Protection des données en ligne 101: ne laissez pas les grandes technologies s'enrichir avec vos informations

Les informations personnelles sont la devise sur laquelle repose en grande partie Internet. Il est rassemblé partout, souvent à l'insu des gens, et paie efficacement les factures de nombreux services et applications gratuits que nous prenons pour acquis. En fonction de votre radicalité, vous pourriez considérer cela comme un commerce équitable en échange de services - ou comme des entreprises qui extraient du travail gratuit de la population qui utilise Internet.

La portée du problème

Comprendre cet écosystème est difficile, mais vous en retirer est encore plus difficile. Pour commencer, plusieurs années d'informations sont déjà en possession de nombreux sites de courtiers en données juridiques.

Au cours de la rédaction de ce long article sur la façon dont les entreprises convertissent vos données en argent, j'ai consulté et acheté des informations auprès de plusieurs courtiers en données. J'ai ensuite fait le point sur la masse d'informations que j'avais sciemment et inconsciemment fournies aux services de médias sociaux. C'est renversant.

Cela ne tient même pas compte du volume de mes données personnelles qui sont invisibles pour le monde extérieur - enfermées dans les bases de données d'éditeurs, de sociétés de publicité tierces, de sites de recherche tels que Google, etc. Ces données sont compilées, découpées en dés, peut-être anonymisées et distribuées entièrement en dehors de mon contrôle.

Ensuite, il y a l'information qui a été volée. Je connais certaines de ces choses. Mon numéro de sécurité sociale (entre autres choses) a été volé lors du piratage désormais légendaire de l'Office of Personnel Management, dans lequel les données stockées par un grand bureau gouvernemental ont été exfiltrées. C'est une blague qui marche, que la vie privée n'a pas beaucoup d'importance pour moi, car le gouvernement chinois peut probablement vérifier mon crédit.

Mais le désespoir est ennuyeux. Si la technologie m'a mis dans ce pétrin, je peux essayer d'utiliser la technologie pour me faire sortir.

Nettoyer le mess

Le service DeleteMe d'Abine examine les sites Web de courtiers en données et d'agrégateurs d'enregistrements publics pour trouver des informations personnelles à vendre. Le service coûte 129 dollars par an pour une personne et 229 dollars par an pour une deuxième personne. Comme pour LifeLock et les services similaires, vous devez fournir à Abine une bonne quantité d'informations personnelles pour pouvoir les supprimer ailleurs. Abine vous demande de télécharger une image anonymisée de votre identifiant émis par l’État, car les exigences en matière de suppression des informations sont différentes pour les courtiers de données.

Une poignée de ces services répondent instantanément, mais la plupart prennent entre un jour et une semaine pour traiter les demandes de DeleteMe. Certains peuvent prendre jusqu'à six semaines, ce qui est effacé par DeleteMe, car certains services exigent qu'une demande de suppression de données soit envoyée par courrier postal. Une partie de ce que vous payez avec DeleteMe est de laisser quelqu'un d'autre gérer les suivis fastidieux et le suivi continu des informations personnelles. Mes informations personnelles pourraient éventuellement être renvoyées sur l'un de ces sites.

Le chercheur en sécurité Troy Hunt exploite le site HaveIBeenPwned.com, qui regroupe les informations provenant d'atteintes massives à la sécurité des données dans un service de recherche. Cela inclut les données qui ont été divulguées par les entreprises, mais également les dépôts publics des données des malfaiteurs. Tapez votre email, et vous pouvez voir lequel de vos comptes ont été exposés.

Selon le site, mes informations ont été impliquées dans des violations de 17 sites et de trois vidages d’informations publics. Donc, mes données flottent déjà sur le Dark Web, probablement vendues et reconditionnées à plusieurs reprises.

Hunt n'offre pas d'outil pour remédier à ces violations. Au lieu de cela, il donne le même conseil que moi ou tout autre professionnel de la sécurité: changez votre mot de passe pour quelque chose de complexe et de vraiment unique, et activez l'authentification à deux facteurs (2FA).

