Guide d'hygiène informatique pour le particulier

J’ai beaucoup aimé le petit guide d’hygiène informatique édité par l’ANSSI [PDF] à destination des responsables informatiques d’entreprises.

Malheureusement, il n’existait rien de tel pour les particuliers, alors j’ai décidé de m’y atteler. Si vous lisez mon site depuis longtemps, je ne vais pas vous apprendre grand-chose dans ce guide, car je dispense ce genre de conseils depuis plus de 11 ans maintenant, mais pour ceux qui prennent le train en marche ou qui cherchent un document de synthèse à donner à leurs amis ou leur famille, vous êtes au bon endroit.

Vous trouverez donc ici 17 règles (pour reprendre la terminologie utilisée par l’ANSSI) qui sont plus des conseils avisés pour tous ceux qui débutent et qui sont un peu perdus avec la sécurité de leur ordinateur ou de leur mobile.

Bonne lecture.

Lorsque vous installez un logiciel, soyez sûr de sa provenance. Essayez toujours de le récupérer à partir du site officiel et éviter les sites de téléchargement (légaux ou non) qui au passage ne se privent pas d’ajouter des adwares, voire carrément des malwares lors de l’installation.

Privilégiez aussi les logiciels libres dont le code est consultable par tous, afin d’éviter les surprises. A ce sujet, je vous recommande l’annuaire des logiciels libres édité par Framasoft, qui saura vous orienter.

Logiciels Libres - Framasoft

Que ce soit au niveau des logiciels que vous utilisez ou au niveau de votre système d’exploitation, pensez à faire des mises à jour régulières. En effet, de nombreuses failles de sécurité ou bugs sont régulièrement patchés, et il serait dommage de s’en priver.

Sur la plupart des systèmes d’exploitation, il est possible de chiffrer son disque dur. Faites-le, ça ne demande pas de compétences particulières, ça ne ralentit pas la machine et ça permet d’éviter que vos données tombent entre de mauvaises mains (en cas de vol de votre ordinateur par exemple).

Sous Windows 10, cette fonctionnalité s’appelle BitLocker. Sous OSX, il suffit de se rendre dans les préférences systèmes, sécurité et d’activer Filevault2.

Notez que sur les appareils mobiles Android et iOS, une option similaire permet aussi de chiffrer le téléphone.

Que ce soit en ligne ou en local sur votre machine, faites bien attention au choix de vos mots de passe. Le mot de passe le plus efficace qui soit est ce qu’on appelle une “phrase de passe”. Il s’agit d’une suite de mots d’une longueur minimale de 20 caractères que vous seul pouvez connaitre. Par exemple :

La Voiture Creuse Un Oignon Dans Le Canal Pour Y Déposer Son Tableau.

C’est plus facile à retenir qu’un mot de passe de type “eFt5?pL099” et c’est beaucoup plus long. Évitez les phrases toutes faites qu’on peut retrouver dans des livres ou des chansons, car elles pourraient être intégrées dans des dictionnaires pour des attaques. Préférez des choses un peu absurdes, mais dont vous vous souviendrez facilement.

Un mot de passe ne doit pas être donné à quelqu’un d’autre ni écrit en clair dans un email ou autre et doit être changé régulièrement.

Lors de la saisie d’un mot de passe, si vous n’êtes pas sur votre machine, pensez aussi à utiliser un clavier virtuel pour éviter de vous faire intercepter un mot de passe avec un keylogger.

Il est bien sûr recommandé de choisir des mots de passe différents pour chacun des services que vous utilisez. Et à moins d’être doté d’une mémoire surnaturelle, vous ne pourrez pas tous les retenir. Optez alors pour un gestionnaire de mot de passe qui fera office de coffre fort.

Keepass (logiciel libre qui s’utilise en local) ou Lastpass (service en ligne) sont les plus utilisés.

Autre truc auquel il faut penser : Mettre un mot de passe de session sur votre ordinateur. Si vous abandonnez votre ordinateur quelques instants, sans verrouiller la session (ou l’économiseur d’écran) avec un mot de passe, un petit malin peut au mieux vous faire une bonne blague, au pire vous dérober des données personnelles.

Si vous partagez votre ordinateur avec d’autres personnes ou si vous utilisez un ordinateur qui n’est pas à vous, pensez à effacer vos traces. Historique de navigation, cache, cookies, derniers fichiers ouverts… etc.

Des outils comme Ccleaner peuvent vous aider à faire le ménage. Si c’est juste pour du surf, vous pouvez aussi utiliser un navigateur web en mode navigation privée.

CCleaner - PC Optimization and Cleaning - Free Download

Même si l’adage dit que la meilleure protection contre les virus est celle qui se trouve entre la chaise et le clavier, un bon logiciel de sécurité vous protégera de toutes les cochonneries qui trainent sur le net.

Il existe une multitude d’anti-malware, d’antivirus, de logiciels de protection et certains sont parfois blindés d’adwares, ce qui est parfaitement ironique. Choisissez donc un outil de sécurité proposé par une société référente dans le domaine.

Si vous donnez une clé USB à quelqu’un ou si vous revendez votre disque dur, assurez-vous d’avoir correctement effacé les données qui s’y trouvent. Un formatage simple ne suffit pas, il faut utiliser des logiciels d’effacement comme Eraser ou d’autres que vous trouverez sur cette page.

Supprimer un fichier sans laisser de trace “

Perdre ses données, ça arrive très très vite. Pensez à faire régulièrement des sauvegardes de ce qui a de l’importance pour vous. Vidéos, photos, emails, documents, favoris, liste de vos flux RSS…etc.

