Comment contourner la censure sur Internet ?

Utiliser HTTPS pour accéder aux sites Web est important. Si votre plateforme de réseau social propose un accès en HTTPS, vous devriez vous y connecter que par ce biais et, si possible, le choisir par défaut. Par exemple, sur Facebook, vous pouvez modifier « Compte > Paramètres du compte > Sécurité du compte > Utiliser une connexion sécurisée (https) pour Facebook lorsque c'est possible » afin de vous connecter par défaut en HTTPS à votre compte Facebook. Dans certains lieux, l'utilisation de la connexion HTTPS peut aussi vous permettre d'accéder à un service autrement inaccessible. Par exemple, http://twitter.com/ a été bloqué en Birmanie alors que https://twitter.com/ reste accessible.

Si vous voulez protéger votre anonymat et votre vie privée lorsque vous contournez le filtrage imposé sur votre service de réseau social, un tunnel SSH ou un VPN vous donneront de meilleures garanties qu'un proxy Web, en particulier contre le risque de révélation de l'adresse IP. L'utilisation d'un réseau anonymisé tel que Tor peut se révéler insuffisante parce que les plateformes de réseaux sociaux rendent aisée la révélation d'informations permettant l'identification et exposant des détails de vos contacts et relations.

Accéder à Internet depuis un ordinateur public offre certains avantages :

• vous pouvez obtenir des conseils et de l'assistance technique des autres utilisateurs ou de l'équipe technique sur la façon de contourner le filtrage ;
• les outils de contournement peuvent être déjà installés et configurés ;
• d'autres utilisateurs peuvent partager avec vous des informations, hors-ligne, à l'abri de la censure ;
• si vous n'êtes pas un utilisateur régulier d'un équipement informatique, si vous ne fournissez pas des documents d'identité à l'opérateur, et si vous ne vous connectez pas en ligne avec votre véritable nom ou ne divulguez pas d'informations véridiques, il est difficile de vous identifier en se basant sur votre activité en ligne.

Le fait que vous accédiez à Internet dans un espace public ne vous rend pas anonyme et ne vous protège pas. C'est même bien souvent l'exact opposé. Parmi les principales menaces :

• le propriétaire de l'ordinateur, ou même une personne qui a utilisé l'ordinateur avant vous, peut facilement programmer l'ordinateur pour espionner ce que vous faites, par exemple enregistrer tous vos mots de passe. L'ordinateur peut aussi être programmé pour contourner ou annuler les protections des logiciels de sécurité et de confidentialité que vous utilisez ;
• dans certains pays tels la Birmanie et Cuba, les clients des cybercafés sont obligés de montrer leur carte d'identité ou passeport avant d'utiliser le service. Cette information d'identité peut être enregistrée et classée avec l'historique de navigation des clients ;
• chaque donnée que vous laissez sur l'ordinateur que vous avez utilisé peut être journalisée (historique de navigation, cookies, fichiers téléchargés, etc.) ;
• les logiciels ou matériels de journalisation de la frappe clavier installés sur l'ordinateur du client peuvent enregistrer chaque caractère saisi pendant votre session, comme votre mot de passe, avant même que cette information soit envoyée sur Internet. Au Vietnam, un clavier virtuel apparemment inoffensif pour taper des caractères vietnamiens a été utilisé par le gouvernement pour surveiller l'activité des utilisateurs de cybercafés et d'autres accès publics ;
• votre session peut être enregistrée par un logiciel spécial qui réalise des captures d'écran à intervalles réguliers, surveillée par vidéosurveillance ou simplement par une personne telle que le responsable du cybercafé qui regarde par-dessus votre épaule.

En plus de la surveillance, les utilisateurs des ordinateurs publics se voient souvent offrir un accès limité à Internet et doivent faire face à des obstacles supplémentaires pour utiliser leur solution de contournement favorite.

