==/ Sous-titres générés avec IA (Whisper), editing et proofing par Guglielmo Fernandez Garcia /== Dark Web, un terme qui, j'en suis sûr, ne vous est pas inconnu.
Pour autant, que savez-vous vraiment de cet espace numérique si particulier ? Dans l'imaginaire
collectif, ce cyberspace est avant tout l'endroit privilégié pour tout genre d'activités illégales.
Mais, avec Guglielmo, on est à peu près sûr que c'est un peu plus que ça. Alors,
on a essayé d'en savoir plus sur ce cyberspace en invitant Régis Leguennec,
spécialiste de la cybersécurité pour l'agence IPcyb. Dans cet épisode,
on va s'intéresser à l'aspect technique des choses, mais aussi à l'histoire du Dark Web.
Vous le verrez très vite, notre discussion avec Régis a dérivé vers la sécurité de
nos données personnelles. Pour qu'on ait les mêmes bases et bien comprendre ce qu'est le Dark
Web, je vous propose un petit rappel sur ce qu'est l'Internet et ce qu'est le Web,
parce que c'est pas la même chose. Internet, c'est le réseau des réseaux. Régis Leguennec
nous parlera de contenants. En gros, c'est la structure. Le Web, quant à lui, c'est juste un
service parmi tant d'autres. Quand vous vous connectez à Internet, vous pouvez utiliser une
multitude de services, comme l'email ou le téléchargement de fichiers via un service de
torrent par exemple. Mais dès que vous utilisez un navigateur, comme Google Chrome ou Firefox,
vous êtes sur un autre usage de l'Internet. Le Web. Bon, par rapport à tout ça, du coup,
le Dark Web, c'est quoi ? Si on fait le parallèle avec le Dark
Net et le Dark Web, le Dark Net, en gros, c'est l'infrastructure, même si elle utilise la même
infrastructure que l'Internet. Et puis, dans les Dark Nets, puisqu'il y en a plusieurs,
dans les Dark Nets, on va trouver des services, dont le Dark Web. Mais pareil,
dans le Dark Net, il n'y a pas que le Dark Web. Et le Deep Web alors ? J'ai l'impression que
souvent, le Dark Web et le Deep Web sont des termes confondus.
On pourrait parler de trois niveaux dans la partie Web. Il y a le Web surfacique,
le Web de surface. C'est quelques petits pourcents du Web mondial. Donc en gros,
ce sont toutes les pages qui sont indexées et qui sont accessibles facilement, c'est-à-dire,
en gros, sans mot de passe et sans avoir besoin d'avoir un outil autre que les navigateurs
classiques. Ensuite, on va voir juste en dessous ce qu'on appelle le Deep Web. Donc en gros,
la partie un peu sous la surface qui représente énormément de pages Web, puisque là,
ce sont à la fois toutes les pages qui sont protégées par un mot de passe, donc qui sont
plutôt privées. Donc là, on peut imaginer les réseaux sociaux aujourd'hui, mais les encyclopédies,
les services payants avec un compte et puis tout ce qui n'est pas indexé dans les moteurs
de recherche, donc on va dire difficilement accessible. Ça, ça fait partie à peu près
du Deep Web. Et puis, tout en bas, tout en bas, là où on va avoir besoin d'un équipement
particulier, notamment pour aller sur le réseau Tor, l'un des Dark Net, il faut un browser,
un navigateur qui s'appelle Tor Browser, donc un navigateur particulier. Là, on est en gros dans
le Dark Web où là, en gros, les pages ne sont pas indexées dans les moteurs de recherche. L'accès
difficile puisqu'il faut s'équiper avec un browser particulier. Jusqu'au Clear Web, c'est facile. On
ouvre un navigateur, on va à une adresse et on trouve une page. Qu'il y ait des pages protégées
par un mot de passe qu'on Facebook fasse déjà partie du Deep Web, ça, ça ne m'avait jamais
traversé l'esprit. Mais pourtant, c'est assez évident. À revanche, les Dark Web m'intriguent.
