Les adversaires et leurs motivations

Des conseils de sécurité qui commencent par des outils avant que les gens ne se trompent généralement. Le guide d’autodéfense de surveillance de l’Electronic Frontier Foundation pose la bonne question en premier : non pas « que dois-je installer », mais « contre qui dois-je protéger [mes informations] ». Un adversaire est, selon ses termes, « une personne ou une entité qui constitue une menace pour vos actifs ». Avant de choisir une protection, il est utile de préciser à qui vous êtes réellement confronté, car un employé d'une ONG, un avocat de la défense et un journaliste d'investigation font rarement face à la même personne.

Ce qui différencie un adversaire d'un autre

L'unité de connaissances NCAE-C Cyber ​​Threats organise les acteurs de la menace autour de ce qu'elle appelle un modèle d'adversaire : leurs ressources, leurs capacités, leur intention, leur motivation, leur tolérance au risque et l'accès dont ils disposent déjà. Deux attaquants qui veulent tous deux votre mot de passe peuvent avoir un aspect complètement différent une fois que vous posez ces questions. Un voleur de cartes de crédit a pour objectif l'argent, des compétences modestes et se dirigera vers une cible plus facile dès que l'attaque semblera coûteuse. Un service de renseignement gouvernemental a de la patience, des ingénieurs, une couverture juridique et aucune raison d’abandonner.

Quatre adversaires auxquels les personnes à risque sont couramment confrontées

Pourquoi le même comportement signifie des risques différents pour différentes personnes

Une ONG documentant des abus, un avocat détenant le dossier d’asile d’un client et un journaliste protégeant une source manipulent tous des informations qui pourraient nuire à quelqu’un si elles étaient divulguées, mais la personne à laquelle elles pourraient nuire et l’adversaire qui les souhaite diffèrent. Pour l’ONG, un acteur étatique ou un groupe local hostile peut vouloir connaître l’identité des témoins. Pour l’avocat, la partie adverse du client ou un gouvernement hostile peut vouloir le dossier. Pour le journaliste, l’employeur de la source ou un service de sécurité de l’État peut vouloir savoir qui a parlé. Access Now, qui gère une ligne d’assistance sur la sécurité numérique destinée aux « groupes de la société civile, aux journalistes, aux blogueurs, aux défenseurs des droits humains et aux militants », constate cette tendance dans les cas qu’il traite : l’outil qui compte est celui qui répond à la menace spécifique, et non une liste générique de « meilleures pratiques ».

Les initiés et les attaquants peu qualifiés comptent toujours

L’unité de connaissances Cyber ​​Menaces cite également deux catégories faciles à sous-estimer : la menace interne (une personne disposant d’un accès légitime qui en abuse) et le « script kiddie », un attaquant aux compétences limitées exécutant des outils créés par d’autres. Un bénévole mécontent de votre base de données de donateurs, ou un ancien partenaire qui connaît toujours votre code de déverrouillage, peut faire autant de dégâts qu'un acteur plus sophistiqué et est statistiquement beaucoup plus susceptible d'être celui qui agit réellement.

Nommer l’adversaire change ce que vous faites ensuite

La surveillance d'autodéfense de l'EFF encadre clairement les résultats : une fois que vous savez de qui vous protégez les informations, vous pouvez décider « combien de problèmes vous êtes prêt à traverser » pour les défendre, et où cet effort est vain. Un avocat inquiet de voir l'avocat adverse assigner des courriels à comparaître a besoin d'habitudes différentes de celui qui s'inquiète de l'interception d'appels par l'État. La leçon suivante de ce cours suit l’attaque d’un adversaire spécifique depuis le premier message jusqu’au but ; celui qui suit transforme « qui pourrait me cibler » en une manière reproductible d’évaluer la probabilité et l’impact.