L'état de la journalisation des données : une évaluation des niveaux de menace et des pratiques de sécurité
15/05/2018 - 12 min de lecture
Mis à jour : 26/09/2021
Psiphon Inc. mène depuis des années la lutte pour ouvrir Internet à ceux qui vivent sous des régimes de censure. Bien qu'ils ne soient confrontés à aucune restriction de contenu en ligne, les utilisateurs des pays occidentaux se tournent vers des VPN tels que Psiphon pour protéger leur vie privée en ligne. Pourtant, en mars 2017, le Pew Research Center a publié une statistique alarmante selon laquelle environ 70 % des internautes américains ne savent pas exactement à quoi sert un VPN.1
Si le nombre sans cesse croissant de comptes Psiphon est une indication de l'augmentation du nombre d'utilisateurs de VPN dans le monde, un afflux substantiel d'utilisateurs indépendants pénètre sur un marché où ils ne disposent d'aucun repère pour évaluer les produits de manière critique. Ce groupe doit désormais assumer la tâche de comprendre les risques dans le domaine méconnu de la cybersécurité. En conséquence, ils sont particulièrement vulnérables à la désinformation. L'un des concepts qui met les utilisateurs en état d'alerte maximale est l'omniprésence du terme journalisation des données sur les sites web et forums consacrés aux VPN, ainsi qu'une présentation trompeuse des risques individuels et des moyens de se protéger efficacement.
Selon Techopedia, « la journalisation des données est le processus de collecte et de stockage de données sur une période donnée afin d'analyser des tendances spécifiques ou d'enregistrer les événements/actions reposant sur des données d'un système, d'un réseau ou d'un environnement IT. Elle permet le suivi de toutes les interactions par lesquelles des données, des fichiers ou des applications sont stockés, consultés ou modifiés sur un périphérique de stockage ou une application. »2 De nombreux VPN mettent en avant une politique de non-conservation des journaux comme une caractéristique apparemment unique, insinuant ainsi que le trafic Internet des citoyens ordinaires risque autrement d'être constamment enregistré et potentiellement exploité à des fins commerciales et juridiques.
C'est devenu un sujet brûlant à la suite de l'abrogation, en avril 2017, de certaines protections de la FCC qui auraient obligé les fournisseurs d'accès à Internet (ISP) américains à obtenir une autorisation avant de partager les données des utilisateurs (si tant est qu'elles soient entrées en vigueur comme prévu en décembre 2017). L'idée que leur gouvernement préconise que les ISP conservent des journaux de nos historiques personnels de navigation sur Internet pour ensuite les vendre ou les divulguer sans consentement est alarmante pour la plupart des internautes.
Fervent défenseur de la liberté sur Internet, Psiphon s'efforce chaque jour de veiller à ce que ses utilisateurs bénéficient d'un accès équitable et ouvert à un Internet non censuré, sans répercussions. L'expansion de la légalité relative à l'utilisation non autorisée des données des utilisateurs et de leur historique de navigation crée une tendance troublante qui démontre que le profit l'emporte souvent sur l'éthique. Mais Psiphon s'est penché de plus près sur le paysage des pratiques de trafic et de journalisation des données.
Brève analyse comparative des politiques de journalisation des données aux États-Unis, dans l'EU et au Canada
En général, les pays occidentaux ont défini des protections et des réglementations sous l'angle de la sécurité des données stockées. Ces lois établissent des dispositions relatives aux normes de sécurité auxquelles les entreprises sont tenues lors de la collecte et du stockage des données des utilisateurs. Elles décrivent également les questions de légalité concernant la divulgation des informations. Cependant, toutes les lois mentionnées dans cet article laissent à la discrétion de l'organisme collecteur les décisions relatives au type de données et aux situations dans lesquelles elles sont collectées, ainsi qu'à la durée de conservation de ces données. Bien que, dans de nombreux cas, ces organismes doivent justifier la logique de leurs politiques auprès d'un organe directeur central, une telle législation crée une arme à double tranchant, car elle soutient tacitement la conservation des données dans bien des cas.
Par exemple, il n'existe actuellement aux États-Unis aucune réglementation générale régissant la journalisation des données. Les ISP sont libres de collecter et de stocker les données des utilisateurs, à condition que l'utilisateur soit informé qu'il est soumis à de telles pratiques dans les conditions de service ou le contrat de licence utilisateur. Cependant, les entreprises sont régies par le Stored Communications Act, qui interdit la divulgation des données d'utilisateurs, y compris les communications électroniques, « à toute personne autre que le destinataire prévu ».3 Même si le gouvernement américain impose à toutes les entreprises la protection des données des utilisateurs, il ne limite pas expressément les pratiques de journalisation ni la durée raisonnable de stockage des données.
La question plus vaste de la journalisation par les ISP n'est pas nouvelle, et ce n'est pas non plus un problème isolé. En réalité, la question de la journalisation des données trouve ses racines dans les mêmes interrogations juridiques que le débat sur la neutralité du Net récemment réapparu aux États-Unis.
