Protection des fichiers lanceurs d'alerte : transferts anonymes

L'objectif technique d'un lanceur d'alerte est de remettre des documents sans laisser le moindre indice reliant son identité à la fuite. Cela signifie utiliser Tor Browser ou Tails OS pour l'anonymat de l'IP, SecureDrop ou OnionShare pour le canal de communication, des métadonnées supprimées sur chaque fichier (EXIF, champs auteur des PDF, propriétés des documents Office), et un appareil dédié utilisé uniquement pour la divulgation. Ajoutez le chiffrement côté client — AES-256-GCM avec la clé dans le fragment d'URL — afin que même le service de transfert ne puisse pas vous identifier. Les divulgations de Snowden en 2013, les Panama Papers en 2016, et des dizaines de cas depuis ont été rendus possibles par SecureDrop. Les outils sont matures ; c'est la discipline qui varie.

Un modèle de menace asymétrique par nature

Les lanceurs d'alerte font face à un calcul différent de celui des utilisateurs ordinaires. Un utilisateur moyen pèse la commodité contre un léger gain de confidentialité. Un lanceur d'alerte pèse une seule erreur contre des années d'emprisonnement ou pire. Chaque choix se cumule :

• L'identité de la source doit rester inconnue du destinataire initialement, souvent définitivement.
• Les métadonnées d'infrastructure — journaux IP, horodatages, hachages de fichiers — peuvent reconstituer la chaîne de la fuite longtemps après les faits.
• Les documents eux-mêmes contiennent souvent des empreintes d'identification (formulations spécifiques, filigranes, points de suivi, journaux d'accès).
• L'exposition juridique rétroactive signifie que les preuves conservées maintenant peuvent être saisies par assignation des années plus tard.

Reality Winner a été identifiée en quelques jours après la publication de la fuite NSA de 2017 parce que les microdots de suivi d'imprimante dans le scan publié révélaient l'imprimante exacte utilisée. Les outils techniques ont fonctionné ; la préparation des documents, non.

SecureDrop : la référence incontournable

SecureDrop, géré par la Freedom of the Press Foundation, est conçu spécifiquement pour les soumissions de lanceurs d'alerte. Il est déployé par plus de 80 rédactions dont The Guardian, The New York Times, ProPublica et The Intercept.

L'architecture en termes clairs :

• Les sources accèdent à l'adresse .onion d'une rédaction uniquement via Tor Browser.
• Elles reçoivent un nom de code aléatoire pour les communications continues, sans création de compte.
• Les soumissions sont chiffrées sur le serveur avec la clé GPG de la rédaction.
• Les journalistes récupèrent les soumissions via une station de visualisation isolée tournant sous Tails.
• L'infrastructure connectée au réseau ne voit jamais de texte en clair.

Pourquoi ça fonctionne : Tor cache l'IP de la source, l'isolation physique empêche les malwares de communiquer avec l'extérieur, GPG garantit que seul le journaliste visé peut déchiffrer, et des audits physiques périodiques détectent toute modification matérielle.

Limitations : cela nécessite un déploiement dédié par une rédaction, donc les divulgations individuelles reposent sur l'utilisation d'une instance SecureDrop existante dans une publication prête à couvrir l'histoire.

OnionShare pour les transmissions directes

Quand une source et un journaliste sont déjà en contact et veulent partager des fichiers directement, OnionShare offre un partage de fichiers pair-à-pair via Tor.

Le journaliste exécute OnionShare, qui démarre un service caché Tor temporaire sur son ordinateur et génère une URL .onion. La source accède à cette URL depuis Tor Browser, téléverse le fichier, et le service s'arrête.

Avantages :

• Aucun serveur tiers ne détient le fichier, même temporairement.
• Les deux IPs sont cachées par Tor.
• L'URL inclut un token d'authentification aléatoire pour empêcher la découverte.
• Usage unique par défaut ; le service se ferme une fois le transfert terminé.

Préinstallé avec Tails. Pour les sources sans Tails, installez Tor Browser et OnionShare séparément sur une machine dédiée.

Tails OS : ne laisser aucune trace

Tails (The Amnesic Incognito Live System) est une distribution Linux conçue pour fonctionner depuis une clé USB et ne rien laisser sur l'ordinateur hôte. Chaque démarrage est vierge ; chaque arrêt efface la mémoire.

Caractéristiques clés :

• Tout le trafic réseau routé automatiquement via Tor.
• Pas de stockage persistant sauf activation explicite sur un volume chiffré séparé.
• Préinstallé : Tor Browser, station SecureDrop, OnionShare, GPG, KeePassXC, Metadata Cleaner, LibreOffice.
• Vérification de signature numérique à chaque démarrage pour s'assurer que l'image Tails n'a pas été altérée.

Les sources ayant accès à un ordinateur emprunté ou à un cybercafé peuvent démarrer sur Tails, effectuer une divulgation, et s'arrêter — sans laisser de trace locale. Les règles XKeyscore de la NSA de 2014 signalaient apparemment les téléchargements de Tails comme un indicateur d'intérêt, donc télécharger Tails est lui-même un acte visible. Atténuation : téléchargez depuis un réseau différent de celui à partir duquel vous divulguerez.