• Dans certains pays, comme la Birmanie, les propriétaires de cybercafés doivent disposer des affiches sur la censure du Web et sont responsables du respect des lois de censure au sein de leur entreprise. Des filtrages supplémentaires peuvent être mis en place par les gestionnaires de cybercafé (contrôle et filtrage côté client), pour compléter le filtrage fait au niveau des FAI ou au niveau national.
• Les utilisateurs peuvent être incités par les restrictions présentes à éviter de visiter certains sites Web par peur de la répression, renforçant ainsi la censure.
• Les ordinateurs sont souvent configurés pour empêcher les utilisateurs d'installer un quelconque logiciel, y compris les logiciels de contournement, ou de brancher un appareil sur le port USB (comme des clés USB). À Cuba, les autorités ont commencé à déployer un logiciel de contrôle pour les cybercafés, AvilaLink, qui empêche les utilisateurs d'installer ou d'exécuter certains logiciels ou de lancer des applications depuis une clé USB.
• L'ordinateur peut être configuré pour empêcher les internautes d'utiliser un autre navigateur qu'Internet Explorer, afin d'éviter l'utilisation d'extensions pour des navigateurs comme Mozilla Firefox ou Google Chrome dédiées à la vie privée ou au contournement.

Selon l'environnement dans lequel vous vous servez d'un ordinateur public, vous pouvez essayer ce qui suit :

• identifiez les mesures de surveillance mises en place d'après la liste précédemment énumérée (vidéosurveillance, surveillance humaine, keyloggers, etc.) et adaptez votre comportement ;
• exécutez des logiciels de contournement depuis une clé USB ;
• utilisez un système d'exploitation que vous contrôlez grâce à un Live CD ;
• changez régulièrement de cybercafé si vous craignez la surveillance récurrente, cantonnez-vous au même si vous pensez qu'il est sûr ;
• amenez votre propre ordinateur portable au cybercafé et utilisez-le à la place des ordinateurs publics.

Le HTTPS est une version sécurisée du protocole HTTP utilisée pour accéder aux sites Web. Il fournit une mise à jour de sécurité pour l'accès aux sites Web en utilisant le chiffrement pour empêcher l'écoute et l'usurpation des contenus de vos communications. Utiliser HTTPS pour accéder à un site peut empêcher l'opérateur réseau de savoir quelle partie du site vous utilisez ou quelles informations vous envoyez et recevez. Le support du HTTPS est déjà assuré dans tous les navigateurs Web connus, donc pas besoin de logiciel pour l'utiliser.

Habituellement, si un site propose le HTTPS, vous pouvez accéder à la version sécurisée du site en commençant l'URL par https:// à la place de http://. Vous pouvez aussi savoir si vous utilisez la version sécurisée du site en regardant si l'adresse affichée dans la barre de navigation de votre navigateur Web commence par https://.

Tous les sites n'ont pas de version HTTPS. Peut-être moins de 10% des sites web en proposent une. En revanche, les sites le faisant comprennent la plupart des sites les plus utilisés. Un site Web n'est disponible en HTTPS que si le propriétaire du serveur le configure pour. Les experts en sécurité exhortent régulièrement les sites Web de le faire, et le support de HTTPS croît régulièrement.

Si vous essayez d'accéder à un site via HTTPS et recevez une erreur, ça ne veut pas toujours dire que votre réseau bloque le site. Ce peut être simplement que le site n'est pas disponible en HTTPS (à qui que ce soit). Cependant, certains types de messages d'erreur peuvent montrer que quelqu'un bloque de manière active le site ou usurpe la connexion, en particulier si le site est censé être disponible en HTTPS.

Voici quelques exemples de sites célèbres qui proposent le HTTPS. Dans certains cas, son utilisation est optionnelle, non obligatoire, et vous devez donc choisir explicitement la version sécurisée du site afin d'en bénéficier.

Si vous faites une recherche Google depuis https://encrypted.google.com/ plutôt que depuis http://www.google.com/, votre opérateur réseau ne sera pas capable de connaître les termes de votre recherche. Il ne pourra donc pas bloquer les recherches « inappropriées » (mais l'opérateur réseau pourrait décider de bloquer encrypted.google.com en entier). De même, si vous utilisez Twitter à travers https://twitter.com/ plutôt que http://twitter.com/, l'opérateur réseau ne pourrait pas voir les tweets que vous lisez, les tags que vous consultez ou ce que vous y postez, ni avec quel compte vous vous connectez (mais l'opérateur réseau peut décider de bloquer les accès à twitter.com en HTTPS).

HTTPS utilise un protocole de sécurité nommé TLS (pour Transport Layer Security) ou SSL (pour  Secure Sockets Layer). Vous pouvez entendre des gens parler d'un site qui « utilise SSL » ou que c'est un « site SSL ». Dans le contexte d'un site Web, cela signifie que le site est disponible en HTTPS.