Vous pouvez pour cela utiliser un NAS, un disque dur externe ou des services de stockage en ligne (chiffrés de bout en bout de préférence comme SpiderOak).

Soyez toujours vigilant lorsqu’un email vous demande des informations personnelles. Il y a beaucoup d’arnaques (tentatives de phishing) qui circulent et qui se font passer pour des remboursements d’impôts, de fausses livraisons UPS, des factures EDF en retard…etc. Les escrocs ont beaucoup d’imagination.

En cas de doute, vérifiez les liens présents dans le mail, et surtout, ne passez jamais par l’un de ces liens. Allez directement sur le site officiel de la société qui vous contacte en tapant vous-même son URL officielle.

Pensez à toujours nettoyer les métadonnées contenues dans vos documents (.doc, .xls…etc.) ou photos (données EXIF), car celles-ci peuvent en dire beaucoup sur vous. Adresse postale, email, nom complet, géolocalisation…Etc.

Si vous mettez des choses en ligne, soyez vigilants avec ça car on peut facilement vous tracer ou obtenir des informations confidentielles vous concernant.

Certaines applications réclament beaucoup de droits sur votre téléphone. Soyez vigilant sur ce que vous installez sur votre smartphone, car vos données personnelles pourraient vite vous échapper.

À titre d’exemple, les applications MyPermission ou Norton Security pour Android permettent d’en savoir un peu plus sur ce qui est présent sur votre téléphone et vous aidera à faire le ménage parmi les applications qui abusent ou non de vos données personnelles.

Lorsque vous envoyez un message à quelqu’un sur le net, s’il aucun chiffrement n’est en place, celui-ci circule en clair. Quelqu’un de mal intentionné peut, s’il intercepte votre message, le lire sans aucune difficulté. Adopter un chiffrement systématique de tous ses messages est un bon réflexe à avoir pour protéger sa vie privée.

Il existe des dizaines d’outils pour chiffrer ses messages. Sur PC/MAC je vous recommande Thunderbird + le plugin Enigmail pour utiliser PGP et sur Android, K-9 Mail et OpenKeyChain. Ensuite si c’est pour du SMS, SMSSecure sous Android ou l’application Signal permettent déjà d’avoir un bon niveau de confidentialité.

Même si les opérateurs proposent maintenant par défaut du chiffrement WPA2 sur leurs box, si votre WiFi est encore en WEP, pensez à passer rapidement vers WPA 2 pour éviter tout piratage de votre réseau.

Reportez-vous aussi à la règle n°4 pour mettre une phrase de passe qui tienne la route sur votre réseau wifi. En ce qui me concerne, j’ai carrément décidé de ne pas mettre de wifi à la maison. Je suis en Ethernet partout et même si ça m’a demandé un peu de mise en place pour passer les câbles, j’ai un meilleur débit local.

Si vous avez pris la mauvaise habitude de laisser votre matériel sans surveillance, attention ! Quelqu’un de mal intentionné ou de peu précautionneux pourrait insérer une clé USB sur votre ordinateur, ce qui pourrait vous transmettre un malware ou tout simplement dérober vos données personnelles.

Pensez donc au minimum, à toujours verrouiller votre ordinateur lorsque vous n’êtes pas devant et ne branchez pas de clé USB ou de disque dur dont vous n’êtes pas certain de la provenance. Si en plus, vous pouvez mettre un mot de passe au niveau du BIOS pour bloquer tout démarrage non consenti, n’hésitez pas !

Pour l’utilisation quotidienne de votre ordinateur, privilégiez un compte utilisateur classique et réservez uniquement le compte administrateur à des opérations de maintenance.

Cela évitera en cas d’infection par un malware, qu’il se propage avec les droits administrateurs.

Si vous vous connectez sur des réseaux publics (wifi d’hotel, de conférences, d’aéroports…etc), passez toujours par un VPN afin d’éviter de faire transiter des données en clair sur un routeur qui a peut être été mis en place ou piraté par un cybercriminel.

Il existe des tas de services de VPN payants et sérieux comme HideMyAss ou encore Freedom de F-Secure mais vous pouvez aussi créer le vôtre assez facilement.

La double authentification est un processus d’identification qui nécessite à la fois quelque chose que vous connaissez (un mot de passe) et quelque chose que vous possédez (votre téléphone, votre boite mail…etc). Si vous l’activez sur les services en ligne qui le proposent comme Gmail, Facebook ou Dropbox, lors de votre prochain login, on vous demandera d’abord votre mot de passe, puis un code obtenu par SMS, par mail ou via une application dédiée afin de vous autoriser l’accès au service. Cela évite qu’un cybercriminel qui a dérobé votre mot de passe, puisse se connecter à votre compte.

Vous trouverez la liste de tous les services qui permettent la double authentification sur ce site :

Two Factor Auth List

Cette liste de règles est non exhaustive. J’ai mis là uniquement les conseils de base pour que les débutants puissent faire le minimum sur leur machine. D’ailleurs si vous pensez que j’ai oublié des trucs, n’hésitez pas à me le dire pour que je rajoute de nouvelles règles. Merci d’avance !

Et n’oubliez pas qu’en sécurité, le premier facteur de risque c’est vous. Donc, essayez toujours de rester conscient et attentif à tout ce que vous faites avec votre ordinateur et votre smartphone. Et en cas de doute, faites une petite recherche sur le net ou demandez à un ami qui maitrise la chose.

Bonne journée !