Purger chaque document de ses métadonnées

Les métadonnées détruisent l'anonymat plus vite que les journaux IP. Chaque format de fichier transporte des données d'identification :

• PDF : auteur, application créatrice, date de création, historique des modifications. exiftool -all= doc.pdf supprime la plupart. qpdf --linearize nettoie la structure interne.
• Microsoft Office : auteur, entreprise, historique d'édition, dernier enregistrement par. Ouvrez le fichier, allez dans Fichier → Informations → Vérifier la présence de problèmes → Inspecter le document → Supprimer tout.
• Images : données EXIF incluant GPS, numéros de série de caméra, horodatages. exiftool -all= image.jpg ou des outils dédiés comme ExifCleaner.
• Documents numérisés : vérifiez les points de suivi d'imprimante sous lumière bleue. Utilisez des imprimantes laser noir et blanc si possible ; le guide de l'EFF identifie quelles imprimantes couleur intègrent des points de suivi.
• Audio/vidéo : métadonnées de l'appareil d'enregistrement, parfois la localisation. Réencodez avec ffmpeg -map_metadata -1 pour les supprimer.

Tails est livré avec Metadata Cleaner, une interface graphique encapsulant ces outils. Pour un travail en lot depuis la ligne de commande, mat2 (Metadata Anonymisation Toolkit) gère la plupart des formats.

Filigranes et empreintes dans les documents

Les organisations craignant les fuites filigranent activement les documents. Techniques utilisées :

• Filigranes visibles : évidents, supprimables par édition d'image.
• Filigranes invisibles : encodage au niveau des pixels de l'identifiant du destinataire.
• Microdots d'imprimante : points jaunes sur chaque page encodant le numéro de série de l'imprimante et l'horodatage.
• Variations de texte par destinataire : légères différences de formulation ou d'espacement par destinataire, rendant chaque copie uniquement identifiable.
• Corrélation des journaux d'accès : comparaison des utilisateurs ayant consulté un document autour du moment de la fuite.

Contre-mesures : retapez ou faites une OCR puis retapez les passages sensibles, paraphrasez plutôt que citez si possible, utilisez plusieurs documents pour diluer l'empreinte par utilisateur, et soyez conscient que tout scan ou photo publié révèle les filigranes de la copie physique.

Choisir soigneusement le destinataire de la divulgation

Toutes les rédactions n'ont pas la même posture de sécurité. Avant d'envoyer, vérifiez :

• Ont-ils SecureDrop ? (Vérifiez leur site pour un lien .onion ou une page dédiée aux informateurs.)
• Ont-ils une politique publiée de protection des sources ?
• Quel est leur historique de protection légale des sources ?
• Les journalistes ont-ils de l'expérience avec les matériaux sensibles ?

La Freedom of the Press Foundation maintient un répertoire des organisations de presse utilisant SecureDrop. Les organes à but non lucratif comme ProPublica, The Intercept et le Bureau of Investigative Journalism sont spécifiquement conçus autour du journalisme d'investigation et ont souvent des opérations de sécurité plus solides que les quotidiens ordinaires.

La discipline opérationnelle prime sur les outils

Les outils ne fonctionnent que s'ils sont utilisés de manière cohérente. Erreurs courantes qui ont démasqué des lanceurs d'alerte :

• Utiliser un e-mail personnel pour le contact initial, même une seule fois.
• Rechercher le matériel divulgué sur Google depuis un ordinateur de travail avant la divulgation.
• Photocopier le document sur l'imprimante du bureau.
• Accéder à SecureDrop depuis un réseau domiciliaire ou professionnel sans Tor.
• Réutiliser un nom de code sur plusieurs plateformes.
• Parler à quelqu'un — conjoint, ami, thérapeute — avant que la divulgation soit terminée.

La planification OPSEC d'Edward Snowden a pris des mois et a quand même laissé des traces. La gestion par The Intercept de la soumission de Reality Winner l'a exposée en partie parce que le scan lui-même contenait les points de suivi d'identification. Chaque erreur s'accumule.

Services E2EE via navigateur comme canal secondaire

Pour les sources qui ne peuvent pas utiliser Tails ou Tor Browser — en raison de restrictions sur l'appareil de travail, d'une surveillance, ou d'un manque de background technique — un service de transfert à chiffrement côté client via navigateur est une solution de repli imparfaite mais fonctionnelle.

Exigences minimales :

• AES-256-GCM côté client avec la clé dans le fragment d'URL.
• Aucune création de compte requise.
• Liens à expiration (24 heures ou moins).
• Protection par mot de passe en complément du lien.
• Utilisé depuis un Wi-Fi public ou un point de sortie VPN, jamais depuis une IP domiciliaire ou professionnelle.
• Profil de navigateur vierge, mode incognito, cookies effacés avant et après.

Services qui qualifient : HexaTransfer, le niveau E2EE de SwissTransfer, Tresorit Send. Ce n'est pas l'équivalent de Tor — le service voit toujours l'IP source — mais c'est une amélioration considérable par rapport à Gmail ou Dropbox.

Les protections juridiques varient selon les pays

Les protections juridictionnelles diffèrent sensiblement. La loi américaine Whistleblower Protection Act (1989) et Dodd-Frank couvrent les divulgations financières mais laissent les matériaux classifiés exposés sous l'Espionage Act. La directive UE 2019/1937 lie les États membres depuis décembre 2021. La loi britannique Public Interest Disclosure Act 1998 couvre les divulgations de bonne foi. La protection légale aide après le fait ; la discipline technique empêche le fait de se produire.

Mise en pratique

Si vous envisagez une divulgation : commencez par lire le guide Surveillance Self-Defense de l'EFF, téléchargez Tails sur une clé USB depuis un réseau neutre, identifiez une rédaction utilisant SecureDrop qui couvre votre sujet, et réfléchissez attentivement aux empreintes dans les documents eux-mêmes.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.