Fuite de données intimes : ce qui se passe vraiment

La plupart des fuites de données sont un inconvénient. Vous changez un mot de passe, vous surveillez une carte bancaire pendant quelques mois, et au bout d'un an, cela n'a plus d'importance.

Les fuites impliquant des données intimes fonctionnent différemment, et la différence ne tient ni au volume ni à la gravité au sens habituel. Elle tient à ce qui ne peut pas être annulé.

Pourquoi c'est une catégorie différente

Un mot de passe se change. Une carte bancaire se réédite. Ce qu'une personne a écrit à son partenaire ne peut pas être effacé, tout comme le fait qu'une personne précise possédait un compte quelque part.

L'existence même du compte constitue souvent toute la charge utile. Dans plusieurs fuites bien documentées de services utilisés en privé, les seules adresses e-mail ont suffi à causer des dommages graves, avant même que quiconque ne lise le moindre message. Ashley Madison en 2015 en est l'exemple le plus parlant, et les conséquences pour les individus ont été lourdes et parfois irréversibles.

La seconde propriété est la permanence. Les jeux de données divulgués ne sont pas supprimés. Ils circulent, sont indexés, croisés avec d'autres bases de données, et réapparaissent des années plus tard.

Vous pouvez changer tous vos identifiants. Vous ne pouvez pas changer le fait qu'une trace existe.

Le problème du croisement de données

Une fuite isolée semble souvent anodyne. Une adresse e-mail et un horodatage.

Le risque vient du regroupement. Une adresse issue d'une fuite, plus un numéro de téléphone issu d'une autre, plus un historique de localisation issu d'une troisième produisent un profil qu'aucune des trois ne contenait isolément.

C'est pourquoi dire « ce n'étaient que des adresses e-mail » est une réassurance bien plus faible qu'il n'y paraît, et pourquoi la minimisation des données compte plus que la réaction après une fuite.

Ce qui réduit réellement le risque

Une seule chose concrète : le fait que les données n'existent pas sous forme lisible au départ.

Tout le reste n'est que de l'atténuation. De bonnes pratiques de sécurité réduisent la probabilité d'une fuite, mais ne changent pas ce qu'elle expose. Les limites de conservation réduisent le volume exposé. Le chiffrement dont l'opérateur détient la clé protège contre certains types d'attaques, mais pas contre un attaquant qui accède au système en cours de fonctionnement.

Le chiffrement de bout en bout est le seul dispositif où une compromission totale des serveurs n'expose pas le contenu, car le contenu n'y existe pas sous une forme lisible.

Il ne protège pas les métadonnées. Un attaquant apprendrait toujours que deux comptes existaient, qu'ils étaient associés et qu'ils étaient actifs certains jours. C'est une exposition réelle, mais beaucoup plus restreinte.

Les questions à poser à tout service intime

Qu'est-ce qu'un attaquant ayant totalement compromis vos serveurs serait en mesure de lire ?

Combien de temps conservez-vous les données après la suppression d'un compte ?

Quels tiers en reçoivent une partie ?

Existe-t-il un contact sécurité public et un historique de réponse aux signalements ?

La première question est celle qui distingue les architectures. Tout le reste relève de la pratique, et la pratique change avec la gestion.

La position de Duoheart

Le contenu, c'est-à-dire les questions, les réponses, les messages et les appels, est chiffré sur les appareils avec une clé générée sur place et jamais transmise à nos serveurs. Une compromission totale de notre infrastructure ne l'exposerait pas, car nous ne le conservons pas sous forme lisible.

Elle exposerait l'existence des comptes, l'association entre eux, ainsi que les informations d'abonnement et d'activité. Nous ne prétexterons pas que cela n'est rien.

Nous collectons également moins de données que nous le pourrions, ce qui est la mesure de confidentialité la moins spectaculaire mais l'une des plus efficaces. Des données qui n'ont jamais été collectées ne peuvent pas fuiter.

Que faire en tant qu'utilisateur

Utilisez une adresse qui n'est pas votre adresse principale pour ce type de services. Supprimez les comptes que vous n'utilisez pas, correctement et non en désinstallant simplement l'application. Et partez du principe, pour tout ce que vous transmettez à un service quel qu'il soit, qu'une copie pourrait exister quelque part dans dix ans, car pour la plupart des services, c'est tout simplement la réalité.