Les personnes identifiées sont rarement piégées par une attaque astucieuse contre le chiffrement. Elles le sont par des liens : le même nom d'utilisateur, le même e-mail, la même IP, les mêmes habitudes d'écriture. La sécurité opérationnelle (OpSec) est la discipline qui consiste à supprimer ces liens. Voici une liste de contrôle pratique pour toute personne qui gère un serveur et tient à sa vie privée, que ce soit par sécurité, pour son activité ou par principe.
1. Décidez de qui vous vous cachez
Un concurrent, un harceleur, un gouvernement hostile et un scraper désœuvré exigent des défenses très différentes. Écrivez d'abord votre menace, puis concentrez vos efforts là où cela compte. « Tout le monde » n'est pas un modèle de menace.
2. Séparez les identités
Utilisez un nom d'utilisateur, une adresse e-mail et un mot de passe distincts pour chaque projet. Ne réutilisez jamais un pseudo issu d'un compte personnel ou ancien. Un seul détail en commun suffit à relier les points.
3. Ne vous connectez jamais depuis chez vous sans protection
Votre adresse IP personnelle est l'identifiant le plus fort dont vous disposez. Accédez au serveur via un VPN ou Tor, et restez cohérent. Une seule connexion directe depuis votre domicile est enregistrée définitivement dans les journaux du fournisseur et dans le auth.log de votre serveur.
4. Payez d'une façon adaptée à votre menace
Les paiements par carte et par virement sont liés à votre nom. Les cryptomonnaies diffèrent par leur traçabilité, et les plateformes d'échange demandent une pièce d'identité. Lisez les bases de la confidentialité crypto et alimentez le compte avec des pièces adaptées à votre objectif.
5. Surveillez vos métadonnées
- Les documents et les images contiennent des noms d'auteurs et des données GPS. Supprimez-les avant de publier.
- Les enregistrements WHOIS exposent les propriétaires de domaines, sauf si la protection est activée. Voir acheter un domaine anonymement.
- Les certificats TLS sont publics. Un certificat pour un nom que vous utilisez ailleurs relie les deux.
6. Gardez la vitrine publique du serveur minimale
Fermez tous les ports inutilisés, masquez les versions des logiciels et utilisez un hôte virtuel par défaut qui ne révèle rien lors d'une requête sur l'IP seule. Le guide UFW et fail2ban détaille les étapes.
7. Ne mélangez pas web classique et services cachés
Faire tourner un site public et un service onion sur la même machine favorise la corrélation par les horaires, la disponibilité et les bannières logicielles. Utilisez des serveurs séparés.
8. Gérez l'e-mail avec soin
Les en-têtes des e-mails montrent l'IP d'envoi. Envoyez depuis un relais et non depuis l'origine, et consultez les bonnes et mauvaises pratiques de l'auto-hébergement d'e-mail.
9. Sauvegardez et chiffrez
Une sauvegarde non chiffrée dans votre cloud personnel anéantit tout le reste. Utilisez des sauvegardes chiffrées et gardez les clés séparées des données.
10. Pensez à vos propres habitudes
Publier aux mêmes heures, employer les mêmes expressions et faire les mêmes fautes de frappe identifient une personne. Soyez-en conscient et ne parlez pas de votre projet dans des endroits liés à votre vrai nom.
Aucune configuration ne vous rend invisible, et aucun hébergeur ne peut le promettre. Visez à rendre l'identification coûteuse et à éviter les erreurs faciles ci-dessus. Pour connaître les limites, lisez à quel point l'hébergement anonyme l'est vraiment.