Partager des informations avec SecureDrop

🗳️Qu’est-ce que SecureDrop ?

SecureDrop est une plateforme spécifiquement conçue pour répondre à un besoin fondamental du journalisme d’investigation. C’est-à-dire afin de permettre à une source de transmettre des documents à une rédaction sans révéler son identité, ni d’un point de vue technique (adresse IP, réseau, matériel), ni d’un point de vue opérationnel (habitudes d’usage, localisation, identité numérique).

Contrairement aux outils de partage classiques tels que l’e-mail, les messageries instantanées ou les services de cloud grand public, SecureDrop n’est pas conçu pour être simple ou confortable. Il repose volontairement sur une architecture contraignante, car l’expérience a montré que la simplicité excessive favorise les erreurs humaines, qui sont l’une des principales causes de compromission dans les affaires sensibles.

SecureDrop s’appuie sur le réseau Tor afin de masquer l’origine des connexions des sources. Les communications ne transitent pas directement entre la source et la rédaction, mais passent par plusieurs relais anonymisants, rendant extrêmement difficile l’identification de l’émetteur. Cette approche vise à protéger la source contre la surveillance réseau, qu’elle soit étatique, privée ou criminelle.

L’architecture de SecureDrop repose également sur un cloisonnement strict des environnements. Les systèmes servant à recevoir les documents, à les stocker et à les consulter sont volontairement séparés. Cette segmentation limite l’impact d’une compromission éventuelle et réduit les risques de fuite accidentelle d’informations. Elle impose en contrepartie des procédures rigoureuses et une discipline organisationnelle forte.

Un autre aspect essentiel de SecureDrop est la réduction maximale des métadonnées. Les fichiers transmis via SecureDrop sont traités de manière à limiter la conservation d’informations techniques pouvant trahir l’origine du document, comme le type d’appareil utilisé, les logiciels employés ou certaines informations temporelles. Toutefois, cette réduction n’est jamais totale. En effet, une analyse journalistique et technique reste nécessaire avant toute exploitation ou publication.

Il est crucial de comprendre que SecureDrop n’offre pas une protection absolue. Il ne protège pas contre toutes les erreurs humaines, comme une mauvaise manipulation interne, une communication parallèle non sécurisée avec la source, ou l’ouverture imprudente d’un fichier sur un poste non isolé. De même, il ne peut pas protéger une source qui utiliserait un appareil déjà compromis ou qui ne respecterait pas les consignes de sécurité de base.

SecureDrop doit donc être envisagé non pas comme une solution magique, mais comme un outil de réduction des risques, intégré dans un cadre strict comme des procédures internes claires, des formation des équipes, la séparation des environnements de travail, et la compréhension partagée de ses limites. Utilisé correctement, il constitue l’un des moyens les plus robustes actuellement disponibles pour la réception d’informations sensibles dans le cadre journalistique.

✅️Guide des bonnes pratiques

1. Gouvernance et organisation

• Définir clairement les objectifs d’usage de SecureDrop (types d’informations attendues, niveau de sensibilité)

• Désigner un nombre très limité de personnes autorisées à accéder à SecureDrop

• Mettre en place des procédures écrites et connues de tous les utilisateurs autorisés

• Former régulièrement les équipes aux usages et aux limites de SecureDrop

• Documenter les responsabilités en cas d’incident ou de suspicion de compromission

• Ne jamais utiliser SecureDrop comme un outil de partage interne ou collaboratif

2. Infrastructure et environnement technique

• Déployer SecureDrop sur une infrastructure dédiée et isolée

• Séparer strictement les environnements de réception, de stockage et de consultation

• Utiliser des postes dédiés pour l’accès à SecureDrop, sans usage quotidien

• Maintenir les systèmes SecureDrop à jour (OS, dépendances, correctifs de sécurité)

• Appliquer une segmentation réseau stricte et minimale

• Surveiller l’intégrité des systèmes sans collecter de données excessives

• Tester régulièrement les procédures de récupération et de continuité

3. Accès et authentification

• Accéder à SecureDrop exclusivement via Tor Browser

• Ne jamais se connecter à SecureDrop depuis un réseau non maîtrisé sans Tor

• Protéger les accès par des mots de passe longs et uniques

• Utiliser des dispositifs d’authentification physique lorsque c’est possible

• Révoquer immédiatement les accès en cas de départ d’un collaborateur

• Ne jamais partager d’identifiants entre utilisateurs

4. Réception et manipulation des fichiers

• Considérer tout fichier reçu comme potentiellement malveillant

• Ne jamais ouvrir un fichier SecureDrop sur un poste connecté à Internet

• Analyser systématiquement les fichiers dans une station blanche ou un environnement isolé

• Désactiver l’exécution automatique des fichiers et scripts

• Supprimer ou neutraliser les métadonnées avant toute exploitation

• Conserver une copie brute des fichiers à des fins de traçabilité interne

• Ne jamais transférer directement les fichiers vers des outils cloud ou collaboratifs

5. Communication avec les sources

• Ne pas multiplier les canaux de communication avec une source sensible

• Éviter toute communication hors SecureDrop sans analyse préalable des risques

• Ne jamais demander à une source de s’identifier

• Ne pas promettre d’anonymat absolu ou de protection totale

• Fournir aux sources des consignes claires et réalistes

• Éviter toute pression conduisant la source à des comportements à risque

6. Métadonnées et exploitation journalistique

• Analyser les documents pour identifier les métadonnées résiduelles

• Comprendre que certains formats (PDF, images, vidéos) sont particulièrement bavards