Qu'est-ce que 2FA? Il existe trois facteurs généralement reconnus pour l'authentification: un élément que vous connaissez (tel qu'un mot de passe), un élément existant (un jeton matériel ou un téléphone portable, par exemple) et un élément que vous êtes (tel que votre empreinte digitale). Deux facteurs signifie que le système utilise deux de ces options. En pratique, cela signifie effectuer une autre action, telle que la saisie d'un code à six chiffres à partir d'une application, après la saisie d'un mot de passe.

Quant à l'information exposée dans la brèche, elle est quasiment perdue. Mais savoir quels sites sont les plus à risque est utile. C'est aussi l'occasion de décider si ces services sont intéressants. Bien que demander qu'un site ou un service supprime votre compte ne fonctionne pas toujours (certains l'archivent au cas où vous reviendriez), ça vaut le coup.

Enfin, la plupart des logiciels de gestion de mots de passe incluent des outils permettant de vérifier les comptes piratés et de vous mettre en garde contre le recyclage des mots de passe. Certains programmes mettent même en évidence les sites sur lesquels vous avez recyclé des mots de passe et les modifient automatiquement pour vous.

Aller de l'avant

Pendant que je travaillais sur une histoire plus vaste, j'ai essayé de laisser une empreinte de données aussi petite que possible sur le Web. Je ne crois pas qu'il soit possible d'éviter toute collecte de données et d'être toujours soit A) en vie, soit B) un membre qui contribue à la société américaine moderne, mais il est possible de réduire. Et il est tout à fait possible de prendre davantage conscience des informations que vous diffusez.

Adresses mail

Le courrier électronique existe depuis si longtemps qu'il semble banal et même consommable, mais il est toujours extrêmement précieux. Les adresses électroniques sont des identifiants utiles et un moyen d’accès direct aux consommateurs sur le Web. Depuis des années, chez PCMag, nous disons aux gens d’arrêter de recycler leurs mots de passe et de laisser un gestionnaire de mots de passe se charger de tout, mais nous n’avons rien à dire sur les adresses électroniques. Un mot de passe recyclé est mauvais, mais une adresse e-mail recyclée est également importante. Il n’existait tout simplement pas un bon outil pour gérer plusieurs adresses e-mail.

Abine Blur, cependant, est l'un de ces outils. De la même société qui a créé DeleteMe, Blur est une suite d’outils de confidentialité qui comprend un gestionnaire de mots de passe et des adresses électroniques masquées. Il suffit d'entrer une adresse email réelle sur le site Web de Blur et d'installer son extension de navigateur. À chaque fois que vous êtes invité à entrer une adresse e-mail, Blur apparaît et vous propose une alternative masquée. Les e-mails envoyés à votre adresse masquée seront envoyés par Blur à votre adresse réelle. Le meilleur de tous, vous pouvez générer et détruire de nouvelles adresses masquées à la volée. C'est beaucoup mieux que de cliquer sur se désabonner et espérer.

J'utilise des emails masqués depuis quelques semaines et je suis impressionné. En deux clics, j'ai séparé un service de mon identité et j'ai laissé mon gestionnaire de mots de passe (j'utilise LastPass) générer et mémoriser de longs mots de passe étranges. Cela dit, je suis tombé sur quelques sites qui n'acceptaient pas les adresses électroniques créées par Blur. Le domaine de messagerie a peut-être été mis sur la liste noire. Ce fut l'exception, cependant, et j'ai eu peu de problème avec le service.

Les numéros de téléphone

Les numéros de téléphone sont des identificateurs extrêmement importants, car un numéro de téléphone représente presque toujours une personne, grâce aux téléphones cellulaires. Et contrairement aux autres identifiants, les individus doivent recevoir et conserver un numéro de téléphone. Cela signifie que chaque numéro est, dans une certaine mesure, vérifié. Il est donc judicieux de limiter la diffusion de votre numéro de téléphone.

Si vous le pouvez, refusez de le rendre disponible pour les applications qui le demandent. Ne laissez pas les applications parcourir votre liste de contacts pour vous faire correspondre à vos amis. Essayez de ne pas ajouter votre numéro de téléphone aux formulaires à moins que cela ne soit absolument nécessaire.

