Format de rechange : Messagerie instantanée (ITSAP.00.266) (PDF, 783 Ko)
Les médias sociaux et les applications de messagerie instantanée (MI) font partie de notre quotidien, tant sur le plan personnel que professionnel, et sont un moyen de communication pratique. Bien que ces applications vous permettent de communiquer plus rapidement et facilement, il faut se rappeler que leur utilisation vous rend vulnérable à diverses menaces à la sécurité. Elles sont également régies par différentes normes de sécurité établies par les nombreux développeurs d’applications.
Quel niveau de protection la messagerie instantanée propose-t-elle?
On utilise les applications de MI au travail pour communiquer facilement et rapidement avec des collègues qui se trouvent sur les lieux de travail ou à l’extérieur du bureau. Toutefois, comme ces applications ne sont pas entièrement sécurisées ou confidentielles, des auteurs de menace peuvent obtenir accès à l’information transmise. Il convient donc de porter attention au niveau de sensibilité des données que vous envoyez par l’entremise de ces applications.
Certaines applications de MI sont associées à vos comptes de médias sociaux. Si vous utilisez les justificatifs d’identité de votre compte de médias sociaux pour vous connecter à l’une de ces applications, vous établissez un lien entre celles-ci. Plusieurs applications de médias sociaux et de MI appartiennent à la même société. Cette dernière est donc en mesure de recueillir vos données et de les utiliser pour accéder aux comptes associés. Ainsi, un auteur de menace qui réussit à pirater l’un de vos comptes pourra également accéder aux données liées aux autres applications auxquelles il est connecté.
Quel niveau de protection le chiffrement de bout en bout offre-t-il?
Le chiffrement de bout en bout est un service de protection de la confidentialité qui consiste à chiffrer les données de l’expéditeur (c.-à-d., convertir l’information pour masquer le contenu et prévenir tout accès non autorisé) de manière à ce que seul le destinataire puisse les déchiffrer. Plusieurs applications de MI ont recours au chiffrement de bout en bout pour sécuriser votre information et vos messages. Bien que ce service semble offrir un niveau élevé de sécurité lors de l’envoi et de la réception de l’information, il est préférable de ne pas miser uniquement sur le chiffrement de bout en bout pour protéger vos données. Les auteurs de menace peuvent compromettre vos dispositifs en vue de récupérer les données non chiffrées qu’ils contiennent et de les déchiffrer ultérieurement. Il est important d’en tenir compte avant d’envoyer un message de nature plus sensible.
Quels sont les risques associés à l’utilisation de la MI?
Il faut considérer les nombreux risques avant d’utiliser la MI comme moyen de communication. Les auteurs de menace peuvent obtenir votre information en tentant de faire ce qui suit:
- obtenir accès à vos justificatifs d’identité (p. ex., mots de passe non protégés);
- obtenir les justificatifs d’identité des autres comptes qui sont connectés à l’application de MI;
- exposer l’information sensible que vous leur avez envoyée en la partageant avec autrui (p. ex., dans des saisies d’écran);
- recueillir les renseignements personnels dans les comptes partagés (p. ex., l’exposition de renseignements en ligne, comme la date de naissance et l’adresse, peut donner lieu au piratage du mot de passe);
- voler l’information au moyen d’un dispositif infecté (p. ex., un espiogiciel sur votre dispositif a accès à toutes les applications ouvertes);
- obtenir les justificatifs d’identité nécessaires pour déchiffrer des messages chiffrés jusque-là indéchiffrables.
Même si vous faites appel aux services d’un fournisseur légitime et digne de confiance, les auteurs de menace peuvent tirer avantage de failles et de vulnérabilités inconnues dans les applications. Votre information sensible court, ce faisant, le risque de tomber entre de mauvaises mains.
Quelles caractéristiques devrais-je rechercher lors de la sélection d’une application?
Au moment de choisir une application à des fins personnelles ou professionnelles, il convient de tenir compte de certaines choses, notamment de la chaîne d’approvisionnement de votre organisation (c.-à-d., la relation que vous entretenez avec les autres organisations qui prennent part à la prestation des services offerts à vos clients). Pour de plus amples renseignements sur l’intégrité de la chaîne d’approvisionnement, prière de consulter l’ITSAP.00.070, Sécurité de la chaîne d’approvisionnement pour les petites et moyennes organisations.
