Comment protéger les données dans son ordinateur portatif avant de traverser la frontière

Une politique américaine relative aux mesures de sécurité à la frontière pose un risque potentiel au secret professionnel de l’avocat. Voici ce qu’il faut savoir et comment protéger les données confidentielles.

Fouille des ordinateurs portatifs à la frontière américaine : nouvelles lignes directrices (août 2009):  « Quiconque se rend régulièrement aux États-Unis pour affaires devrait connaître les lignes directrices du département de la Sécurité intérieure (Department of Homeland Security – DHS) annoncées le 27 août 2009. » Lire la suite

Faites-vous souvent des voyages d’affaires aux États-Unis? Si vous emportez des renseignements confidentiels, prenez garde : une nouvelle politique permet aux agents de la Customs and Border Patrol (CBP) de fouiller et confisquer ordinateurs, téléphones, assistants numériques personnels, appareils photo, lecteurs de musique numérique et autres appareils de stockage de données. En vertu de la nouvelle politique américaine sur la recherche d’information à la frontière, les agents ont aussi déjà copié le contenu intégral de disques durs d’ordinateurs et autres dispositifs de stockage pour les examiner ultérieurement. (À noter : des situations semblables peuvent aussi se présenter à la frontière d’autres pays.)

Pour de nombreux voyageurs, les assurances de la CBP que les données confidentielles seront traitées avec soin ne convainquent pas. Et les voyageurs qui résistent à une fouille, fût-ce simplement en insistant que de telles fouilles exigeraient un mandat et une cause probable si elles étaient effectuées à l’intérieur des États-Unis, peuvent être détenus, renvoyés dans leur pays d’origine ou subir d’autres conséquences fâcheuses.

Face à ces nouveautés, de nombreux juristes et autres affirment que les règles du jeu en matière de protection des renseignements personnels sont indiscutablement biaisées en faveur des agents frontaliers.

Le présent article suggère 10 mesures que vous pouvez prendre pour protéger des renseignements confidentiels, comme ceux protégés par le secret professionnel de l’avocat, lorsque vous franchissez la frontière. Chacune est assortie de réserves, dont la plus importante est qu’il n’y a aucune garantie. Vous voudrez peut-être consulter un spécialiste de la sécurité de la TI pour vous aider à choisir les meilleures options selon vos besoins.

1. Soyez anonyme

Des milliers de voyageurs traversent chaque jour les frontières américaines, transportant des milliers d’appareils. La CBP doit jauger les préoccupations en matière de sécurité en regard du temps limité pour effectuer des fouilles.

De nombreux voyageurs croient que la loi des probabilités continuera de jouer en leur faveur. Si ce n’est pas votre cas, lisez la suite.

2. Voyagez avec un ordinateur « nu »

Soyez « aseptisé »

La CBP ne peut pas lire ce qu’un ordinateur ne contient pas. C’est pourquoi certaines entreprises remettent à leurs employés des ordinateurs « aseptisés » lorsqu’ils voyagent. Ces ordinateurs contiennent le système d’exploitation, les applications nécessaires et peu ou pas de données.

Une fois à destination, les employés travaillent en sauvegardant leurs données sur des serveurs de l’entreprise au moyen d’un réseau virtuel privé sécurisé. (Des connexions sécurisées sont indispensables puisque dans certaines circonstances, la loi américaine permet l’interception de courriels et de données transmises par accès à distance à des serveurs.)

Les employés peuvent copier des fichiers sur leurs ordinateurs, charger les fruits de leur travail sur les serveurs de l’entreprise, puis « aseptiser » leurs ordinateurs de nouveau avant de repartir. Vu la grande accessibilité à des connexions Internet à haute vitesse partout aux États-Unis, le fait de voyager avec un ordinateur portatif nettoyé ne présente guère de problèmes à moins que la nécessité d’échanger des fichiers particulièrement volumineux ou des problèmes d’accès à Internet n’entravent l’accès de l’employé à des données.

Utilisez du logiciel-service

Dans la foulée de phénomènes tels que Google Docs, un nombre croissant d’entreprises offrent des logiciels résidant sur Internet. Tout ce dont leurs clients ont besoin pour utiliser ces applications est un navigateur Web compatible.

Conceptuellement, les clients utilisent du logiciel-service ou « Software as a Service » (SaaS) (résidant sur les serveurs du développeur de logiciels) plutôt que du logiciel-produit (résidant sur le disque dur de l’ordinateur). Fait important à noter, les données sont conservées sur le même serveur que le logiciel-service.

Cette tactique est moins sûre que l’aseptisation complète, et ce, pour plusieurs raisons dont la moindre n’est pas votre navigateur Web. Celui-ci enregistre votre activité Internet au moyen de mouchards, historique et autres données. Supprimez toutes ces traces de votre activité Internet avant de prendre votre prochain vol. (Pour plus amples renseignements, voyez l’encadré « Fichiers à supprimer ».)

Logiciel-service : Un problème à prendre en compte

Que se passe-t-il si les agents frontaliers tiennent à obtenir vos données? Si un serveur (celui de votre entreprise ou d’un fournisseur de logiciel-service) est situé à l’intérieur des États-Unis, la Patriot Act américaine permet aux agents gouvernementaux américains d’accéder à vos données (et obligent le fournisseur de logiciel-service à garder le silence à ce sujet).

Si les données résident à l’extérieur des États-Unis mais que le siège social de l’entreprise ou les dirigeants sont établis aux États-Unis, les données doivent être remises sur demande sous peine d’accusations à l’endroit de l’entreprise ou des dirigeants.

3. Éteignez votre ordinateur, et faites-le tôt

Si vous devez importer des données dans votre ordinateur, éteignez-le cinq minutes avant d’arriver aux douanes.