Malheureusement, nous ne pouvons pas garder nos numéros de téléphone vraiment secrets. D'une part, vous voulez probablement recevoir des appels et des SMS. D'autre part, vous devez fournir un numéro de téléphone à certaines entreprises pour recevoir les codes 2FA.

Vous pouvez limiter la diffusion de votre numéro de téléphone simplement en en créant un autre. Google Voice, un service excellent et en grande partie transparent, crée un numéro de téléphone qui sera transféré vers autant d'appareils que vous le souhaitez. Vous pouvez émettre et recevoir des appels à partir de l'application Google Voice et même envoyer et recevoir des SMS. Pendant des années, j'ai communiqué mon numéro Google Voice au lieu de mon numéro de téléphone. Mais j'ai constaté que certains services 2FA n'acceptent pas un numéro Google Voice.

Un compte Abine Blur peut également être utilisé pour créer des numéros de téléphone jetables. Téléphoner avec votre numéro depuis Abine coûte 0, 01 USD pour la connexion et 0, 01 USD par minute, ce qui représente de petites pommes de terre par rapport aux 3, 00 USD de crédit d'appel que vous recevez chaque mois.

Google Voice et Abine Blur vous limitent tous les deux à un numéro de téléphone factice. L'application Burner vous permet toutefois de créer et de détruire des numéros à votre convenance. Je n'ai pas testé cette application et je ne peux pas parler de son efficacité ou de sa sécurité, mais c'est une très bonne idée.

méthodes de payement

Les cartes de crédit sont extrêmement pratiques, mais contrairement aux espèces, elles laissent une traînée de papier. La banque émettrice ou la société émettrice de cartes de crédit possède une liste de tout ce que vous avez acheté. Et comme les numéros de téléphone, chaque carte est généralement liée à un seul individu. Ils nécessitent également des efforts pour obtenir et maintenir.

Je conseille aux personnes d'éviter autant que possible d'utiliser des cartes de débit, tout simplement parce que les cartes de crédit protègent davantage les consommateurs. Mais pour des raisons de confidentialité et de sécurité, je vous recommande d’éviter autant que possible d’utiliser votre numéro de carte de crédit. C'est facile à faire si vous avez un smartphone récent Apple ou Android. Les applications de paiement mobile telles que Apple Pay, Google Pay et Samsung Pay rendent toutes les informations de votre carte de crédit et de débit authentifiées. C'est-à-dire qu'ils créent un faux numéro connecté à votre numéro de carte actuel.

Vous pouvez étendre cette même protection à d'autres contextes avec les cartes de crédit masquées d'Abine Blur. Avec Blur, vous pouvez générer rapidement une carte de crédit prépayée avec un faux nom et une adresse de facturation. Le montant minimum est de 10 $, mais vous pouvez demander le remboursement de l’argent que vous n’utilisez pas sur vos cartes masquées. Vous pouvez également créer et détruire des cartes masquées à volonté, ce qui signifie que vous laissez peu de traces de vos achats sur un site Web ou sur votre relevé de carte de crédit.

Bloqueurs de traqueur

Lorsque vous naviguez sur le Web, les sites vous attribuent des suivis et des cookies. Certaines d'entre elles permettent au site de se rappeler de qui vous êtes et de vous offrir une expérience personnalisée à chaque fois que vous vous arrêtez. C'est utile si vous ajustez toujours la taille du texte sur un site d'actualités, par exemple. Mais d'autres cookies et trackers sont utilisés pour suivre vos mouvements sur le Web afin d'observer vos habitudes ou de cibler vos annonces.

Heureusement, vous pouvez bloquer de nombreux trackers et cookies en utilisant un nombre quelconque de bloqueurs de publicités et de trackers. Je préfère Privacy Badger d'Electronic Frontier Foundation (EFF), mais il y en a beaucoup d'autres. Ghostery, TunnelBear et Abine Blur sont de bonnes options et plusieurs bloqueurs de publicité sont également disponibles pour iOS et Android.

Notez que l'utilisation de ces bloqueurs peut parfois casser les sites Web. Un bloqueur peut, par exemple, empêcher un site de communiquer avec le service qui stocke toutes ses images ou vous empêcher de soumettre un formulaire en ligne. Privacy Badger et d'autres incluent des bascules pour chacun des suivis et des cookies sur un site, vous permettant ainsi de créer une liste blanche, une liste noire ou d'autoriser temporairement un service individuel. Vous pouvez également définir la plupart des bloqueurs pour la liste blanche d'un site entier.

