Un journaliste d’investigation reçoit des documents sensibles d’une source anonyme. Pour échanger en toute discrétion, il envisage d’utiliser un téléphone PGP, ces appareils spécialisés dans le chiffrement des communications. Le réflexe semble logique : plus le chiffrement est fort, mieux la source est protégée. La réalité terrain est bien plus nuancée, et ce choix peut même se retourner contre ses utilisateurs.
Téléphone PGP : pourquoi cet outil attire l’attention des autorités
Le chiffrement PGP (Pretty Good Privacy) reste un protocole robuste pour protéger le contenu des messages. Appliqué à un téléphone dédié, il crée un appareil dont la seule fonction est de communiquer de manière chiffrée. Le problème ne vient pas du chiffrement lui-même, mais du signal que l’appareil envoie.
Lire également : Téléphone intracable : Astuces efficaces pour renforcer sa confidentialité
Depuis plusieurs années, ces terminaux sont massivement associés au trafic de stupéfiants et au crime organisé. Des décisions judiciaires récentes dans plusieurs pays européens montrent que la possession d’un téléphone PGP peut être interprétée comme un indice de participation à des activités criminelles. Lors d’une perquisition ou d’un contrôle, un tel appareil dans les affaires d’un journaliste ou d’un lanceur d’alerte déclenche immédiatement des questions que personne ne souhaite affronter.
Ce risque d’amalgame est documenté par des réseaux de journalistes d’investigation. Depuis 2022, plusieurs grandes rédactions ont interdit ou déconseillé les téléphones PGP dans leurs protocoles internes de sécurité numérique.
A lire aussi : Détecter une écoute sur téléphone : signes et solutions de protection
Smartphone classique durci : l’alternative recommandée pour protéger ses sources
Le guide pratique publié par la Maison des Lanceurs d’Alerte en 2024 pose un constat clair : les téléphones chiffrés de niche sont facilement identifiables et souvent ciblés lors d’analyses forensiques. La recommandation qui en découle va à contre-courant de l’intuition.
Plutôt qu’un appareil spécialisé, un smartphone ordinaire correctement configuré offre une protection équivalente du contenu, tout en passant inaperçu. Le principe repose sur trois piliers techniques accessibles à toute personne sans compétence avancée.
- Le chiffrement natif du système d’exploitation (activé par défaut sur les versions récentes d’Android et d’iOS) protège l’ensemble des données stockées sur l’appareil en cas de saisie physique.
- Les mises à jour régulières du système et des applications corrigent les failles de sécurité exploitées par les logiciels espions. Un téléphone non mis à jour, même chiffré, reste vulnérable.
- Les applications de messagerie à chiffrement de bout en bout (Signal reste la référence citée par la majorité des guides de sécurité pour journalistes) protègent le contenu des échanges sans signaler visuellement que l’utilisateur a quelque chose à cacher.
L’objectif n’est pas d’avoir le chiffrement le plus spectaculaire, mais le dispositif le plus banal possible qui protège réellement les échanges.
Bonnes pratiques de sécurité numérique pour journalistes et lanceurs d’alerte
Chiffrer ses messages ne suffit pas si le reste du comportement numérique trahit la relation entre un journaliste et sa source. La protection des lanceurs d’alerte repose sur un ensemble de précautions complémentaires.
Compartimenter les appareils et les identités
Utiliser le même téléphone pour la vie quotidienne et pour les échanges sensibles crée un lien direct entre l’identité du journaliste et celle de la source. Un second appareil, acheté en espèces et utilisé uniquement pour les communications protégées, limite ce risque. Ce téléphone dédié reste un smartphone classique, pas un appareil PGP de niche.
Maîtriser les métadonnées
Le contenu d’un message peut être chiffré, mais les métadonnées révèlent qui communique avec qui, à quelle fréquence et depuis quel endroit. Désactiver la géolocalisation, éviter les connexions Wi-Fi publiques identifiables et limiter la durée des sessions de communication réduit l’exposition.
Vous avez déjà remarqué qu’un appel téléphonique laisse une trace chez l’opérateur, même si la conversation est inaudible ? Ce sont ces traces, pas le contenu, que les enquêteurs exploitent en priorité.
Vérifier l’identité de son interlocuteur
Sur Signal ou toute autre messagerie chiffrée, la vérification du numéro de sécurité (ou code QR) de son contact permet de confirmer qu’aucun intermédiaire ne s’est glissé dans la conversation. Cette étape prend quelques secondes et bloque les attaques de type « homme du milieu ».
Protection juridique des sources en France : ce que dit la loi
La dimension technique ne couvre qu’une partie du problème. En France, la loi reconnaît la protection du secret des sources des journalistes comme un principe lié à la liberté d’expression et à la liberté de la presse. La directive européenne sur la protection des lanceurs d’alerte, transposée en droit français, renforce ce cadre en interdisant les représailles contre les personnes qui signalent des infractions dans l’intérêt public.
La Maison des Lanceurs d’Alerte accompagne les personnes qui envisagent de signaler des faits répréhensibles. Son guide rappelle que la protection juridique fonctionne en complément, et non en remplacement, des mesures de sécurité numérique. Un lanceur d’alerte protégé par la loi mais dont l’identité a fuité par négligence technique se retrouve exposé à des pressions concrètes avant même que le cadre juridique puisse jouer son rôle.
Chiffrement PGP sur téléphone : quand l’utiliser malgré tout
Le protocole PGP conserve une utilité réelle pour le chiffrement de fichiers volumineux ou de courriels échangés entre deux personnes qui maîtrisent la gestion des clés. Certains journalistes publient leur clé PGP publique pour permettre à des sources de leur envoyer des documents chiffrés par courriel.
La nuance porte sur le support : utiliser PGP comme protocole de chiffrement sur un smartphone ordinaire ne pose pas de problème. C’est l’achat d’un téléphone dédié et identifiable comme « PGP phone » qui crée le risque. L’application OpenKeychain sur Android ou un client mail compatible PGP sur un iPhone classique offrent le même niveau de chiffrement sans attirer l’attention.
- Pour des échanges courts et fréquents avec une source, Signal ou une messagerie chiffrée de bout en bout reste plus adapté qu’un échange de courriels PGP.
- Pour transmettre un dossier de plusieurs centaines de pages, le chiffrement PGP appliqué aux fichiers avant envoi reste une méthode fiable.
- Pour des communications en temps réel, aucun outil ne remplace la prudence : une rencontre physique dans un lieu neutre reste parfois la solution la plus sûre.
Le choix de l’outil dépend du contexte, du niveau de menace et de la compétence technique des deux parties. Un lanceur d’alerte qui n’a jamais géré de clé PGP ne devrait pas commencer par là : Signal installé en cinq minutes protège mieux qu’un chiffrement PGP mal configuré.