Si le Clear Web a été créé pour partager des informations avec tout le monde, il est en fait
assez évident que l'on souhaite aussi partager, en toute sécurité, certaines informations avec
seulement certaines personnes. Je me demande donc comment et quand les Dark Web est apparu par
rapport au Clear Web. Le Dark Net, à l'origine, a été inventé plutôt dans les années 70. Le Dark Net,
c'est un peu le début de l'Internet. C'était un peu le début avec l'Arpanet. Et donc, en gros,
l'idée un petit peu de tout ça, c'était de protéger les communications. Dans les années 90,
en gros, l'idée, c'était aussi, en dehors d'avoir de la résilience, comme je l'ai dit,
mais c'était de protéger les espions américains qui avaient besoin d'échanger des messages à
travers le Web. Et donc, en gros, ils utilisaient ce sous-réseau qui permettait d'assurer l'anonymat
et la confidentialité. Et puis après est arrivé Thor. Donc, il est un des Dark Web le plus connu,
le plus médiatisé, notamment après les années 2000. Et bien, moi, en étant un peu moins expert
sur ce sujet-là, il y a une question qui me vient tout de suite. Mais pourquoi tout cela devrait
nous intéresser? Ça veut dire, est-ce que c'est un sujet pour ceux et celles qui travaillent dans
la techno ou ça devrait intéresser moi aussi, que j'ai fait un usage, disons, standard d'Internet?
Déjà, pour répondre rapidement à ta question, j'ai développé un peu, mais en gros,
tout utilisateur de l'Internet, tout utilisateur de numérique, en gros, a besoin de protéger ses
communications, a besoin de protéger sa vie privée. Dans la cybersécurité, on parle de trois piliers
confidentialité, intégrité, disponibilité. Donc là, on est plutôt sur la notion de confidentialité.
On l'a entendu aussi avec les grandes affaires. Le but, c'est aussi d'échapper à certains endroits,
à la fois la censure, mais aussi à la surveillance de masse. Et en gros, c'est un outil un peu au
service de la liberté d'expression et de la lutte contre les abus des puissants.
J'entends cet argument du tout utilisateur du numérique a besoin de protéger ses données.
Mais sur le Web plus classique, je ne suis pas déjà protégé?
Alors, pas vraiment. Je parlais des trois piliers, donc le CID. Donc la confidentialité, c'est le C.
On va s'intéresser à ça uniquement. Quand, en gros, on fait transiter des données dans la
tuyauterie Internet, vu qu'elle est mondiale, elle est utilisée par tous. En gros, il y a ce
qu'on appelle l'homme du milieu, man in the middle. En gros, c'est celui qui se trouve sur
le bord de la route, sur le chemin et qui est capable d'intercepter ce qui transite via la
tuyauterie Internet. Donc, par défaut, les données sont transites en clair. Aujourd'hui,
déjà depuis quelques années, si on parle du service Web avec le protocole HTTPS,
les données transitent de façon sécurisée. Donc, c'est tout ce qui est site classique
qu'on peut consulter. Alors, aujourd'hui, oui, aujourd'hui, la plupart des sites sont HTTPS.
Mais si tu fais du transfert de fichiers, tu n'es pas forcément sécurisé. La messagerie,
elle n'est pas forcément sécurisée. En gros, tous les services n'utilisent pas des protocoles
sécurisés. C'est à dire qu'aujourd'hui, il y a encore beaucoup de choses qui passent dans le
tuyau en clair et qui sont du coup interceptées ou interceptables par l'homme du milieu.
A écouter Régis, les dark Web est quelque chose qui sert avant tout à la sécurité de nos données.
Bon, ça devrait servir, disons, parce que je ne crois pas qu'il y ait tant de gens qui l'utilisent
régulièrement. Mais les dark Web est aussi assez connu de la plupart des gens, comme les
coins d'Internet où il se passe des choses louches. Je ne sais pas si vous vous souvenez,
mais les dark Web est devenu très populaire à l'époque de Silk Road, au début des années 2010.
