Pour les journalistes : recevoir des informations anonymes sans laisser de trace sur un serveur

Si vous êtes reporter, vous avez probablement déjà vécu ce moment où quelqu'un vous a contacté par un canal qu'il n'aurait manifestement jamais dû utiliser. Un fonctionnaire depuis sa messagerie professionnelle. Un salarié depuis Slack. Un lanceur d'alerte par message privé sur Twitter. Ces personnes essayaient de bien faire, elles n'avaient simplement aucune option raisonnable, alors elles ont utilisé le canal qui était ouvert.

Cet article explique comment leur offrir une option raisonnable, et à quoi réfléchir quand vous la mettez en place.

Le modèle de menace, sans détour

Pour une information transmise d'une source à un journaliste, la source doit généralement redouter :

1. Des enregistrements serveur qui la relient à vous. Serveurs de messagerie, archives de messages, historiques de messages privés, tout cela crée une trace permanente que « cette personne a contacté ce journaliste ». Cette trace est exposée aux réquisitions, aux enquêtes internes de l'employeur et aux fuites de données.
2. L'exposition de son identité par le canal lui-même. Si vous joindre exige un numéro de téléphone, un compte vérifié ou quoi que ce soit lié à son identité réelle, l'acte même de prise de contact est identifiant.
3. La persistance sur l'un ou l'autre appareil. Même si le canal est privé, les messages qui restent sur le téléphone de la source ou sur votre ordinateur peuvent être réquisitionnés, saisis ou volés.
4. Les métadonnées, même sans le contenu. « La source X a parlé au journaliste Y à la date Z pendant N minutes » est souvent en soi l'information dangereuse, même si personne ne sait ce qui a été dit.
5. La propre machine de la source. Vous ne pouvez pas l'aider sur ce point, mais il faut en avoir conscience : un ordinateur professionnel géré, équipé d'un logiciel de surveillance, laissera tout fuiter, quelle que soit l'application utilisée.

Une ligne d'alerte raisonnable devrait au minimum réduire les quatre premiers points. La plupart ne le font pas.

Ce que les canaux courants laissent réellement fuiter

E-mail professionnel

Désastreux. L'employeur de la source peut lire ses e-mails sortants. Le fournisseur de messagerie de votre rédaction les possède. Les deux enregistrements restent indéfiniment. Cela arrive constamment, et c'est pourquoi les enquêtes pour fuites commencent si souvent par des réquisitions de messageries.

E-mail personnel

Mieux, mais toujours mauvais. Le fournisseur a le message. L'organisation du journaliste l'a généralement aussi. Le compte e-mail de la source est lié à son identité. Le simple fait d'utiliser une adresse personnelle plutôt que professionnelle est lui-même un signal.

Messages privés Twitter / X

Stockés sur serveur, pas chiffrés de bout en bout. La plateforme peut tout lire. Liés à un compte. Les données de Twitter ont déjà été demandées par des gouvernements, américains et étrangers, parfois avec succès.

Messages LinkedIn

Même chose que Twitter, sauf que c'est lié à l'identité professionnelle, ce qui est encore pire pour des sources qui contactent un journaliste au sujet de leur propre employeur.

Signal

Vraiment bien, mais exige que la source télécharge Signal, s'inscrive avec un numéro de téléphone et vous ajoute à ses contacts. L'étape du numéro de téléphone est ce qui tue l'élan. Un fonctionnaire qui installe Signal sur son téléphone personnel pour écrire à un reporter crée sur sa facture téléphonique une trace qu'une enquête peut retrouver.

SecureDrop

La référence absolue pour le vrai travail avec les lanceurs d'alerte. Basé sur Tor, sans métadonnées, sans compte. Le hic : la source doit installer le navigateur Tor et suivre des étapes opérationnelles rigoureuses. La plupart des informateurs occasionnels ne le feront pas. SecureDrop est le bon outil pour des sources sérieuses et préparées, pas pour quelqu'un qui a trente secondes à la pause déjeuner pour vous joindre.

Briar, Session, etc.

Diverses options décentralisées. Toutes exigent l'installation d'une application, ce qui laisse à la source la même trace identifiable : « j'ai téléchargé une application de confidentialité sur mon téléphone aujourd'hui ».

Le vide à combler : faible friction, sans compte, éphémère

Ce qui manque dans la plupart des dispositifs d'alerte des rédactions, c'est un canal qui :

• N'exige aucune installation de la part de la source
• N'exige aucune création de compte de la part de la source
• Ne laisse aucun enregistrement serveur, d'un côté comme de l'autre
• Fonctionne en 30 secondes depuis un onglet de navigateur

C'est le vide que comblent les outils pair-à-pair dans le navigateur. Un reporter publie un lien. La source l'ouvre. Les deux navigateurs se connectent directement. Ils discutent. Chacun ferme son onglet. Rien ne subsiste sur un serveur, parce qu'il n'y en a pas.

