OPSEC pour Chercheurs en Securite: Modele de Menace Personnel

Un chercheur en securite qui commence par Tor sans modele de menace finit avec trois telephones, cinq adresses mail et zero anonymat reel. On a vu le scenario plusieurs fois chez Basilisk OffSec: un analyste veut publier un writeup SSRF chez un fournisseur cloud, installe Whonix sur un coup de tete, mais reste connecte au meme compte Google que d habitude et televerse des captures avec EXIF intact. L OPSEC n est pas du shopping d outils, c est de l ingenierie de risque. Le point de depart consiste a repondre a trois questions concretes: qui veut me nuire, de quoi est-il techniquement capable, et que je perds s il gagne. Sans ces reponses, toute comparaison entre Tails et Qubes devient du theatre.

Le modele de menace personnel suit la meme logique que le STRIDE corporate decrit dans Threat Modeling STRIDE en Sprints : Exemple Complet sur un Microservice, mais l actif central change: tu es le systeme. Liste les actifs bruts dans un tableur: identite legale, identites de recherche, comptes operationnels de CTF, cles PGP, wallets crypto, appareils physiques, contacts de sources, brouillons non publies. Pour chacun, coche trois colonnes: confidentialite, integrite, disponibilite. Un chercheur malware qui perd l acces au labo deux jours souffre peu; le meme chercheur dont le vrai nom est publie sur un forum russe peut subir un dommage permanent. Cette matrice dira ou depenser de l argent sur une hardware wallet (Crypto Personnelle: Hardware Wallets, Passphrase et Backup Resistant a la Coercition) et ou depenser de la paranoia sur la compartimentation.

Definis l adversaire avec honnetete. La plupart des chercheurs n affrontent pas realistement un service de renseignement etatique avec NSO Pegasus. En revanche: un stalker isole faisant de l OSINT paresseux, une bande ransomware que tu as trollee sur Twitter, l avocat d une entreprise furieuse de ton disclosure, un ex partenaire avec acces physique au routeur, des scrapers qui vendent tes donnees a des data brokers. Chaque cas demande une reponse technique differente. Contre le data broker la defense est administrative et suit la procedure de Securite Personnelle Anti-Doxxing: Supprimer ses Donnees des Data Brokers Bresiliens. Contre l ex avec acces physique c est LUKS avec keyfile externe et audit de keylogger USB. Ne melange pas les couches.

Avec l adversaire et l actif sur le papier, choisis le systeme d exploitation comme une consequence, pas comme une identite. La comparaison technique de Tails, Whonix ou Qubes OS: Lequel Choisir pour Chaque Scenario d'OPSEC montre que Tails convient aux sessions courtes amnesiques, Whonix a l isolement reseau en VM, Qubes a la compartimentation par domaine. Si tu ecris des writeups AWS, Qubes avec un qube dedie aux identifiants et un autre tournant Burp et le DVWA du lab Pentest Web depuis Zero: Construire un Lab Sur avec DVWA, Juice Shop et Burp Suite regle l affaire sans drame. Si tu vas sur le terrain rencontrer une source, Tails sur cle USB avec persistance minimale est plus defendable. Tout melanger dans un seul Ubuntu avec Tor Browser est le pire des choix: complexite haute, garanties faibles.

La communication merite son propre chapitre dans le modele. Signal protege le contenu mais fuit ton graphe social par le numero de telephone; SimpleX n a pas d identifiant persistant; Session passe par Lokinet. Le choix depend de tes interlocuteurs et de ce qui arrive si la metadonnee fuite. La comparaison dans OPSEC Communication: Signal, SimpleX et Session Compares Techniquement donne les chiffres de latence et le modele de decouverte. Ajoute une regle simple: chaque identite de recherche a son canal propre et ne croise jamais le personnel. L hygiene des metadonnees de Hygiene des Metadonnees : Nettoyer EXIF, PDF et Office avant Publication entre aussi ici, parce qu un PDF de rapport avec le vrai auteur dans XMP a grille plus de chercheurs qu un zero day de navigateur. Lance exiftool avant chaque upload, sans exception.

Enfin, teste ton modele en lancant de l OSINT contre toi-meme. Utilise Maltego et Spiderfoot comme dans OSINT Ethique: Enqueter sur sa Propre Empreinte Numerique avec Maltego et Spiderfoot, en partant du mail principal, du handle Twitter et du numero mobile. Si tu atteins ton adresse postale en dix minutes, n importe quel adversaire faible y arrive aussi. Documente ce qui a fuite, corrige ce qui est corrigeable, accepte ce qui est deja public en ajustant le modele au lieu de pretendre que c est prive. Takeaway pratique: bloque deux heures ce week-end, ouvre un fichier markdown nomme threat-model.md, remplis actifs, adversaires, vecteurs et contre-mesures, et revise chaque trimestre. Nouvel outil seulement apres que ce document existe.