Un site où l'on pouvait tout acheter en bitcoin, des stupéfiants, des armes, des cartes de crédit
volées, jusqu'à la paix de pornographie. Or, Silk Road a fermé il y a un petit moment. Mais je me
demande si les Dark Web reste un lieu dominé par ces activités illégales. Il y a beaucoup de mythes
sur, en effet, les contenus qu'on peut trouver sur le Dark Web. En effet, les êtres humains,
les touragages, etc. Bon, en effet, ce qu'il y a de sûr, c'est qu'on peut trouver des armes,
de la drogue, mais on n'a pas besoin d'aller sur le Dark Net pour acheter ça. Parfois,
ça se trouve pratiquement au bout de la rue. Ensuite, pour une bonne partie, les utilisateurs
ne font que traverser le Dark Net. C'est à dire qu'en fait, ils utilisent le tuyau sécurisé du
Dark Net, que ce soit Tor ou un autre, pour aller, en gros, consulter des pages ou des sites
qui ne sont pas à l'intérieur du Dark Net. 90% des connexions ne font que traverser. A nouveau,
l'idée, c'est de faire en sorte qu'on ne sait pas qui parle à qui, ou qui se connecte à quoi,
et on ne sait pas ce qui transite dans le tuyau. Les services qui sont à l'intérieur des dark Web
ou du dark Net s'appellent des services cachés. C'est eux qui ont, si on parle du dark Web,
qui ont des points oignons, et si on parle principalement de Thor, notamment. Donc en
gros, il existe des services qui sont à l'intérieur, qui sont cachés, qui sont donc des
services cachés. Souvent sur le web, c'est des points oignons. Là, clairement, s'ils sont cachés,
s'ils sont là, souvent, il y a une certaine illégalité, bien évidemment, mais à nouveau,
comme dans la vraie vie. Mais pour la plupart, ils ne font que traverser. 45% des contenus illégaux
sont en rapport avec la drogue, notamment, et la drogue ne compte que, entre parenthèses, 15% de
tout ce qu'on peut trouver sur le dark Web. Et puis, bien évidemment, vu qu'on est quand même
dans des tendances un peu où certains états veulent écouter un peu toutes les populations. Du coup,
forcément, il y a de plus en plus de gens qui utilisent ces outils-là, ces moyens-là,
ces canaux-là pour, en gros, protéger leurs échanges, même s'ils n'ont rien à cacher,
puisque l'on peut avoir besoin de protéger ces communications sans forcément être un voyou.
Sans forcément être un voyou. C'est ce qui m'intéresse le plus.
Depuis plusieurs années, on discute de la manière dont nos vies,
de plus en plus imprégnées par le numérique, sont en quelque sorte mises sous écoute,
scrutées en permanence. Or, Régis parle de certains états malveillants, bien évidemment,
mais pour moi, nous parlons de quelque chose qui est aussi plus général. Il suffit de penser
à toutes les données que les gars-femmes, Google, Facebook, Apple et compagnie, accumulent sur nous.
C'est qu'en regardant son Instagram, nos goûts en matière de séries Netflix, etc. Pour moi,
on touche ici à l'un des points fondamentaux de notre société actuelle, la capacité de contrôle
d'internet. Les dark web est donc un espace où on met ses ceintures en sécurité de ce point de vue.
Je suis donc curieux de voir qui l'utilise dans ce sens.
On parlait au tout début de protéger ses communications et sa vie privée,
d'échapper à la censure, etc. Donc ça c'est plutôt un besoin fondamental.
Il faut savoir aussi que le Dark Net a été beaucoup utilisé par des reporters de guerre,
des journalistes d'investigation, des groupes politiques d'opposition, des lanceurs d'alerte,
tu en parlais, et puis aussi certaines communautés. Je pense à la communauté homosexuelle dont le
comportement est jugé déviant dans certains pays. Donc en gros, pour se protéger, certaines
communautés vont avoir besoin, en effet, d'utiliser ce réseau sécurisé pour protéger leur communication.