Btwinus est l'un de ces outils. Il ne remplace pas SecureDrop pour des documents sérieux de lanceurs d'alerte, mais c'est un bien meilleur canal de premier contact que l'e-mail ou les messages privés, et il n'exige rien de la source, sinon de cliquer sur un lien. (Voici l'explication technique de son fonctionnement sans compte ni serveur.)

Une mise en place concrète pour les reporters

Étape 1 : avoir un vrai canal de premier contact

Publiez un moyen de vous joindre qui ne compromette pas les sources au moment du premier contact. Un lien éphémère de type Btwinus convient bien. Signal est également adapté pour les sources qui l'utilisent déjà. Proposer les deux, en expliquant brièvement à quoi sert chacun, laisse la source choisir.

Étape 2 : utiliser le premier contact pour trier, pas pour traiter toute l'information

La première conversation sert à comprendre ce qui se passe, quelle est la situation de la source et où aller ensuite. Ce n'est pas là que vous recevez les documents eux-mêmes. Une fois établi que l'information est réelle et que la source doit envoyer du matériel sensible, vous passez à SecureDrop, à une remise en main propre ou à un autre canal offrant de meilleures garanties.

Étape 3 : ne pas demander d'informations identifiantes dont vous n'avez pas besoin

Le nom de la source est rarement l'élément le plus important lors du premier contact. Ce qu'elle sait compte davantage. Reportez les questions d'identité jusqu'à ce qu'elles soient nécessaires, et n'insistez jamais.

Étape 4 : être clair sur ce que chaque canal protège réellement

Si vous utilisez Btwinus pour le premier contact, dites à la source ce qu'il fait et ce qu'il ne fait pas. Il cache la conversation à tout serveur. Il ne cache pas le fait qu'elle a ouvert une page web à quelqu'un qui surveille sa machine, son réseau ou son historique de navigation. Elle doit le savoir.

Étape 5 : former vos collègues

Le maillon faible dans la plupart des rédactions n'est pas la technologie de la ligne d'alerte. C'est le rédacteur en chef qui répond « envoyez-moi ce que vous avez » par le même e-mail que la source a nerveusement utilisé pour prendre contact, ce qui ruine complètement l'objectif. Quiconque traite des informations doit savoir répondre sans aggraver l'exposition de la source.

Ce pour quoi Btwinus est fait, dans ce contexte

Pour la ligne d'alerte d'un journaliste, les propriétés pertinentes de Btwinus sont :

• La source n'a besoin ni de compte ni d'application. Elle clique sur un lien et elle vous parle. La friction est plus faible qu'avec un e-mail.
• La conversation ne touche jamais un serveur. Une réquisition adressée à Btwinus ne donnerait rien, parce que rien n'est stocké.
• Le modèle à deux canaux ajoute un verrou supplémentaire. Le lien peut être partagé publiquement (il est chiffré) ; la phrase secrète voyage séparément. Si le réseau d'une source est surveillé et qu'on n'y voit que le lien, on ne peut toujours pas la relier au contenu de la conversation.
• Le chat s'arrête dès qu'un onglet se ferme. Aucun historique d'un côté comme de l'autre après la déconnexion. La source n'a rien à penser à supprimer.

Ce pour quoi Btwinus n'est pas fait, dans ce contexte

• Pas d'asynchrone. La source et le journaliste doivent être présents en même temps dans le chat. Pour les longues informations, cela exige de convenir d'un moment.
• Transfert de fichiers limité. Les petits volumes passent ; les dépôts de documents de plusieurs gigaoctets, non. Pour ceux-là, utilisez SecureDrop ou une remise en main propre.
• Ne protège pas contre les appareils compromis. Si l'ordinateur de la source est surveillé, aucun outil de chat ne peut aider.

La recommandation pratique

Ajoutez un lien « Information anonyme » sur votre page de présentation. Faites-le ouvrir une session Btwinus (ou générez un nouveau lien régulièrement). Associez-le à un nom d'utilisateur Signal pour les sources qui préfèrent cette voie. Mentionnez SecureDrop à part pour les lanceurs d'alerte sérieux. Vous obtenez un système à plusieurs niveaux où le bon outil est disponible pour le bon niveau de risque, et où aucune source n'est contrainte de se rabattre sur l'e-mail professionnel faute d'avoir trouvé mieux.

L'objectif n'est pas la sécurité parfaite, c'est bien mieux que la solution par défaut, sans friction. La plupart des lignes d'alerte échouent non pas parce qu'elles sont peu sûres, mais parce que personne ne les utilise. Un lien dans le navigateur que personne n'a à installer règle le second problème sans sacrifier le premier.