Cas particuliers : sources, frontières et quand demander de l'aide

Les leçons précédentes ont construit une méthode générale : nommer l’adversaire, évaluer la probabilité et l’impact, choisir des contrôles proportionnés. Certaines situations sont suffisamment courantes parmi les journalistes, les avocats et les travailleurs d'ONG pour mériter une attention particulière, ainsi qu'une réponse spécifique à la question vers laquelle tout le cours s'est construit : quand arrêtez-vous de faire cela vous-même ?

Protéger une source, avant qu'elle ne vous contacte

Les conseils de la Fondation pour la liberté de la presse sont directs quant au timing : « les efforts visant à protéger vos sources doivent commencer avant qu’elles ne vous contactent ». Au moment où une source vous contacte, un numéro de téléphone, un en-tête de courrier électronique ou une entrée dans l'application Contacts peut déjà exister quelque part hors de votre contrôle. Ses conseils pratiques incluent le déplacement du premier contact sensible vers Signal plutôt qu'un canal basé sur un numéro de téléphone, la réflexion sur ce qu'une ligne de conseil ou une page de contact collecte et le traitement de votre propre carnet d'adresses comme un atout à part entière – une liste de « qui parle à ce journaliste » est elle-même sensible, même sans contenu de message. La même logique s’applique aux avocats qui détiennent une liste de clients : qui vous représentez peut avoir autant d’importance que ce qui a été dit.

La confidentialité des clients est un modèle de menace, pas seulement un devoir

Le devoir éthique de confidentialité d’un avocat et un modèle de menace à la sécurité décrivent le même problème sous deux angles. L’adversaire pourrait être un avocat adverse cherchant à accéder rapidement à la stratégie, un gouvernement cherchant à obtenir les preuves d’asile d’un client avant qu’elles ne soient déposées, ou simplement un ordinateur de bureau partagé où le privilège pourrait être levé par accident. L’application de la méthode de la leçon précédente – quel est l’actif, qui le veut, comment l’obtiendrait-il – transforme le « garder la confidentialité » en étapes concrètes : stockage séparé pour les fichiers les plus sensibles, attention au service cloud qui les détient (le cours de sécurité cloud de cette université couvre qui d’autre pourrait accéder à ces données) et prudence avant de discuter d’un cas sur un canal non crypté.

Fouilles d'appareils aux frontières

Le guide de l’Electronic Frontier Foundation sur la confidentialité numérique à la frontière américaine explique que les agents frontaliers revendiquent actuellement le pouvoir de fouiller les appareils des voyageurs « avec ou sans suspicion individualisée », un pouvoir qui est plus large que celui qui s’applique en dehors de la frontière et légalement contesté. Ses conseils de préparation concrets comprennent : minimisez ce que vous transportez en laissant les appareils sensibles à la maison ou en transférant les données vers un stockage auquel vous pouvez accéder après votre arrivée plutôt que des données physiquement sur l'appareil ; permettre le cryptage complet du disque avec un mot de passe fort et mémorisé plutôt que de compter uniquement sur une empreinte digitale ou un déverrouillage facial au passage ; et éteignez les appareils avant d’atteindre le point de contrôle. Si un appareil est fouillé ou qu'un agent demande un mot de passe, l'EFF vous indique que vos options dépendent de votre citoyenneté et de votre statut d'immigration – un citoyen américain ne peut pas se voir refuser l'entrée s'il refuse, mais les non-citoyens peuvent faire face à des conséquences différentes – ce qui est exactement le genre de décision qui mérite d'être planifiée avant de vous tenir au bureau, pas pendant.

Quand faire appel à l’aide d’un expert

La méthode d'analyse des risques de ce cours est destinée à bien gérer les décisions quotidiennes. Il n’est pas destiné à remplacer l’aide d’experts une fois que les enjeux franchissent une certaine limite – un adversaire au niveau de l’État, une menace juridique active ou une source dont la sécurité dépend de la réussite du premier coup. Trois organisations existent spécifiquement pour combler cette lacune. Access Now gère une ligne d'assistance sur la sécurité numérique offrant, selon sa propre description, une « réponse rapide aux incidents de sécurité numérique » en dix langues avec un temps de réponse typique de deux heures, pour les groupes de la société civile, les journalistes et les défenseurs des droits humains. L’équipe de sécurité numérique de la Freedom of Press Foundation travaille directement avec les rédactions et les journalistes sur les situations de protection des sources et de reportage sur le terrain ci-dessus. Le guide d'autodéfense de surveillance de l'EFF est la référence dont tout ce cours s'est inspiré, et l'EFF elle-même peut être contactée directement (son guide des frontières répertorie [email protected] pour les violations des droits à un passage).

Une règle générale

Si la réponse honnête à la question « quelles sont les conséquences en cas d'échec », dès la première leçon de ce cours, est qu'une personne pourrait être blessée, arrêtée ou perdre son dossier d'asile, arrêtez de vous fier aux conseils généraux, y compris ce cours, et demandez à l'une des organisations ci-dessus. Aucun d’entre eux, ni aucun outil, ne peut promettre la sécurité. Ce qu'ils peuvent faire, c'est apporter des connaissances actuelles et spécifiques à une situation, ce qu'un cours écrit pour un public général ne peut pas apporter.