L'Union européenne a adopté en avril 2016 une législation à l'échelle du bloc intitulée Règlement général sur la protection des données (GDPR) qui s'appuie sur la directive originelle sur la protection des données de 2012 et définit des directives de sécurité des données, les droits des utilisateurs et les classifications juridiques des personnes concernées. Cependant, les États membres individuels sont tenus de déterminer la durée appropriée de conservation des données et ne sont pas soumis à un calendrier obligatoire à l'échelle du bloc.
Les entreprises indépendantes sont chargées de déterminer la durée appropriée de conservation des données collectées, tandis que des périodes de conservation supplémentaires peuvent être établies à des fins d'« archivage dans l'intérêt public, à des fins scientifiques, statistiques ou historiques ».4 Toutefois, en vertu des dispositions du GDPR, un simple citoyen bénéficie du « droit à l'oubli » et peut demander que ses données personnelles soient supprimées d'un serveur.
Enfin, la structure fédéraliste du Canada a créé une organisation juridictionnelle à plusieurs niveaux concernant ses réglementations sur la journalisation des données. Le pays a promulgué la Loi sur la protection des renseignements personnels et les documents électroniques (PIPEDA), qui énonce des directives et des règlements à l'échelle nationale concernant la collecte de renseignements à des fins d'activités commerciales, et établit une définition type nationale des renseignements personnels identifiables, qui comprend :
• l'âge, le nom, les numéros d'identification, le revenu, l'origine ethnique et le groupe sanguin ;
• les opinions, évaluations, commentaires, le statut social ou les mesures disciplinaires, etc. ;
• les dossiers des employés, les dossiers de crédit, les dossiers de prêt, les dossiers médicaux, l'existence d'un litige entre un consommateur et un commerçant, les intentions (par exemple, d'acquérir des biens ou des services, ou de changer d'emploi).5
À l'instar de la directive de l'EU, des dispositions sont prévues pour autoriser la divulgation de renseignements au Centre d'analyse des opérations et déclarations financières du Canada (FINTRAC) concernant des personnes soupçonnées d'actes criminels tels que le financement du terrorisme. Cependant, la PIPEDA ne définit pas explicitement de procédures pour sécuriser les renseignements ni pour limiter la durée légale de stockage des renseignements. Bien que le paragraphe 4.5.3 stipule que « les renseignements qui ne sont plus nécessaires aux fins déterminées devraient être détruits », les entreprises individuelles sont libres de mettre en œuvre leurs propres procédures.
Plus bas dans la hiérarchie, les provinces qui ont la compétence d'adopter leurs propres lois pour assurer la protection des données peuvent l'emporter sur les dispositions de la PIPEDA.
Alors, les VPN alarmistes ont-ils raison ?
Les VPN parviennent à alarmer les clients potentiels en raison de trois failles fondamentales dans les régimes de journalisation actuels :
1. Vos données personnellement identifiables peuvent ne pas être adéquatement sécurisées
2. Les ISP et les entreprises en ligne peuvent utiliser vos données personnelles à des fins de gain commercial
3. Les bases de données d'informations personnelles détenues par les ISP et les entreprises en ligne sont à la disposition des forces de l'ordre et des agences gouvernementales
Les trois États étudiés ont autorisé la collecte et la conservation légales de données d'utilisateurs personnellement identifiables. Bien que les ISP et les entreprises en ligne soient légalement tenus de sécuriser ces informations, cela a fondamentalement créé un système fragile fondé sur la confiance, qui manque de surveillance claire dans pratiquement toutes les juridictions. Il est facile de dire que ceux qui n'utilisent pas Internet pour des activités compromettantes ou illégales n'ont pas à s'inquiéter, mais chez Psiphon, nous pensons que tous les internautes ont une attente légitime en matière de respect de la vie privée, quels que soient leurs comportements en ligne.
En tant que tel, on peut supposer que les ISP ont le droit de journaliser les données des utilisateurs. Cela peut être troublant pour les internautes individuels qui craignent l'utilisation non autorisée d'informations privées telles que des dossiers médicaux ou des coordonnées bancaires, ou l'intrusion malveillante dans ces bases de données. De plus, si un ISP recevait une National Security Letter ou un mandat exigeant les dossiers d'un utilisateur, il serait légalement tenu de fournir ces informations aux forces de l'ordre.
Avec les lois actuellement en vigueur, les entreprises en ligne ne sont pas libres de vendre des données personnellement identifiables à des fins commerciales ni de divulguer ces informations. Cependant, elles sont parfaitement en droit de conserver et d'utiliser ces données pour divers processus internes tels que les statistiques clients. Avec l'érosion potentiellement imminente de la neutralité du Net aux États-Unis, des réserves de données personnellement identifiables pourraient être exploitées ou diffusées sans consentement. Pourtant, une source majeure d'inquiétude pour les utilisateurs de VPN reste le risque que ces données soient exfiltrées de manière malveillante, en dépit des meilleures intentions du fournisseur de services.