Donc ça, en effet, c'est plutôt pas mal. Sur les contenus légaux qu'on peut trouver sur le
dark web, on va retrouver des contenus avec des tutos, des outils pour les geeks. On peut
retrouver aussi des contenus orientés politiques dans des blogs et des forums. Tout ce qui va
concerner aussi l'anonymat et la vie privée avec des kits de survie. Electronic Frontier Foundation
permet aussi d'avoir à disposition pour certaines personnes sensibles, je pense notamment au
printemps arabe et aux révolutions qu'il y a eu à une époque dans certains pays, d'avoir des kits
de cyberprotection, donc pour certaines ONG. Des médias, il y a des journaux qui ont une version,
notamment le New York Times, qui en gros ont des versions dans le dark web. Je pense aussi à des
artistes qui vont utiliser aussi le dark web pour mettre à disposition leur musique, faire des
événements en live et puis des entreprises également qui peuvent aussi avoir besoin de
passer par ce genre de réseaux, d'outils, de canals pour pouvoir assurer aussi une certaine
protection. Notamment, je pense à la confidentialité sur des brevets, sur de la recherche et
développement, sur des choses où, en effet, il faut assurer la souveraineté. Il ne faut pas
qu'un état voisin puisse intercepter une communication liée en effet plutôt à des données
économiques. Il faut le dire, Régis Leguennec apporte beaucoup de nuances au discours qu'on a
l'habitude d'entendre sur le dark web. Ce cyberspace ne serait donc pas que ce lieu d'internet un peu
bizarre dans lequel il se passe des trucs plutôt louches. Après avoir compris qu'il y avait un
véritable intérêt au dark web, notamment pour la sécurité de nos communications, on a souhaité
interroger notre invité sur des services un peu plus grand public. Alors naïvement, je lui ai
demandé si nos conversations sur WhatsApp, Messenger ou Instagram n'étaient pas tout aussi
sécurisés qu'un chat du dark web. Alors normalement, sur le papier, ça devrait être le cas. Après,
on n'est jamais à l'abri. Alors déjà, il n'y a pas de sécurité à 100%, ça n'existe pas. Que
ça soit Meta ou plutôt des acteurs malveillants, ils peuvent toujours essayer de déchiffrer ou de
décrypter le message. Puisque décrypter, c'est plutôt quand je n'ai pas la clé. Il faut aussi
attaquer les algorithmes de chiffrement. Je pense là à des services de renseignement comme la NSA,
qui ont la force de calcul, les compétences et les moyens pour attaquer les algorithmes et
donc intercepter les messages. Mais au fait, ça veut dire quoi chiffrement ? En fait, en gros,
dans la cryptologie, donc la science du secret, il y a deux métiers. Il y a la cryptographie qui
est plutôt dans la défense et puis il y a la cryptanalyse qui est plutôt dans l'attaque.
En gros, dans la cryptographie, on chiffre et on déchiffre avec, pour faire simple,
une clé. C'est la clé qui chiffre et c'est la même clé qui déchiffre, même si c'est un peu
plus compliqué que ça dans certains cas. Quand je n'ai pas la clé, je dois retrouver le message
en clair comme une brute, comme un bourrin, et donc j'y vais avec un marteau. Donc en gros,
décrypter, c'est j'ai pas la clé et j'y vais comme un bourrin avec un marteau. C'est d'ailleurs
pour ça qu'on ne dit pas crypter, ça ne se dit pas dans la langue française, parce que crypter,
ça voudrait dire fermer le coffre avec un marteau. Non, on ne ferme pas le coffre avec un marteau,
on chiffre avec une clé, on déchiffre avec une clé et on décrypte comme un bourrin. Et à nouveau,
c'est pour ça qu'on ne dit pas crypter, parce que ça n'a pas de sens.
Du coup, on entend beaucoup parler de ce moment. On a vu sur tous les chats qui passaient avec,
par exemple WhatsApp aussi, sur un chiffrement de bout à bout au end-to-end. Et du coup,
je me demandais par rapport à tous ces besoins de sécurité, qu'est-ce que c'est au final ce
chiffrement et pourquoi c'est utile ? Et si tu avais un commentaire sur ça.
Alors le chiffrement, c'est très utile. Ça fait partie des mesures de sécurité élémentaires pour
justement se protéger sur le pilier de la confidentialité. On n'a pas la culture du
chiffrement en France parce qu'il y en a encore beaucoup qui pensent que c'est illégal, alors que
ce n'est pas du tout illégal. Ce qui est illégal, c'est de ne pas fournir la clé de chiffrement si
la police ou la justice te la demande. Donc ça, c'est un premier point. Ensuite, pour ce qui est
du chiffrement de bout en bout, en gros, il faut idéalement aller le plus près possible de
l'utilisateur en appliquant des principes de chiffrement. Parce qu'en effet, si c'est un
de tes fournisseurs de services, on va penser à Facebook, qui déchiffre au moment où tu arrives
sur les serveurs de Facebook et toi tu connectes sur le serveur de Facebook, et bien en sortie du
serveur de Facebook jusqu'à chez toi, la communication n'est plus confidentielle, n'est