• Adapter les outils de nettoyage de métadonnées au type de fichier

• Vérifier les documents avant toute publication ou partage interne

• Sensibiliser les équipes éditoriales aux risques indirects liés aux métadonnées

7. Journalisation et traçabilité interne

• Limiter la journalisation aux stricts besoins techniques

• Éviter la conservation excessive de logs exploitables

• Protéger les journaux comme des données sensibles

• Définir une politique de conservation et de suppression des traces internes

• Auditer régulièrement les accès et usages de SecureDrop

8. Gestion des incidents

• Prévoir un plan de réponse à incident spécifique à SecureDrop

• Savoir identifier les signaux faibles d’une compromission

• Suspendre immédiatement l’usage en cas de doute sérieux

• Informer les parties internes concernées de manière contrôlée

• Ne pas improviser de solutions en situation de stress

9. Bonnes pratiques spécifiques aux smartphones

• Ne pas accéder à SecureDrop depuis un smartphone personnel

• Ne pas télécharger de fichiers SecureDrop sur mobile

• Ne pas communiquer avec une source SecureDrop via messagerie mobile classique

• Considérer le smartphone comme un terminal à risque élevé pour ce type d’usage

Avantages

Inconvénients

– Permet la transmission de documents sans révéler l’identité de la source, ni son adresse IPS’appuie sur le réseau Tor, réduisant fortement les possibilités de surveillance réseau – Conçu spécifiquement pour le journalisme d’investigation et la protection des lanceurs d’alerte – Architecture cloisonnée et segmentée, limitant l’impact d’une compromission – Réduction volontaire des métadonnées techniques associées aux fichiers transmis – Outil éprouvé, utilisé par de nombreux médias internationaux reconnus – Ne dépend pas d’un fournisseur cloud commercial grand public – Favorise une discipline organisationnelle et des procédures de sécurité strictes

– Déploiement et maintenance complexes, nécessitant des compétences techniques dédiées – Coût organisationnel et humain important pour les rédactions – Usage réservé aux structures éditoriales organisées, peu adapté aux journalistes indépendants isolés – Ne protège pas contre les erreurs humaines internes (mauvaise manipulation, partage secondaire) – Ne garantit pas l’anonymat si la source utilise un appareil déjà compromis – Peut créer un faux sentiment de sécurité si les procédures ne sont pas strictement respectées – Expérience utilisateur volontairement contraignante, pouvant décourager certaines sources – Ne couvre pas l’ensemble de la chaîne de communication avec la source (avant et après l’envoi)

« SecureDrop est un outil de réduction des risques, pas une garantie absolue.Sa sécurité dépend moins de la technologie que de la rigueur des pratiques humaines et organisationnelles. »

🗞️Cas pratique pour les journalistes

Contexte

Un média reçoit des informations laissant supposer l’existence de pratiques illégales au sein d’une administration publique. Une source interne souhaite transmettre des documents probants (e-mails, tableaux internes, notes de service), mais craint fortement des représailles professionnelles, judiciaires ou personnelles.

La source indique ne pas vouloir utiliser :

1. Son adresse e-mail professionnelle,
2. Une messagerie instantanée,
3. Un service de cloud classique,
4. Un rendez-vous physique.

Le média dispose d’une plateforme SecureDrop opérationnelle.

Problématique : Comment permettre à la source de transmettre les documents :

• Sans révéler son identité,
• Sans exposer son adresse IP ou sa localisation,
• Sans laisser de traces exploitables par un tiers,
• Tout en limitant les risques pour la rédaction elle-même ?

Mise en œuvre de SecureDrop

📑Côté source

La source est informée de l’existence de SecureDrop et reçoit des consignes claires :

1. Accéder à la plateforme via Tor Browser ;
2. Utiliser, si possible, un ordinateur personnel non professionnel ;
3. Éviter les réseaux surveillés (réseau d’entreprise, Wi-Fi institutionnel) ;
4. Ne pas transmettre d’informations permettant de l’identifier dans les messages ;
5. Accepter que SecureDrop réduise les risques sans les supprimer totalement.

La source accède à SecureDrop via Tor et transmet les fichiers.

✒️Côté rédaction

Les journalistes habilités accèdent à SecureDrop depuis :

1. Un poste dédié,
2. Isolé du réseau interne,
3. Sans usage quotidien.

Les fichiers reçus sont :

1. Téléchargés sans être ouverts,
2. Transférés vers une station blanche pour analyse,
3. Vérifiés pour détecter d’éventuels fichiers malveillants,
4. Nettoyés de leurs métadonnées avant toute exploitation éditoriale.

Aucune communication parallèle n’est engagée avec la source en dehors de SecureDrop sans analyse préalable des risques.

Conclusion du cas pratique

Résultats obtenus :
1. La source a pu transmettre les documents sans révéler son identité réseau.
2. La rédaction a pu recevoir les fichiers sans exposer son infrastructure principale.
3. Les risques d’interception, de traçage et de compromission ont été fortement réduits.
4. La chaîne de transmission est restée cloisonnée et maîtrisée.

Limites identifiées :
1. SecureDrop n’a pas permis de vérifier l’état de sécurité de l’appareil de la source.
2. Une mauvaise manipulation interne aurait pu compromettre l’ensemble du dispositif.
3. Une communication parallèle non sécurisée aurait pu annuler les bénéfices de SecureDrop.

Tristan Lemonnier est Security Analyste chez Advens. Il évolue dans le domaine de la cybersécurité depuis plusieurs années et auparavant était Analyste SOC.