Protéger l’enquêteur, structurer l’enquête

Par où commencer

Le premier geste ne consiste pas à chercher, mais à décider depuis quelle identité on cherchera. On installe Firefox Multi-Account Containers, on crée un conteneur portant le nom du dossier en cours, et l’on s’interdit d’y ouvrir autre chose que les pages de ce dossier. Une base KeePassXC distincte de celle de la vie courante consigne dans la foulée le pseudonyme, l’adresse de secours et la date de création : sans cette fiche, une identité d’enquête se dissout en quelques semaines.

Progression

1. 1Découverte

   Séparer les identités avant de chercher

   Une enquête commence par des identités qui ne se croisent jamais : Firefox Multi-Account Containers enferme chaque persona dans son propre jeu de cookies, et Mullvad Browser lui donne une empreinte de navigateur assez banale pour ne pas servir de signature. KeePassXC garde la mémoire de qui est qui — mot de passe, adresse de secours, date de création — parce qu’une identité que l’on ne documente pas finit par se mélanger à la vraie.

   • Firefox Multi-Account Containers
   • Mullvad Browser
   • KeePassXC

2. 2Pratique

   Collecter en laissant une trace vérifiable

   Trace Labs OSINT VM fournit une machine virtuelle déjà outillée, que l’on remet à zéro entre deux dossiers ; Hunchly y enregistre en arrière-plan chaque page visitée, avec son horodatage et son empreinte, pendant qu’ArchiveBox en conserve une copie locale qui survivra à la disparition de l’original. Les notes suivent le même mouvement : un coffre Obsidian tenu au fil de l’eau et placé dans un volume VeraCrypt, plutôt qu’une série de captures d’écran dans un dossier.

   • Trace Labs OSINT VM
   • Hunchly
   • ArchiveBox
   • Obsidian
   • VeraCrypt

3. 3Approfondissement

   Cloisonner par le système, puis relier

   Quand l’enquête devient sensible, le cloisonnement passe du navigateur au système : Qubes OS répartit les activités entre des machines virtuelles jetables, Whonix force le trafic d’un poste de travail à sortir par Tor même lorsqu’une application cherche à s’en écarter. La mise en relation vient ensuite, avec Maltego Community Edition pour relier les entités d’un dossier et Gephi pour faire apparaître les regroupements d’un jeu de liens devenu trop vaste pour être lu à l’œil.

   • Qubes OS
   • Whonix
   • Maltego Community Edition
   • Gephi

Ce qu’on apprend à ses dépens

L’OPSEC est presque toujours comprise comme une protection contre la cible, alors que la faille la plus fréquente est le dossier lui-même : rassembler dans un coffre Obsidian ou un graphe Maltego des informations publiques mais éparses fabrique un fichier de données personnelles qui n’existait nulle part auparavant, avec la finalité, la durée de conservation et l’obligation de sécurité qui vont avec. S’y ajoute un effet plus discret : une hypothèse notée le premier jour se relit comme un fait le dixième, parce qu’un graphe affiche un lien sans dire s’il a été vérifié ou supposé. D’où la règle de consigner la source et le degré de certitude en même temps que l’information, jamais après coup.