Utiliser votre ordinateur portable et votre téléphone en toute sécurité

Module 5: Appareils, logiciels et réseau · Temps de lecture : 10 minutes

Objectif pédagogique : à l'issue de cette leçon, vous saurez protéger vos ordinateurs portables et téléphones contre la perte, le vol et les malwares, et vous saurez quoi faire dans la première heure si un appareil disparaît.
Notions clés : verrouillage d'écran, chiffrement du disque, clé de récupération, localisation et effacement à distance, protection intégrée, utilisateur standard, compte administrateur, autorisations d'application, gestion à distance (MDM)

L'appareil, c'est le trousseau de clés

Sur l'ordinateur portable ou le téléphone d'un entrepreneur, il n'y a pas que des fichiers. Il y a aussi des sessions ouvertes de messagerie, de comptabilité et de banque, des mots de passe enregistrés, l'application d'authentification pour l'authentification à deux facteurs, des données clients dans le dossier de téléchargements, et des photos de passeports que quelqu'un avait envoyées « juste pour voir ». Un appareil perdu ou volé représente donc presque toujours bien plus qu'une simple perte financière. Il peut donner accès à toute votre entreprise, et constituer une violation de données (leçon 8.2).

Il existe deux types de risques, avec des mesures différentes :

Le verrouillage d'écran : la première porte

Sans verrouillage, toute personne qui prend votre appareil peut immédiatement continuer là où vous vous étiez arrêté. Configurez donc :

• un code PIN ou un mot de passe sur chaque appareil, avec la biométrie (empreinte digitale ou visage) en complément pour le confort. Un code PIN à six chiffres ou plus est bien plus robuste qu'un code à quatre chiffres ; un schéma de déverrouillage se déchiffre souvent à partir des traces de doigts sur l'écran ;
• un verrouillage automatique après quelques minutes d'inactivité ;
• l'habitude de verrouiller vous-même votre appareil quand vous vous éloignez. Sous Windows, c'est la touche Windows + L, sur Mac Control + Command + Q ;
• limiter les notifications sur l'écran de verrouillage. Un code de connexion reçu par SMS ou un extrait d'un e-mail confidentiel n'a pas besoin d'être visible pour quiconque voit votre téléphone posé sur une table.

Le chiffrement du disque : ce qu'un voleur ne peut pas lire

Un verrouillage d'écran arrête un passant, mais pas un voleur qui a le temps. Il peut retirer le disque d'un ordinateur portable et le lire dans un autre ordinateur. C'est là qu'intervient le chiffrement du disque : toutes les données du stockage sont chiffrées avec une clé qui n'est libérée que lorsque vous vous connectez. Sans cette clé, le disque n'est qu'une suite de caractères illisibles.

Le chiffrement s'accompagne d'une clé de récupération : un long code qui vous permet d'accéder aux données si votre mot de passe ne fonctionne plus ou après une modification importante de l'appareil. Conservez cette clé dans un endroit que vous pouvez aussi atteindre si l'ordinateur portable lui-même a disparu, par exemple dans votre gestionnaire de mots de passe ou dans le compte de votre organisation. Une clé de récupération notée sur un papier dans la sacoche de l'ordinateur est tout aussi utile que la clé de la maison cachée sous le paillasson.

Pourquoi cela compte pour le RGPD : si vous perdez un appareil chiffré dont la clé est conservée en sécurité, le risque d'utilisation abusive des données est faible. Pour un ordinateur portable non chiffré contenant des données clients, c'est différent. Vous apprendrez comment évaluer cela dans la leçon 8.2.

Perdu ? La première heure

Configurez-le dès maintenant, il sera prêt le jour où vous en aurez besoin :

1. Activez la localisation et l'effacement à distance. Apple, Google et Microsoft proposent chacun une fonction permettant d'afficher un appareil sur une carte, de le faire sonner, de le verrouiller et de l'effacer. Cela ne fonctionne que si la fonction a été activée au préalable.
2. Sachez où vous connecter pour le faire, et assurez-vous de pouvoir le faire même sans l'appareil disparu. Si votre authentification à deux facteurs est uniquement sur ce téléphone, vous aurez besoin de vos codes de récupération (leçon 2.3).

Si l'appareil a disparu :

1. Verrouillez-le à distance et affichez un message avec un numéro de téléphone.
2. Révoquez les sessions de vos services principaux : messagerie, stockage cloud, comptabilité. Dans Nextcloud, vous pouvez par exemple révoquer l'accès par appareil ou demander à l'appareil d'effacer les données de ce service.
3. Changez les mots de passe des comptes qui étaient ouverts sur l'appareil, depuis un autre appareil propre.
4. Effacez l'appareil à distance si vous ne le retrouvez pas rapidement.
5. Évaluez et documentez si des données personnelles s'y trouvaient, et déposez plainte en cas de vol.