Les techniques de contournement qui utilisent le chiffrement ne se substituent pas à l'utilisation de HTTPS, parce que le rôle de ce chiffrement est différent.

Pour de nombreuses techniques, dont les VPN, proxys et Tor, il est toujours possible et pertinent d'utiliser des adresses HTTPS quand vous accédez à un site bloqué. Cela assure une plus grande sécurité et empêche le fournisseur de l'outil de contournement lui-même de savoir ce que vous faites. Ce peut être important même si vous lui faites confiance, parce que celui-ci (ou le réseau dont il se sert) pourrait être infiltré ou subir des pressions.

Certains développeurs de techniques de contournement comme Tor exhortent avec virulence les utilisateurs à toujours utiliser HTTPS, pour être sûrs que les relais eux-mêmes ne puissent pas les espionner. Vous pouvez en lire plus sur ce problème sur https://blog.torproject.org/blog/plaintext-over-tor-still-plaintext [NdT: en anglais]. Utiliser le HTTPS dès que possible est une bonne habitude à prendre, même lorsqu'on utilise déjà d'autres techniques de contournement.

Si vous aimez enregistrer les sites que vous visitez régulièrement dans vos marque-pages afin de ne pas avoir à taper à nouveau l'adresse complète, souvenez-vous d'enregistrer la version sécurisée.

Dans Mozilla Firefox, vous pouvez installer l'extension « HTTPS Everywhere » pour activer automatiquement HTTPS quand vous visitez un site connu pour le proposer. L'extension est disponible à cette adresse : https://www.eff.org/https-everywhere/.

Quand vous n'utilisez pas HTTPS, un opérateur réseau, comme votre FAI ou l'opérateur d'un pare-feu national, peut enregistrer tout ce que vous faites ainsi que le contenu de certaines pages auxquelles vous accédez. Ils peuvent utiliser cette information pour bloquer certaines pages ou créer des documents pouvant être utilisés contre vous plus tard. Ils peuvent aussi modifier le contenu de pages Web pour supprimer certaines informations et insérer des logiciels malveillants pour vous espionner ou infecter votre ordinateur. Dans de nombreux cas, d'autres utilisateurs du même réseau peuvent aussi faire ces choses sans être l'opérateur officiel du réseau.

En 2010, certains de ces problèmes ont été amplifiés par un programme appelé « Firesheep », qui permet aux utilisateurs d'un réseau de prendre le contrôle des comptes sociaux des autres utilisateurs très facilement. Firesheep fonctionnait parce que, au moment où il a été créé, ces sites de réseaux sociaux ne proposaient généralement pas le HTTPS, ou de manière limitée pour protéger uniquement certaines parties du site. Cette démonstration a fortement attiré l'attention des médias et amené davantage de sites à demander l'utilisation de HTTPS, ou du moins à offrir un accès HTTPS optionnel. Cela a aussi permis à des personnes sans connaissances techniques d'usurper le compte d'autres personnes.

En janvier 2011, durant une période de troubles politiques en Tunisie, le gouvernement a commencé à intercepter les connexions des utilisateurs de Facebook pour voler leurs mots de passe. Ce fut fait en modifiant la page de connexion de Facebook et en ajoutant de manière invisible un logiciel qui envoyait des informations de connexion aux autorités. De telles modifications sont techniquement simples à effectuer et pourraient être faites par tout opérateur réseau à tout moment. Pour autant que l'on sache, les utilisateurs tunisiens de Facebook qui utilisaient HTTPS étaient complètement protégés.

Quand c'est possible, utiliser HTTPS est presque toujours plus sûr qu'utiliser HTTP. Même si quelque chose se passe mal, cela ne devrait pas rendre vos communications plus faciles à espionner ou filtrer. Essayez d'utiliser HTTPS là où vous pouvez a du sens, mais sachez qu'en principe le chiffrement peut être légalement restreint dans certains pays. Le HTTPS ne fournit pas toutefois une protection complète dans certains cas.

Parfois, quand vous essayez d'accéder à un site en HTTPS, votre navigateur Web affichera un message décrivant un problème avec le certificat numérique du site. Le certificat est utilisé pour assurer la sécurité de la connexion. Ces avertissements sont là pour vous protéger des attaques, ne les ignorez pas. Si vous les ignorez ou les contournez, vous serez peut-être en mesure d'utiliser le site, mais limiterez la capacité de HTTPS à protéger vos communications. Dans ce cas, l'accès au site ne sera pas plus sécurisé que par une connexion HTTP ordinaire.