plus chiffrée. Donc de bout en bout, ça veut dire qu'en fait ça va jusque dans ton téléphone,
dans ton application et même les intermédiaires, les fournisseurs de services comme par exemple
Facebook et autres, ne peuvent pas voir ta communication, ne peuvent pas consulter les
messages qui transitent par eux dans le tuyau. Donc en gros, plus tu vas proche de l'utilisateur,
mieux c'est, en sachant que du coup là, c'est chiffré jusque dans ton téléphone, jusque dans
l'application, ce qui n'empêche pas d'avoir un spyware, donc en gros un logiciel malveillant sur
ton téléphone qui, une fois déchiffré, une fois que la communication est en clair au bout,
donc sur ton téléphone, d'être intercepté, en fait il y a toujours moyen, il suffit même de
récupérer la main sur le téléphone. On a pu voir ces dernières années par exemple beaucoup
d'influenceurs faire la promotion de VPN et aujourd'hui c'est quelque chose qui commence
à toucher le grand public. D'après vous, dans les usages, il y a quelque chose qui a changé,
est-ce qu'aujourd'hui les gens sont plus sensibles à leur donnée, à leur sécurité en ligne en tout
cas ? Oui, je pense qu'avec toutes les affaires dans la presse, que ce soit la surveillance,
les fuites de données, les cyberattaques, etc., je pense que de toute manière, globalement,
on entend de plus en plus parler de cybersécurité, donc en gros l'utilisateur lambda est de plus en
plus attentif. Moi je le vois notamment sur la robustesse des mots de passe auprès des
étudiants d'année en année, on voit bien que cette hygiène numérique, cette façon de se protéger,
elle s'améliore quand même tous les jours. Après c'est vrai qu'avec des outils dont on
entend parler pas mal avec les influenceurs comme les VPN, Virtual Private Network, en gros ça
permet à nouveau de chiffrer sa communication. Ce qui est assez drôle dans le VPN, c'est que
souvent quand on entend parler du VPN, les gens pensent plutôt changer d'adresse IP,
regarder des films sur un autre continent, donc là on est plutôt sur du hacking d'usage puisque
le VPN, normalement, il est plutôt là pour se connecter sur un réseau interne, donc on est à
l'extérieur, donc plutôt un VPN est quand même plutôt utile dans un cadre d'entreprise pour
pouvoir se connecter au réseau et profiter des services du réseau local de l'entreprise comme
l'intranet, la messagerie interne, etc., les serveurs de fichiers quand je suis en déplacement.
Donc il est primordial de se connecter de façon sécurisée quand j'utilise la tuyauterie qui
est partagée par le grand public et par les crapules de tout genre au niveau mondial. Donc
oui, dans un cadre professionnel, le VPN est plus qu'utile. Dans un cadre, on va dire, du particulier
lambda, déjà il y a le HTTPS pour ce qui est du service web qui est vital à partir du moment où je
vais saisir des données sensibles, comme mon mot de passe, mon numéro de carte bleue ou des données
personnelles. Par contre, si je suis sur le site de Marmiton, que l'homme du milieu il sache que
je suis sur le site de Marmiton et sur la page des flancs bruneaux ou du quinamane plutôt, je
m'en fiche. En fait, tout dépend de si j'ai quelque chose de sensible à faire transiter par le tuyau.
Si c'est le cas, il faut absolument que je m'assure que ce transport se fasse de façon sécurisée.
Je fais souvent le parallèle avec l'idée de confier ça à un fourgon blindé pour qu'il aille
transporter son information sensible à l'autre bout du tuyau, sur la route, à destination,
quand il y a quelque chose d'important à faire transiter. J'ai l'impression qu'il y a cette idée
que nous il faut protéger nos données et de l'autre côté il y a des attaquants,
l'état ou des gens malveillants. Prenons l'NSA, National Security Agency aux Etats-Unis,
l'agence de sécurité qui espionnait tout le monde grâce au programme comme par exemple Prism. Si
vous vous souvenez, il s'agit du programme révélé par le lanceur d'alerte Edward Snowden en 2013.
Est-ce que l'NSA devient de plus en plus bonne ? Est-ce que nos attaquants développent des outils
aussi toujours plus performants ? C'est le fer et la souris à nouveau, ça s'arrêtera jamais. C'est
un long voyage, ça va toujours d'un côté s'améliorer et de l'autre également. Il y en aura
toujours un qui aura plus de longueur d'avance. Les algorithmes de chiffrement sont de plus en plus
robustes, bien faits, ont parfois assez peu de vulnérabilité mais souvent pour casser un
algorithme, pour casser une clé, il faut une force de calcul. Et ça, les forces de calcul de
l'informatique évoluent assez vite et donc en gros c'est un peu sans fin. Donc on n'est pas prêt
d'avoir encore des soucis sur nos échanges et nos communications puisque avec l'informatique
quantique par exemple qui risque d'arriver dans les prochaines années, on est mal barré là-dessus.