Malwares : protection intégrée et droits minimaux

Un ordinateur portable ou un téléphone moderne dispose déjà de nombreuses protections intégrées : Windows a Microsoft Defender, macOS effectue ses propres contrôles sur les programmes, et les boutiques d'applications d'Apple et de Google vérifient les applications avant de les proposer. Un antivirus distinct peut offrir des fonctions supplémentaires, mais l'essentiel est que la protection intégrée soit activée et mise à jour.

Deux habitudes font une grande différence :

• Travaillez au quotidien en tant qu'utilisateur standard, pas en tant qu'administrateur. Un malware que vous lancez par inadvertance obtient les mêmes droits que vous. En tant qu'utilisateur standard, il peut faire bien moins : pas d'installation de logiciel, pas de modification des réglages système, pas de désactivation de la protection. Si vous avez besoin de droits d'administrateur une fois, le système demande le mot de passe administrateur. Ce moment de réflexion est précisément le but recherché.
• Installez uniquement depuis la boutique d'applications officielle ou le site de l'éditeur. Sur Android, cela signifie laisser désactivée l'option « installation depuis des sources inconnues ». Lors d'escroqueries à l'assistance technique ou de fausses alertes bancaires, les fraudeurs aiment envoyer un lien vers une « application » qui, en réalité, prend le contrôle de votre écran.

Autorisations d'application : que peut faire une application ?

Chaque application demande des autorisations : caméra, microphone, localisation, contacts, fichiers. Une application de lampe de poche qui demande vos contacts n'a aucune bonne raison de le faire. Vérifiez une fois par trimestre les autorisations dans les réglages de votre téléphone :

• n'accordez la localisation que « pendant l'utilisation », pas en permanence ;
• révoquez l'accès aux contacts et fichiers pour les applications qui n'en ont pas besoin. Vos contacts sont des données personnelles appartenant à d'autres personnes ;
• supprimez les applications que vous n'utilisez plus ;
• soyez particulièrement attentif aux applications qui demandent des droits d'accessibilité ou le partage d'écran. Avec ces droits, une application peut voir et cliquer sur tout ce que vous voyez.

Plusieurs appareils ? La gestion à distance

Si vous travaillez avec plusieurs personnes, « chacun gère son appareil » devient difficile à contrôler. Avec la gestion à distance (Mobile Device Management, MDM), vous configurez de manière centralisée que chaque appareil soit chiffré, verrouillé, mis à jour et puisse être effacé à distance. Il existe des solutions intégrées aux grandes suites bureautiques professionnelles, des services autonomes et des solutions open source. Pour les téléphones personnels des employés (bring your own device), vous pouvez souvent ne gérer que la partie professionnelle, afin de ne pas avoir accès aux photos privées de quelqu'un.

Même sans MDM, vous pouvez établir des règles et les vérifier ensemble une fois par an. La checklist de l'exercice vous y aide.

En pratique : à quoi cela ressemble

Dans Nextcloud, tel que proposé par WebOké, vous trouvez sous Paramètres, Sécurité une liste Appareils et sessions. Vous y voyez chaque navigateur, application et mot de passe d'application disposant d'un accès. Via les trois points, vous révoquez l'accès d'un appareil, ou vous demandez à l'appareil d'effacer les données Nextcloud dès qu'il se reconnecte. Chez d'autres fournisseurs de cloud, cela s'appelle souvent « appareils », « sessions » ou « aperçu de sécurité » et fonctionne de manière similaire.

Résumé

• Un appareil est un trousseau de clés : sessions, mots de passe et application 2FA s'y trouvent.
• Activez le verrouillage automatique, utilisez un code PIN robuste et limitez les notifications sur l'écran de verrouillage.
• Activez le chiffrement du disque et conservez la clé de récupération ailleurs qu'avec l'appareil.
• Activez au préalable la localisation et l'effacement à distance ; en cas de perte : verrouiller, révoquer les sessions, changer les mots de passe, effacer, évaluer.
• Travaillez en tant qu'utilisateur standard, installez uniquement depuis des sources officielles et vérifiez les autorisations des applications.

Quiz

Exercice

Exercice D5.2 : Vérifier votre ordinateur portable et votre téléphone. Contrôlez sur votre propre ordinateur portable et votre téléphone le verrouillage, le chiffrement du disque, la clé de récupération, la localisation et l'effacement à distance, votre type de compte et les autorisations d'applications. Cochez la checklist et notez ce que vous feriez si votre téléphone était volé demain.

Pour aller plus loin

Les étapes des articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Guide Nextcloud 3.6: Afficher, révoquer ou effacer à distance les appareils et sessions
• Guide Nextcloud 3.10: Téléphone perdu ou 2FA perdue : comment récupérer l'accès à votre compte
• Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
• ANSSI, cybermalveillance et bonnes pratiques sur les appareils mobiles : https://cyber.gouv.fr/
• Microsoft, le chiffrement de l'appareil sous Windows : https://support.microsoft.com/nl-nl/windows/apparaatversleuteling-in-windows-cf7e2b6f-3e70-4882-9532-18633605b7df
• Apple, codes d'accès et protection des données (en anglais) : https://support.apple.com/guide/security/passcodes-and-passwords-sec20230a10d/web