Il conviendra de se poser les questions suivantes avant de choisir une application :
- Où l’application de messagerie stocke-t-elle ou traite-t-elle vos données?
- Utilisez des applications offertes par des fournisseurs qui stockent vos données au Canada. Votre information sera ainsi protégée en vertu des lois canadiennes en matière de protection de la vie privée.
- En quoi l’architecture de l’application appuie-t-elle les mesures de sécurité mises en place par le fournisseur?
- Assurez-vous de connaître les fonctionnalités offertes par le fournisseur (p. ex., la durée de conservation des messages, des listes de contacts et des journaux de communication).
- Assurez-vous de connaître la durée de stockage de votre information et la méthode employée par le fournisseur pour procéder à sa destruction.
- Le fournisseur a-t-il mis en place des politiques de sécurité?
- Le chiffrement de bout en bout ne permet pas de garantir la sécurité de votre information.
- Assurez-vous que le fournisseur emploie les méthodes de chiffrement appropriées pour protéger vos données (p. ex., en tenant compte des messages inactifs et en transit).
- Quels protocoles le fournisseur utilise-t-il pour chiffrer les messages?
- Le chiffrement de bout en bout ne permet pas de garantir la sécurité de votre information.
- Assurez-vous que le fournisseur emploie les méthodes de chiffrement appropriées pour protéger vos données (p. ex., en tenant compte des messages inactifs et en transit).
- Le fournisseur emploie-t-il des applications connectées ou tierces?
- Déterminez quelles sont les applications connectées et associées à votre information.
- Pour savoir s’il est possible de faire confiance aux services offerts par le fournisseur, il convient de déterminer quelles sont les applications et les entreprises concernées par la prestation de ces services.
- Assurez-vous que les services sont fournis conformément aux affirmations du fournisseur, ni plus ni moins (p. ex., transmission de données).
Comment puis-je utiliser la messagerie sécurisée en toute sécurité?
Malgré le fait que plusieurs applications de MI affirment pouvoir offrir une protection complète grâce au chiffrement de bout en bout, il est possible pour les attaquants de mettre la main sur l’information que vous envoyez ou recevez par l’intermédiaire de celles-ci. Pour assurer une protection optimale de votre information, il convient de respecter les directives suivantes :
- Appliquez les plus récentes mises à jour à vos applications de MI et au système d’exploitation de votre dispositif de manière à tirer avantage des plus récents correctifs de sécurité;
- Utilisez un mot de passe distinct pour chaque application de MI;
- Pour de plus amples renseignements sur les mots de passe, prière de consulter l’ITSAP.30.032, Pratiques exemplaires de création de phrases de passe et de mots de passe.
- Ayez recours à l’authentification à deux facteurs pour sécuriser vos comptes (si une telle fonctionnalité est offerte par l’application);
- Évitez de mentionner des détails susceptibles de révéler votre identité dans les profils de vos comptes (p. ex., votre nom et votre numéro de téléphone);
- N’utilisez pas la fonction « se souvenir de moi » et quittez l’application lorsque vous avez terminé;
- Évitez de partager de l’information sensible comme des données bancaires ou un numéro d’assurance sociale;
- Assurez-vous qu’il s’agit bien d’un fournisseur ou d’une application légitime (p. ex., une fausse application de messagerie pourrait installer un maliciel sur votre dispositif);
- Utilisez des applications de messagerie s’exécutant sur des réseaux sécurisés et non par l’intermédiaire d’un réseau Wi-Fi public;
- Évitez de connecter vos comptes de MI sur vos autres dispositifs (p. ex., service infonuagique, Internet des objets);
- Assurez-vous de pouvoir faire confiance aux personnes avec qui vous échangez des messages. Les destinataires pourraient, par exemple, effectuer une saisie d’écran de vos messages en vue de les transmettre à d’autres personnes;
- Vérifiez que les connexions bloquées sont bien déconnectées sur toutes les applications connexes; ces dernières pourront ainsi bloquer les communications sur tous les comptes;
- Validez l’identité de la personne avec qui vous échangez des messages en lui posant une question qu’elle seule connaît ou en ayant recours à une clé chiffrée;
- Pour déterminer si les fournisseurs sont fiables et dignes de confiance, consultez les commentaires sur l’utilisation à long terme de leurs applications.