Méthode d'attaque et de défense évoluent donc tout le temps dans le cyberespace. En
sachant cela, on a voulu savoir comment les grandes plateformes numériques faisaient pour
se protéger. D'ailleurs, sont-elles si bien protégées ? Ces dernières années, on a pu
entendre parler de fuites de données de la part de Facebook, de Google, etc. Est-ce qu'on pourrait
pas attendre de tels géants une sécurité en béton armé ? Alors en effet, ça c'est une bonne question
puisque il y a des fuites partout, de plus en plus, parce qu'on a de plus en plus de services,
on a de plus en plus de données et puis toutes ces données-là, elles ont de la valeur tout
simplement. Donc en gros elles se font attaquer, des fois c'est même un acte maladroit ou même
de l'inattention lors d'une mise à jour, puisque la difficulté c'est de ne pas intégrer de nouvelles
vulnérabilités dans le temps. Et comme les systèmes doivent être mis à jour, comme on demande en tant
qu'utilisateur toujours de nouvelles fonctionnalités, du coup il y a toujours des nouveaux développements.
Si on s'était arrêté à Windows 3.1 ou Windows 95, on n'aurait plus trop de problèmes, mais on
comprend bien que non, que c'est mieux quand même d'avoir de nouveaux services, de nouvelles
fonctionnalités. Donc là c'est pareil, c'est sans fin, il y aura toujours des vulnérabilités,
puisqu'on fait évoluer le système, et donc il y aura toujours des gens pour s'infiltrer dans ces
failles et faire en sorte de pirater les données, puisque c'est un peu l'or du 21e siècle. La data
c'est quand même quelque chose d'important, et donc entre des mauvaises configurations,
des erreurs, un petit côté maladroit et puis des crapules qui veulent s'emparer du trésor,
des fuites, c'est pas fini quoi. Même sur des géants comme ça ? Même sur des géants,
parce qu'à nouveau ils ont aussi des fois des mises à jour, des évolutions qui font
que l'erreur est humaine. Et puis des fois ils utilisent aussi, et ça c'est un problème qu'on
rencontre partout, notamment dans les développements, c'est qu'ils utilisent un certain nombre de
composants et de dépendances, c'est un peu le château de cartes. Ils ne réinventent pas la
roue à chaque fois, ils s'appuient sur des logiciels open source ou autre, et ce qui fait
que le moindre maillon de la chaîne qui est faillible, c'est tout qui s'écroule, et la
créativité et l'ingéniosité de certains cybercriminels, dont c'est le métier, ils font
ça tous les jours, ils ont fait des études, va profiter d'un instant d'inattention ou d'une
vulnérabilité à un moment pour tout simplement s'infiltrer, puisque eux c'est eux qui décident
du moment des armes et de l'endroit. Ils sont presque des fois un peu en attente d'une faiblesse,
d'une erreur. Moi en écoutant tout ça j'ai un petit problème. J'ai l'impression que 1,
ces géants sont très fragiles, au final, et 2, j'ai l'impression que quand on parle des
cybersécurités, on nous demande à nous les usagers de, par exemple, changer des applications,
de, je ne sais pas, comme on a dit tout à l'heure, si on veut être sûr que les infos soient bien
sécurisées, il faut s'équiper, on l'a dit. Mais du coup, je me demande que c'est très étrange
pour moi que nous on a décidé collectivement, quelque part, que la protection de nos données
était gérée par Facebook, par les gars-femmes, etc. Eh bien ça ne serait pas plus à l'état de,
par exemple, organiser, pas gérer complètement, mais d'organiser quelque sorte la protection de
nos données à la place de la remettre complètement à des gens qui ne sont pas forcément experts et
qui peut-être n'ont pas les temps, l'envie aussi de se plancher sur la question. Je pense que les
gens ils n'ont pas forcément envie de confier certaines de leurs données ou toutes leurs
données aux États, aux gouvernements. Je pense que les gouvernements en ont déjà pas mal des données.