Clients et services de messagerie

Google indique qu'il ne cherche plus dans les boîtes de réception Gmail pour recibler les annonces, mais il semblerait qu'AOL et Yahoo l'aient toujours. En outre, de nombreux courriers électroniques d'entreprises et de services contiennent des outils de suivi et d'autres technologies permettant de contrôler le passage de leurs messages et de vous suivre lorsque vous cliquez sur un lien de l'e-mail. Ceci est en partie effectué avec du contenu distant, c'est-à-dire des éléments stockés ailleurs sur le Web, mais sollicités par le courrier électronique que vous recevez. Lors du chargement des éléments distants, celui qui a envoyé le courrier électronique sait qu'il a été envoyé.

ProtonMail (des créateurs de ProtonVPN) est un service de messagerie crypté qui ne rapporte pas votre contenu. Cela signifie pas de reciblage des annonces et pas de robots spidering dans vos emails. Il bloque également par défaut le contenu distant dans les e-mails, vous permettant de choisir si vous souhaitez que ces éléments soient chargés dans votre boîte de réception.

Le vénérable client de messagerie Thunderbird n'est peut-être pas le moyen le plus simple de vérifier votre courrier électronique, mais il peut bloquer le contenu distant et les suivis intégrés. Il comporte des contrôles affinés qui vous permettent d’inscrire en liste blanche les adresses électroniques pour le contenu distant, d’autoriser temporairement le contenu distant et de choisir les services pouvant charger vos messages.

VPN

Grâce à une décision de notre congrès, les FAI peuvent désormais vendre des versions anonymisées de vos informations utilisateur. Cela n'inclura pas votre nom et sera agrégé avec les informations de nombreux autres utilisateurs, mais cela reste: cela convertit vos activités en ligne en argent pour les FAI.

Lorsque vous utilisez un réseau privé virtuel (VPN), votre fournisseur de services Internet ne peut pas voir ce que vous faites en ligne. Un VPN masque également votre véritable emplacement et masque votre adresse IP. Ces deux éléments peuvent être utilisés pour vous identifier en ligne et pour cibler des annonces dans votre direction. PCMag recommande NordVPN, l'accès Internet privé ou TunnelBear pour vos besoins en VPN.

L'utilisation d'un VPN présente de nombreux avantages et inconvénients, ce dont j'ai longuement parlé dans la couverture actuelle de l'espace VPN. En général, les principaux inconvénients d'un VPN sont son prix, son impact sur les performances et son blocage simplement pour l'utilisation d'un VPN.

Conteneurs Firefox

Bien que ce soit un souffle du passé pour certains, la dernière version de Firefox est extrêmement bonne. Zut, ça m'a rappelé d'utiliser le navigateur vulpine pour la première fois en presque une décennie. En plus de sa rapidité (et de l’intérêt général pour la confidentialité), Firefox a également un nouveau tour dans son sac: les conteneurs.

Les conteneurs vous permettent de créer des espaces distincts pour différents contextes. Vous pouvez, par exemple, créer des conteneurs pour le travail, les achats, les opérations bancaires, etc. Quels que soient les sites visités ou connectés dans chaque conteneur (pouvant contenir plusieurs onglets), ils restent dans ce conteneur. Si vous êtes connecté au compte Google de votre entreprise dans le conteneur de travail, vous ne le serez pas lorsque vous basculerez vers un autre conteneur.

Mozilla, la société à but non lucratif derrière Firefox, offre également une extension de conteneur Facebook spécifique qui conserve toutes vos activités Facebook au même endroit. Cela rend beaucoup plus difficile pour le géant des réseaux sociaux de vous suivre sur le Web. Vous pouvez créer vos propres conteneurs et les affecter à des sites individuels.

Explorer les alternatives

De nos jours, bon nombre des forces dominantes sur Internet reposent sur des modèles commerciaux qui monétisent les données des utilisateurs. Mais si vous êtes prêt à faire un grand changement, il existe une multitude de services qui ne cherchent pas à vous transformer en billets d'un dollar.