Les internautes auront toujours la responsabilité de s'informer sur les pratiques des entreprises avec lesquelles ils interagissent. L'une des principales préoccupations est que certains utilisateurs finaux ne soient pas en mesure de comprendre la signification ou les conséquences des conditions d'utilisation et qu'ils fondent leur choix sur des critères sociaux et techniques vagues et souvent trompeurs quant à la fiabilité et à la crédibilité du VPN. Sans parler des recherches préalables indispensables pour s'assurer que les VPN respectent véritablement les politiques de confidentialité qu'ils présentent aux utilisateurs potentiels, en particulier si le service VPN nécessite la création de comptes utilisateurs articulés autour d'informations personnellement identifiables.
De plus, une fois une décision éclairée prise, les utilisateurs situés dans des zones géographiques particulières et sur des sites spécifiques peuvent se sentir à l'aise en utilisant une connexion non chiffrée ou standard https. Mais lorsque la confusion ou l'inquiétude subsiste, un VPN sans journaux tel que Psiphon peut être utilisé pour empêcher la collecte de données personnellement identifiables en ligne.
Un VPN peut-il me protéger contre la journalisation des données ?
De nombreux internautes se tournent vers les VPN pour s'anonymiser en ligne et échapper aux pratiques de journalisation des données des services commerciaux en ligne. Cependant, il convient de préciser qu'aucun VPN ne peut offrir un anonymat total sur Internet. Mais ceux qui s'engagent en faveur d'un Internet librement accessible, comme Psiphon, intègrent des mesures de sécurité rigoureuses dans leurs services afin de protéger la vie privée de leurs utilisateurs. Grâce à l'utilisation d'un proxy VPN, le trafic Internet ne peut pas être attribué à des utilisateurs spécifiques, tout en permettant à ces derniers de rester connectés et d'utiliser les services en ligne.
Afin de gagner la confiance des utilisateurs et de renforcer la confidentialité individuelle, les VPN commerciaux mettent souvent en avant des politiques sans journaux. Ils affirment supprimer tout historique d'utilisation, rendant ainsi la traçabilité impossible. Cependant, de nombreux contrats de service VPN ne fournissent pas d'explications détaillées sur ces politiques. Pour créer un compte ou ouvrir une session chiffrée, un VPN peut exiger certaines informations détaillées sur l'utilisateur. Une fois de plus, il incombe à l'utilisateur de lire attentivement les conditions de service et de décider s'il accorde sa confiance au VPN.
La structure d'Internet exige l'échange de certaines informations pour permettre la communication en ligne. Aucune donnée ne peut être envoyée ou reçue sans une adresse IP fonctionnelle, ce qui inclut l'adresse IP légitime de l'utilisateur du VPN. Cependant, étant donné qu'aucune des législations examinées dans ce document n'oblige les VPN à stocker les données des utilisateurs pendant une durée déterminée, les valeurs fondamentales de Psiphon et d'autres services VPN peuvent les conduire à effacer ces informations de leurs réseaux dès la fin d'une session chiffrée.
En quoi Psiphon est-il différent des services VPN traditionnels ? Tout simplement, nous sommes nés de la liberté sur Internet et nous existons avant tout pour la défendre. Par conception, la plateforme Psiphon ne stocke aucune information personnellement identifiable concernant la session de navigation des utilisateurs finaux. Comme l'utilisation de Psiphon ne nécessite pas de compte, le logiciel est pratiquement incapable de créer ou de stocker des informations relatives à un utilisateur individuel. Il n'y a donc aucun registre d'utilisation, ce qui rassure ceux qui échappent à la surveillance ou craignent la divulgation d'informations personnellement identifiables à des tiers non autorisés sur le fait que l'utilisation du réseau Psiphon ne peut être attribuée à un utilisateur unique ou à une géolocalisation précise.
Pour garantir que notre réseau reste performant et s'adapte à l'évolution de la demande, nous procédons à une évaluation interne des données, qui comprend le volume du trafic et les informations sur la localisation des utilisateurs agrégées au niveau du pays.6 Il s'agit des informations les plus détaillées conservées par le service. Mais si, par exemple, un acteur extérieur malveillant parvenait à pirater ces données statistiques, aucune information personnellement identifiable ne serait compromise.
--
Par : Jacob Klein
1 http://www.pewinternet.org/2017/03/22/what-the-public-knows-about-cybersecurity/
2 https://www.techopedia.com/definition/596/data-logging
2 https://www.techopedia.com/definition/596/data-logging
3 S.Rep.
No. 99-541, 97th Cong. 2nd Sess. 37, reprinted in 1986 U.S.C.C.A.N. 3555, 3591.
4 Ibid. Paragraphe 26.
5 http://laws-lois.justice.gc.ca/eng/acts/P-8.6/FullText.html6 Cependant, les données au niveau de la ville ne seront automatiquement agrégées qu'une fois que l'utilisation au sein d'un pays aura dépassé un seuil à partir duquel il serait statistiquement impossible d'identifier des utilisateurs individuels par une évaluation du nombre de connexions actives dans la ville.