" de ces machines.
+Faites confiance aux experts libristes de la cryptographie : c'est un domaine de passionnées, de très haut niveau technique et théorique. La sécurité absolue n'existe pas, bien sûr (c'est une règle de base en sécurité !) mais pour casser ces chiffrements, il faut généralement les moyens d'une puissance étatique... et quand on a une telle puissance, il y a souvent des façons bien plus simples d'obtenir les informations que les mots de passe protègent.
+Donc : même si une personne mal intentionnée passe les diverses barrières protégeant votre fichier de mot de passe (accès à votre ordinateur, votre serveur, etc), **elle ne pourra rien faire tant que le mot de passe qui le protège est suffisamment fort et tant que vous utilisez une solution de chiffrement à jour et de bonne qualité**.
+Un autre apport du logiciel est la génération de mots de passe forts et uniques pour chaque usage. Vous augmentez votre sécurité de façon globale.
+Par ailleurs, sauvegardez ce fichier à distance (de façon sécurisée) : en cas de vol de votre ordinateur ou d'incendie, vous ne perdrez pas l'accès à tout ce qu'il débloque. Ce qui est plus difficile à faire avec un carnet en papier.
+</WRAP>
 La solution la plus simple aujourd'hui((2018/01/28)) est d'utiliser [[wpfr>KeePass|Keepass]]. C'est un logiciel libre, multiplateforme, avec des modules permettant de le lier à votre navigateur web par exemple (et après on rentre mot de passe et identifiant en un clic, c'est confortable). Il peut générer des mots de passe. Sa première prise en main demande un peu de temps. Quelques heures, hein, c'est pas super complexe non plus, mais ça mériterait des tutos en français bien faits ; si vous en avez, ajoutez les liens.
+Nous avons installé [[fr:keeweb|Keeweb]] sur notre Kloud, qui permet d'ouvrir un fichier généré via Keepass. C'est une alternative pratique dans certains cas.
+Vous pouvez aussi stocker vos mots de passe via [[fr:pass|pass]] (accessible en ligne de commande, il y a aussi une interface si besoin), ou dans un fichier qui est chiffré et semble anodin((Attention, quand vous déchiffrez le fichier, où sa version déchiffrée est-elle stockée ? Il y a là une possibilité de faille suivant la façon dont vous gérer le chiffrement de votre base, d'où l'intérêt de passer par des logiciels comme Pass ou Keepass, qui gère ça bien.)).
 ==== Partage ====
@@ Ligne 127: / Ligne 152: @@
 Par exemple : sur Khaganat, au 28 janvier 2018, nous avons un mail pour l'association, mais pas de possibilité de le gérer collectivement avec des accès individuels. Donc, tous les membres du Collège peuvent gérer cette adresse mail... et ont donc l'identifiant et le mot de passe associé. Il existe des possibilités techniques pour gérer ça autrement et de façon plus sécurisée, mais nous n'avons pas les capacités de les mettre en place, donc, //voilà//.
-**N'envoyez jamais un mot de passe en clair.** Donc : n'utilisez pas le mail, les sms, les bouts de papier, IRC, un chat... sauf si un chiffrage encode votre mot de passe. Par exemple, vous pouvez envoyer des mails chiffrés en utilisant GPG ; il y a des services similaires pour les sms. Cela demande que votre correspondant utilise le même logiciel de décryptage.
+**N'envoyez jamais un mot de passe en clair.** Donc : n'utilisez pas le mail, les sms, les bouts de papier, XMPP, un chat... sauf si un chiffrage encode votre mot de passe. Par exemple, vous pouvez envoyer des mails chiffrés en utilisant GPG ; il y a des services similaires pour les SMS. Cela demande que votre correspondant utilise le même logiciel de décryptage.
 Si un de vos mot de passe a transité en clair, changez-le, et changez-le sur toutes les applications où vous utilisez le même.
@@ Ligne 137: / Ligne 162: @@
   * [[https://bitwarden.com/|Bitwarden]]
-Nous avons mis en place((Enfin, c'est parfois down, quand il y a des alertes sécurité et que les admins sont débordés, le plus simple pour éviter la fuite de mots de passe est de couper Teampass...)) un service [[fr:teampass|Teampass]] sur Khaganat. Il permet de partager de façon sécurisé les mots de passe entre les administrateurs des différents services : par exemple, les administrateurs du jeu peuvent s'échanger tous les mots de passe concernant le serveur de jeu par ce biais, de façon sécurisée.
+Nous avions mis en place un service [[fr:teampass|Teampass]] sur Khaganat. Il permettait de partager de façon sécurisé les mots de passe entre les administrateurs des différents services : par exemple, les administrateurs du jeu peuvent s'échanger tous les mots de passe concernant le serveur de jeu par ce biais, de façon sécurisée. Nous avons cependant fermé ce service, suite à la révélation de plusieurs failles de sécurité dans Teampass, que nous ne sommes pas en mesure de corriger.
-Pour avoir un compte, ouvrir un groupe, contactez un [[fr:tag:users:administrateur:start|administrateur]]. Vous pouvez aussi installer ce logiciel sur votre propre serveur.
 ===== Vies privées, vie publique =====
 Vous avez plusieurs vies. Il faut le savoir.
-Plusieurs vies privées. Ce qui se passe avec certaines de vos amantes, vous n'avez pas forcément envie que vos parents l'apprennent. Les petits noms que vos parents vous donnaient en maternelles, vous n'avez pas forcément envie que vos amantes les apprennent.
+Plusieurs vies privées. Ce qui se passe avec certaines de vos amantes, vous n'avez pas forcément envie que vos parents l'apprennent. Les petits noms que vos parents vous donnaient en maternelle, vous n'avez pas forcément envie que vos amantes les apprennent.