Au cours des derniers mois, je me suis fait un devoir d'explorer certains des services Web à code source ouvert et axés sur la confidentialité. Alors que certains sont à leurs balbutiements, il est excitant de voir à quoi ressemble le Web quand ce n’est pas après mes informations.

Utiliser des applications Web au lieu d'applications

Bill Budington, technologue en chef chez EFF, recommande aux utilisateurs d'essayer d'utiliser des applications Web au lieu de les télécharger depuis les magasins d'applications. Les applications peuvent contenir de nombreuses technologies de suivi compliquées, parfois placées à l'insu des développeurs. Le problème est que certains services en ligne ont tendance à vous pousser à utiliser une application. Tumblr et, par exemple, sont presque inutilisables sur le Web mobile.

DuckDuckGo

Google et Facebook dominent la collecte de données et la distribution de contenu en ligne. Si vous voulez divorcer de Google, essayez DuckDuckGo. Ce service n'enregistre pas vos activités de recherche et ne cherche pas à monétiser vos activités. Il offre également certaines fonctionnalités intéressantes que Google n'offre pas, notamment un mode sombre pour sa page de recherche et la possibilité d'accéder directement à un résultat de recherche d'images.

J'ai trouvé certaines choses pour lesquelles Google est tout simplement meilleur que DuckDuckGo. Par exemple, Google est presque toujours capable de trouver un tweet basé uniquement sur le contenu dont je me souviens. DuckDuckGo, pas tellement. Mais en faisant de DuckDuckGo mon moteur de recherche par défaut dans Firefox, Google n'est plus qu'un outil de plus dans ma boîte à outils Internet.

OpenStreetMap

Google Maps est sans doute l'une des plus grandes créations de l'ère Internet. Etre capable de trouver son chemin d'un endroit à pratiquement n'importe quel autre endroit sur Terre à partir d'une barre de recherche est incroyable. Mais Google Maps échange également sur vos activités. Lorsque vous l'utilisez, vous indiquez à Google votre position géographique, ainsi que des informations importantes vous concernant, telles que vos déplacements, vos habitudes de voyage et même vos lieux de magasinage et de restauration.

OpenStreetMap est un service de carte distribué librement par la population. Pensez à Google Maps mais open-source. Il peut très bien vous rendre du point A au point B à pied, en voiture ou à vélo. Malheureusement, il manque les itinéraires de transport en commun et la recherche d’affaires qui rendent Google Maps si utile comme par magie. Mais encore une fois, c'est bien d'avoir une alternative dans la boîte à outils.

Rejoindre la fédération

Bien que plusieurs tentatives aient été faites pour créer un réseau social éthique, sans publicité, la plupart sont devenues des lignes de force. Le dévoilement de Mastodon en 2016 était un peu différent, du moins pour moi, car le service avait été tellement poli au lancement. C'était également une excellente occasion d'apprendre sur les réseaux sociaux fédérés: des réseaux constitués de différents serveurs qui communiquent tous entre eux.

Pensez-y de cette façon: vous pouvez vous inscrire pour obtenir une adresse électronique sur n’importe quel site Web. Yahoo, Google, Apple, ProtonMail, faites votre choix! Mais vous pouvez envoyer et recevoir des courriers électroniques à partir de toute autre personne possédant une adresse électronique, quel que soit le service choisi. C'est un réseau fédéré. Cela contraste avec la conception monolithique de la plupart des réseaux sociaux: il serait absurde de penser que vous pouvez utiliser Twitter pour communiquer avec quelqu'un de Facebook. Les deux services ne se parlent tout simplement pas.

Chaque installation de Mastodon (appelée "instance") peut communiquer avec n’importe quelle autre instance. Les personnes qui se sont inscrites sur Mastodon.social peuvent, par exemple, m'envoyer un @-message à infosec.exchange.