Quand ils fonctionnent, les ordinateurs conservent de l’information non chiffrée dans la mémoire vive. Si vous traversez les douanes avec un ordinateur en veilleuse, la mémoire vive révèle ce à quoi vous travailliez.

La mémoire vive ne se vide que cinq minutes après que l’ordinateur a été éteint. Donc dès que s’allume le signal d’attacher les ceintures, éteignez votre ordinateur.

4. Faites des copies de sauvegarde

Si des agents frontaliers confisquent votre ordinateur, cela ne vous empêchera pas de continuer à travailler utilement – pourvu que vous ayez laissé une copie de vos données en lieu sûr, comme un autre disque dur ou les serveurs de votre ordinateur, et que vous pouvez retrouver rapidement toutes les données voulues (documents, calendriers, courriels et ainsi de suite).

5. Utilisez un différent compte d’utilisateur pour vos renseignements confidentiels

Tout ordinateur moderne peut être utilisé par diverses personnes qui ont chacune leurs propres documents. Les utilisateurs peuvent protéger leurs comptes avec un mot de passe, de sorte que les autres utilisateurs ayant accès au même ordinateur ne puissent pas accéder à des documents qui ne leur appartiennent pas.

Moyen de protection : Le voyageur peut utiliser l’ordinateur au moyen d’un compte « aseptisé » de simple utilisateur pendant qu’il voyage, et conserver les documents confidentiels sous un compte « sûr » dont il ne connaît pas le mot de passe. Après confirmation de l’arrivée à la destination finale, le collègue qui a créé le compte « sûr » peut transmettre le mot de passe au voyageur par courriel sécurisé.

Entre-temps, si on l’interroge aux douanes au sujet des autres comptes, le voyageur ne peut guère que hausser les épaules. (Rappelez-vous que tous les comptes devraient être chiffrés.)

6. Partitionnez et chiffrez votre disque dur

La partition du disque dur, comme le chiffrement, est une pratique courante en TI permettant d’utiliser un disque dur comme s’il s’agissait de deux disques ou plus. Ces partitions peuvent être chiffrées et protégées par différents mots de passe. D’ailleurs, certains outils de partitionnement peuvent aujourd’hui dissimuler les partitions.

Moyen de protection : En recourant à la fois au chiffrement et au partitionnement, un voyageur peut déchiffrer uniquement une partition qui contient des données « sûres » que les agents frontaliers pourront inspecter. Les agents peuvent ne pas savoir qu’il y aurait d’autres partitions à inspecter si l’outil de partitionnement les dissimule – une tactique appelée stéganographie.

Pour accroître les chances de succès de ce subterfuge, munissez votre ordinateur portatif d’un plus gros disque dur, donnez à la partition « sûre » la même dimension que celle du disque dur de série de l’ordinateur, et placez le reste de l’espace disque dans d’autres partitions.

Même si vous ne faites pas une partition, un solide chiffrement de l’ensemble du disque dur et des données en tous genres est une pratique élémentaire en matière de sécurité qui ne devrait susciter aucun soupçon.

Pourquoi l’ensemble du disque dur? Certains programmes peuvent enregistrer de l’information à l’extérieur des zones chiffrées, sans que l’utilisateur le sache.

Bien qu’il soit vivement recommandé, le chiffrement n’est pas à toute épreuve : les agents frontaliers peuvent simplement vous demander de taper votre mot de passe. Un refus peut s’avérer lourd de conséquences.

7. Protégez les ports FireWire

Les ports FireWire permettent des transferts de données plus rapides que les ports USB. Certains ordinateurs Windows haut de gamme et pratiquement tous les Mac sont dotés de ports FireWire. La CBP peut s’en servir pour copier rapidement un disque dur complet. Les Mac permettent au propriétaire de bloquer cette option en créant un mot de passe Open Firmware. Consultez vos spécialistes de la TI pour savoir comment protéger votre port FireWire.

8. Stockez vos données sur de petits dispositifs

Les cartes de mémoire et clés USB peuvent enregistrer de grandes quantités de données. Comme ils sont petits, vous pouvez les transporter discrètement. En revanche pour la même raison, ils peuvent facilement être perdus, ou confisqués par des agents frontaliers s’ils les trouvent. Veillez donc à utiliser aussi un solide chiffrement pour ces dispositifs.

La clé Ironkey est un lecteur USB de qualité militaire qui s’autodétruit après 10 tentatives infructueuses d’ouvrir une session (https://www.ironkey.com).

9. Protégez téléphones et assistants numériques personnels

Qu’il s’agisse du registre des appels, de messages texte, de courriels ou de documents, les téléphones modernes – surtout les téléphones intelligents tels que BlackBerry de RIM, iPhone d’Apple et Treo de Palm – emmagasinent des quantités impressionnantes d’information.

Veillez à ce que votre appareil soit aussi « propre » que possible si vous craignez qu’il puisse être confisqué. Et activez toute fonction disponible de chiffrement et de verrouillage par mot de passe.

Autre solution possible : certains téléphones intelligents peuvent être « vidés » à distance lorsqu’ils sont perdus. Et tous permettent à l’utilisateur de synchroniser les données qui s’y trouvent avec son ordinateur, de sorte qu’il peut les transférer aisément à un autre appareil au besoin.

10. Nettoyez votre ordinateur portatif en le récupérant

Les agents frontaliers pourraient restituer les ordinateurs portatifs confisqués avec un petit supplément : un logiciel espion qui surveille l’activité informatique du propriétaire et envoie des fichiers journaux à « Big Brother ».

Un « logiciel fédéral » peut être invisible aux logiciels anti-espions, donc dès que vous récupérez votre ordinateur, initialisez-le au moyen d’un lecteur externe et fouillez le disque dur pour repérer tout élément qui ne devrait pas s’y trouver.