Il y a une petite histoire qui est intéressante, qui justement s'appuie un petit peu sur cette
notion un peu de centralisation des données des Français. C'est en 1974, en gros, le gouvernement
voulait en gros ficher, centraliser plus de 50 millions de Français dans le projet qui s'appelle
Safari. Et l'idée, en gros, c'était de rassembler et d'avoir une petite fiche d'identité numérique
informatique. Et tout ça, il devait être rassemblé dans un ordinateur au sein des locaux du ministère
de l'Intérieur. Donc on peut imaginer qu'à ce moment-là, l'opinion publique s'est mobilisée. En plus,
dans les années 70, ça a réveillé de douloureux souvenirs, notamment liés à l'occupation. Et le
Premier ministre de l'époque a été contraint de faire machine arrière et a créé un comité qui
était en charge de mener des consultations. Et en gros, tout ça a débouché sur la création de
la CNIL donc la Commission Nationale Informatique et Liberté. Un organisme qui, justement, est
normalement à peu près indépendant et qui assure justement la protection des données avec le
règlement européen maintenant, le fameux RGPD, qui justement met un code de la route. En fait,
je pense que l'État est plutôt là pour mettre en place des règles. On le voit aussi avec l'ANSI,
l'Agence Nationale de la Sécurité des Systèmes d'Information, qui est plus là pour mettre des
règles en place, porter des exigences à certaines entreprises essentielles pour qu'elles se protègent
bien et que leurs services continuent, coûte que coûte, d'être apportés aux populations. Et puis,
il y a l'aspect économique avec les grosses entreprises qui font leur business et qui,
il faut le dire quand même, nous apportent des services qui sont plutôt quand même de qualité,
en tout cas pour la plupart et pour certains. Après, la CNIL, si je ne m'abuse, elle est
souvent décriée pour, justement, des fois, son manque de pouvoir, non ? Alors, avec le RGPD au
niveau européen, la CNIL a eu un peu plus de pouvoir de sanction. C'est un petit peu évolué là-dessus.
Mais oui, à son début, en tout cas, elle n'avait pas un énorme pouvoir de sanction. Donc, en gros,
à partir du moment où le gendarme ne peut pas verbaliser, en gros, forcément, il y a des abus.
En fait, il ne s'agit pas de donner mes données à l'État, mais que l'État fournisse les outils
pour sécuriser mes données. Par exemple, Aral Balkan, de la Fondation Small Technology et
militant des droits de l'homme, propose des données à chaque citoyen et citoyenne européen,
un espace numérique sur des serveurs publics gérés par des administrations locales comme,
par exemple, les municipalités sur lesquelles les citoyens et les citoyennes peuvent conserver
leurs données sans les donner aux GAFAM. Honnêtement, si la municipalité met en place
l'infrastructure, je suis tout à fait pour donner un coup de main à mes amis pour mettre en place
des services comme, par exemple, Nextcloud, l'équivalent open source de Google Drive. Et
je pense que ça serait aussi plus facile pour faire de la sensibilisation. Mais moi, je ne sais
pas, ça me semble une idée intéressante, mais ce n'est pas moi l'expert de cyber sécurité dans
les studios. C'est un vrai dilemme, c'est un vrai problème. En fait, en gros, il faut trouver
l'équilibre. La difficulté, elle est là. C'est qu'en fait, oui, dans le meilleur des mondes, en effet,
avoir un espace partagé où on vient déposer ses fichiers sur un espace local comme tu viens
de l'évoquer avec une mairie, pourquoi pas, se pose le problème de la sécurité. Est-ce qu'une
mairie, elle a les capacités, les moyens, les compétences de sécuriser un serveur au sein de
ses locaux ? Moi, je pense que la réponse, c'est non, pour avoir travaillé avec des collectivités.
Donc en fait, il faut confier ses données à des gens compétents et c'est là que le business nous
rattrape, l'économie nous rattrape. Et là, c'est le dilemme qu'on pourrait avoir avec le cloud.
Est-ce qu'il faut confier nos données dans un cloud en Californie ou est-ce qu'il faut faire
avec une petite association du coin, déposer nos données en sachant qu'il y a quand même de
grandes chances que des grandes entreprises comme les GAFAM et autres aient plus de moyens, plus de
compétences, plus de temps pour faire ça à peu près bien pour ce qui est de la sécurité des données.
