Protéger l’enquêteur, structurer l’enquête

Par où commencer

Le premier geste ne consiste pas à chercher, mais à décider depuis quelle identité on cherchera. On installe Firefox Multi-Account Containers, on crée un conteneur portant le nom du dossier en cours, et l’on s’interdit d’y ouvrir autre chose que les pages de ce dossier. Une base KeePassXC distincte de celle de la vie courante consigne dans la foulée le pseudonyme, l’adresse de secours et la date de création : sans cette fiche, une identité d’enquête se dissout en quelques semaines.

Progression

1. 1Découverte

   Séparer les identités avant de chercher

   Une enquête commence par des identités qui ne se croisent jamais : Firefox Multi-Account Containers enferme chaque persona dans son propre jeu de cookies, et SimpleLogin lui donne une adresse e-mail qui n’existe que pour elle. KeePassXC garde la mémoire de qui est qui — mot de passe, alias, date de création — parce qu’une identité que l’on ne documente pas finit par se mélanger à la vraie.

   • Firefox Multi-Account Containers
   • SimpleLogin
   • KeePassXC

2. 2Pratique

   Travailler depuis une machine dédiée

   Trace Labs OSINT VM fournit une machine virtuelle déjà outillée, que l’on remet à zéro entre deux dossiers ; Tor Browser donne une empreinte de navigateur banale et un départ réseau qui ne trahit pas l’enquêteur. Les notes suivent le même principe : un coffre Obsidian tenu au fil de l’eau, plutôt qu’une série de captures d’écran dans un dossier.

   • Trace Labs OSINT VM
   • Tor Browser
   • Obsidian

3. 3Approfondissement

   Cloisonner par le système

   Quand l’enquête devient sensible, le cloisonnement passe du navigateur au système : Tails repart d’une clé USB qui ne garde rien d’une session à l’autre, et Qubes OS répartit durablement les activités entre des machines virtuelles jetables. Le passage à l’un ou l’autre se justifie par le dossier, pas par principe — chaque couche d’isolation se paie en confort.

   • Tails
   • Qubes OS

Ce qu’on apprend à ses dépens

L’OPSEC est presque toujours comprise comme une protection contre la cible, alors que la faille la plus fréquente est le dossier lui-même : rassembler dans un coffre Obsidian des informations publiques mais éparses fabrique un fichier de données personnelles qui n’existait nulle part auparavant, avec la finalité, la durée de conservation et l’obligation de sécurité qui vont avec. S’y ajoute un effet plus discret : une hypothèse notée le premier jour se relit comme un fait le dixième, parce qu’une note ou un graphe affiche un lien sans dire s’il a été vérifié ou supposé. D’où la règle de consigner la source et le degré de certitude en même temps que l’information, jamais après coup.

Se combine avec

• Fuites & données exposées

  Mesurer ce qui a déjà fui : on verrouille d’abord l’exposition connue.

Catégories qui se recoupent avec Méthode & OPSEC.