## 4.1 Sécuriser l'environnement numérique

**Ce que recouvre la compétence** : protéger ses équipements, ses communications et ses données contre les attaques, pièges et incidents (logiciels malveillants, hameçonnage, vol de compte, perte de données). Thématiques Pix : menaces et ingénierie sociale, authentification, chiffrement, mises à jour et logiciels de protection, sécurité des réseaux, paiements en ligne.

### Progression par niveaux (résumé)

- **N1-N2** : verrouiller son poste, ne pas partager ses mots de passe, reconnaître un message suspect évident.
- **N3** : créer des mots de passe robustes, faire les mises à jour, repérer une connexion sécurisée (HTTPS).
- **N4-N5** : utiliser un gestionnaire de mots de passe et la double authentification, chiffrer des données, sécuriser son réseau.
- **N6+** : comprendre les mécanismes d'attaque et de chiffrement, appliquer une politique de sécurité pour un groupe, réagir à un incident.

### Version Linux et libre

**Le modèle de sécurité de Linux**

- Compte utilisateur sans privilèges, `sudo` pour les actions d'administration
- Logiciels installés depuis des dépôts officiels signés plutôt que téléchargés au hasard
- Mises à jour centralisées pour tout le système (gestionnaire de logiciels, `apt`, `dnf`), automatisables
- Flatpak : applications isolées, permissions réglables avec **Flatseal**
- AppArmor ou SELinux en arrière-plan
- À démystifier : Linux n'est pas invulnérable. L'hameçonnage, les extensions de navigateur malveillantes, un `curl … | bash` aveugle ou un dépôt tiers douteux restent des risques réels

**Mots de passe et authentification**

- **KeePassXC** : gestionnaire libre, certifié par l'ANSSI
- Bitwarden (serveur auto-hébergeable avec Vaultwarden)
- Phrases de passe (méthode Diceware) plutôt que mots de passe complexes impossibles à retenir
- Vérifier si ses comptes ont fuité : Have I Been Pwned, Mozilla Monitor
- Double authentification (TOTP) : KeePassXC lui-même, **Aegis** (Android), Authenticator (GNOME)
- Clés de sécurité physiques FIDO2, dont **Nitrokey** au matériel ouvert ; passkeys

**Chiffrement**

- **LUKS** : chiffrement complet du disque proposé à l'installation de la plupart des distributions
- VeraCrypt : conteneurs chiffrés, lisibles aussi sous Windows et macOS
- **Cryptomator** : chiffrer ses fichiers avant de les mettre dans le nuage
- GnuPG pour les fichiers et courriels (Kleopatra, ou Mots de passe et clés sous GNOME)
- Clés SSH pour se connecter à un serveur
- HTTPS et certificats : ce que garantit vraiment le cadenas, et ce qu'il ne garantit pas

**Réseau**

- Pare-feu : `ufw` et son interface **Gufw**, ou firewalld
- Wi-Fi : WPA2/WPA3, prudence sur les réseaux publics
- VPN : **WireGuard**, OpenVPN ; ce qu'un VPN protège et ses limites
- **Tor Browser** pour l'anonymat
- Firefox : mode HTTPS uniquement, DNS chiffré

**Logiciels de protection**

- ClamAV avec l'interface ClamTk : utile surtout pour analyser des fichiers destinés à des postes Windows ou des clés USB partagées
- uBlock Origin contre les publicités piégées

**Hameçonnage et ingénierie sociale**

- Vérifier l'adresse réelle d'un lien et l'expéditeur réel (en-têtes dans Thunderbird)
- Signaler : Signal Spam, **cybermalveillance.gouv.fr**, 17Cyber pour les victimes
- Rançongiciels : la meilleure protection reste la sauvegarde hors ligne (lien 1.2)

**Bonnes pratiques matérielles**

- Verrouiller sa session (Super + L), mot de passe du BIOS/UEFI
- Ne pas brancher une clé USB inconnue
- Référence : guide d'hygiène informatique de l'ANSSI

### Idées d'activités

- Migrer tous ses mots de passe vers KeePassXC et activer la double authentification sur un compte important
- Créer un conteneur VeraCrypt sur une clé USB et l'ouvrir sous un autre système
- Atelier hameçonnage : trier une série de vrais et faux messages en justifiant chaque choix
- Configurer Gufw et vérifier les ports ouverts avec `ss -tulpn`
- Examiner les permissions de ses applications Flatpak avec Flatseal et en restreindre une
- Échanger des fichiers chiffrés avec GnuPG entre deux participants