Si vous êtes confronté à un avertissement de certificat, vous devriez le rapporter par e-mail au webmaster du site auquel vous tentez d'accéder afin qu'il corrige le problème.

Si vous utilisez un site en HTTPS monté par une personne, comme certains proxys Web, vous pourriez recevoir une erreur de certificat parce que celui-ci est autosigné, signifiant que le navigateur n'a pas de moyen de déterminer si la communication est sur écoute. Pour certains de ces sites, vous n'aurez pas d'autre alternative que d'accepter le certificat autosigné si vous voulez y accéder. Cependant, vous devriez essayer de vous assurer par un autre moyen, comme l'e-mail ou la messagerie instantanée, que le certificat est celui attendu, ou regarder si c'est toujours le même lorsque vous utilisez une autre connexion à Internet depuis un autre ordinateur.

Une page Web est généralement composée de nombreux éléments différents qui peuvent se trouver à différents endroits et être récupérés séparément les uns des autres. Parfois un site utilisera le HTTPS pour certains éléments de la page Web, mais seulement du HTTP pour les autres. Par exemple, un site pourrait ne permettre qu'un accès HTTP pour accéder à certaines images. En février 2011, le site sécurisé de Wikipédia rencontra ce problème. Le texte des pages pouvait être récupéré en HTTPS alors que toutes les images étaient récupérées en http : les images pouvaient ainsi être identifiées et bloquées, ou utilisées pour déterminer quelle page Wikipédia l'utilisateur lisait.

Certains sites utilisent HTTPS de manière limitée et forcent les utilisateurs à retourner à un accès HTTP même après une connexion en HTTPS. Par exemple, certains sites utilisent HTTPS pour les pages de connexion, où les utilisateurs entrent leurs identifiants de compte, mais le HTTP pour les autres pages une fois l'utilisateur connecté. Ce genre de connexion rend les utilisateurs vulnérables à la surveillance. Vous devriez y faire attention. Si vous êtes redirigé vers une page non sécurisée durant votre navigation sur un site, vous n'avez plus la protection du HTTPS.

À cause de la manière dont HTTPS fait entrave à la surveillance et au blocage, certains réseaux bloquent complètement HTTPS pour l'accès à certains sites, ou même bloquent l'utilisation de HTTPS complètement. Dans ce cas, vous pouvez être contraint d'utiliser la version non sécurisée de ces sites. Vous pourriez vous retrouver incapable d'accéder à un site à cause du blocage de HTTPS. Si vous utilisez HTTPS Everywhere, ou certains logiciels similaires, vous ne pourrez pas utiliser certains sites parce qu'ils ne permettent pas la connexion non sécurisée.

Si votre réseau bloque le HTTPS, vous devez comprendre que l'opérateur réseau peut voir et enregistrer toutes vos activités de navigation. Dans ce cas, vous devriez essayer d'autres techniques de contournement, en particulier celles qui offrent d'autres formes de chiffrement, comme les VPN et les proxys SSH.

Le HTTPS ne protège que le contenu de vos communications lorsqu'elles transitent sur Internet. Il ne protège pas votre ordinateur ni les contenus affichés sur votre écran ou ceux de votre disque dur. Si l'ordinateur que vous utilisez est public ou, d'une quelconque manière non sure, il pourrait contenir un logiciel de contrôle, d'espionnage ou de censure qui enregistre ou bloque certains mots-clés sensibles. Dans ce cas, la protection offerte par HTTPS pourrait se révéler moins efficace, puisque le contrôle et la censure viendraient de l'ordinateur lui-même plutôt que d'un pare-feu du réseau.

Le système de certificats par autorité de HTTPS utilisé pour sécuriser les connexions, PKI (Public Key Infrastructure, « infrastructure à clés publiques »), a certaines vulnérabilités. Ainsi, un agresseur compétent ayant à sa disposition les ressources adéquates pourrait faire en sorte que votre navigateur n'affiche pas d'avertissement lors d'une attaque. On ne sait pas encore clairement si cela s'est déjà produit quelque part. Ce n'est pas une raison pour se passer de HTTPS puisque, même dans le pire des cas, une connexion HTTPS n'est pas moins sure qu'une connexion HTTP.