Je ne parle pas forcément d'aller fouiller dans nos affaires puisque ça c'est aussi, il ne faut pas rêver,
leur modèle économique. Mais pour ça aussi, on peut leur confier nos données et les chiffrer pour faire
en sorte qu'ils n'aillent pas fouiller dans nos affaires. Comme ça, on peut profiter de leur
espace qui est proposé à bas coût avec la sécurité derrière. Et puis comme eux, ce qui les intéresse,
puisque quand c'est gratuit, c'est souvent nous le produit, c'est qu'en gros ils aillent fouiller
dans nos affaires pour nous profiler. Le but, c'est de leur mettre un petit bâton dans les
roues en tout simplement en chiffrant les données qu'on met dans le cloud. Et comme ça, les plateformes
ne peuvent pas aller fouiller dans nos affaires. Pour finir, on a posé une question à Régis
Leguennec qui semble bête, mais pourtant c'est essentiel de le savoir. Quelle est la valeur de nos données ?
Souvent les gens dans la cybersécurité, ils pensent que c'est que leurs données qui a de la valeur.
Alors qu'en fait, la valeur, elle n'est pas que dans la data. Puisqu'en fait, en gros c'est soit
t'es attaqué parce que c'est toi le trésor, soit t'es attaqué parce qu'en gros ton équipement ou
toi-même peut servir pour attaquer quelqu'un d'autre. Et ça, dans énormément de cas, il y a
cette notion qu'on se sert de toi qui justement pensait ne pas avoir de valeur pour en gros
attaquer ton voisin. L'usurpation d'un compte Facebook parfois, c'est tout simplement pour
arnaquer tonton et tata au nom de la personne qui pensait qu'elle avait rien à voler ou à se
faire voler sur son compte Facebook. Mais l'attaquant, il s'en fiche du compte Facebook. Lui, ce qu'il veut,
c'est se servir de la confiance qu'on peut avoir dans cette personne auprès de ses proches et de
sa famille pour en gros crier à l'aide. Et on est pratiquement assuré qu'il y a bien quelqu'un qui,
par réflexe, et c'est plutôt sain, va essayer de prendre la posture du sauveur pour venir le sauver.
Pirater un site vitrine où il n'y a pas d'intérêt, ça peut servir à cacher un code pour par exemple
pointer sur un site malveillant et augmenter son référencement à travers les techniques un peu de
référencement naturel. Pirater un site tout pourri, ça peut être aussi un site vitrine sans intérêt,
ça peut être pour y cacher un exploit, donc en gros un petit script, un petit logiciel qui
va permettre d'infecter tout simplement tous ses visiteurs. Voilà, donc en gros il y a
plein plein plein d'attaques qui s'appuient non pas sur la valeur de la personne ou du site mais
plutôt s'en servir comme un moyen d'attaque. Donc ça c'est un premier point. Le deuxième en effet
c'est la valeur de la donnée. Donc la valeur de la donnée, ça clairement aujourd'hui, la donnée ça
vaut de l'argent, il y a des entreprises qui gagnent plutôt assez bien leur vie avec la revente de nos
données personnelles, donc ça c'est pas un scoop. Pour ce qui est des tarifs, ça va dépendre un
petit peu de quoi on parle, ça va dépendre un peu de la fraîcheur de la data, je pense à des comptes
des comptes Facebook, Spotify, Uber, AirBnB, etc. Tous ces comptes-là ont de la valeur, en gros tous
les profils ont de la valeur, tous les profils se revendent sur le darknet. Ça peut aller de quelques
euros à un peu plus pour certains comptes, ça dépend à nouveau si c'est un compte récent,
parce qu'on peut imaginer que les anciens comptes, les mois de passe ont été changés, donc du coup
ils n'ont plus de valeur. Ça s'achète par paquet de 10, 200, 2000 et puis on va trouver aussi tout
ce qui est papiers d'identité qui permettent souvent, et ça va là aussi avec des comptes,
d'usurper l'identité de quelqu'un, donc en gros de pouvoir mener des actions au nom de quelqu'un.
Et l'usurpation d'identité c'est un véritable problème, un véritable fléau.
Merci à Régis Leguennec d'IPcyb pour avoir répondu à nos questions sur le dark web et la
cybersécurité. Si cet épisode vous a plu, on vous invite à nous le signaler sur vos applications de
podcast. On rappelle également que nos autres émissions sur le Fab Lab et la conception
d'interface sont disponibles en podcast en tapant AZERTY sur vos applis préférées.
Bref, sur ce, on vous dit à bientôt pour de nouvelles aventures numériques. ==/ Sous-titres générés avec IA (Whisper), editing et proofing par Guglielmo Fernandez Garcia /==