 Plusieurs vies publiques. L'image que vous donnez de vous au travail est probablement différente de celle que vous voulez donner lorsque vous faites la fête. Votre réputation dans certains cercles n'a pas besoin d'être connue dans d'autres cercles.
@@ Ligne 167: / Ligne 191: @@
 Votre vie privée est //privée//, et vous n'avez probablement pas envie qu'un type bizarre débarque dedans et s'installe chez vous, donc gardez votre jardin secret face aux inconnues. Une fois que vous connaissez un peu mieux les gens via le net, libre à vous de donner plus d'information. Sauf si vous êtes mineur : dans ce cas, ne révélez rien sans avoir auparavant demandé son avis à un adulte compétent autour de vous.
-===== Vies publiques =====
+==== Vies publiques ====
 Il est probable que votre identité civile apparaisse en ligne : dans des listes de diplômes, cité par un "ami" sur un média social((Genre Facebook. Et ce n'est pas un ami.)), parce que votre travail nécessite que vous soyez visible, ou votre vie associative, politique... Contrôlez autant que possible ce qui passe et qui est associé à votre nom, car vous êtes exactement dans la même position qu'une star : un jour ou l'autre, quelqu'un scrutera toutes les traces que vous avez laissé et s'en servira pour vous juger, et peut-être pour vous blesser. Qu'il s'agisse de recruteuses ou d'une personne plus malveillante... il est probable que ça arrive. Gérez les médias sociaux avec attention. Lorsque vous vous inscrivez sur un site, regardez si vous pouvez supprimer vos données facilement.
 Évitez d'utiliser une adresse mail avec votre nom/prénom réel pour communiquer avec des inconnus (sauf dans le cadre du travail).
-Lorsque vous utilisez un pseudonyme, sache qu'il est facile de vous pister via votre adresse mail, et de lier vos identités sur Google, Facebook et autres. Donc, cloisonnez vos activités.
+Lorsque vous utilisez un pseudonyme, sache qu'il est facile de vous pister via votre adresse mail, et de lier vos identités sur Google, Facebook et autres. Donc, cloisonnez vos activités. Utilisez des mails différents suiant les activités.
+<WRAP center round info 90%>
+Personnellement, j'ai au moins un mail pour mes proches (amis, famille), un pour le travail (que je n'ouvre plus quand je ne suis pas au travail, non mais !), un pour le pourriel, c'est à dire tous ces sites où il faut obligatoirement s'inscrire. Ho, et si je ne vous aime pas mais que je dois vous donner un mail, y'a aussi une adresse spéciale. Enfin, j'ai des mails associés à certaines de mes identités, tel que zatalyz@ pour une bonne part de ma vie numérique et vidéoludique !
+ --- //[[user:zatalyz|zatalyz]] 2018/01/28 13:41//
+</WRAP>
@@ Ligne 179: / Ligne 208: @@
 Sur internet, tout est plus ou moins publique. Tout est noté, archivé, près à ressortir des années plus tard. Ce contrôle social intense est problématique pour [[wpfr>Individuation|l'individuation]] ; c'est pourquoi tout ce que vous faites ne doit pas se retrouver sur le web.
-===== Garder la liberté du choix =====
+==== Garder la liberté du choix ====
 C'est en principe à vous de choisir quand vous voulez passer d'un anonymat à un pseudonymat, et quand vous souhaitez lier un de vos pseudonymes à votre nom civil. Ces choix ont des conséquences (vous ne pouvez pas être dirigeant d'une association sous pseudonyme, par exemple, en tout cas pas auprès de la préfecture) mais ça reste à vous de décider ce que vous souhaitez. Soyez toujours attentive au lien qui peut se faire entre les pseudonymes, avec votre identité civile, afin de limiter le risque qu'un tiers vous impose son choix.
@@ Ligne 186: / Ligne 215: @@
 Sur Khaganat, la modération a pour consigne d'être assez stricte sur le sujet ; si vous révélez l'identité de quelqu'un (pseudonyme ou autre), attendez-vous à recevoir un sacré coup de bâton.
-===== Quel rapport avec la sécurité ? =====
+==== Quel rapport avec la sécurité ? ====
 Certaines personnes se croient protégées par un pseudo anonymat((L'anonymat complet n'existe pas sur internet. Oubliez ça. On peut bien se protéger, mais ça ne sera jamais sécurisé à 100%. )) et croient qu'elles peuvent mal agir sans conséquences "réelles". Ou protégées parce qu'agissant au sein d'un groupe. Cela donne lieu, entre autre, à des cas de harcèlement, forme d'attaque passant en partie par l'informatique mais avec des répercussions très réelles, pouvant mener les victimes de ces attaques au suicide ou à la folie furieuse.
 Pour ces raisons, il est important de protéger vos diverses identités afin de limiter la surface d'attaque possible en cas de harcèlement. Du côté de Khaganat, nous sommes fortement engagées pour prévenir et désamorcer ce genre de problèmes et nous interviendrons dans la mesure de notre possible en cas de harcèlement, mais lorsqu'un cas comme ça se présente, il est déjà souvent trop tard. Donc : agissez en amont pour limiter la casse si un jour une tempête d'ennui arrive.
+Si vous envisagez vous-même de vous servir de votre //anonymat// pour commettre certaines actions, sachez que l'anonymat réel est très complexe sur Internet et que des personnes compétentes peuvent vous retrouver. Avec un peu de chance, il s'agira uniquement des autorités de votre pays, et cela se réglera devant le tribunal.
 {{tag>Sécurité}}