Ce qui est vraiment excitant à propos de ces nouveaux services fédérés, c'est que des réseaux sociaux radicalement différents peuvent se voir et se parler, à condition qu'ils utilisent le même protocole ActivityPub à code source ouvert. Par exemple, un utilisateur de Mastodon développe un clone Instagram appelé Pixelfed qui se fédérera un jour avec les comptes Mastodon. Lorsque vous vous connectez à votre compte Pixelfed, c'est comme si Instagram avait ses propres messages internes et abonnés. Mais un utilisateur de Mastodon pourrait suivre mon compte Pixelfed et voir mes publications dans leur flux Mastodon. Il existe actuellement des solutions de remplacement alimentées par ActivityPub pour YouTube, Medium et GrooveShark, à divers stades de développement.

En plus d'être open source, les réseaux sociaux fédérés sont difficiles à monétiser. S'agissant d'un réseau de réseaux et non d'un seul service, tel que Twitter ou Facebook, aucune organisation ne peut avoir une vue d'ensemble de ce qui se passe sur le réseau fédéré.

La plupart des réseaux sociaux fédérés fonctionnent toujours. Mais le concept est excitant et va à l’encontre de l’idée que les utilisateurs doivent renoncer à leurs données pour vivre le type d’expérience à laquelle nous nous attendons en ligne.

Mes échecs en démonétisation

Bien que j'aie essayé de limiter au maximum mon empreinte de données, j'ai rencontré des problèmes que je ne pouvais tout simplement pas surmonter. Mon adresse de livraison, par exemple, est une donnée personnelle très évidente que je dois communiquer assez régulièrement. Je pourrais ouvrir une boîte postale - mais la livraison du courrier à domicile est une chose sans laquelle je ne peux pas vivre.

Bien que je travaille dans la mesure du possible pour utiliser un VPN, je ne suis pas allé jusqu'à en installer un sur un routeur et à masquer tous mes périphériques derrière celui-ci. Cela signifie que ma poignée d'appareils intelligents et de consoles de jeux vidéo à la maison ne sont pas cryptés. Mon fournisseur de services Internet a sans doute remarqué combien de fois je fais du streaming Netflix et combien de temps j'ai passé à générer du trafic sur le réseau PlayStation.

Je me suis efforcé de cacher autant que possible mes paiements en ligne, mais je ne me suis pas débarrassé de PayPal ou de Venmo. Ces services font tout simplement trop partie de ma vie, et les ignorer signifierait que je ne serais pas remboursé ou que je ne pourrais pas rembourser facilement les autres.

J'ai longtemps résisté à Spotify, mais j'ai cédé il y a quelques années. Je ne le regrette pas, mais je sais que cette société est extrêmement consciente de ce que j'écoute. C’est trop difficile de dire non à l’énorme catalogue qu’il propose, et c’est bien dommage, j’ai trouvé les recommandations musicales de Spotify extrêmement utiles.

• Facebook pour mettre fin aux publicités ciblées construites avec l'exploration de données tierces Facebook pour mettre fin aux publicités ciblées construites avec l'exploration de données tierces
• Reddit piraté, malgré l'authentification à deux facteurs SMS Reddit piraté, malgré l'authentification à deux facteurs SMS
• Rapport: AOL, Emails des utilisateurs Yahoo Scan, Vendre des données aux annonceurs Rapport: AOL, Emails des utilisateurs Yahoo Scan, Vendre des données aux annonceurs

Je continue également à utiliser Google Home. C'est ma plus grande honte pour la vie privée, parce que je sais que je n'en ai pas besoin. Je sais aussi qu'il enregistre tout ce que je lui dis et le renvoie à Google pour traitement. J'ai même écouté ces enregistrements dans l'application Google Home. Et pourtant, j'ai trois de ces appareils chez moi.

Et malgré mes critiques envers leurs pratiques de collecte de données, je n'ai pas supprimé mes comptes Facebook ou Twitter. Dans le cas de Twitter, il s’agit d’une pression exercée par des professionnels et du moment sociopolitique inhabituel dans lequel se trouvent les Américains. Pour Facebook, il s’agit de la pression implicite exercée par des pairs contre la disparition soudaine du monde. C'est presque comme si je me retirais de Facebook, je me retirerais de la tête de mes amis et de ma famille. Et bien que je souhaite que les annonceurs m'oublient, c'est un prix trop élevé pour le moment.